内网渗透之域环境渗透测试过程

原文地址：

https://blog.csdn.net/weixin_44991517/article/details/93896401

声明：此次渗透环境为实验环境，仅供渗透实验参考

实验目的

拿到域环境下其他主机的网站源码

渗透思路

通过拿到网站shell渗透到内网，由内网存活主机拿到域控权限，再由域控渗透到其他域里面得主机获取资源。

实验过程

访问目标网站IP发现是一个静态网站，发现网站前台无法利用，尝试爆破一下网站后台

图片

利用御剑扫描后台没有发现后台登录界面，但发现了robots.txt文件，查看robots.txt发现里面有网站后台目录

图片

访问网站后台页面

图片

尝试使用burp暴力破解，发现成功爆破出网站后台管理员账号密码为admin/passw0rd

图片

利用爆破出来的管理员账号密码成功登录到网站后台（PS：登录的时候选择全功能登录）

图片

发现在界面风格>模板选择处可以修改模板文件夹名，我们将模板文件夹名修改成1.asp，尝试利用IIS解析漏洞

图片

然后在界面风格>编辑模板/css文件>添加模板处将aspx一句话木马添加成html文件

图片

利用菜刀成功连接到我们写入的一句话木马

图片

利用一句话木马上传一个aspx的大马上去，方便操作

图片

查看发现该主机是双网卡，得到两个内网IP段

图片

查看该主机缓存信息发现几个内网IP

图片

查看发现192.168.152.173开启了1433端口，我们推测其可能是一台数据服务器

图片

查看网站配置文件发现数据库账号密码

图片

利用aspx大马成功登录到数据库，并且发现是system权限

图片

查看域里所有用户名

图片

查询域组名称

图片

查看当前域中的计算机列表

图片

查询域管理员

图片

利用数据库shell添加一个账号，并将其加入到管理员组

图片

还发现192.168.152.173开启了3389端口

图片

利用reGeorg+Proxifier设置代理尝试远程登录

图片

利用前面我们添加的管理员账号密码成功登录远程桌面，在登录的时候配置选项，将本地工具文件夹挂载到目标机

图片

成功登录到远程桌面

图片

利用文件共享上传一个QuarksPwDump.exe，然后使用QuarksPwDump.exe抓取一下系统管理员密码hash并导出到一个txt文件里

图片

利用MD5发现解不开

图片

我们知道域里面的主机都是有一定的命名规则的，查看获得shell的网站发现他的网站根目录的命名为game.fbi.gov.us，通过手动测试发现一个域名为oa.fbi.gov.us的网站

图片

访问我们oa.fbi.gov.us域名发现是一个源码库日志管理系统

图片

尝试利用asp万能密码绕过登陆，账号：liufeng’ or ‘1’='1密码任意，成功登录到后台

图片

在添加日志处发现存在存储型xss

图片

点进我们添加的日志查看一下属性，发现添加的日志的URL

图片

测试一下得到的URL是否存在注入，发现报500错误

图片

我们利用啊D注入工具登录到网站后台

图片

然后尝试注入该URL发现成功注出管理员密码，username不知道什么原因没跑出来，不过问题不大，上面我们已经得到了几个用户名，也不多，可以一个一个尝试

图片

利用我们前面的到的用户名和密码尝试登录域里面得其他主机

图片

成功登录到其他主机，然后我们就可以查看下载域里面其他PC端的文件了

图片

图片