Vulnhub-Raven-1

一、信息收集

端口扫描

PORT      STATE SERVICE VERSION
22/tcp    open  ssh     OpenSSH 6.7p1 Debian 5+deb8u4 (protocol 2.0)
| ssh-hostkey: 
|   1024 26:81:c1:f3:5e:01:ef:93:49:3d:91:1e:ae:8b:3c:fc (DSA)
|_  256 0e:85:71:a8:a2:c3:08:69:9c:91:c0:3f:84:18:df:ae (ED25519)
80/tcp    open  http    Apache httpd 2.4.10 ((Debian))
|_http-title: Raven Security
| http-methods: 
|_  Supported Methods: OPTIONS GET HEAD POST
|_http-server-header: Apache/2.4.10 (Debian)
111/tcp   open  rpcbind 2-4 (RPC #100000)
| rpcinfo: 
|   program version    port/proto  service
|   100000  2,3,4        111/tcp   rpcbind
|   100000  2,3,4        111/udp   rpcbind
|   100000  3,4          111/tcp6  rpcbind
|   100000  3,4          111/udp6  rpcbind
|   100024  1          36411/udp   status
|   100024  1          41895/tcp6  status
|   100024  1          43931/tcp   status
|_  100024  1          52624/udp6  status
43931/tcp open  status  1 (RPC #100024)
MAC Address: 00:0C:29:D9:8E:F9 (VMware)
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Uptime guess: 0.054 days (since Mon Jan 15 19:47:51 2024)
Network Distance: 1 hop
TCP Sequence Prediction: Difficulty=259 (Good luck!)
IP ID Sequence Generation: All zeros
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

目录探测

[20:09:18] 200 -   18KB - /.DS_Store
[20:09:22] 200 -    3KB - /about.html
[20:09:34] 200 -    3KB - /contact.php
[20:09:43] 200 -  763B  - /js/
[20:09:46] 200 -  201B  - /manual/index.html
[20:10:05] 200 -  811B  - /vendor/
[20:10:07] 200 -    1KB - /wordpress/wp-login.php
[20:10:07] 200 -   17KB - /wordpress/

在service页面中查看源码就可以找到第一个flag

二、漏洞利用

通过目录扫描发现这是一个利用wordpress搭建，利用wpscan工具针对型探测，最后发现了两个用户名

michael
steven

把两个用户名存储到一个文件使用hydra进行爆破：hydra -L user.txt -P /usr/share/wordlists/rockyou.txt 192.168.1.14 ssh

使用ssh登录michael用户后就看到了第二个flag

在wordpress的配置文件中找到了数据库root的密码

进入数据库后再wp_posts表中找到了第三个和第四个flag

三、提权

在数据库wp_users表中中发现了steven的密码

使用jhon工具爆破得到明文密码：pink84

登录用户使用sudo -l发现python是可以使用sudo提权

直接使用python弹出root权限的对话框