ARIES

 Proving Grounds Play : DC-2 Walkthrough Foothold : 80 網站是一個 WordPress，透過 wpscan 爬出使用者帳號 wordpress 網站告知你使用 cewl 去產生密碼檔 SSH 爆破出一名使用者的憑證，後續 SSH 登入但是是限制的 rbash 使用 help 發現可以執行 vi，直接用 vi 編輯 local.txt 獲得第一階段的 flag PE : 參考 GTFO 發現 vi 可以跳脫 shell，依據方式輸入後成功跳脫 跳脫後呼叫 /bin/bash，然後自行重新定義 PATH 並呼叫 依據系統的 flag 提示成功切換使用者( 使用者的密碼透過 WordPress 爆破出來 ) sudo -l 發現 git 可以使用，參考 GTFO 標準利用後成功 root 第一步 Rustscan， └─$ rustscan -a 192.168.230.194 --scripts none --ulimit 5000 | tee rustscan snmp check nmap whatweb add DC-2 to hosts file and whatweb again --> WordPress 4.7.10 └─$ wpscan --url http://dc-2 -e vp --plugins-detection mixed --api-token <API_TOKEN> wpscan check user，wpscan --url http://dc-2 --enumerate u User List : admin、jerry、tom 編輯使用者名單與快速密碼破解檔嘗試 7744 SSH 暴力破解 └─$ hydra -L ./usernames.txt -P ./fasttrack.txt ssh://192.168.230.194 -s 7744 -V Burp Suite and 快速密碼檔破解 wp-admin gobuster 都破解不了，開網頁看看結果在 http://dc-2/index.php/flag/ 告訴你要用 cewl 做一個 cewl.txt 的檔案，看來僅有 165 筆 hydra 先測試 SSH，└─$ hydra -L ...

 Proving Grounds Practice : Shenzi Walkthrough Foothole (立足點 ) : 傳統枚舉時沒有發現任何可以利用的點，但有發現 WordPress 但沒找到網站 透過 cewl 建立字典檔查到 WordPress 的網站路徑 WordPress 標準手法拿 Reverse Shell PE ( 提權 ) : winPEASx64.exe 執行後發現  AlwaysInstallElevated  設定為 1 建立 *.msi Payload 然後執行拿 Reverse Shell 注意事項 :  cewl 的利用，抓取網站的關鍵字當作字典檔 AlwaysInstallElevated 設定為 1 的利用 第一步 Rustscan， └─$ rustscan -a 192.168.176.55 --scripts none --ulimit 5000 | tee rustscan snmp closed，└─$ sudo nmap -sU -p 161 192.168.176.55 | tee snmp nmap，└─$ sudo nmap -sCV -A -p 21,80,135,139,443,445,3306,5040,7680,49664,49665,49666,49668,49667,49669 192.168.176.55 | tee nmap 21   FileZilla ftpd 0.9.41 beta 80 Apache httpd 2.4.43 ((Win64) OpenSSL/1.1.1g PHP/7.4.6) 443 Apache httpd 2.4.43 ((Win64) OpenSSL/1.1.1g PHP/7.4.6) | ssl-cert: Subject: commonName=localhost 3306 MariaDB(MtSQL) enum4linux，└─$ enum4linux -a  192.168.176.55 SMB check，└─$ smbclient -L \192.168.176.55 發現一個名稱 Shenzi SMB 登入 Shenzi 確認，...