【DC4靶机】

靶机信息搜集

发现DC4靶机是192.168.220.208，DC4靶机开启端口是22，80端口。

防止端口信息遗漏，扫描全部端口，nmap默认扫描端口0-1000。

端口扫描完成后，使用nmap脚本漏洞扫描。发现没有可以利用的漏洞。

尝试对靶机进行攻击

打开80端口的http服务，查看目标主机网站是否存在可以打穿到后台的漏洞。

首先进行目录扫描。

未搜集到任何可以利用的信息。。。
下面有两种思路，一种尝试sql注入，另一种，爆破http登录或者ssh爆破。
先尝试sql注入，失败。。。。

下面尝试http爆破登录以及爆破ssh登录，为防止网络拥堵，一个一个来。先进行ssh爆破登录。
遗憾的是，怪我字典太小。。。ssh爆破登录失败。郁闷。。。
接下来只剩下http爆破登录了。

还好，password字典够大。成功爆破出来了账号密码。

hydra -l admin -P pass.txt 192.168.220.208 -s 80 http-post-form “/login.php:username=^USER^&password=^PASS^:S=logout” -F -Vv
l:指定用户名
P：指定密码文件
s:指定服务端口
S=指定登录成功的信息
-F：指定破解成功，退出hydra
-V：显示每次破解的账号密码。

登录web后台

进入后台发现，只有command链接。。。。。点击打开，看下功能以及网络请求还有页面源码，继续信息搜集。

发现存在远程指令漏洞，大概率是RCE漏洞，尝试修改请求参数，发现存在RCE漏洞。

通过RCE调用NC获取系统shell

kali主机开启nc监听模式。

发送远程指令。

系统信息搜集

nc获取DC4靶机shell后，进行信息收集，为获取ssh登录做准备。查看系统是否存在备份文件（系统中的备份文件很重要），经过find，发现home目录下的jim目录中包含backup目录，且其中存在password备份文件。将password.bak文件中内容拷贝下来。再一次尝试ssh登录，用户名是jim，密码尝试password.bak文件中的内容进行爆破。

ssh爆破成功，使用xshell登录。
Ssh：username=jim;password=jibril04

登录后，发现提示有mail。先记一下。这或许是一个提示信息。

系统提权

上传系统探针，获取内核信息。

尝试进行内核提权，失败。。。。

Sudo指令获取自己的权限，发现没有可以利用的信息！！！

尝试内核提权，失败。。。（难受）
尝试suid提权，失败。
尝试第三方服务，失败。。
只剩下，信息搜集一条路了。。。

发现另一个用户charles的密码^xHhA&hvim0y

通过sudo -l查看自己的权限，发现惊喜，提示/usr/bin/teehee文件可以不需要root权限就可以执行，获取teehee指令的用法。

Teehee指令可以通过管道获取指令，写入到文件之中。选择-a模式，在文件后添加，不会覆盖源文件。

获取/etc/passwd文件中的内容，想着在passwd文件中添加用户。

写入用户成功！提权成功。

结束

DC4下载链接: https://www.vulnhub.com/entry/dc-4,313/.