vulnhub靶机试炼场之DC-2

前言

距离上次更新靶机渗透的文章已经过了半个月了，这半个月里面一直在打CTF或者是靶场，没有时间做新的靶机。事先说明，这篇靶机的渗透文章是大概一个多月前的作品了。今天刚好有时间，所以就拿出一点时间来整理一下。也当是为了下一个靶机进行复习了。这一个月里面只要没有太多的比赛，漏洞复现去做，应该能更新DC-3吧(应该)。

正文

这次的行文思路不是是跟着flag的次序而是跟着渗透测试过程的来走的。

flag1

先用nmap扫下当前网站up状态的主机，目的是扫出目标靶机

发现主机只是第一步，接下来我们对该靶机进行全端口的扫描。

emm，首先一点，我们可以看到上图中的192.168.59.131就是我们要进行测试的目标靶机，而且靶机上开着web服务。不仅如此靶机上面还开着ssh服务，但是并不是默认端口，可能是做了映射？或者一些其他的什么操作。总之呢，我们知道他开着两个服务分别是ssh，和web application，先访问看一下web网址。

从网站上看到了第一个flag，这是作者给我们留下的提示让我们去寻找下一个flag。

flag3

在flag1中作者提示我们用cewl去进行下一步的测试。cewl是一个kali自带字典生成工具，它可以通过爬取网站上的相关信息，进行相应的字典生成。

这里我们将用cewl生成的字典文件写进了dict1中，这个生成的字典可能会在后续的密码爆破用上。
我们从网站的首页信息可以得知，它是用wordpress搭建的CMS所以我们要用wpscan扫描整个网站。用命令wpscan --url http://dc-2/去扫描靶机的网址。得到了一些关于主机的配置信息，和wordpress中插件和主题的相关使用情况。（然而并没有什么有用的信息）

刚才咱们生成了一个字典，那么咱们下一步就可以去尝试ssh登陆（因为在之前的扫描中我们看到了主机是开着ssh端口的）。不过在此之前，我们可以去尝试一下wpscan的用户名爆破。在终端输入wpscan --url http://dc-2/ --enumerate u，然后看到了三个用户。

把这三个用户写进文件里，然后用刚才生成的字典尝试<username: password>键值对进行密码和用户名的爆破。用wpscan就可以实现wpscan --url http://dc-2/ --passwords /root/桌面/dict1.txt --usernames /root/桌面/user.txt
然后得到了下面的结果：

从上面可以看到，我们通过ssh连进去了，但没有完全连进去，因为我们发现我们的bash只是一个rbash，也就是受限的bash我们需要进行绕过。(但是在这里有一点，如果只是单纯的想看这个flag3的话是不需要绕过的，直接用less命令看就行了）。
在这篇文章中对于各种受限级shell有着详细介绍，而且还介绍了相关的利用方法。

咱们利用vi命令中可以执行第三方命令的特性进行rbash的绕过。


然后，在终端中写入添加环境变量的语句
export SHELL="/bin/bash":$SHELL
export PATH="/usr/bin":$PATH
然后我们就得到了一个正常的bash

flag4

然后我们根据flag3.txt所给的提示su jerry

我们用jerry的账号看了一下能够有权限执行的命令，发现有个git命令(而且是root权限的)。众所周知，git是可以用来进行提权的，所以我们尝试一下。
于是我遇到了一个奇怪的问题，bash运行后系统总是提醒我无法打开当前目录。额。。。这我就晕了。

这我属于是没遇见过，上网找了一下，发现可能是没有进到/home/jerry下，因为在jerry这个账户下面是没有/home/tom这个目录的所以导致了这个问题。所以，现在咱们直接cd。

进主目录后发现，我们不仅可以顺利的执行命令，而且看到了我们失散已久的flag4.txt
我们cat一下。

final-flag

从flag4.txt的提示中我们可以看出，我们在之前想要用git进行提权的思路是对的，因为在flag4中他告诉我们还不是home，所以我们要进行提权利用git进行提权。
先在终端中输入sudo git help config，然后在git 的config界面进行提权。

然后到root目录下拿到最后一个flag

后记

在前面的记述中我们已经找到了4个flag。但是很明显很明显的一个问题我们没有将flag2找出来。看了看网上大佬的博客，发现自己忘记了一个很关键的步骤，网站目录扫描。
所以，这一次我打算用上dirsearch，继续寻找。

去到wp-admin目录下看一眼。

后台登陆界面，emm。用tom和jerry的用户名和密码试一下。

最终是在jerry用户的pages下找到了flag2，tom用户是没有flag的。我一开始试的是tom的帐号，怎么找也没有找到flag的影子，结果换了个账号一下就找到了。

总结

git命令提权
rbash绕过
wpscan扫描