信息收集
扫全端口和服务
80 端口直接访问访问不了： /wp-admin http://sunset-midnight
看到域名先进行域名绑定，编辑 /etc/hosts
ip sunset-midnight
绑定后可正常访问，访问robots.txt 文件
访问 /wp-admin,存在wordpress服务
使用wpscan 扫描 地址
[+] WordPress version 5.4.2 identified (Insecure, released on 2020-06-10).
| Found By: Rss Generator (Passive Detection)
| - http://sunset-midnight/feed/, <generator>https://wordpress.org/?v=5.4.2</generator>
| - http://sunset-midnight/comments/feed/, <generator>https://wordpress.org/?v=5.4.2</generator>
[+] WordPress theme in use: twentyseventeen
| Location: http://sunset-midnight/wp-content/themes/twentyseventeen/
| Last Updated: 2024-04-02T00:00:00.000Z
| Readme: http://sunset-midnight/wp-content/themes/twentyseventeen/readme.txt
| [!] The version is out of date, the latest version is 3.6
| Style URL: http://sunset-midnight/wp-content/themes/twentyseventeen/style.css?ver=20190507
| Style Name: Twenty Seventeen
| Style URI: https://wordpress.org/themes/twentyseventeen/
| Description: Twenty Seventeen brings your site to life with header video and immersive featured images. With a fo...
| Author: the WordPress team
| Author URI: https://wordpress.org/
加参数 -e u 扫描用户，存在用户 admin
wpscan --url http://sunset-midnight -e u
爆破密码没爆出来，又看到xml-rpc开了，看看有没有东西
尝试文件读取，无果
尝试3306 服务，爆破，有账号密码
成功登陆 mariadb
存在 wordpress_db数据库，有wp_users 表，表里有账号与密码密文，尝试使用hash-identifier判断，判断不出来是什么密码
拿shell
root有更改数据表的权限，可更改密码为123456
回到web端登陆wordpress
成功登陆后台后，有多种getshell方法
在 Appearance -> Edit Themes 模块中，选择TwentyTwenty 主题（其他主题好像更新不了代码）
更新404.php，直接换成我们的php-reverse-shell.php，设置好监听后访问
注意地址是：http://sunset-midnight/wp-content/themes/twentytwenty/404.php
拿到shell了，下一步准备提权
提权
翻wordpress配置文件，发现存在账号jose的数据库账号密码
linpeas.sh 跑一遍也发现系统存在jose这个账户
成功在系统中su jose，再跑一遍linpeas.sh 看看有没有其他信息
尝试 sudo -s 失败
sudo不能用，看看还有没有suid的程序
status有点特殊，运行一下
提权过程为：status运用了service程序，调用过程中没有使用绝对路径，可以自定义services加到环境变量中以获得提权效果
我们可以看到命令中确实只用了相对路径（提权完以后再看到的，我也是看walkthrough做的）