# Drupal

{{#include ../../../banners/hacktricks-training.md}}


## Discovery

- Überprüfen Sie **meta**
```bash
curl https://www.drupal.org/ | grep 'content="Drupal'
```
- **Node**: Drupal **indiziert seinen Inhalt mit Knoten**. Ein Knoten kann **alles enthalten**, wie einen Blogbeitrag, eine Umfrage, einen Artikel usw. Die Seiten-URIs haben normalerweise die Form `/node/<nodeid>`.
```bash
curl drupal-site.com/node/1
```
## Aufzählung

### Version

- Überprüfen Sie `/CHANGELOG.txt`
```bash
curl -s http://drupal-site.local/CHANGELOG.txt | grep -m2 ""

Drupal 7.57, 2018-02-21
```
> [!NOTE]
> Neuere Installationen von Drupal blockieren standardmäßig den Zugriff auf die `CHANGELOG.txt` und `README.txt` Dateien.

### Benutzerenumeration

Drupal unterstützt standardmäßig **drei Arten von Benutzern**:

1. **`Administrator`**: Dieser Benutzer hat die vollständige Kontrolle über die Drupal-Website.
2. **`Authentifizierter Benutzer`**: Diese Benutzer können sich auf der Website anmelden und Operationen wie das Hinzufügen und Bearbeiten von Artikeln basierend auf ihren Berechtigungen durchführen.
3. **`Anonym`**: Alle Website-Besucher werden als anonym bezeichnet. Standardmäßig dürfen diese Benutzer nur Beiträge lesen.

**Um Benutzer zu enumerieren, können Sie:**

- **Anzahl der Benutzer abrufen:** Greifen Sie einfach auf `/user/1`, `/user/2`, `/user/3`... zu, bis ein Fehler zurückgegeben wird, der anzeigt, dass der Benutzer nicht existiert.
- **Registrierung**: Greifen Sie auf `/user/register` zu und versuchen Sie, einen Benutzernamen zu erstellen. Wenn der Name bereits vergeben ist, wird dies in einer Fehlermeldung vom Server angezeigt.
- **Passwort zurücksetzen**: Versuchen Sie, das Passwort eines Benutzers zurückzusetzen. Wenn der Benutzer nicht existiert, wird dies klar in einer Fehlermeldung angezeigt.

### Versteckte Seiten

Finden Sie einfach neue Seiten, indem Sie in **`/node/FUZZ`** suchen, wobei **`FUZZ`** eine Zahl ist (zum Beispiel von 1 bis 1000). 

### Installierte Modul-Infos
```bash
#From https://twitter.com/intigriti/status/1439192489093644292/photo/1
#Get info on installed modules
curl https://example.com/config/sync/core.extension.yml
curl https://example.com/core/core.services.yml

# Download content from files exposed in the previous step
curl https://example.com/config/sync/swiftmailer.transport.yml
```
## Automatische Werkzeuge
```bash
droopescan scan drupal -u http://drupal-site.local
```
## RCE

Wenn Sie Zugriff auf die Drupal-Webkonsole haben, überprüfen Sie diese Optionen, um RCE zu erhalten:

{{#ref}}
drupal-rce.md
{{#endref}}

## Von XSS zu RCE

- [**Drupalwned**](https://github.com/nowak0x01/Drupalwned): Drupal-Ausnutzungsskript, das **XSS zu RCE oder anderen kritischen Schwachstellen erhöht.** Für weitere Informationen siehe [**diesen Beitrag**](https://nowak0x01.github.io/papers/76bc0832a8f682a7e0ed921627f85d1d.html). Es bietet **Unterstützung für Drupal-Versionen 7.X.X, 8.X.X, 9.X.X und 10.X.X und ermöglicht:**
- _**Privilegieneskalation:**_ Erstellt einen administrativen Benutzer in Drupal.
- _**(RCE) Vorlage hochladen:**_ Lädt benutzerdefinierte Vorlagen, die in Drupal zurückdoorisiert sind, hoch.

## Post-Exploitation

### Einstellungen.php lesen
```bash
find / -name settings.php -exec grep "drupal_hash_salt\|'database'\|'username'\|'password'\|'host'\|'port'\|'driver'\|'prefix'" {} \; 2>/dev/null
```
### Benutzer aus der DB dumpen
```bash
mysql -u drupaluser --password='2r9u8hu23t532erew' -e 'use drupal; select * from users'
```
{{#include ../../../banners/hacktricks-training.md}}