vulnhub靶机：DC-2

靶机配置说明

靶机下载地址:https://www.vulnhub.com/entry/dc-2,311/
靶机：DC2 (VirtualBox) IP:192.168.56.111
攻击机：Kali(VMware) IP:192.168.56.108

在下载地址中也有详细的靶机说明，而FunBox需要寻找的flag总数为5个

靶机环境配置:

还是一样，将其桥接到同一张网卡即可。

靶机渗透开始:

kali IP:

第一步还是需要确定目标IP

确定目标ip为192.168.56.111后nmap扫描下端口，探测服务。

可以发现其开放了web服务和ssh服务，而ssh服务默认端口被修改成了7744。

先从80开放web服务开始入手，访问。
发现被重定向了，修改下host即可。
vim /etc/hosts

再次重新访问：

我们还是可以使用插件看到一些资产:

发现首页有一个Flag选项，点击

在flag界面拿到第一个flag，并给出提示:

大致意思:普通的字典你可能破解不了，你可能需要cewl

这已经提示我们了，可以使用cewl来生成密码字典

cewl是一款kali linux自带的爬虫工具，会自动爬取给定url，并返回一个字典

那我们先生成一个密码字典passwd.txt出来

生成密码字典后，我们需要知道网站用户名，刚才我们已经通过插件知道这是一个WordPress的站点,所以我们可以使用wpscan来枚举网站用户

wpscan --url dc-2 -e u

发现枚举到的网站用户有3个

现在我们就可以通过已知的用户和cewl生成的字典，来尝试爆破用户的密码：

vim user.txt

还是使用wpscan这款工具:

wpscan --url dc-2 -U user.txt -P passwd.txt

先尝试使用jerry用户进行登录

dc-2/wp-admin

如果不清楚网站结构，可以使用nikto工具探测下

nikto -h 192.168.56.111

接着我们使用刚才枚举到的用户进行登录

[SUCCESS] - jerry / adipiscing
[SUCCESS] - tom / parturient

使用jerry用户登录后，成功找到第二个flag

而tom用户并没有发现到什么信息

第二个flag的提示:

如果你不能利用WordPress并走捷径，还有另一种方法。
希望你能找到另一个入口。

提示我们找另外一个突破点，想起我们刚才还扫到7744端口(ssh)，那我们可以根据刚才枚举到的用户进行ssh爆破
这里使用hydra工具并使用刚才cewl生成的密码字典，对已知的用户名进行ssh爆破

hydra -L user.txt -P passwd.txt ssh://192.168.56.111:7744

成功爆破出一个密码，跟网站密码是一样

tom:parturient

直接ssh登录上去(注意端口

ssh tom@192.168.56.111 -p 7744

进入之后，ls发现flag3.txt

直接查看

发现被限制了。经查找，需要绕过rbash，找了下绕过，列出两种:

vi 1
:set shell =/bin/sh(设置shell)
:shell（执行完上一条再执行）
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin （设置环境变量）

这样命令就能使用了，但是缺点就是还不能补齐

下面这种方法可以解决补齐问题:

BASH_CMDS[a]=/bin/sh;a #调用/bin/sh命令解释器
/bin/bash #使用bash命令解释器
export PATH=PATH:/bin:/sbin:/usr/bin:/usr/sbin #设置环境变量

此时基本命令都可以使用了，也能进行补齐操作。
这里拿到了第三个flag，而flag3给的提示是:

Poor old Tom is always running after Jerry. Perhaps he should su for all the stress he causes.

有个su关键字，盲猜可以使用su操作来切换到jerry用户

这里需要密码，可以尝试使用刚才爆出的密码进行尝试：adipiscing

成功登陆，并在jerry用户的home目录发现第四个flag。
flag给出的提示:

很高兴看到你已经走了这么远，但你还没回家。
你仍然需要得到最后的标志（唯一真正重要的标志！！！）。
这里没有提示-你现在只能靠自己了。😃
去吧-离开这里！！！！

看不懂啥意思，但是看到了git关键字。
查看可以使用root权限无密码的命令，发现有git命令可以使用root权限并不用输密码
这里直接提权
参考链接:https://gtfobins.github.io/gtfobins/git/

sudo git -p help config
!/bin/sh

成功提权到root，切换到根目录，并发现最后一个flag！