DC-1靶机渗透实战

下载地址：

https://www.vulnhub.com/entry/dc-1-1,292/

主机渗透系统：

kali linux

渗透过程：

nmap全扫存活主机及端口 nmap -sV 192.168.1.1/24

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-02IpjkFX-1606813457741)(http://www.ghtwf01.cn/usr/uploads/2019/10/585568530.png)]

进入靶机80端口的网站，发现是drupal cms，用御剑或者dirb扫描网站目录没有发现有敏感文件，于是使用msf查找该cms有哪些可利用的漏洞

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ajq7wN89-1606813457743)(http://www.ghtwf01.cn/usr/uploads/2019/10/887744674.png)]

发现2018年那个漏洞可以直接利用，连接成功

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-LNWHNPeS-1606813457744)(http://www.ghtwf01.cn/usr/uploads/2019/10/165622115.png)]

进入shell，查看目录发现flag1.txt，打开

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-yhyulNZ5-1606813457745)(http://www.ghtwf01.cn/usr/uploads/2019/10/2365757195.png)]

提示信息说每个cms都有一个配置文件，于是猜测第二个flag藏在配置文件里面，最后在/var/www/sites/default/settings.php里面找到flag2.txt

查看flag2.txt发现里面有数据库的各种信息

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-4Nlqda08-1606813457745)(http://www.ghtwf01.cn/usr/uploads/2019/10/542485726.png)]

得到信息后连接mysql数据库，发现连接不上，于是暂时搁置换一个思路

linux下有两个存放密码的路径，/etc/passwd和/etc/shadow

二者的详细介绍参考：linux 系统中 /etc/passwd 和 /etc/shadow文件详解
https://blog.youkuaiyun.com/yaofeino1/article/details/54616440

于是查看/etc/passwd

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-E8GkkklK-1606813457746)(http://www.ghtwf01.cn/usr/uploads/2019/10/3424666597.png)]

发现有一个flag4用户，于是使用hydra和john the Ripper爆破，hydra是kali自带，只需要下载john the Ripper

下载：wget http://www.openwall.com/john/j/john-1.8.0.tar.gz
解压：tar -xvf john-1.8.0.tar.gz

然后开始爆破ssh，爆破出密码为orange

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-pny0W2KL-1606813457746)(http://www.ghtwf01.cn/usr/uploads/2019/10/2111368346.png)]

于是连接ssh，在当前目录找到flag4.txt，查看

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-IRMgt1VC-1606813457747)(http://www.ghtwf01.cn/usr/uploads/2019/10/3815154669.png)]

大致意思是让我在root目录里面找flag

想到之前有了数据库账号密码，于是在这里登陆一下。之前那个网页不知道账号密码，所以准备在数据库里面修改管理员密码

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-5QKby5qr-1606813457748)(http://www.ghtwf01.cn/usr/uploads/2019/10/2686014709.png)]

发现users表，然后查看里面的数据

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-SEAPdUH6-1606813457749)(http://www.ghtwf01.cn/usr/uploads/2019/10/1288511501.png)]

发现里面的密码是通过某种加密方式加密的，在搜索引擎上面查一下drupal cms怎么在数据库修改密码，在网上找到如下一句话

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-K1eVgrNL-1606813457750)(./images/11.png)]
于是开始修改admin的密码，修改成功

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-jWtJe2rQ-1606813457751)(http://www.ghtwf01.cn/usr/uploads/2019/10/362404042.png)]

然后登陆得到flag3

这个提示是采用find中的perm(按权限模式查找)来得到下一个flag，根据flag4提示信息进入root知道这里需要suid提权

suid提权详解：https://blog.youkuaiyun.com/nzjdsds/article/details/84843201

使用find命令查找所有拥有该权限的文件

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8KlogPj9-1606813457753)(http://www.ghtwf01.cn/usr/uploads/2019/10/3360282642.png)]

查看一下，发现/usr/bin/find是拥有root权限的文件

然后提权

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-zMYWqofV-1606813457754)(http://www.ghtwf01.cn/usr/uploads/2019/10/3288710577.png)]

靶机上面装有python环境，所以也可以运行python代码反弹shell提权

最后在root目录找到thefinalflag.txt，游戏结束

小结：

这次打靶机学习到了linux下的/etc/passwd和/etc/shadow两个文件以及suid提权方法和find命令的使用，整个过程中体现的不足还很多，不过收获还是挺大233333