DC-6靶机渗透测试记录

靶机信息

靶机地址：https://www.five86.com/dc-6.html
下载完成后，运行文件夹中的.ova文件即可安装靶机（vmware）
网络连接方式为NAT，kali与靶机为同一网段

信息搜集

扫描目标网段判断靶机ip，发现靶机开放了80，22端口

nmap -A 192.168.200.0/24

访问下web站点，发现无响应，看下控制台，应该是解析问题

在kail上修改etc/hosts文件，添加本机ip地址和目标网站名称

访问成功，为wordpress站点，看下页面内的内容，一直再说插件安全问题

漏洞利用

先用wpscan扫下，枚举出来一些用户，可以用来尝试暴破

在靶机官网下载的时候提示了使用rockyou字典的时候要使用命令筛选出带k01的字符

按照官网的说明，生成对应的字典，并将用户名写入到文本中

cat /usr/share/wordlists/rockyou.txt | grep k01 > password.txt

然后使用wpscan进行暴破，得到mark账户的密码为helpdesk01

wpscan --url http://wordy -U id.txt -P password.txt

登录博客后台/wp-admin，发现有个插件Activity on Wordy

在kali上发现有相关的漏洞

searchsploit activity monitor

通过给出的路径查看该漏洞文档，将poc的部分粘出来新建一个.html文件

修改action的值为插件tools的链接，修改nc的ip为kali的ip

通过浏览器访问该文件，有一个按钮
先在kali上监听反弹的端口，然后点击按钮即可

获取交互式shell

python -c 'import pty;pty.spawn("/bin/sh")'

权限提升

通过搜索，在/home/mark/stuff目录下找到一个文本文件，记录了一个新用户的信息

之前wpscan枚举用户的时候枚举出了这个用户，尝试登录下后台，发现登录失败，尝试登录ssh

ssh -l 192.168.200.131 -l graham

sudo -l发现jens可以无密码执行这个脚本

修改这个脚本，把脚本执行路径改为/bin/bash，然后需要以jens的身份来运行这个脚本文件，获取到root权限

再sudo -l下，发现nmap有root权限并可以无密码执行

可以查下nmap的提权方式，/home/jens目录是有写的权限的，echo写入的内容必须要加上引号
执行nse文件的命令必须要带上sudo，否则出来的权限不是管理员权限，拿到权限后输入命令不显示，打上命令后回车即可

echo 'os.execute("/bin/sh")' > nse_root.nse
sudo nmap --script=/home/jens/nse_root.nse