网络空间安全学习

VulnHub靶机 DC系列靶机 通关攻略手册。

思路：主机发现—端口扫描—服务探测—指纹识别—Web渗透SQL注入—登入后台—文件包含—"敲门"打开22端口—SSH爆破—得到相关用户信息并远程登录—提权—分别搜寻三个用户下的目录文件—拿有价值信息进行查看—得到带有root权限的执行命令—分析并成功提权。ps：如果ssh不能登录，是因为22端口没有打开，流量过滤了，在前面信息收集当中发现22端口是关闭的。拿到的用户名和密码进行后台，登录进行，发现低端爆出文件未找到的信息，可能存在文件包含，根据提示尝试一下，成功读取/etc/passwd。

主机发现—端口扫描—服务探针—指纹识别—发现注入点—web渗透SQL注入—获取用户名密码—登入后台—发现可加载PHP代码输入PHP代码—反弹shell—提权—exim4漏洞利用。将其拷贝到本地，发现靶机有wget命令，那么可以通过wget进行下载，本地通过python开启一个http服务。访问web界面，通过上述信息收集加插件，得到以下信息，采用Drupal CMS，版本为Drupal 7。找到可代码执行的地方，或者可以输入代码的地方，尝试输入，保存即可。查看数据库当中的表信息，还有表中的内容。

主机发现—端口扫描—目录爆破发现后台—服务探测—白盒测试（源码当中找配置文件）—ssh远程登录—邮件信息—找到备份文件脚本—发现脚本当中的drush命令—修改后台密码—进入后台—寻找可代码执行或getshell地方—drupal8不允许执行命令（模块）—下载新的插件—getshell—反弹shell—追加反弹命令—提权即可。由于我们上一步骤已经得到了backups.sh脚本属主为root，属组为www-data，所以我们将反弹shell命令添加到脚本当中，等待执行脚本反弹shell即可得到root权限。

查看sudo -l 下的内容，发现有jens用户权限执行的脚本，正是刚才我们刚才看见的shell脚本，接下来可以利用此，来反弹jens用户权限的shell。当前目录下无可利用的文件信息，查看家目录，发现有四个用户信息，逐一查看，发现在jens家目录和mark家目录下有文件信息，逐一查看。mark家目录下有一个文件夹，文件夹当中为一个txt文本文件，查看后发现graham用户的信息，尝试ssh远程登录到graham。发现可以正常的命令回显，那么接下来直接进行反弹shell，kali端开启监听。

在访问/footer.php，/thankyou.php时发现跳转界面和原始界面的年份不一样,总是来回变动，刷新也会变动。目录爆破发现，存在file参数，尝试读取一下/etc/passwd文件，成功读取/etc/passwd文件并回显成功。当然既然知道了包含/footer.php文件，那么我们也可以去猜解参数，常用的如file，尝试一下即可，或者爆破。暴露出如下几个目录，去访问发现其中的目录，爆出的目录其中有一些界面为默认界面当中点击跳转的目录。给予sh文件执行权限，直接执行一下试试，成功提权。

通过test.sh脚本的提示信息，再加上查看发现的backups目录当中有密码信息，通过我们得到的三个用户名信息，再加上这个密码信息，可以尝试ssh爆破登录，观察是否可成功爆破出ssh用户的登录密码。回到后台，等登录即可，进入后台，发现有命令工具，进入查看，点击run，发现执行了ls -l命令得回显内容，抓包看一下。然后我们再次通过charles用户进行远程登录，成功登录，发现也有邮件，查看一下，并无有用的信息。去往此目录，查看jim文件得内容信息，发现charles发来的邮件，并有连接密码。

发现网站管理后台等信息，结合浏览器插件发现使用joomla CMS，使用kali当中jooscn工具进行扫描，如果没有安装即可。点击新建文件即可，在html/处新建php文件，也可上传，但是不一定成功，可以创建文件后将代码复制进去。根据前面信息收集到的内容，采用得CMS和版本信息，进行漏洞搜索，是否有可利用的漏洞。根据漏洞信息，进行漏洞利用，查看一下文件内容，尝试利用,sqlmap爆数据库。找上传点，或者可以查看代码或可执行代码的地方，找到扩展处功能处，尝试。发现有at，可以尝试提权，但是未果。

得到三个登录用户，将其保存到记事本当中，跟前前面的flag提示，使用cewl命令针对网站来生成密码，并保存到记事本当中，后面进行爆破。这里没有什么利用点。开始的端口扫描，发现此将ssh端口改为7744，那么我们尝试将上面得到的用户名和密码再次进行SSH远程登录尝试。可看到出现su命令提示，我们尝试切换到Jerry用户,发现没有su ，我们需要rbash逃逸。成功切换到jerry用户处，回到jerry的家目录，找到flag4.txt查看即可。开始爆破，成功爆破出Jerry和tom的密码，等了web后台。

查看当前的数据库和users数据表，查看users表当中的数据信息，得到管理员用户名和密码，但是密码被加密，此加密是自带的加密方式，需要找到加密脚本，搜索一下。发现此脚本为php脚本，由此用php来执行，我们来获取一下自定义新密码，从而更新数据库，修改admin管理员的密码。发现为root权限，那么利用find提权即可，当然提示当中也有说明，使用-exec参数。进入到shell当中，当前所在路径为/var/www，直接进入到配置文件当中即可。直接发现了find命令，可直接利用，直接提权，命令同方法一。

加上以上四个密码，尝试进行爆破，创建user.txt和passwd.txt，将以上的用户信息和密码填入，进行爆破，使用hydra爆破,但是未果。此数据库文件为sqlite3，使用命令sqlite3查看一下，发现无此命令，那只能将其下载到本地，进行查看利用。执行过后，发现无反应，没有反弹，可能此linux当中的nc不支持-e参数，采用nc串联的方式。抓包，发现password参数，可进行注入，导入fuzzer字典，进行模糊测试。发现.c文件，并且已经编译好，恰好属主为root，那么利用一下，直接运行。