Walkthrough for DC-01#

1
Description
2
简介
3

4
DC-1 is a purposely built vulnerable lab for the purpose of gaining experience in the world of penetration testing.
5
DC-1是为增长渗透测试经验而搭建的渗透测试靶机。
6

7
It was designed to be a challenge for beginners, but just how easy it is will depend on your skills and knowledge, and your ability to learn.
8
它设计给新手，但它的难度取决于你的知识与技能、以及学习能力。
9

10
To successfully complete this challenge, you will require Linux skills, familiarity with the Linux command line and experience with basic penetration testing tools, such as the tools that can be found on Kali Linux, or Parrot Security OS.
11
你需要linux技能（熟悉linux命令行）、基本的渗透测试工具（Kali Linux预装工具或Parrot Security OS）。
12

13
There are multiple ways of gaining root, however, I have included some flags which contain clues for beginners.
14
有很多种提权方法，不过，我在靶机中放置了一些flag作为给新手的提示。
15

16
There are five flags in total, but the ultimate goal is to find and read the flag in root's home directory. You don't even need to be root to do this, however, you will require root privileges.
17
一共有5个flag，但最终目标是读取root目录下的flag。你甚至不需要root账号，但至少需要root权限。
18

19
Depending on your skill level, you may be able to skip finding most of these flags and go straight for root.
20
如果你够强，你或许会跳过大多数flag直冲root。
21

22
Beginners may encounter challenges that they have never come across previously, but a Google search should be all that is required to obtain the information required to complete this challenge.
23
新手或许会遭遇到从来没有遇见过的挑战，去谷歌搜吧。

下载地址#

https://www.five86.com/dc-1.html

flag1#

打开一个win虚拟机，netsparker先扫着。

另一边开一个Kali，nmap扫描端口。

Nmap扫描结果

看到有一个80端口上运行的是Apache，打开网页看看。

Drupal

是个Drupal搭建的网站，上面扫描爆出来网站有robots文件，打开看一下。

1
#
2
# robots.txt
3
#
4
# This file is to prevent the crawling and indexing of certain parts
5
# of your site by web crawlers and spiders run by sites like Yahoo!
6
# and Google. By telling these "robots" where not to go on your site,
7
# you save bandwidth and server resources.
8
#
9
# This file will be ignored unless it is at the root of your host:
10
# Used:    http://example.com/robots.txt
11
# Ignored: http://example.com/site/robots.txt
12
#
13
# For more information about the robots.txt standard, see:
14
# http://www.robotstxt.org/wc/robots.html
15
#
16
# For syntax checking, see:
17
# http://www.sxw.org.uk/computing/robots/check.html
18

19
User-agent: *
20
Crawl-delay: 10
21
# Directories
22
Disallow: /includes/
23
Disallow: /misc/
24
Disallow: /modules/
25
Disallow: /profiles/
26
Disallow: /scripts/
27
Disallow: /themes/
28
# Files
29
Disallow: /CHANGELOG.txt
30
Disallow: /cron.php
31
Disallow: /INSTALL.mysql.txt
32
Disallow: /INSTALL.pgsql.txt
33
Disallow: /INSTALL.sqlite.txt
34
Disallow: /install.php
35
Disallow: /INSTALL.txt
36
Disallow: /LICENSE.txt
37
Disallow: /MAINTAINERS.txt
38
Disallow: /update.php
39
Disallow: /UPGRADE.txt
40
Disallow: /xmlrpc.php
41
# Paths (clean URLs)
42
Disallow: /admin/
43
Disallow: /comment/reply/
44
Disallow: /filter/tips/
45
Disallow: /node/add/
46
Disallow: /search/
47
Disallow: /user/register/
48
Disallow: /user/password/
49
Disallow: /user/login/
50
Disallow: /user/logout/
51
# Paths (no clean URLs)
52
Disallow: /?q=admin/
53
Disallow: /?q=comment/reply/
54
Disallow: /?q=filter/tips/
55
Disallow: /?q=node/add/
56
Disallow: /?q=search/
57
Disallow: /?q=user/password/
58
Disallow: /?q=user/register/
59
Disallow: /?q=user/login/
60
Disallow: /?q=user/logout/

大概翻了一下，看到UPGRADE.txt里面有这么一行。估计这应该是个7.x或者6.x的Drupal。

1
INTRODUCTION
2
------------
3
This document describes how to:
4

5
  * Update your Drupal site from one minor 7.x version to another minor 7.x
6
    version; for example, from 7.8 to 7.9, or from 7.6 to 7.10.
7

8
  * Upgrade your Drupal site's major version from 6.x to 7.x.

上Metasploit，看看有没有和Drupal相关的EXP。

drupal模块

此时netsparker也扫出来一些东西。

扫描差不多了

试用了几个drupal模块，发现使用drupal_drupalgeddon2可以进入meterpreter交互模式。

拿到shell

然后找到flag1.txt

flag2#

根据flag1的提示，我们要找drupal的配置文件。感谢万能的谷歌。

1
settings.php
2
$settings['file_public_path'] = 'sites/default/files';

flag3#

在flag2之后有一个数据库的密码和账号。

获取shell，登陆一下mysql试试。

然而没有正常回显信息，原因不明。

后来看了官方的walkthrough，也没有说明此处mysql为什么没有回显。大概是限制了某些进程的回显？

测试一下服务器有没有配置python环境。

发现了python2，尝试通过python获取一个pty。

1
import pty
2
pty.spawn('/bin/bash')

成功登录mysql，获取回显。

查看users表。

users表中原本只有前两行数据，后面的数据是我在做题的过程中加进去的。

世界线一#

回到metasploit，搜索一下有没有关于在drupal中获取admin权限的脚本。

发现了一个适用于drupal 7.0 < 7.31的添加admin用户的sql注入脚本。运行，成功添加了admin用户。

然后在dashboard中找到了flag3。

世界线二#

做完题后突然想起来，mysql数据库user表里的password字段的加密方式以前似乎从来没有见过。在谷歌上稍微搜了一下，发现原来是Drupal的一种特殊格式。

Drupal7默认使用SHA512+salt。通过PHP的哈希函数运行哈希，以增加生成密码最终哈希的安全性。该实现分为两个全局函数：user_hash_password()和_password_crypt()。

这是Drupal 7中的示例哈希：

$S$Dxl65W9p07LfQU7jvy5CnsyDpMoLujiAgzy123khcg1OJi/P9pKS

字符0-2是类型（ $S$ 是Drupal7）

字符3是基于char在此列表中的位置的log2回合数(X)：./0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz。因此，在示例中，“ D”将映射到15

字符4-11是SALT

其余的是使用2^X个回合的SHA512。

然后使用base64将二进制结果转换为字符串。
1
 $count = 1 << $count_log2;
2
  $hash = hash($algo,$salt,$password,true);
3
  do { $hash = hash($algo,$hash,$password,TRUE);
4
  } while( --$count);
整个过程可以在以下位置找到：mydrupalsite\includes\password.inc
1
function user_check_password($password, $account) {
2
  if (substr($account->pass, 0, 2) == 'U$') {
3
    // This may be an updated password from user_update_7000(). Such hashes
4
    // have 'U' added as the first character and need an extra md5().
5
    $stored_hash = substr($account->pass, 1);
6
    $password = md5($password);
7
  }
8
  else {
9
    $stored_hash = $account->pass;
10
  }
11

12
  $type = substr($stored_hash, 0, 3);
13
  switch ($type) {
14
    case '$S$':
15
      // A normal Drupal 7 password using sha512.
16
      $hash = _password_crypt('sha512', $password, $stored_hash);
17
      break;
18
    case '$H$':
19
      // phpBB3 uses "$H$" for the same thing as "$P$".
20
    case '$P$':
21
      // A phpass password generated using md5.  This is an
22
      // imported password or from an earlier Drupal version.
23
      $hash = _password_crypt('md5', $password, $stored_hash);
24
      break;
25
    default:
26
      return FALSE;
27
  }
28
  return ($hash && $stored_hash == $hash);
29
}

既然如此，应该可以用hashcat爆破。

在hashcat的module中搜索了一下，发现还真有针对drupal7的爆破模块。

从users表中取出admin的密码，用hashcat跑一下。

1
hashcat -m 7900 -a 0 ./pass.txt ./dict.dic

跑出来密码是53cr3t。用管理员账号登录之后，在dashboard看到flag。

世界线三#

然而，在搜索关于drupal的密码时，一不小心看到了how to reset drupal7 admin password的提问，点开看了看，发现有一个专门用于管理drupal的shell接口，可以用于修改用户账号。

在pty中，使用drush将admin的密码修改为admin。

1
drush user-password admin --password="admin"

flag4#

根据flag3的提示，去谷歌了一下linux perm su，发现一个关于SUID的提权方式。

文件权限除了r、w、x外还有==s==、t、i、a权限。
1
s权限，设置使文件在执行阶段具有文件所有者的权限，相当于临时拥有文件所有者的身份。
2
t权限，针对目录，任何用户都可以在此目录中创建文件，但只能删除自己的文件。
3
i权限，不可修改的权限。
4
a权限，只追加的权限。
SUID 当执行的文件被赋予了s权限，就被称为Set UID，简称为SUID的特殊权限。八进制数为4000。

SUID权限仅对二进制程序有效

执行该程序必须具有x的执行权限，否则s权限并不能真正生效

本权限仅在执行该程序的过程中有效，拥有临时身份

执行者将具有该程序拥有者(owner)的权限

查找具有SUID权限的文件
Terminal window
1
find / -perm -u=s -type f 2>/dev/null
2

3
/表示从文件系统的顶部（根）开始并找到每个目录
4
-perm 表示搜索随后的权限
5
-u=s表示查找root用户拥有的文件
6
-type表示我们正在寻找的文件类型
7
f 表示常规文件，而不是目录或特殊文件
8
2表示该进程的第二个文件描述符，即stderr（标准错误）
9
>表示重定向
10
/dev/null是一个特殊的文件系统对象，它将丢弃写入其中的所有内容。
还有额外的几个命令
Terminal window
1
find / -user root -perm -4000 -print 2>/dev/null
2
find / -user root -perm -4000 -exec ls -ldb {}
详见：linux 提权-SUID提权

找到具有root的SUID的文件。

文章中给了一个可以查找SUID利用方式的网页 GTFObins ,挨个搜索，发现find有利用方法：

Shell#

It can be used to break out from restricted environments by spawning an interactive system shell. 它可以通过生成交互式系统外壳程序来脱离受限环境
Terminal window
1
find . -exec /bin/sh \; -quit
SUID#

If the binary has the SUID bit set, it does not drop the elevated privileges and may be abused to access the file system, escalate or maintain privileged access as a SUID backdoor. If it is used to run sh -p, omit the -p argument on systems like Debian (<= Stretch) that allow the default sh shell to run with SUID privileges. 如果二进制文件有SUID，则它存在提升的特权，并且可能被滥用来访问文件系统、提权或维护特权访问（作为SUID后门）。如果用于运行sh -p（请在Debian（<= Stretch）之类的系统上省略-p参数），该参数允许默认的sh 以SUID特权运行。

This example creates a local SUID copy of the binary and runs it to maintain elevated privileges. To interact with an existing SUID binary skip the first command and run the program using its original path. 本示例创建二进制文件的本地SUID副本并运行它以维护提升的特权。要与现有的SUID二进制文件进行交互，请跳过第一个命令，并使用其原始路径运行该程序。
Terminal window
1
sudo install -m =xs $(which find) .
2
find . -exec /bin/sh -p \; -quit
Sudo#

If the binary is allowed to run as superuser by sudo, it does not drop the elevated privileges and may be used to access the file system, escalate or maintain privileged access. 如果二进制文件被sudo允许以超级用户身份运行，它存在提升的特权，并且可以用于访问文件系统、提权或维护特权访问。
Terminal window
1
sudo find . -exec /bin/sh \; -quit

使用提供的命令，成功提权。

然后找了一圈，最后在/home/flag4找到了flag4。

然后突然意识到，似乎拿flag4并不需要提权……在www-data用户下用find指令搜索也能拿到flag4。

the final flag#

已经获取了root权限，按照靶机描述，cd进/root读取flag。