信息搜集
nmap扫描局域网段,扫描到DC6靶机所在的ip地址以及0-1000端口中开放的端口。
进一步扫描dc6靶机开放的端口信息。发现DC6靶机仅开放了22以及80端口。
web信息搜集
了解到DC6靶机80端口处于开放状态,浏览器打开DC6靶机的web服务。需要配置dns解析。
配置下hosts文件中的域名解析即可正常访问。
使用whatweb工具进行cms识别,发现web服务是wordpress框架。
与此同时,使用nmap漏洞脚本进行扫描。发现存在用户名泄露。将用户名保存下来。
再次使用wpscan工具扫描web服务。
目前只能进行爆破http登录,但密码字典不确定性较大。去漏洞镜像下载网站看下,是否存在提示。
发现漏洞镜像作者,提示我们可以使用kali自带的rockyou.txt密码字典中的包含k01的密码。密码范围进一步缩小。
使用hydra工具开始http爆破。
密码爆破成功。
username:mark;password:helpdesk01
成功登陆界面。
打开各种功能尝试下,发现activity monitor工具好像存在rce漏洞。
需要进一步验证。
发现确实存在rce漏洞。尝试shell反弹。
成功反弹。
系统提权
为什么直接打开mark文件?因为http服务登录的是mark账号,猜测系统中的mark用户目录可能会存在提示。当然如果没有,那就所有Home下的用户目录都看下。
打开mark目录,发现存在一个stuff文件夹,并且存在thing-to-do.txt文件,打开后发现,存在一个账号以及密码。
ssh graham@192.168.85.135
Password:GSo7isUM1D4
ssh登陆成功。
直接使用sudo -l查看下。发现存在不需要用户密码的可执行文件,立即想到可以使用该执行文件,获取jens用户shell。
获取到jens用户的shell。
继续使用sudo -l查看下信息。发现存在nmap提权漏洞。
由于nmap脚本是通过lua语言编写的,因此需要通过nmap执行lua脚本语言中的系统命令执行函数。
创建一个.nse脚本。
写入lua脚本语言的执行系统指令的函数。
成功获取到root权限。但存在一个问题,执行指令,无回显。
使用python -c "import pty;pty.spawn(‘/bin/bash’);"获取交互。
ok。读取flag,成功通关。
参考链接
lua执行系统命令函数参考链接:https://blog.csdn.net/ai2000ai/article/details/82464843.
DC6靶机下载地址:https://www.vulnhub.com/entry/dc-6,315/.