VulnHub靶机DC3

Vulnhub靶机介绍：

vulnhub是个提供各种漏洞平台的综合靶场，可供下载多种虚拟机进行下载，本地VM打开即可，像做游戏一样去完成渗透测试、提权、漏洞利用、代码审计等等有趣的实战。

从靶机DC-3开始，只有一个最终的flag，只有拿到root权限才可以发现最终的flag。

Vulnhub靶机下载：  

靶机IP地址:192.168.84.134

kali ip地址:192.1111168.84.129

官网地址：http://www.five86.com/downloads/DC-3-2.zip

1. 主机发现

​arp-scan -l​​

 

 2.端口扫描

nmap -sV -p- 192.168.84.134

3.网页信息探测

whatweb -v 192.168.84.134

发现该网站的CMS使用的是joomla，这个框架很成熟，是php非常常见的CMS框架，看到这儿，第一想法是看一下它的版本号，然后搜索一下是否存在漏洞，而且kali上还存在一个专门针对它的漏洞扫描工具Joomscan。我们抱着试试的心态扫一下，看看有什么发现。

joomscan --url http://192.168.84.134

扫描出来joomla的版本和一些目录
http://192.168.1.73/administrator/ 是一个登录页面

使用searchsploit看一下joomla 3.7.0有没有漏洞，有一个可以利用的漏洞

查看42033.txt

使用sqlmap跑一下，存在SQL注入漏洞，可以通过布尔盲注，报错注入和时间盲注进行注入

破解出存在5个数据库，我们选择可能性最大的joomladb，继续爆破数据表

查看#__users表里面的内容

查询username、password字段里面的内容

发现password中的数值并不是明文 而是被加密了 显然这是哈希密码 可以通过kali工具john进行爆破解密

在桌面创建一个文件 将hash密码粘贴进去并保存

使用john爆破 命令如下

密码为snoopy

使用得到的账号密码进行登录后台

反弹shell

在Templates: Customise (Beez3)模块中找到了文件上传点可以用一句话木马进行上传 也可用反弹shell这里采用反弹shell（代码放在最后）点击new file 创建一个名为web.php的文件创建成功后 写入反弹shell代码 并修改其中接收的ip地址（kali地址）以及端口点击save保存 就上传成功了joomla框架下 模块会单独放在一个文件夹里/templates/，而beez3模块就在/templates/beez3/里面，刚才创建的webshell路径为

http://192.168.20.140/templates/beez3/web.php

贷款kali监听8888端口

浏览器访问shell地址

成功反弹shell

交互式shell

利用python获取交互式shell python -c 'import pty;pty.spawn("/bin/bash")'

 并不是root权限 所以要进行提权

拿到shell之后获得了一定权限 就要进行信息收集 查看是否有遗漏的信息,linux系统下要尤其注意 /etc/passwd 和/etc/crontab两个文件 前者用来存储用户名 后者用来存储定时任务 有时候都是解题的关键

查看/etc/passwd

暂无可用信息 开始尝试提权

经过尝试发现 这里没法用SUID和git进行提权 于是利用系统漏洞进行提权

cat /etc/issue （查看操作系统版本信息）

确定了版本信息之后 直接上searchsploit

找到4.4.x的漏洞 后面对应Privilege Escalation（提权）查看漏洞路径

复制到桌面

打开文件

列出了漏洞产生的原因以及描述和漏洞利用的方法

最后一行附上了exp的链接

文件很长，其中看到这里，这里告诉我们破解的工具都保存在exploit.rar里了，并且给了下载链接，我们将其下载（在刚刚反弹过来的shell里）

​然后解压 unzip 39772.zip

解开了exploit.tar文件可以看到有很多的脚本，接着进行如下操作。

编译成功，接着提权