1.内网主机扫描
使用arp-scan -l进行局域网主机探测，该命令自动识别网卡网段并发送 ARP 请求，收集局域网内响应主机的 IP 与 MAC 地址，成功识别出目标 Quaoar 靶机 IP：192.168.37.135
2.端口扫描
使用 nmap -p- 192.168.37.135 对目标进行全 TCP 端口扫描，探测目标开放服务。扫描结果发现开放 22、53、80、110、139、143、445、993、995 端口，其中 80 端口 HTTP 服务为本次渗透主要攻击面
使用nmap -p22,53,80,110,139,143,445,993,995 192.168.37.135 -sV -sC -O对已发现开放端口进行版本探测、默认脚本扫描以及操作系统识别。扫描获取各服务版本信息，80 端口运行 Apache 2.2.22，探测到 robots.txt 文件，为后续 Web 渗透提供线索
3.Web 目录扫描与指纹识别
使用 gobuster 对目标 Web 站点进行目录枚举，字典选用 kali 自带 dirb/common.txt。扫描发现存在 robots.txt、hacking、upload 等目录，其中 upload 目录为上传目录，存在文件上传利用的可能性
使用 whatweb 对http://192.168.37.135/wordpress进行 Web 指纹识别，识别出该站点为 WordPress 3.9.14，后端 PHP 版本 5.3.10，Web 服务为 Apache/2.2.22，同时发现 xmlrpc.php 接口，为后续 WordPress 渗透提供依据
4.WordPress 后台爆破
访问 http://192.168.37.135/wordpress/wp-login.php，成功找到 WordPress 后台登录界面，该页面支持账号密码登录，计划对该登录接口进行账号密码爆破，获取管理员权限
5.三种 WebShell 写入方式
1：主题编辑器修改 404 模板
获取 WordPress 管理员权限后，进入后台外观 - 主题编辑器，选择 404 模板（404.php），在文件头部写入 PHP 命令执行代码<?php system('id'); ?>并保存。访问该 404 模板文件即可执行系统命令，实现 WebShell 的写入
访问修改后的 404 模板文件/wordpress/wp-content/themes/twentyfourteen/404.php，id命令成功执行，回显 uid=33 (www-data)，证明 WebShell 写入成功，当前服务权限为 www-data
2：插件编辑器修改 akismet 插件文件
进入后台插件编辑器，选择 akismet 插件的 index.php，在文件内写入system('whoami');命令执行代码，保存后访问该插件文件即可执行系统命令
访问修改后的 akismet 插件文件/wordpress/wp-content/plugins/akismet/index.php，whoami命令成功执行，页面输出 www-data，验证插件编辑器写入 WebShell 的方式可行
3.上传恶意 WP 插件 zip 包
制作恶意 WordPress 插件压缩包，在后台上传安装。访问插件目录下的 webshell.php，成功加载 phpinfo 页面，证明恶意插件上传执行成功，可获取服务器 PHP、系统、Web 服务环境信息
6. 反弹 Shell
在攻击机使用 nc 监听 4444 端口，通过 WebShell 触发反弹 Shell，成功获取目标机交互式 bash。执行 id、hostname、uname -a 查看信息，当前权限为 www-data，目标系统为老旧 Ubuntu 3.2.0 内核，具备内核提权的条件
进入 /etc/cron.d 目录查看系统定时任务，读取 php5 定时配置文件。该定时任务由 root 用户执行，每 30 分钟清理 PHP 会话文件，依赖 /usr/lib/php5/maxlifetime 脚本，该点可作为提权排查方向；配置注释中发现 flag：d46795f84148fd338603d0d0d6a9dbf8de
7.本地信息收集
进入 WordPress 站点目录，读取 wp-config.php 数据库配置，发现数据库账号为 root，密码 rootpassword!，存在密码复用风险。检查环境，系统自带 python，当前反弹 shell 无 tty（not a tty），无法执行 su 切换用户，需要使用 python pty 进行交互式 shell 升级
8. Shell 升级 & Root 提权
使用 python pty 模块升级反弹 shell 为交互式终端，执行 su root 并输入密码 rootpassword!，成功切换至 root 用户。执行 id、whoami 验证权限，读取 /root/flag.txt，获取最终 root flag：8e3f9ec016e3598c5eec11fd3d73f6fb，靶机渗透完成
