TheHackMe - All in One靶场

All in One

This is a fun box where you will get to exploit the system in several ways. Few intended and unintended paths to getting user and root access.

---

##0x01 信息收集

Nmap先扫端口，开发3个端口21，22，80

探测到21端口有匿名登录，登录进去是空的。转移目标到80端口

 

用gobuster扫描目录发现是wordpress的网站。有个hackathons目录

 

访问一下，也源代码有个注释。看起来像密码之类的，试了登录页面均不行，暂时放一下。

 

既然是wordpress用wpscan扫描一下，有两个插件，一个mail-masta、reflex-gallery

 

##0x02 漏洞利用

用exploit_db查询一下漏洞，mail masta有两个可以用的，一个注入一个文件包含

 

SQLmap注入一波，一个时间盲注和联合注入

 

获取的密码是加密过的

sqlmap -u " http://10.10.170.203/wordpress/wp-content/plugins/mail-masta/inc/lists/csvexport.php?list_id=1*&pl=/var/www/html/wordpress/wp-load.php" --batch -D wordpress -T wp_users --dump

 

再试试文件包含漏洞成功包含

 

这里用php协议包含wordpress的配置文件，里面有账号密码

http://10.10.170.203/wordpress/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=php://filter/convert.base64-encode/resource=../../../../../wp-config.php

 

用base64解密后得到明文密码

 

尝试一下ssh登录，失败

 

##0x03 反弹Shell

只能直接登录到后台反弹Shell，在404.php写入反弹Shell脚本

 

攻击机起监听，再访问404.php便能弹回Shell

http://10.10.170.203/wordpress/wp-content/themes/twentytwenty/404.php

 

翻一下elyana用户家目录有个提示，elyana的密码在系统里面

 

再枚举一下SUID文件，这里有几个能提权的。

 

但最简单的是chmod，直接改flag的权限为777读取。

 

##0x04 权限提升

试着拿到root权限，根据提示先找一下elyana的密码，在etc目录下有个private目录比较可疑

cd /etc/

grep -r password

 

##0x05 ROOT

直接用该密码登录到elyana，sudo -l 直接提权成功