前言这次打的是Mr-Robot靶场该靶机取自同名美剧机器上跑着一个 WordPress 站点。目标很直接把三个 flag文件名形如key-*.txt依次找出来最后拿到 root。整个过程会用到下面这些点目录扫描用目录爆破工具把隐藏路径和后台入口翻出来robots.txt 利用从 robots.txt 里拿到 flag 和字典文件的线索字典爆破把下载的字典去重整理拿去爆 WordPress 后台的账号密码WordPress 后台 getshell登录后台后改 404 页面模板把反弹 shell 写进去反弹 shell本地监听端口访问一个不存在的页面把 shell 拉回来提权利用带 SUID 的 nmap 交互模式提到 root。目录前言信息收集漏洞利用权限提升信息收集找到ip后访问web页面发现没有什么能够利用的页面都是些宣传内容我们接下来尝试下目录扫描扫描到一个后端登录系统/wp-admin和robots.txt文件访问页面。需要用户名和密码访问robots.txt获得第一个flag以及一个字典文件下载kali中分析字典85行尝试去重并查看数量去重后11451个保存文件利用该字典爆破先爆破出用户名为elliot然后再爆破出密码ER28-0652漏洞利用登录进去接下来我们需要进行webshell的利用该靶场我们可以通过修改404页面的代码来进行webshell将kali中的反弹shell文件复制到该页面并修改下端口和ip保存后监听一个端口与上面的填入的端口相同即可添加rlwrap需要安装nc -lvnp 8888然后访问一个不存在的页面成功触发查找flagflag格式为 key-*.txtfind / -name key-*.txt 2/dev/null成功读取flag1读取flag2权限不够切换到/home/robot目录发现密码使用在线网站解密md5 MD5免费在线解密破解_MD5在线加密-SOMD5目前还是是低权限用户需要提权权限提升找出所有带 SUID 权限位的文件find / -perm -4000 -type f 2/dev/null找到可疑的SUID,查看nmap版本nmap版本在2.02 ~ 5.21并且存在SUID文件可以利用提权/usr/local/bin/nmap --interactive # 先输入 !sh #再在 nmap 后面输入提取成功读取flag2和flag3当然本靶机还可以使用脏牛提取总结整个 Mr-Robot 靶场打下来攻击链如下信息收集目录扫描扫出/wp-admin后台和robots.txtrobots.txt 里直接给了第一个 flag 和一份字典文件。字典爆破字典去重后剩 11451 条拿去爆后台先出用户名elliot再出密码ER28-0652。WordPress 后台 getshell登录后台改 404 页面模板写入反弹 shell等于给自己留了个代码执行入口。反弹 shell本地nc -lvnp 8888监听访问一个不存在的页面触发 404 模板拿到低权限 shell读到 flag1并找到 flag2 和密码线索。SUID nmap 提权find / -perm -4000 -type f查出带 SUID 的 nmap版本 2.02 ~ 5.21进--interactive交互模式执行!sh提到 root读走 flag2 和 flag3另外脏牛Dirty COW也能进行提权。
