渗透测试实战-BSides靶机入侵-安全客

前言

最近一直再Down各种靶机，碰到有趣的靶机本菜就写出解题思路和步骤分享/记录。个人认为该靶机可能是靶机设计者在实战渗透中碰到的场景，可能各位大佬以后的实战渗透中也能用得到；本次测试已拿下主机root权限为止。
（如果大家条件允许的情况下可以先试着自己搭建先搞一遍，再来看这篇文章！）

准备环境

靶机IP：192.168.1.132
攻击主机IP：192.168.1.129
靶机下载地址：https://pan.baidu.com/s/1s2ajnWHNVS_NZfnAjGpEvw

实操

nmap神器开路：

可以看到该靶机开放了3个端口：21，22，80
第一步我们用21端口开路，直接访问21端口，发现其存在匿名用户访问漏洞，无须登陆就能访问，并拿到一个“user.txt.bk”文件

通过名字就能知道它是里面是一些用户名

下面我们回来80端口，访问http页面无收获，开启目录爆破工具跑一遍

访问robots.txt 得到目录 “/backup_wordpress”,通过名字就可以知道使用了Wordpress框架

小伙伴们肯定不犹豫的操起wpscan 怼一波，本菜也是一样，但是没发现什么可利用的漏洞
（这里说一下，kali上的Wpscan版本还是2.9.3，使用开启时会让你更新,但是却无法更新成功，小伙伴们可以去github上down新版的wpscan,本菜是先卸载掉2.9的，然后就能用新版的wpscan了。）
此处就不截图了！

本菜就想到了前面FTP上找到的用户列表文件，想到了最最最糟心的爆破了…
结合网页上面的信息，结果选定了“john”的用户

然后就挂上字典跑使用九头蛇神器跑吧。。。
命令如下，本菜懒就不重新敲了：

当然小伙伴们也可以使用burp来跑，线程开高一点速度还是比较快的
(当然小伙伴们如果时间多的话，也可以挂上全部用户名和字典跑，但是建议线程不要太高，靶机会挂。)

破解出账号密码： john / enigma
下一步肯定是直接拿shell,这个比较简单我这里就不演示了，这里也可以直接用msf来操作

为了直观性本次使用web大马

到了这里小伙伴们肯定说下面直接提权啊这么简单，原来本菜也是这么想的..
然后一顿操作一顿上传exp,执行
都无法提权成功！！！
真的都快怀疑人生了，只能一个一个的翻一个一个的找资料，
最后发现 “/usr/local/bin/“ 目录下‘cleanup’文件我们是有权限操作的

查看内容的时候看到最上面一个 ‘/bin/sh’,让小弟看到了希望

通过介绍知道它是用来清理日志的文件，那么它肯定是要有足够的权限。
Clean those damn logs!!
那么最后本菜的思路是生成一个反弹shell,替换掉它，然后让它执行！
第一步生成反弹shell:

(这里可能有小伙伴要问了，为什么要使用python?因为在‘/usr/local/lib’目录下看到了python2.7)
第二步在本机开启nc接收shell：

第三步上传这个shell，并确认查看