Vulhub-DC-1靶场

前言:

DC-1靶场是Vulhub系一款渗透测试的实战靶场,拥有五个Flag.本篇博客讲述了如何拿去这五个Flag,并详细描述其中的注意点。

实验环境:

虚拟机环境:virtualbox

虚拟机1:DC-1

虚拟机2:Kali-Liux

实验内容:

1主机发现:

进入kali-linux终端,以root权限输入arp-scan -l

arp-scan -l

得到以下结果,发现如下主机存活。

进一步探测信息:

nmap -sV -A -p- 10.0.2.4

#-sV 探测目标系统的服务系统

#-A 入侵式扫描

#-p- 扫描全部端口

去访问80端口,发现如下页面

这是个Drupal Site的CMS,上网搜集到MSF有现成的攻击框架

use exploit/unix/webapp/drupal_drupalgedden2

设置好目标后，代码执行后获得meterpreter接口shell，但是执行shell失败,没有回显。

但是发现python可以正常运行,考虑Python切换shell,这里注意单双引号的闭合

python -c 'import pty;pty.spawn("/bin/bash")'

发现flag1.txt,cat 查看后获取到如下提示信息

Every good CMS needs a config file and so do you

考虑查看web.config，但是没有发现有用信息，百度发现drupal CMS网站的配置在sites下进入后在default文件夹下发现两个settings有关的文件

查看其中一个发现flag2,与数据库的账户名与密码。并且flag2 提示暴力破解不是唯一的方法。

我们先登录上数据库,在数据库下找到了和users有关的信息,发现不是MD5加密,想起来之前在文件夹目录下发现的一个计算Hash的文件

文件目录结构如下：

执行后报错，发现文件包含出现了错误,经过搜索发现kali有现成的模块可以添加Drupal账户,使用方法如下:

 

此时登录网站,输入用户名test，密码test。在仪表盘里发现flag3

看到此处提及find perm 考虑是SUID提权,又看到password,shadow

查看/etc/passwd,发现flag4账户,查看shadow文件发现禁止查看

此时find提取也是失败的,可能账户不对,唯一的方法是爆破账户了。

hydra -u flag4 -P /usr/shar/Jhon/password.lst ssh://10.0.2.4

爆破出账户和密码是flag4:orange

SSH链接上去

看到的提示,flag应该是在root权限的家目录下,考虑提权：

find / -perm 400
mkdir tmp
find ./ tmp --exec '/bin/sh' \;

提权成功,在家目录下找到finalflag,到此五个Flag全部找齐

总结:本套靶场中的几个点：

1.内网中主机发现除了nmap批量扫描还可以使用arp-scan去发现存活主机

2.CMS漏洞需要去Exploitdb上去找现成的POC或EXP

3.Hydra爆破SSH时，可以使用jhon的字典。

4.find SUID提权

5.如果了解数据库的密码加密方式,可以计算出加密后的密文进行替换,达到登录的效果