环境：
kali：192.168.75.129 DC2 -靶机 和 kali 在同一C段
先是arp-scan -l检索局域网内主机
发现靶机地址，使用nmap进行扫描 nmap -A -p 1-65535 192.168.75.136
发现打开了80端口，SSH端口
那么直接访问80看看有没有什么神奇的东西
还跳转了，上hosts重定向。
win10路径： C:\Windows\System32\drivers\etc
linux路径：/etc/hosts
访问成功，发现flag1
使用工具 cewl爬取生成密码
cewl http://dc-2/ -w passwd.txt
准备使用wpscan进行搞事情，但我。。
上hydra大杀器吧，修是不可能修的，，，WordPress默认后台地址：/wp-admin 且WordPress当用户名不存在时会提示用户不存在，可增加爆破效率
hydra -L user.txt -P passwd.txt dc-2 http-form-post '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location'
我们跑出了 jerry和tom账户，登进去看看
tom，没啥东西，jerry用户界面如下，发现了flag2
啊哈
想到上一个DC1的靶机是用SSH干进去的
问题是，WordPress的CMS本身还是比较安全的，问题基本都出在插件上，可这个jerry的账号权限不够，无法安装插件来上传shell
那就硬着头皮ssh试试看，用登录账号密码试试
jerry老贼不是同一个密码，太草（一种植物）蛋了
试试看Tom老贼
不愧是你。。。。
执行命令发现 command not found，百度得知这是因为ssh远程连接到服务器的环境变量中不包含对应可执行文件的路径。需要自行添加
BASH_CMDS[a]=/bin/sh;a
$ /bin/bash
export PATH=$PATH:/bin/
export PATH=$PATH:/usr/bin
得到flag3
切换到Jerry，发现flag4.txt
哈？Git还能提权？
试试看吧。看看git有没有那个权限 sudo -l
flag不会骗人（小声bb）
sudo git -p help
!/bin/sh
奇怪，我怎么没法提权，查了查百度，发现
git有一个缓冲区溢出漏洞，在使用sudo git -p --help时，不需要输入root密码即可以root权限执行这条命令。我们尽量减小缓冲区的行数，使其一次性显示不完这条命令的回显结果，这样这条命令就一直处于运行状态，加上此时处于root权限，我们直接在这时候打开bash shell，直接提权至root。
看起来要打开gui了，来自Xshell的鄙，艹（一种植物）
奇怪的知识增加了
评论 (0)