vulhub DC

Johnny2023-11-272023-12-07

DC-1

探测

进行内网扫描，确定靶机

1	nmap -sP 10.0.2.0/24

找到靶机的IP：10.0.2.7

扫描端口。查看存在哪些开放的端口，方便确定攻击向量

开放列表

22/tcp ssh
80/tcp http
111/tcp rpcbind
45400/tcp unknown

发现漏洞

之后访问80端口的页面看看有没有可以攻击的地方。

只有一个登录界面，其实看到这个页面可以想到弱口令，越权访问（通过创建新账户、更改密码）但是试了一下好像不行。然后扫一下目录看看有没有后台啥的，也没扫到。

之后使用Metasploit看看这个网站有没有什么漏洞，看看网站指纹

他的CMS版本为Drupal 7，搜一下有啥漏洞

试了一下1可以用，设置目标主机地址，执行POC：

成功拿到shell

获得控制权

但是是用户权限，不是root权限.利用ls命令查看到有flag1.txt

提示我们看看配置文件

通过我们千辛万苦寻找找到一个配置的php文件，cat命令看看

然后一进去很瞩目的flag2和数据库的账号和密码,还给我们说是mysql数据库

得到如下信息

username=dbuser
password=R0ck3t
databaseName=drupaldb
database Driver=mysql
drupal_hash_salt = ‘X8gdX7OdYRiBnlHoj0ukhtZ7eO4EDrvMkhN21SWZocs’

看到给了一个盐，感觉后面需要解密

得到了数据库的账号密码，就进去看看呗, 看到这个数据库里有个users表，表头有啥

看看有什么user

然后查看pass

搜索系统中有没有加密的sh

果然有一个，然后通过这个shell，生成一个我们自己的一个hash，把他替换到数据库里

通过账号密码在页面登录，看到flag3

同时在/home目录下还有flag4

提权

尝试suid提权

常用的suid查询

1
2
3

find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000-print2>/dev/null
find / -user root -perm -4000-exec ls -ldb {} \;

发现find可以执行，使用exec执行命令看看能不能利用

看来是可以的，使用执行/bin/sh，得到一个新的root权限的shell

成功提权，查看最后的flag

DC-2

探测

但是发现访问不了，而且自动跳转到了dc-2这个域名下，所以我们直接改hosts文件，将这个域名直接指向他的IP就行

看看他的网站指纹

进入到首页看到第一个flag

之后扫描一下目录，看看有没有敏感文件或者是后台

果然扫到一个后台：

由于是wordpress，所以直接使用wpscan工具，进行用户名的枚举

得到的三个用户名存入users.txt中

之后通过cewl爬取一个密码的字典方便之后的爆破

得到了用户名，密码的字典，接下来就可以开始爆破了。还是使用wpscan进行爆破。扫描出来两个账户

1 2	jerry adipiscing tom parturient

登录jerry的账户，看到有个flag2，提示我们wordpress直接攻击不现实了，所以考虑其他办法。

考虑到之前有一个端口还开放着，而且这个端口号有点奇怪且22端口没开，维护人员如何维护，所以可能是ssh的端口，通过ssh连接上去, 发现密码不对，不是wordpress的密码，用另外一个用户tom

成功进入shell

并且发现有flag3，但是通过cat 显示没有找到这个命令。通过echo查看PATH路径，应该是没有加入bin

尝试添加/usr/bin和/bin/ ，对tom用户是只读的，更改不了

发现这是一个rbash，一个受限shell

看到这篇文章可以看看如何绕过：

最后试了一下，可以使用vi绕过，可以使用cd等命令了

查看环境变量发现以及可以更改PATH了

export -p

写入这两个路径，就可以使用所有命令了

首先查找suid文件，看看能不能进行提权

看看sudo可以执行啥，但是tom，不能执行，按照flag3的提示，还得su到jerry

通过jerry可以看到可以执行git 而且是nopasswd

使用git提权

成功拿下管理员权限

进入root目录拿到最后的flag

DC-3

进行IP地址收集

进行端口扫描

只打开了一个80端口，看来想ssh都不行，另外想办法咯

发现漏洞

提示只有这一个flag

对目录进行扫描，底下的资源还是很丰富的，但是有用的只有这个后台

看看网站指纹，他的版本号，方便找漏洞

看了以下metasploit上的漏洞库，有一个正好是3.7.0的，但是用不了，另辟蹊径。这个漏洞是利用SQL注入，那就顺着这个思路注入一下

按照这个漏洞，网上的payload为，确实可以回显

1	?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml(0x23,concat(1,user()),1)

利用漏洞

那就利用这个注入点进行sql注入

成功拿到数据库

拿到数据库中的表

拿到这个表中的字段

脱库

+--------+----------+--------------------------------------------------------------+
| name   | username | password                                                     |
+--------+----------+--------------------------------------------------------------+
| admin  | admin    | $2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu |
+--------+----------+--------------------------------------------------------------+

一个hash，利用john暴力破解，得到密码