- بواسطة x32x01 ||
ورشة عمل لأختراق مدونة وردبريس WordPress
TryHackMe|ColddBox:Easy
:: رابط الغرفة لحل التحدى ::
ملاحظه: سوف احاول ان اشرح طريقة الحل بدون كتابه الاجابة بشكل مباشر
للبدء يجب ان تقوم بتشغيل المعمل من خلال الضغط على الايقونه التالية
التعديل الأخير:
- بواسطة x32x01 ||
طلع معانا إن الموقع على بورت 80 يستخدم wordpress، وبما إنه يستخدم wordpress إذن بنستخدم في الـscans القادمة الأداة wp-scan
الحين بنبدأ مسح على جميع البورتات ونشوف لو نلاقي بورت أخرى مفتوحة، وعلى بال ما هذا الـ سكان شغال نشتغل على بورت 80 ونشوف وش نقدر نطلع منها معلومات كمان.
الحين بنبدأ مسح على جميع البورتات ونشوف لو نلاقي بورت أخرى مفتوحة، وعلى بال ما هذا الـ سكان شغال نشتغل على بورت 80 ونشوف وش نقدر نطلع منها معلومات كمان.
Code:
sudo nmap IP -p- -vv- بواسطة x32x01 ||
أول شيء بنسوي directory enumeration باستخدام gobuster
طلع معانا مسارين مثيرة للاهتمام وهي /hidden, /wp-admin
/wp-admin هو صفحة تسجيل الدخول على الداشبورد الخاصة بـwordpress
/hidden يحتوي على ملاحظة فيها أسماء 3 أشخاص وعلى الغالب هذه الأسماء تعود لمستخدمين فعليين على النظام.
هنا ذكر C0ldd, Hugo, Philip
أما الصفحة الرئيسية للموقع فما تحتوي على أي شيء مهم.
Code:
gobuster dir -w /usr/share/dirb/wordlists/common.txt -u htttp://IP/ -t 64/wp-admin هو صفحة تسجيل الدخول على الداشبورد الخاصة بـwordpress
/hidden يحتوي على ملاحظة فيها أسماء 3 أشخاص وعلى الغالب هذه الأسماء تعود لمستخدمين فعليين على النظام.
أما الصفحة الرئيسية للموقع فما تحتوي على أي شيء مهم.
- بواسطة x32x01 ||
ونكمل دلوقتى عشان نعرف لو فيه أيه ثغرة ندخل من طريقها
طبعا العنوان يتغير بحسب الماشين بتاعتكم
طلع معانا 3 أسماء لمستخدمين وبالضبط مثل الأسماء اللي كانت في /hidden، وهذه الحركة موجودة كثير في الـCTF.
نرجع نستخدم wp-scan ونسوي brute force على هذولا المستخدمين الثلاثة، لكن قبل ما نبدأ لازم نحفظ أسمائهم في ملف عندي ونسميه مثلا users، كل اسم يكون في سطر لحاله. ثم نبدأ البحث عن كلمة السر:
اصبروا عليه شويتين وبيعطيكم كلمة السر لـc0ldd
نرجع نستخدم wp-scan ونسوي brute force على هذولا المستخدمين الثلاثة، لكن قبل ما نبدأ لازم نحفظ أسمائهم في ملف عندي ونسميه مثلا users، كل اسم يكون في سطر لحاله. ثم نبدأ البحث عن كلمة السر:
- بواسطة x32x01 ||
نروح لـ/wp-admin ونسجل دخول
طيب دلوقتى دخلنا على الداشبورد ونبغى طريقة نحصل على shell، في طريقة ممتازة وسهلة، وكثير تضبط مع wordpressالحين لو نلاحظ في الصفحة الموجود بالموقع فيه رقم فوق يدل على الصفحة
مثلا هذه صفحة واحدلو جربنا وحطينا صفحة غير موجودة مثل 3، يعني نبدل رقم واحد ب 3
- بواسطة x32x01 ||
نروح أول شيء على Appearance من الاختيارات الجانبية ومن هناك نختار Editor
إذا دخلنا على الـEditor بنلقي صفحات php متنوعة، ومنها صفحة الخطأ. نضغط عليها
الحين نحذف الكود اللي فيها ونجيب مكانه الـshell بتاعنا،
أنا استخدمت الـpentestmonkey php shell أخذتها من الموقع revshells
ثم لما ننسخ الكود في الصفحة نضغط على update
نجهز الـlistener علىجهازنا، ثم نروح ونعمل تحديث للصفحة 3
وبكذا بنحصل على shell للضحية على جهازنا
أنا استخدمت الـpentestmonkey php shell أخذتها من الموقع revshells
- بواسطة x32x01 ||
بما إن الـvictim جهاز نواته linux فجدا سهل إننا نعمل stabilization للـshell، ليه يعني؟ يعني نخليها متينة وما تقفل أول ما نضغط ctrl+c ونقدر نستخدم الأسهم و tab completion وكذا
الخطوات كالتالي:
نشغل هذه الكوماند باستخدام python3 إذا ما ضبط عادي نجرب python
بعدين هذه الكوماند
ثم نضغط على الكيبورد ctrl+z عشان نخلي الـshell ترجع للخلفية
دلوقتى بقى نجيبها لقدام باستخدام هذه الكوماند
دلوقتى بقى معانا stable shell نقدر نستخدمها براحتنا بدون ما نخاف إنها تطير أو تطفشنا إذا جينا نمسح ونعدل بالكلمات. إذا رجعت لكم الـshell ماهي منتظمة وبادية من نص السطر، بس شغلو أي كوماند مثل id وبترجع تضبط بإذن الله.
الخطوات كالتالي:
نشغل هذه الكوماند باستخدام python3 إذا ما ضبط عادي نجرب python
Code:
python3 -c 'import pty; pty.spawn("/bin/bash")' Code:
export TERM=xtermدلوقتى بقى نجيبها لقدام باستخدام هذه الكوماند
Code:
stty raw -echo;fg- بواسطة x32x01 ||
نروح أول شيء للمجلد اللي في جهازنا اللي يحتوي على linpeas.sh ونشغل هذه
وعلى الضحية نروح لـ /tmp ونشغل هذه
ولما يوصل الملف نقفل الاتصال باستخدام ctrl+c على جهازنا.
نغير صلاحيات الملف ونخليه ملف تشغيلي
على بال ما linpeas.sh يشتغل، نروح نشوف المسح اللي سويناه على جميع البورتات
طلع معانا بورت إضافية وهي 4512، نسوي عليها سكان لوحدها عشان نشوف وش شغال عليها
طلع شغال عليها SSH
معناته بنشوف لو قدرنا نحصل على credentials من خلال linpeas.sh ممكن نستخدمها في تسجيل الدخول على الجهاز باستخدام SSH. صحيح إن احنا الحين داخلين ومعانا stable shell لكن برضو يضل اتصال SSH أفضل وأفضل.
خلص linpeas وحصلنا على كلمة سر لـc0ldd نجرب نستخدمها وندخل على SSH وفعلا دخلنا
نبحث عن الـuser flag بالمجلد الرئيسي وراح نلاقيه، وإذا عرضناه بنلاحظ إنه مشفر باستخدام base64، على العموم إنتم لما تعطون الإجابة بتعطونها بدون فك التشفير
بعد فك التشفير طلع معانا جملة إسبانية ومعاناتها مبروك أنهيت المرحلة الأولى
نغير صلاحيات الملف ونخليه ملف تشغيلي
chmod +x linpeas.sh وبعدين نشغله ونعطيه وقته ونشوف ايه يطلع معانا من نتائج Code:
sudo nmap IP -p 4512 -sVخلص linpeas وحصلنا على كلمة سر لـc0ldd نجرب نستخدمها وندخل على SSH وفعلا دخلنا
المواضيع ذات الصلة