下载地址:
1、 链接:https://pan.baidu.com/s/1B1QmTfu2vPswCOiCaf8Fmw
提取码:95i0
2、http://www.five86.com/downloads/DC-8.zip
3、https://download.vulnhub.com/dc/DC-8.zip
靶机:DC8(VMware桥接) IP:192.168.10.92
攻击机:Kali(VMware桥接) IP:192.168..10.91
1、确认目标IP先进行端口和服务扫描,开放了22,80端口,namp也能识别出CMS为Drupal7。
2、访问80端口,查看web应用,确实是Drupal7 CMS
3、首页中的三个链接可作为入手点,参数为http://ip/?nid=1,这个URL首先感觉就是可能存在sql注入漏洞。
4、手工判断是否存在注入,nid=1 and 1=1 and 1=2,两个请求返回的响应页面不同,说明存在注入漏洞。
5、手续脱裤方式可采用手工或直接利用sqlmap梭哈。
6、kali中有一个john密码破解工具,将查询出的用户名和密码保存到一个文件中,然后使用john工具爆破,john user.txt
7、只爆破出了john密码,admin密码未破解出,john turtle
8、利用john账号登录网站后台, durpal默认后台地址:/user
9、登录成功后找到webform页面,可编辑php页面。
10、利用MSF生成一段payload
11、然后打开MSF监听模式
12、然后将生成的payload 复制到编辑的php页面中,保存并提交
13、提交后成功反弹shell一枚
14、也可参考dc-7中通过编辑页面,然后插入一句话,进行反弹shell,过程略。
15、先切换到shell环境,然后利用python得到一个交互式shell
16、使用find命令查找具有SUID权限的文件命令:eximi4
Exim是一个MTA(Mail Transfer Agent,邮件传输代理)服务器软件,该软件基于GPL协议开发,是一款开源软件。该软件主要运行于类UNIX系统。
17、查看exim版本信息
18、通过exploitdb查找关于exim漏洞
19、复制脚本文件
20、kali开启临时http服务,然后用靶机将文件下载下来
21、将脚本下载到/tmp目录下,并修改权限
22、但是执行该脚本后会发现一直报错,原因是该脚本的格式是dos格式,这里只能执行unix格式的脚本。
23、修改kali中的文件format为unix,
vi 46996.sh
:set ff=unix
24、将刚刚下载的46996.sh删掉,重新下载
25、执行脚本,为root权限
26、但是这个不稳定,一会就断开了,需要再反弹一个shell
27、flag就在root目录下,但是这个再次反弹的shell也是不稳定,当脚本执行断开后反弹的shell也会断开。