文章目录
- 靶场搭建
- 靶场测试过程
- 安装dirsearch
- 扫描目录
- wpscan扫描破解
靶场搭建
https://download.vulnhub.com/beelzebub/Beelzebub.zip 下载解压镜像，从vmware打开。
一键式开机即可。
打开后配置网络。
确保网络可达。
靶场测试过程
首先使用nmap扫描网段的存活ip。
发现有一个192.168.199.130没有见过，打开浏览器输入尝试。
打开了，接下来扫描端口。
发现开放ssh和80.。
尝试扫描目录。使用dirsearch
安装dirsearch
安装依赖包
`
报错，此错误之前的vluhub安装过程中有提及解决方法。请移步请移步。
扫描目录
提示：这里可以添加技术细节
扫描到一个登入界面，403的，打开看看。
打不开。再看下默认网页。
一般情况下不存在打不开而且建设中的情况
查看源代码试试。
“我的心被加密了，但不知怎么被进入并解码了”–md5
很明显了，md5加密一下试试。d18e1e22becbd915b45e0e655429d487
拼接到网址后面。
进不去，但是有传输。扫描目录看一下。
可以看到是wordpress文档，基本确定是wordpress指纹cms。
再查看扫描的目录、
存在两个目录遍历
发现一个带有靶机名称的网站。
查看源码等看看有没有可用信息
查询cookie发现有个passwd。先留着，这个靶机还开了一个ssh端口，说不定就是密码。
wpscan扫描破解
由于是wordpress的cms，使用wpscan爆破账户名试试。
更新数据库
wordpress常用命令
u 枚举用户名，默认从1-10
u[10-20] 枚举用户名，配置从10-20
p 枚举插件
vp 只枚举有漏洞的插件
ap 枚举所有插件，时间较长
tt 列举缩略图相关的文件
t 枚举主题信息
vt 只枚举存在漏洞的主题
at 枚举所有主题，时间较长
可以指定多个扫描选项，例："-e tt,p"
如果没有指定选项，默认选项为："vt,tt,u,vp"
--exclude-content-based "<regexp or string>"
当使用枚举选项时，可以使用该参数做一些过滤，基于正则或者字符串，可以不写正则分隔符，但要用单引号或双引号包裹
--config-file | -c <config file使用指定的配置文件
--user-agent | -a <User-Agent指定User-Agent
--cookie <String指定cookie
--random-agent | -r 使用随机User-Agent
--follow-redirection 如果目标包含一个重定向，则直接跟随跳转
--batch 无需用户交互，都使用默认行为
--no-color 不要采用彩色输出
--wp-content-dir <wp content dirWPScan会去发现wp-content目录，用户可手动指定
--wp-plugins-dir <wp plugins dir指定wp插件目录，默认是wp-content/plugins
--proxy <[protocol://]host:port设置一个代理，可以使用HTTP、SOCKS4、SOCKS4A、SOCKS5，如果未设置默认是HTTP协议
--proxy-auth <username:password设置代理登陆信息
--basic-auth <username:password设置基础认证信息
--wordlist | -w <wordlist指定密码字典
--username | -U <username指定爆破的用户名
--usernames <path-to-file指定爆破用户名字典
--threads | -t <number of threads指定多线程
--cache-ttl <cache-ttl设置 cache TTL
--request-timeout <request-timeout请求超时时间
--connect-timeout <connect-timeout连接超时时间
--max-threads <max-threads最大线程数
--throttle <milliseconds当线程数设置为1时，设置两个请求之间的间隔
--help | -h 输出帮助信息
--verbose | -v 输出Verbose
--version 输出当前版本
使用以下命令来爆破用户名
wpscan --url http://192.168.199.130/d18e1e22becbd915b45e0e655429d487/ -e u --ignore-main-redirect --force
扫出来三个目录，upload是我们之前扫出来的。
其他两个无关紧要
还有两个用户，还记得之前的密码吗，来拼接一下试试。
成功连接ssh
查看
找到低权限 的flag
查看历史命令
看到有人提权过。
复制操作
成功提权
拿到
http://www.hzhcontrols.com/new-2018061.html
https://www.freebuf.com/vuls/391037.html
https://www.freebuf.com/articles/web/397700.html
flag。
