Hallo zusammen,

ich bin gerade dabei einen kleinen Penetration Test zu machen, um darin Erfahrungen zu sammeln. Irgendwie komme ich allerdings nicht so richtig weiter. Ich habe Zugriff auf einen Webserver, welcher Wordpress installiert hat. Tatsächlich gab es den Standard "admin" User, also konnte ich via WPScan den Benutzer bruteforcen. 

Jetzt möchte ich gerne die Reverse PHP Shell nutzen, um die Verzeichnisse zu durchforsten. Habe entsprechend eine PHP bearbeitet um das Script für die Reverse Shell dorthin zu kopieren. Anschließend auf meinem Host über nc -v -n -l -p PORT alles scannen lassen und die Seite aufgerufen, auf welcher das Script läuft.

Allerdings passiert nichts...leider. Das Script für die Reverse PHP Shell habe ich von pentestmonkey.net (https://pentestmonkey.net/tools/web-shells/php-reverse-shell) und dort bin ich auch die Anleitung durchgegangen. Ich kann mir nicht erklären, woran es liegt. Einzige Schlussfolgerung ist, dass ich die falsche PHP öffne o.Ä.

Meine Frage ist nun folgende: Gibt es eine Möglichkeit visual Feedback zu erhalten, ob das Script erfolgreich war oder nicht? Oder bin ich einfach zu doof, das Script abzurufen

wie sollen wir entscheiden ob das wirklich DEIN Server ist ? ...

Macht natürlich Sinn Tipps geben, wenn ein eventueller Missbrauch vorliegen könnte ist nicht so schlau. Habe ich mir gar keine Gedanken drüber gemacht ^^ 

Habe mittlerweile aber dank den Walkthroughs (habe eine VM von Vulnhub in meine Umgebung migriert) meinen Fehler entdeckt...