https://lily2663.top/tags/shell/记录 CTF 靶机渗透与 Web 安全的学习笔记，包含打点思路、提权过程与漏洞复现。zh-CNTue, 22 Sep 2026 02:05:37 +0000Hugohttps://lily2663.top/posts/cyrene/Tue, 22 Sep 2026 00:00:00 +0800https://lily2663.top/posts/cyrene/mazeshell存储型 XSS 借到管理员会话后进入模板功能，触发 Twig 模板注入拿下 shell；提权阶段利用 chromedriver 能以 root 启动任意可执行文件的特性完成越权。https://lily2663.top/posts/netdata2/Wed, 26 Aug 2026 00:00:00 +0800https://lily2663.top/posts/netdata2/shellmazepython群友靶机 Netdata2 的渗透过程：扩大端口扫描后发现 netdata 与 Werkzeug 服务，借助 __pycache__ 目录可写覆盖 pyc 字节码，劫持 root 定时备份任务完成提权。https://lily2663.top/posts/preference/Mon, 24 Aug 2026 00:00:00 +0800https://lily2663.top/posts/preference/shellmaze从静态脚本里找到用户接口，把接受类型改成 xml 后整行数据连同令牌与哈希一起吐出，再用泄露凭据登录 Jenkins，借改 passwd 的脚本造出 uid 0 账户。https://lily2663.top/posts/md_lily2663/Sat, 15 Aug 2026 00:00:00 +0800https://lily2663.top/posts/md_lily2663/Shell借 Glow 编辑器的读文件快捷键翻出脚本与私钥，再利用提示文件的目录属主可写，把 root 创建的 banner 换成指向密码文件的软链；随后用带参数的 su 打开配置逃逸该编辑器改写 passwd。https://lily2663.top/posts/orchard_lily2663/Sat, 15 Aug 2026 00:00:00 +0800https://lily2663.top/posts/orchard_lily2663/Shell备份目录泄露数据库，跑出后台口令后进入导出功能触发 Jinja2 注入，再借免密 find 换成应用账号，利用日志目录软链让 root 脚本把后门写进 passwd。https://lily2663.top/posts/publish/Sat, 15 Aug 2026 00:00:00 +0800https://lily2663.top/posts/publish/Shellmaze按版本号锁定 Gitea 的 CVE 并跑通公开利用，建私有库拿到初始 shell，再从泄露的二进制反编译出隐藏参数完成横向，最后借残留私钥登录 root。https://lily2663.top/posts/tran_lily2663/Sat, 15 Aug 2026 00:00:00 +0800https://lily2663.top/posts/tran_lily2663/Shell扩大端口范围后用弱口令进入 6080 服务并翻到 flag；root 阶段取到的私钥经过编码处理，最终借靶机能出网把内容转到公开专栏再取回，完成私钥登录。https://lily2663.top/posts/wellplayed_lily2663/Sat, 15 Aug 2026 00:00:00 +0800https://lily2663.top/posts/wellplayed_lily2663/ShellPHPJavaScript按 WordPress 版本锁定漏洞，绕过证书校验失败后用本机 Nginx 中转打通利用链，读出库里的口令拿到 shell；再借容器共享目录与数据库漏洞取得容器守护进程权限，挂载宿主机根目录取 root flag。https://lily2663.top/posts/core_lily2663/Wed, 12 Aug 2026 00:00:00 +0800https://lily2663.top/posts/core_lily2663/Shell群友靶机 Core 的渗透记录：从 80 端口泄露的源码确认信任目录范围过大，配合关键脚本权限配置失误，完成从 Web 到 root 的提权。