DC-1解题过程

DC-1 靶场信息收集

拿到靶机后先进行端口扫描

上面结果我们可以发现靶机开放了22、80、111端口

既然开了80端口，我们就用浏览器访问一下

查看网页源代码，发现 Drupal 的版本为 7

然后进行后台扫描

发现 robots.txt

过程

但貌似并没有找到什么可利用的东西vim

那就到找一下有没有现成的 drupal 利用模块

用一个最新的 excellent 的

配置好靶场ip即可

开始攻击，成功进入

查看一下当前目录有什么

发现一个 flag1.txt，看一下内容

提示我们找一下 config 配置文件

进 shell 查看一下当前用户

经网上查找，发现 drupal 的配置文件为 settings.php

find 一下就找到了

查看一下文件

发现 flag2，大概意思就是暴力破解和字典攻击不行吧

但往下翻可以直接看到数据库的用户和密码

我们可以尝试登录一下

当我们拿到一个 webshell 的时候，我们能够执行一些命令，但是这些命令都是非交互的，难以使用部分命令。
这时，我们就需要获取一个可交互的 webshell 了

如果对方机器上有 python 的话，我们可以用
　　python -c ‘import pty; pty.spawn(“/bin/bash”)’

拿到可交互的shell后，用户名 dbuser 密码 R0ck3t 登录 mysql

查看所有数据库

进入数据库 drupaldb

查看所有表

发现可疑表 users，里面可能有网站的用户名密码

查看 users 表内容，不出所料

用户名 admin 密码md5加密过 ，用 cmd5 解密后为 53cr3t

合理怀疑这是 drupal 的登录账号密码

不出所料登进去了

然后在页面点点点，发现新东西

找到 flag3

里面提到了 passwd 和 shadow

那就去看看这两个文件好了

shadow 文件没权限查看，passwd 文件最后一行有个 flag4 用户

既然如此，那就进 flag4 的家目录看一眼

发现一个 flag4.txt

查看一下

大概意思就是让我们用同样的方式在 root 目录下找到下一个 flag

提权

既然是在 root 目录下，那么就要先提权

先尝试用 suid 进行提权

Linux 中常见的 root 文件

• nmap
• vim
• find
• bash
• more
• less
• nano
• cp

经过一番尝试，选择用 find 进行提权，find 的 -exec 参数可以以 root 身份执行命令

用 find 提权就需要一个文件

但是已经尝试过没有权限用 touch 命令

不过在 flag4 目录下刚好有个 flag4.txt 文件

那就直接提

　　find flag4.txt -exec “/bin/sh” \;

进 root 目录找到最后 flag