萌新教程丨VulnHubDC系列之DC1靶机渗透测试
Vulnhub是一个提供各种漏洞的靶机网站,特别适合萌新进行渗透测试演练。接下来笔者将通过图文结合的方式对于Vulnhub的DC系列九个靶机做出详解,不仅要完成靶机作者所布置的任务,还会发散思路用不同的方法寻求突破!
注:今天的文章是 i 春秋论坛作者小鲜略略略表哥发布的文章,公众号旨在为大家提供更多的学习方法与技能技巧,文章仅供学习参考。
靶机配置及说明
靶机下载地址:
https://www.vulnhub.com/entry/dc-1,292/
靶机:DC1 (VirtualBox) IP:192.168.1.13
攻击机:Kali(VMware ) IP:192.168.1.10
特别说明:每个靶机作者都对靶机做了详细的描述以及攻击目标,比如DC1就需要找到5个flag,最终目标是在root的主目录中找到并读取该标志!
通过每个flag所获得知识点
1、msf的熟练使用以及搜索可利用漏洞(Drupal);
2、留意目标网站的配置文件(慢慢查看别错过重要信息);
3、数据库管理员提权(更新管理员密码或者添加一个新用户);
4、suid提权的命令(nmap、vim、find、bash、more、less、nano、cp)。
进入正文
开始之前让我们先来看看靶机与攻击机的配置,两者均是桥接模式(建议靶机和kali都保存快照,以便不时之需)。
靶机配置
靶机正常运行
kali配置
下面我们一步一步来,首先查看Kali的ip得到192.168.1.10。
nmap探路,查看靶机IP得到192.168.1.13。
继续nmap嗅探其他相关靶机其余信息,发现开放22/80。
那我们就先访问80端口Web界面,通过插件看到CMS是Drupal 7。
那我们继续查看robots.txt,看看是否有利用的信息:
我们并没有得到有用的信息,只是找到了几个没啥用的页面,那我们继续扫描一下目录。
扫描依旧也没有什么结果,那我们换个思路,利用msf寻找一下是否有可用的漏洞。
这里我们可以依次利用一下,看看哪个模块可以成功来利用,我使用第四个Drupalgeddon2漏洞(CVE-2018-7600)。
Drupal系统没有对表单API接口的AJAX请求输入进行充分的检查,这就使得攻击者能够向内部表单结构中注入一个恶意的载荷,将导致Drupal系统在未进行用户认证的情况下执行这个载荷。通过利用这个漏洞,一个攻击者能够接管任何Drupal系统用户的整个站点。
这里我们只需要设置靶机的IP就可以执行exploit。
我们可以看到打开session连接到靶机,接下来我们继续反弹一个交互的shell。
我们可以看到自己当前的权限以及所在路径,那我们ls查看一下其他文件。
我们顺利拿到第一个flag,同时也拿到了提示信息(寻找配置信息百度即可知道默认配置信息位置),这里最好用more查看不至于落掉重要信息。
我们顺利拿到了数据库的一些关键信息(数据库名、登录名、密码),那我们顺着线索继续登录数据库。
继续查看数据库信息,寻找关键线索flag3
到此,我们看到了flag3到底在哪里了(uid为1的用户是不受Drupal权限管制的,具有最高权限。)现在我们有两个思路:
- 我们重置管理员的密码
使用Drupal对数据库的加密方法,加密脚本位置在网站根目录下的scripts下,使用加密脚本加密新密码666666,生成加密密文,然后登录系统查看flag3。
得到666666的hash值,接下来我们需要重置管理员的密码为666666,还是得进入数据库直接更新密码。
那我们用admin 666666尝试登录查看flag3:
我们在content查找到flag3。
- 添加一个管理员权限的用户
这里需要我们查看一下靶机的版本,然后看一下有没有适用的脚本去添加用户,首先我们查看一下靶机版本:
得到版本号为7.24,继续搜索Druapl可利用的脚本。
我们发现只要小于7.31即可利用:
那我们使用user user 尝试登录:
成功登录,同样查看flag3信息。
到此,我们成功利用两种不同思路得到了flag3的信息,得到几个关键线索。
(FIND the passwd、need to -exec that command、in the shadow),那我们就按照线索提示寻找这个密码。
很明显flag4在/home/flag4目录下:
顺利得到flag4,同时根据提示(你可以用相同的方法在root目录下)找到最终flag。
思路1:根据提示,想到suid提权。
那么我们查找一下具有root权限的其他命令,以下几条均可查询:
find / -user root -perm -4000 -print 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -exec ls -ldb { }
发现find命令本身就是root权限,那我们查看一下:
那我们利用find提权。
思路2:既然所有通过find执行的命令都是root权限,那我们利用netcat,可以将它提权为root 权限,首先我们创建一个文件。
继续利用find将netcat提权为root权限。
同样的也获得最终flag!