信息收集

开启了22ssh和80http端口
ssh可以想到的是爆破，又或者是可以在靶机上找到相应的靶机用户信息进行登录，首先看一下网站信息
结果发现打开ip地址，却显示找不到此网站

但是可以发现地址栏上方的ip变成了域名，因此推测是进行了跳转，所以想要连接这个ip必须得设置host文件

linux host文件路径：/etc/host/
windows host文件路径：C:\Windows\System32\drivers\etc\host

打开网页后二话不说直接开扫
结果还挺多的

http://wordy/wp-login.php

后台登陆页面
http://wordy/wp-includes/

目录浏览漏洞

首先注意到的是wordpress 5.1.1，kali有自带关于wordpress的扫描工具

常用选项 :
--update 更新到最新版本  
--url -u 要扫描的`WordPress`站点.  
--force -f 不检查网站运行的是不是`WordPress  
--enumerate -e [option(s)] 枚举 

其他选项: 
u 枚举用户名，默认从1-10 
u[10-20] 枚举用户名，配置从10-20 
p 枚举插件 
vp 只枚举有漏洞的插件 
ap 枚举所有插件，时间较长 
tt 列举缩略图相关的文件 
t 枚举主题信息 
vt 只枚举存在漏洞的主题
at 枚举所有主题，时间较长 
--exclude-content-based 当使用枚举选项时，可以使用该参数做一些过滤，基于正则或者字符串，可以不写正则分隔符，但要用单引号或双引号包裹 
--config-file -c 
--user-agent -a 
--cookie 
--random-agent -r 使用随机User-Agent 
--follow-redirection 如果目标包含一个重定向，则直接跟随跳转 
--batch 无需用户交互，都使用默认行为 
--no-color 不要采用彩色输出 
--wp-content-dir 
--wp-plugins-dir 
--proxy <[protocol://]host:port设置一个代理，可以使用HTTP、SOCKS4、SOCKS4A、SOCKS5，如果未设置默认是HTTP协议 
--proxy-auth 
--basic-auth 
--wordlist -w 
--username -U 
--usernames path-to-file指定爆破用户名字典 
--threads -t 
--cache-ttl cache-ttl设置 cache TTL 
--request-timeout request-timeout请求超时时间 
--connect-timeout connect-timeout连接超时时间 
--max-threads max-threads最大线程数 
--throttle milliseconds当线程数设置为1时，设置两个请求之间的间隔 
--help -h 输出帮助信息 
--verbose -v 输出Verbose 
--version 输出当前版本

wpscan --url http://wordy/ -e u

攻击

尝试用rockyou大字典进行爆破，但是有5个账户，这么大的字典要爆500+小时！
其实根据vulnhub的dc6靶机页面是可以看到提示的

cat /usr/share/wordlists/rockyou.txt | grep k01 > passwords.txt That should save you a few years. ;-)

上述命令将rockyou.txt中有k01的行都取了出来放在passwords.txt中，用这个字典来进行爆破，但是还是扫的挺慢的，所以我就直接把密码放到一个文件里面了

用户名放到另一个文件

hydra -L ./username.txt -P ./answer.txt 192.168.200.12 http-post-form "/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log+In&redirect_to=http%3A%2F%2Fwordy%2Fwp-admin%2F&testcookie=1:incorrect" -f
hydra的使用方法就不重复了，可以看我dc4的文章

https://www.cnblogs.com/Gh0st1nTheShell/p/15176931.html
https://blog.csdn.net/weixin_45841815/article/details/119839180?spm=1001.2014.3001.5501

最后结果确实爆出来了

mark:helpdesk01，这也验证了语法是没有问题的，post的内容是直接从burpsuite传过来的
登录后台成功，但是没法登录ssh

一开始是搜索wordpress相关的漏洞，但奈何没找到对应版本的，由于不是很了解wordpress，上网一搜才知道下面那个activity monitor原来是插件，不是自带的

搜索一下漏洞，搜到三个结果，只有第三个和wordpress相关
打开文件/usr/share/exploitdb/exploits/php/webapps/45274.html

我们要做的时修改的是划线处的url和命令的ip、端口和内容，我想要在kali上设置监听，然后让主机连接过来，所以要把nc的命令修改为-nvv或者去掉

反弹shell后让服务器返回一个bash，然后尝试提权
查看定时任务，没有可以利用的点
查看suid，也没有可以利用的点
使用sudo -l，查看用户用户可执行与无法执行的指令，结果发现mark用户需要root密码才可以使用sudo
通过查看mark的桌面，可以看到提示

Things to do:
- Restore full functionality for the hyperdrive (need to speak to Jens)
- Buy present for Sarah's farewell party
- Add new user: graham - GSo7isUM1D4 - done
- Apply for the OSCP course
- Buy new laptop for Sarah's replacement

重要的是- Add new user: graham - GSo7isUM1D4 - done，可以让我们拿到graham用户的密码GSo7isUM1D4
使用su命令来切换用户，然后使用命令sudo -l，可以看到用户jens可以以无密码执行的脚本

查看一下这个脚本的作用

#!/bin/bash
tar -czf backups.tar.gz /var/www/html

作用应该是把网页根目录给打包，但是我们可以修改脚本内容，让脚本执行bash

然后以jens的身份运行

可以看到成功切换身份
再继续sudo -l

可以看到可以以root用户无密码执行nmap，而nmap可以用来提权
如果nmap的版本比较高，没有nmap --interactive命令后可以运行nmap脚本的方式来以执行linux命令，如果是以root权限运行nmap，并且脚本时返回shell的语句就可以返回一个root权限的shell