ICode9

精准搜索请尝试: 精确搜索
首页 > 其他分享> 文章详细

红日ATT&CK红队评估实战靶场1

2021-04-05 04:32:35  阅读:341  来源: 互联网

标签:CK php 机器 .. 192.168 密码 ATT exe 红队


靶场环境下载:http://vulnstack.qiyuanxuetang.net/vuln/detail/2/

修改了默认密码,把win2003换成了xp,同时对用户做了相关调整

 

具体环境

——————————————————————————

机器1

内网域控

windows server 2008 R2 登录用户:域管administrator

内网ip地址:192.168.52.138   

——————————————————————————

机器2

内网机器

windows xp en pro sp3 登录用户:域管administrator

内网ip地址:192.168.52.141 

——————————————————————————

机器3

边界机器(web服务器) 

windows7 登录用户:普通域用户user

内网ip地址:192.168.52.143

外网ip地址:192.168.50.128

——————————————————————————

试验记录

(说下坑,这玩意攻击机也要建个网当外网,不能连现实外网。因为域名用god.org,现实是存在这个域名的,连外网到时候解析会解析到那个域名,所以得断网,这也是上面的机器3外网不是配的NAT,而是配一个内网地址的原因。不过我也推荐把攻击工具那些安在一个虚拟机里,携带方便。)

首先接触到只有机器3

拿到网址:http://192.168.52.128,访问网站是相关phpstudy探针

从这里可以知道用的是php,以及绝对路径等其他的相关信息。

绝对路径:C:/phpStudy/WWW

简单做个目录爆破

发现有phpMyadmin,访问是登录界面

试了一下弱口令,用root/root登录到了后台

可以执行SQL语句,root登录,有绝对路径,这个站,已经,无了

尝试用SQL语句写马失败,当我没说

看了下secure_file_priv为null,只读不可写入,嘁

 

 

 

 换个思路,看下全局日志变量

 

 

 打开它,然后改地址

 

 

再看下配置

 

 

 

 写马

 

 

 蚁剑连接

 

再换个思路,发现一个有趣的数据库

newyxcms,访问网站试了试关键词,结果试出了yxcms

http://192.168.50.128/yxcms/

 

 访问登录页面是这样

http://192.168.50.128/yxcms/index.php?r=member/index/login

 把URL中r的值改成admin,尝试访问,得到了管理后台登录页面

http://192.168.50.128/yxcms/index.php?r=admin

 

回到刚刚phpMyadmin,进到数据库查看相关数据表

 

yx_admin里面拿到管理员账户和密码hash

 

 cmd5查一下,查得到要付钱,我没钱,放弃。猜测也是弱口令

试了一下123456,登上去了

额。。。

翻看了一下整个后台,发现在  全局设置-前台模板-管理模板文件-新建  可以写php

 写个简单马,抓包看下有无路径

 

没得,拉倒

继续做个目录爆破

一个一个看,发现网站存在目录浏览,而且没闭合

 

 

 测了一下,存在目录穿越,yxcms/data加俩../../可以跳回根目录

重新写个马,以防万一,名字写../../../../../../../../../../hguone.php,多跳点

生成会报错

 

 

 报错是因为跳出范围了,,一个一个减下来,最后到../../../../../../hguone.php

 

 

 生成成功,根目录下访问下hguone.php

 

 

 连接蚁剑

 打开终端查看相关信息

当前用户

DNS服务器地址

端口情况,没开3389

存在域,域控名,补丁情况

 域内用户

 域管

 信息收集到这差不多了,普通权限的域用户

cs生个exe,上传执行把机器上线到cs

对比补丁情况,进行相关提权,获取system权限

看下存活主机

hashdump一下,得到本地管理员ntlm

cmd5一下,存在要付费,ok,再次拉倒,猜测还是弱密码

考虑到域控可以配策略更改本地管理密码,由于我想拿的是域管的密码,本地的密码就不跑了

(因为我本地密码没改过,和域管密码一样)

跑下mimikatz,拿到普通用户密码,因为域管没登过,所以lsass.exe里没有

这时候用system权限开3389

 远程连接没法连上,防火墙没放行,system权限执行命令让防火墙放行3389

 登录,该用户被限制,拉倒

算了直接关防火墙完事,感觉不关的话等下横向没法反弹回来

会话传给msf

挂个msf流量代理

会话转后台以后扫一扫基本端口

 都有445先扫一下ms17_010,顺便看下系统版本

都存在的话就跑一下,先跑域控

 这里msf挂了机器3的代理,所以监听ip设置成机器3的内网ip即可

看到一大串蒙了一下,就这?

结果失败了

xp的32位版本系统,msf的payload不适用,换ms08_067试试

 

cs基于机器3生成监听器

生成exe,msf的shell上传到机器2和机器3,机器2的shell执行,机器3留着后续用

 

 run mimikatz 抓下密码

域管密码get,接着打域控了

win7传个Psexec.exe

 传过去没打开,额

远程登录win7,和域控建立ipc管道,用psexec.exe连接cmd.exe

 执行beacon.exe文件

cs上线域控

 

 

简单做个权维,建个域管万能密码

 

 测试一下

 

标签:CK,php,机器,..,192.168,密码,ATT,exe,红队
来源: https://www.cnblogs.com/hguone/p/14613028.html

专注分享技术,共同学习,共同进步。侵权联系[admin#icode9.com]

Copyright (C)ICode9.com, All Rights Reserved.

ICode9版权所有