靶机渗透-Vulnhub-DC-8

下载地址：

1、 链接：https://pan.baidu.com/s/1B1QmTfu2vPswCOiCaf8Fmw

提取码：95i0

2、http://www.five86.com/downloads/DC-8.zip

3、https://download.vulnhub.com/dc/DC-8.zip

靶机：DC8（VMware桥接）   IP：192.168.10.92

攻击机：Kali（VMware桥接）  IP：192.168..10.91

1、确认目标IP先进行端口和服务扫描，开放了22，80端口，namp也能识别出CMS为Drupal7。

2、访问80端口，查看web应用，确实是Drupal7 CMS

3、首页中的三个链接可作为入手点，参数为http://ip/?nid=1，这个URL首先感觉就是可能存在sql注入漏洞。

4、手工判断是否存在注入，nid=1 and 1=1     and 1=2，两个请求返回的响应页面不同，说明存在注入漏洞。

5、手续脱裤方式可采用手工或直接利用sqlmap梭哈。

6、kali中有一个john密码破解工具，将查询出的用户名和密码保存到一个文件中，然后使用john工具爆破，john user.txt

7、只爆破出了john密码，admin密码未破解出，john   turtle

8、利用john账号登录网站后台， durpal默认后台地址：/user

9、登录成功后找到webform页面，可编辑php页面。

10、利用MSF生成一段payload

11、然后打开MSF监听模式

12、然后将生成的payload 复制到编辑的php页面中，保存并提交

13、提交后成功反弹shell一枚

14、也可参考dc-7中通过编辑页面，然后插入一句话，进行反弹shell，过程略。

15、先切换到shell环境，然后利用python得到一个交互式shell

16、使用find命令查找具有SUID权限的文件命令：eximi4

Exim是一个MTA（Mail Transfer Agent，邮件传输代理）服务器软件，该软件基于GPL协议开发，是一款开源软件。该软件主要运行于类UNIX系统。

17、查看exim版本信息

18、通过exploitdb查找关于exim漏洞

19、复制脚本文件

20、kali开启临时http服务，然后用靶机将文件下载下来

21、将脚本下载到/tmp目录下，并修改权限

22、但是执行该脚本后会发现一直报错，原因是该脚本的格式是dos格式，这里只能执行unix格式的脚本。

23、修改kali中的文件format为unix，

vi 46996.sh

:set ff=unix

24、将刚刚下载的46996.sh删掉，重新下载

25、执行脚本，为root权限

26、但是这个不稳定，一会就断开了，需要再反弹一个shell

27、flag就在root目录下，但是这个再次反弹的shell也是不稳定，当脚本执行断开后反弹的shell也会断开。