搜索

[20348] 2020-08-06_从DNSBeacon到域控

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2020-08-06_从DNSBeacon到域控 从 D N S B e a c o n 到 域 控 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 0 6 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 5 1 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   5 2   篇 文 章 。 全 文 共 计 3 1 4 1 个 字 ， 预 计 阅 读 时 长 1 0 分 钟 。 以 下 是 某 次 红 蓝 对 抗 过 程 中 的 一 次 记 录 ， 项 目 特 点 是 内 网 服 务 器 对 外 只 能 通 D N S 协 议 。 站 库 分 离 站 库 分 离 G e t s h e l l 碰 到 的 这 个 站 比 较 奇 葩 ， 采 用 的 是 p h p + S Q L S e v e r 架 构 。 首 先 ， 在 资 产 某 处 发 现 存 在 S Q L 注 入 ， 数 据 库 类 型 是 S Q L S e r v e r ， 并 且 当 前 用 户 为 s a 管 理 用 户 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
通 过 s q l m a p 的   - - o s - s h e l l   调 用 x p _ c m d s h e l l 执 行 系 统 命 令 获 得 权 限 ， 执 行 完 命 令 后 发 现 当 前 仅 仅 是 普 通 s e r v i c e   用 户 的 权 限 。 于 是 想 通 过 执 行 p o w e r s h e l l 命 令 弹 回 一 个 C o b a l t S t r i k e 的 s h e l l ， 发 现 报 错 ， 提 示 无 法 连 接 到 远 程 服 务 器 。 猜 测 目 标 机 器 可 能 不 通 外 网 ， P i n g     b a i d u 看 看 结 果 ， 发 现 只 有 D N S 协 议 能 出 网 。
那 么 现 在 的 思 路 就 是 通 过 找 到 目 标 网 站 路 径 ， 然 后 写 入 w e b s h e l l ， 获 取 权 限 。 这 里 我 们 找 网 站 路 径 的 思 路 是 通 过 找 网 站 上 一 个 特 殊 的 文 件 名 ， 然 后 利 用 w i n d o w s 下 查 找 文 件 的 语 法 ( d i r   / s   / b   c : t e s t . t x t ) 来 进 行 查 找 。 首 先 ， 找 到 网 站 上 一 个 比 较 特 殊 一 点 的 文 件 名 。 执 行 命 令 查 找 ： d i r   / s   / b   c : c h e c k f o r m . j s   。 发 现 均 未 找 到 ， 于 是 怀 疑 该 网 站 站 库 分 离 。 执 行 s q l m a p 的   - - s q l - s h e l l   参 数 ， 运 行 S Q L 语 句 验 证 是 否 站 库 分 离 ， 果 不 其 然 ， 该 站 点 采 用 了 站 库 分 离 。 s e l e c t   h o s t _ n a m e ( )
我 们 现 在 通 过 注 入 获 取 到 的 是 内 网 数 据 库 服 务 器 的 权 限 ， 并 且 由 于 该 机 器 对 外 只 通 D N S 协 议 ， 故 没 有 比 较 好 的 办 法 弹 回 该 数 据 库 服 务 器 的 s h e l l 。 我 们 现 在 只 有 寄 希 望 于 通 过 S Q L 注 入 读 取 网 站 的 账 号 密 码 ， 然 后 登 录 后 台 ， 寻 找 g e t s h e l l 的 点 了 。 最 终 ， 通 过 读 取 数 据 库 ， 找 到 了 网 站 后 台 的 账 号 密 码 。 用 读 取 的 账 号 密 码 登 录 后 台 ， 在 后 台 找 到 一 上 传 点 ， 但 是 该 上 传 处 后 缀 白 名 单 限 制 以 及 文 件 内 容 检 测 ， 只 能 上 传 图 片 格 式 的 文 件 。 最 终 ， 通 过   上 传 图 片 木 马 + 解 析 漏 洞 组 合 利 用 ， 成 功 获 取 服 务 器 权 限 。 s e l e c t   h o s t _ n a m e ( ) s e l e c t   @ @ s e r v e r n a m e
利 用 利 用 D N S   B e a c o n 弹 弹 s h e l l 而 后 上 传 冰 蝎 马 ， 获 得 更 直 观 的 命 令 执 行 界 面 。 为 了 更 好 的 进 行 内 网 渗 透 ， 想 弹 回 一 个 C o b a l t S t r i k e 类 型 的 s h e l l 。 但 是 通 过 执 行 p i n g   b a i d u 发 现 ， 该 机 器 也 是 只 对 外 通 D N S 协 议 ， 所 以 我 们 得 制 作 一 个 D N S   B e a c o n 类 型 的 木 马 。 制 作 D N S   B e a c o n 步 骤 如 下 ： 1 .   准 备 一 台 V P S 服 务 器 ( 可 以 直 接 使 用 我 们 的 C S 服 务 器 ) ， 该 机 器 的 5 3 端 口 一 定 要 对 外 开 放 。 然 后 准 备 好 一 个 域 名 。 2 .   配 置 域 名 的 解 析 记 录 ， 创 建 A 记 录 和 N S 记 录 。 A 记 录 解 析 到 V P S 服 务 器 上 ， N S 记 录 解 析 到 A 记 录 上 。 3 .   C S 开 启 监 听 D N S   B e a c o n ， D N S   H o s t s 填 我 们 的 N S 记 录 ， D N S   H o s t ( S t a g e r ) 填 我 们 的 A 记 录 。 4 .   生 成 D N S 木 马 ， 生 成 的 木 马 类 型 是 W i n d o w s   E x e c u t a b l e ( S ) 。 如 果 木 马 机 器 有 杀 软 ， 可 以 先 生 成 s h e l l c o d e ， 然 后 免 杀 编 译 。 5 .   执 行 木 马 上 线 。 通 过 上 传 免 杀 的 d n s 木 马 ， 执 行 上 线 成 功 。 默 认 上 线 是 黑 框 框 ， 也 执 行 不 了 命 令 。 执 行 以 下 两 条 命 令 ， 即 可 正 常 显 示 并 执 行 命 令 。 c h e c k i n m o d e   d n s - t x t
由 于 是 W i n S e r v e r 2 0 1 2 的 机 器 ， 故 只 能 抓 取 到 密 码 的 哈 希 。 现 在 我 们 想 远 程 R D P 连 接 到 该 机 器 。 但 是 有 几 个 问 题 ： 主 机 3 3 8 9 端 口 未 开 放 ， 所 以 需 要 手 动 给 他 开 放 。 未 抓 取 到 目 标 主 机 的 账 号 密 码 明 文 ， 所 以 需 要 手 动 创 建 账 号 。 但 是 该 主 机 存 在 杀 软 ， 所 以 需 要 绕 过 杀 软 执 行 创 建 账 号 命 令 。 开 启 开 启 3 3 8 9 端 口 端 口 W i n S e r v e r 2 0 1 2 开 启 3 3 8 9 端 口 命 令 如 下 ： a r g u e 参 数 绕 过 杀 软 参 数 绕 过 杀 软 目 标 机 器 存 在 杀 软 ， 直 接 执 行 创 建 用 户 命 令 会 被 杀 软 报 毒 ， 所 以 我 们 需 要 使 用 a r g u e 参 数 绕 过 杀 软 ， 执 行 创 建 用 户 命 令 w m i c   / n a m e s p a c e : r o o t c i m v 2 t e r m i n a l s e r v i c e s   p a t h   w i n 3 2 _ t e r m i n a l s e r v i c e s e t t i n g   w h e r e   ( _ _ C L A S S   ! = " " )   c a l l   s e t a l l o w t s c o n n e c t i o n s   1 a r g u e   n e t 1   x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x a r g u e e x e c u t e   n e t 1   u s e r   h a c k   R o o t 1 1 1 !   / a d d e x e c u t e   n e t 1   l o c a l g r o u p   a d m i n i s t r a t o r s   h a c k   / a d d
挂 代 理 挂 代 理 由 于 目 标 机 器 对 外 只 通 D N S 协 议 ， 所 以 我 们 最 好 的 选 择 是 搭 建 一 个 H T T P 协 议 的 代 理 。 远 程 连 接 目 标 主 机 内 网 i p 的 3 3 8 9 端 口 ， 成 功 R D P 连 接 。
翻 阅 目 标 机 器 目 录 ， 查 找 到 之 前 注 入 的 S Q L S e r v e r 数 据 库 的 账 号 密 码 。 通 过 n a v i c a t 远 程 连 接 ， 翻 阅 数 据 库 ， 发 现 该 机 器 上 数 据 库 中 还 存 有 用 户 名 和 M D 5 加 密 后 的 一 些 密 码 。 我 们 可 以 先 收 集 这 些 用 户 名 。
翻 阅 完 数 据 库 之 后 ， 执 行 x p _ c m d s h e l l 提 权 。
由 于 数 据 库 服 务 器 对 外 只 通 D N S 协 议 ， 但 是 在 内 网 里 面 ， 可 以 与 其 他 机 器 互 通 。 所 以 通 过 在 拿 到 的 w e b 服 务 器 上 放 入 我 们 的 D N S 木 马 ， 然 后 执 行 x p _ c m d s h e l l 远 程 下 载 并 执 行 ， 成 功 弹 回 数 据 库 服 务 器 的 C o b a l t S t r i k e   s h e l l 。 内 网 中 继 横 向 渗 透 内 网 中 继 横 向 渗 透 内 网 的 所 有 机 器 对 外 都 只 通 D N S 协 议 ， 所 以 我 们 进 行 内 网 横 向 渗 透 需 要 以 获 取 到 的 w e b 服 务 器 作 为 中 继 监 听 ， 进 行 内 网 横 向 渗 透 。 在 获 取 到 的 w e b 服 务 器 上 执 行 中 继 监 听 。 目 前 获 取 到 的 只 是 数 据 库 服 务 器 的 普 通 n e t w o r k   s e r v i c e 权 限 ， 我 们 现 在 需 要 提 权 到 管 理 员 权 限 。 使 用 C o b a l t S t r i k e 的 插 件 进 行 提 权 ， 然 后 监 听 器 选 择 刚 刚 创 建 的 z h o n g j i 。 执 行 后 ， 成 功 获 取 到 管 理 员 权 限 。 由 于 是 W i n S e r v e r 2 0 0 8 的 机 器 ， 运 行 m i m i k a t z ， 得 到 明 文 账 号 密 码 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理