【DC-4】通关笔记

0x01:确定主机IP

开放端口只有80、22

0x02:Intrude攻击模块

暴力破解之前首先介绍下Intrude攻击模块

图片转自HACK学习吧

0x03:登录网站进行暴力破解

了解Intrude攻击模块之后实战解决我们的问题




用户名：admin
密码：happy
也可以使用hydra

hydra -l admin -P /usr/share/wordlists/rockyou.txt 192.168.195.147 http-post-form "/login.php:username=^USER^&password=^PASS^:S=logout" -F

在Web表单中成功使用它的关键是确定表单对失败登录的响应方式与成功登录的响应方式。 如确定失败的登录消息，如怎么识别出成功的消息并使用它。 要使用成功的消息，我们将使用“S =成功消息”替换失败的登录消息

0x04：Repeater

后台代码运行的ls -l，想起了之前攻防世界做的一道题
可以试着改变请求的命令。



看过passwd发现几个用户

去这几个用户家目录看看

只有jim用户下有几个文件都cat来看看

备份目录下真有个旧密码的文件

全复制下来拿到kali做字典```

0x05：暴力破解

海德拉暴力破解

hydra -L userlist.txt -P passwd.lst 192.168.10.179 ssh -t 10

0x06：ssh连接

ssh远程登录之后收到一封mail
查看

获得charles密码

^xHhA&hvim0y
sudo -l 查看发现可以不需要密码执行teehee

0x07提权

teehee：将标准输入复制到每个FILE，也复制到标准输出。

方法1：

通过teehee的sudo提升权限以 root身份写入crontab计划任务通过执行获取root权限
crontab的基本格式：

f1　 f2　　f3　 f4　　f5　　command

分　 时 日 　月　　周　　命令

charles@dc-4:~$ echo "* * * * * root chmod 4777 /bin/sh" | sudo teehee -a /etc/crontab 
-a，--append追加到给定的文件，不要覆盖

方法2：
/etc/passwd文件格式
root:xx:0:0:root:/root:/bin/bash
用户名：密码(x代表加密密码)：UID：GID：用户全名或本地账号：家目录：登陆后的终端命令

0x08总结

1.全面的搜集信息

2.通过teehee提权