Avatar {{帝力于我何有哉}} 不疯魔，不成活。 Be obsessed, or be average.

vulnhub >_ Lazysysadmin

Published on 09 Nov 2020

Lazysysadmin

image-20200713202613792

image-20200713202800741

image-20200713202849564

image-20200713204056539

image-20200713204245975

image-20200713210455291

 wpscan --url http://192.168.110.133/wordpress/ -e ap,vt,cb,u --force

image-20200713210003649

image-20200713210129783

image-20200713210210466

所以用户名是admin，应该可以暴力。但是这是我们最后的选择

image-20200713210809265

image-20200713210841824

在wordpress下的配置文件中发现mysql凭证

image-20200713211050154

image-20200713211015858

Admin:TogieMYSQL12345^^

而我们有phpmyadmin

直接登录

image-20200713211213488

显然需要本地登录，虽然我们能够查看admin的hash，虽然可以尝试破解，但是应该优先把简单的步骤都尝试掉

image-20200713211500500

因为考虑到之前测试出wp的用户名也是admin所以大概率存在密码复用。尝试使用之前得到的数据库凭证登录wp

image-20200713211851349

成功登录wp后台，常规操作，404可改，替换内容为php reverse shell，修改并上传

image-20200713212254568

设立监听，并根据主题浏览

http://192.168.110.133/wordpress/wp-content/themes/twentyfifteen/404.php

得到shell

image-20200713212814836

image-20200713214155119

明文凭证，其实这个在一开始就可以在smb的共享文件中发现，但是账户确是只能猜测为togie，而得到shell之后就可准确确定账户名为togie

image-20200713214026784

尝试使用弱密切换到togie

image-20200713215114693

image-20200713215258176

直接可提权

image-20200713215726520

image-20200713215523578

related posts