1.内网主机扫描使用arp-scan -l进行局域网主机探测该命令自动识别网卡网段并发送 ARP 请求收集局域网内响应主机的 IP 与 MAC 地址成功识别出目标 Quaoar 靶机 IP192.168.37.1352.端口扫描使用 nmap -p- 192.168.37.135 对目标进行全 TCP 端口扫描探测目标开放服务。扫描结果发现开放 22、53、80、110、139、143、445、993、995 端口其中 80 端口 HTTP 服务为本次渗透主要攻击面使用nmap -p22,53,80,110,139,143,445,993,995 192.168.37.135 -sV -sC -O对已发现开放端口进行版本探测、默认脚本扫描以及操作系统识别。扫描获取各服务版本信息80 端口运行 Apache 2.2.22探测到 robots.txt 文件为后续 Web 渗透提供线索3.Web 目录扫描与指纹识别使用 gobuster 对目标 Web 站点进行目录枚举字典选用 kali 自带 dirb/common.txt。扫描发现存在 robots.txt、hacking、upload 等目录其中 upload 目录为上传目录存在文件上传利用的可能性使用 whatweb 对http://192.168.37.135/wordpress进行 Web 指纹识别识别出该站点为 WordPress 3.9.14后端 PHP 版本 5.3.10Web 服务为 Apache/2.2.22同时发现 xmlrpc.php 接口为后续 WordPress 渗透提供依据4.WordPress 后台爆破访问 http://192.168.37.135/wordpress/wp-login.php成功找到 WordPress 后台登录界面该页面支持账号密码登录计划对该登录接口进行账号密码爆破获取管理员权限5.三种 WebShell 写入方式1主题编辑器修改 404 模板获取 WordPress 管理员权限后进入后台外观 - 主题编辑器选择 404 模板404.php在文件头部写入 PHP 命令执行代码?php system(id); ?并保存。访问该 404 模板文件即可执行系统命令实现 WebShell 的写入访问修改后的 404 模板文件/wordpress/wp-content/themes/twentyfourteen/404.phpid命令成功执行回显 uid33 (www-data)证明 WebShell 写入成功当前服务权限为 www-data2插件编辑器修改 akismet 插件文件进入后台插件编辑器选择 akismet 插件的 index.php在文件内写入system(whoami);命令执行代码保存后访问该插件文件即可执行系统命令访问修改后的 akismet 插件文件/wordpress/wp-content/plugins/akismet/index.phpwhoami命令成功执行页面输出 www-data验证插件编辑器写入 WebShell 的方式可行3.上传恶意 WP 插件 zip 包制作恶意 WordPress 插件压缩包在后台上传安装。访问插件目录下的 webshell.php成功加载 phpinfo 页面证明恶意插件上传执行成功可获取服务器 PHP、系统、Web 服务环境信息6. 反弹 Shell在攻击机使用 nc 监听 4444 端口通过 WebShell 触发反弹 Shell成功获取目标机交互式 bash。执行 id、hostname、uname -a 查看信息当前权限为 www-data目标系统为老旧 Ubuntu 3.2.0 内核具备内核提权的条件进入 /etc/cron.d 目录查看系统定时任务读取 php5 定时配置文件。该定时任务由 root 用户执行每 30 分钟清理 PHP 会话文件依赖 /usr/lib/php5/maxlifetime 脚本该点可作为提权排查方向配置注释中发现 flagd46795f84148fd338603d0d0d6a9dbf8de7.本地信息收集进入 WordPress 站点目录读取 wp-config.php 数据库配置发现数据库账号为 root密码 rootpassword!存在密码复用风险。检查环境系统自带 python当前反弹 shell 无 ttynot a tty无法执行 su 切换用户需要使用 python pty 进行交互式 shell 升级8. Shell 升级 Root 提权使用 python pty 模块升级反弹 shell 为交互式终端执行 su root 并输入密码 rootpassword!成功切换至 root 用户。执行 id、whoami 验证权限读取 /root/flag.txt获取最终 root flag8e3f9ec016e3598c5eec11fd3d73f6fb靶机渗透完成
