ARIES

 Proving Grounds Play : DC-2 Walkthrough Foothold : 80 網站是一個 WordPress，透過 wpscan 爬出使用者帳號 wordpress 網站告知你使用 cewl 去產生密碼檔 SSH 爆破出一名使用者的憑證，後續 SSH 登入但是是限制的 rbash 使用 help 發現可以執行 vi，直接用 vi 編輯 local.txt 獲得第一階段的 flag PE : 參考 GTFO 發現 vi 可以跳脫 shell，依據方式輸入後成功跳脫 跳脫後呼叫 /bin/bash，然後自行重新定義 PATH 並呼叫 依據系統的 flag 提示成功切換使用者( 使用者的密碼透過 WordPress 爆破出來 ) sudo -l 發現 git 可以使用，參考 GTFO 標準利用後成功 root 第一步 Rustscan， └─$ rustscan -a 192.168.230.194 --scripts none --ulimit 5000 | tee rustscan snmp check nmap whatweb add DC-2 to hosts file and whatweb again --> WordPress 4.7.10 └─$ wpscan --url http://dc-2 -e vp --plugins-detection mixed --api-token <API_TOKEN> wpscan check user，wpscan --url http://dc-2 --enumerate u User List : admin、jerry、tom 編輯使用者名單與快速密碼破解檔嘗試 7744 SSH 暴力破解 └─$ hydra -L ./usernames.txt -P ./fasttrack.txt ssh://192.168.230.194 -s 7744 -V Burp Suite and 快速密碼檔破解 wp-admin gobuster 都破解不了，開網頁看看結果在 http://dc-2/index.php/flag/ 告訴你要用 cewl 做一個 cewl.txt 的檔案，看來僅有 165 筆 hydra 先測試 SSH，└─$ hydra -L ...