登录后台后发现版本是1.7.0版本是2021年8月份发布的
Z-Blog 后台getshell+提权一把梭 第5张插图

首先查看 后台登录后可以在网站设置里设置允许上传的文件类型，通过修改发现没啥用
Z-Blog 后台getshell+提权一把梭 第6张插图

改完以后还是无法上传
Z-Blog 后台getshell+提权一把梭 第7张插图

仔细看存在主题管理和插件管理，渗透wp的思路肯定能getshell
Z-Blog 后台getshell+提权一把梭 第8张插图

下载z-blog 主题发现文件后缀名为.zba
Z-Blog 后台getshell+提权一把梭 第9张插图

<path></path>中的内容是文件的路径  
<stream>></stream>中的内容是文件内容

getshell 只需要修改中的内容即可
Z-Blog 后台getshell+提权一把梭 第10张插图

然后在后台直接上传主题文件即可成功拿到shell

/path/zb_users/theme/demoTheme  //目录

完整路径

http://www.url.com/zb_users/theme/aymFreeFive/template/single.php

Z-Blog 后台getshell+提权一把梭 第11张插图

成功getshell

使用

cat /proc/version

查看linux 版本
Z-Blog 后台getshell+提权一把梭 第12张插图

发现是Red Hat 的Linux系统尝试使用CVE-2021-4034进行提权

反弹shell
Z-Blog 后台getshell+提权一把梭 第13张插图

一把梭提权
Z-Blog 后台getshell+提权一把梭 第14张插图