Rven2渗透测试

扫描ip：
netdiscover -i eth0 -r 192.168.22.1/24

可见目标ip为192.168.22.147
端口扫描:
nmap 192.168.22.147 -A -T4 -p 0-65535

开放了22 80 111端口；操作系统是linux、中间件是apache
访问80端口

找一下有没有可疑点:发现博客是由wordpress搭建

点击Raven Security 发现无法访问

查看hosts文件并修改:

修改后可以访问:

目录扫描:
dirb http://192.168.22.147

发现后台登录站点:

发现疑似上传点:
DIRECTORY: http://192.168.22.147/wordpress/wp-content/uploads/

访问上述路径:

在文件夹2018中找到flag3:

DIRECTORY: http://192.168.22.147/vendor/

访问vendor：

点击PATH路径发现flag1：

flag1{a2c1f66d2b8051bd3a5874b5b6e43e21}
且上图给出了绝对路径 /var/www/html

另外发现疑似漏洞：这个好像是发邮件的

Phpmailer版本:

Msf找一下:

加载攻击模块:

设置ip、攻击页面、绝对路径:

攻击失败:

找一下攻击脚本:

拷贝下来:

查看脚本并修改其中的一些信息:

将目标ip修改为靶机ip，改下回弹shell的ip和端口,改下写入后门的绝对路径：

对靶机进行测试:

加载刚刚的攻击模块phpmailer并运行脚本:

访问存在phpmailer漏洞的界面:

此时生成了ht.php，开启nc监听:
访问反弹shell:ht.php:

nc也成功连接，拿到shell:

建立交互式shell：python -c ‘import pty;pty.spawn(“/bin/bash”)’
查找flag: find / -name flag*

查看flag2:
cat /var/www/flag2.txt

flag2{6a8ed560f0b5358ecf844108048eb337}
至此，已经拿到flag1、flag2、flag3;

由上面的渗透知道wordpress目录存在较多利用点,进入wordpress：
枚举密码:
grep “password” -rn wp-config.php
显示密码在第28行

查看wp-config.php,成功获取到数据库用户名和密码:

成功连接到数据库:

常规操作:

有flag3路径，不过没用，已经知道flag3了:

提权:
下载枚举漏洞工具LinEnum：
https://github.com/rebootuser/LinEnum

用python搭建一个简单的服务器来把文件下载到靶机里面
Python3 -m http.server 6666

在靶机中使用wget下载:

查看权限:

权限不够需要修改:

切换到mysql下，查看mysql相关信息：
ps -ef|grep mysql
mysql –version

看到一个路径:

Mysql版本低，可以进行udf提权(用户定义函数):

Mysqludf提权:
拷贝1518.c文件，并进行编译，生成ht.so文件

使用python模块创建服务器:
python2 -m SimpleHTTPServer 8080

将kali目录下的文件ht.so上传到靶机的tmp目录下:

进入mysql数据库:

查看表:

创建表并把刚刚的ht.so存入数据库：

插入数据并新建存储函数:

成功提权并且拿到flag4：
flag4{df2bc5e951d91581467bb9a2a8ff4425}