【DC6靶机】

信息搜集

nmap扫描局域网段，扫描到DC6靶机所在的ip地址以及0-1000端口中开放的端口。

进一步扫描dc6靶机开放的端口信息。发现DC6靶机仅开放了22以及80端口。

web信息搜集

了解到DC6靶机80端口处于开放状态，浏览器打开DC6靶机的web服务。需要配置dns解析。


配置下hosts文件中的域名解析即可正常访问。


使用whatweb工具进行cms识别，发现web服务是wordpress框架。

与此同时，使用nmap漏洞脚本进行扫描。发现存在用户名泄露。将用户名保存下来。


再次使用wpscan工具扫描web服务。

目前只能进行爆破http登录，但密码字典不确定性较大。去漏洞镜像下载网站看下，是否存在提示。

发现漏洞镜像作者，提示我们可以使用kali自带的rockyou.txt密码字典中的包含k01的密码。密码范围进一步缩小。




使用hydra工具开始http爆破。

密码爆破成功。
username:mark;password:helpdesk01

成功登陆界面。

打开各种功能尝试下，发现activity monitor工具好像存在rce漏洞。
需要进一步验证。


发现确实存在rce漏洞。尝试shell反弹。


成功反弹。

系统提权

为什么直接打开mark文件？因为http服务登录的是mark账号，猜测系统中的mark用户目录可能会存在提示。当然如果没有，那就所有Home下的用户目录都看下。
打开mark目录，发现存在一个stuff文件夹，并且存在thing-to-do.txt文件，打开后发现，存在一个账号以及密码。

ssh graham@192.168.85.135
Password:GSo7isUM1D4

ssh登陆成功。

直接使用sudo -l查看下。发现存在不需要用户密码的可执行文件，立即想到可以使用该执行文件，获取jens用户shell。




获取到jens用户的shell。

继续使用sudo -l查看下信息。发现存在nmap提权漏洞。

由于nmap脚本是通过lua语言编写的，因此需要通过nmap执行lua脚本语言中的系统命令执行函数。

创建一个.nse脚本。

写入lua脚本语言的执行系统指令的函数。

成功获取到root权限。但存在一个问题，执行指令，无回显。

使用python -c "import pty;pty.spawn(‘/bin/bash’);"获取交互。


ok。读取flag，成功通关。

参考链接

lua执行系统命令函数参考链接：https://blog.csdn.net/ai2000ai/article/details/82464843.
DC6靶机下载地址：https://www.vulnhub.com/entry/dc-6,315/.