万字讲解内网横向渗透vulnstack（二）：红日靶场2实战全流程2（SMB中转法）

本文详细记录了针对红日靶场2的渗透测试全过程。攻击者首先利用Weblogic服务风险向Web跳板机（192.168.59.131）注入蚁剑内存马，获取控制权后上传CobaltStrike木马建立初始立足点，随后提权并关闭防火墙。以内网IP（10.10.10.80）为据点进行探测，发现DC域控制器（10.10.10.10）和PC目标（10.10.10.201）。通过捕获的密码凭证，使用SMB监听中转会话和PsExec工具横向移动至域控制器，并最终控制内网PC目标，完成了从外网渗透利用到内网域控接管的完整攻击链。整个过程中，攻击者运用了端口扫描、密码抓取、SMB监听等多种技术手段，展现了典型的内网渗透攻击路径。相对于第一个方法，本文的区别主要如下所示。

Weblogic利用工具更换版本
注入的内存马改为蚁剑内存马，需要将脚本类型配置为custom
无需切换为mssql用户并进行再次提权
PSexec横向移动中，会话中转由普通的tcp中转监听改为SMB监听中转会话

一、拓扑搭建

1、拓扑图

本次渗透测试靶场环境为红日靶场2，利用Weblogic安全风险植入蚁剑内存马，控制Web服务器后上传CS木马，以跳板机内网IP为据点，通过SMB监听中转和PsExec横向移动，先后攻陷域控与内网PC，完成域环境的内网渗透。

攻击始于对外网Web服务器（IP: 192.168.59.131）的 Weblogic服务 安全风险的利用，成功注入 蚁剑内存马 后获取了该服务器的控制权限。随后，上传Cobalt Strike木马，建立了初始的Beacon命令控制通道，并进一步完成本地提权及防火墙关闭操作，巩固了攻击立足点。
在控制Web跳板机后，以其内网IP（10.10.10.80）为据点展开内网横向探测。通过端口扫描，识别出核心资产：域控制器（DC, 10.10.10.10）与内网办公主机（PC, 10.10.10.201）。
接下来，利用在跳板机上捕获的密码凭证，结合专为内网横向移动设置的 SMB监听器中转会话 ，通过 PsExec 方式成功横向移动至域控制器，并使其作为子Beacon上线至Cobalt Strike团队服务器，标志着域控已沦陷。
最终，借助在域控制器上获取的域管理员凭据，以同样的 PsExec 手法及 SMB监听器 路径，实现对内网PC主机的控制。至此，形成了一条从外部Web服务安全风险利用到内网域环境完全接管的完整攻击链。

复制代码

flowchart LR
    subgraph A [外部网络]
        direction TB
        Client["CS客户端 (Operator)<br>192.168.59.1"]
        Server["CS服务器 (Kali)<br>192.168.59.128"]
        Client <-->|控制| Server
    end

    subgraph B [内部网络 10.10.10.0/24]
        direction LR
        WEB["Web跳板机 WEB<br>外: 192.168.59.131<br>内: 10.10.10.80"]
        DC["域控制器 DC<br>10.10.10.10"]
        PC["办公计算机 PC<br>10.10.10.201"]
    end

    Server -- "1 Web风险利用<br>Weblogic内存马" --> WEB
    WEB -- "2 横向移动<br>PsExec" --> DC
    DC -- "3 横向移动<br>PsExec" --> PC

2、角色表

本次渗透环境中，攻击者从外网利用Weblogic安全风险向Web服务器（外网192.168.59.131/内网10.10.10.80）植入蚁剑内存马并建立CS初始据点；以内网Web服务器为跳板，通过SMB监听中转和PsExec横向移动，先后控制域控制器（10.10.10.10）和办公计算机（10.10.10.201），最终实现从外网突破到域控接管的完整攻击链。

角色名称	IP地址	操作系统/角色	在攻击链中的作用	备注
CS客户端 (Operator)	192.168.59.1	Windows 11	攻击者操作端，运行Cobalt Strike客户端	外部网络，用于控制CS团队服务器
CS服务器 (Team Server)	192.168.59.128	Kali Linux	攻击载荷投送与命令控制中心	接收Beacon回连，部署在Kali上
Web服务器 (WEB)	外: 192.168.59.131 内: 10.10.10.80	Windows 7	初始入口/跳板机，存在Weblogic安全风险	双网卡
域控制器 (DC)	10.10.10.10	Windows Server / Domain Controller	核心目标，内网域环境的核心	PsExec横向移动控制
办公计算机 (PC)	10.10.10.201	Windows (域成员)	横向移动目标	PsExec横向移动控制（DC会话执行）

3、网络搭建

注意：启动过程中，如果 360 需要管理权限才能做一些事情，让你输密码的话，不要管它，爱咋咋地去，取消就好。

（1）网络适配器配置

①编辑虚拟网络编辑器

点击vmware-编辑-虚拟网络编辑器，进入到配置vmnet网卡的界面，如下所示。

② vmnet1网卡

将vmnet1网段改为10.10.10.0/24，如下所示。

（2）Web服务器恢复快照v1.3

删除v1.1和v1.2的快照，然后恢复到1.3快照中。

删除后效果如下所示。

删除快照后，将Web服务器恢复到v1.3版本，如下所示。

（3）配置web虚拟机的网络

打开Web服务虚拟机，使用其他用户登录，用户名DE1AY\mssql密码1qaz@WSX。

进入系统后配置ip地址自动获取，点击"开始-网络-网络和共享中心"，如下所示。

点击更改适配器配置，如下所示。

点击网络4-右键属性-ipv4协议-属性，改为自动获得ip地址和DNS地址，如下所示。管理员用户输入de1ay\administrator , 密码1qaz@WSX。

（4）查看Web服务器的ip地址

（5）PC机删除vmnet8网卡

PC删除vmnet8网卡（NAT）网卡，如下所示。

查看ip地址,使用de1ay\de1ay 密码1qaz@WSX登录。

（6）清空cs数据

报告-清空数据，并删除所有之前的会话。

3、Web服务环境搭建

在搭建环境的过程中，我们需要手动开启weblogic服务。开启weblogic的方法是进入C:\Oracle\Middleware\user_projects\domains\base_domain目录开启服务，不过需要特别注意，startweblogic要以管理员的方式运行，操作如下所示。

注意完成比步骤后，务必拍摄快照留存，避免出现错误重新搭建环境。

二、信息搜集

1、探测存活主机

nmap -sn 192.168.59.0/24**"探测 192.168.59.0 到 192.168.59.255 这个网段内有哪些 IP 地址对应的主机是开机并在线（存活）的"，但它不会扫描这些主机开放了哪些端口，**发现ip地址为192.168.59.131，如下所示。

复制代码

nmap -sn 192.168.59.0/24

nmap：强大的网络发现和安全审计工具。
-sn ：这是最重要的选项。在过去，这个功能由 -sP 选项实现。-sn 告诉 Nmap 进行 "Ping 扫描" 。它的作用是只发现网络上的存活主机，而不对主机进行端口扫描。
192.168.59.0/24 ：这是目标网络范围。/24 是 CIDR 表示法，代表子网掩码 255.255.255.0。它指定了从 192.168.59.1 到 192.168.59.254 的所有 IP 地址。

用 Nmap 工具对 192.168.59.0/24 网段发起 "无端口扫描"（Ping 扫描）。其中-sn参数是核心，代表跳过端口探测，仅通过 ICMP Echo 请求（类似 Ping 命令）、ARP 请求（内网环境）等方式，检测网段内哪些 IP 是存活主机。执行后会返回该网段内在线主机的 IP（部分会显示对应主机名），不扫描端口状态，既减少对目标网络的干扰，又能快速定位内网存活设备，常用于渗透测试或网络管理中第一步的 "存活主机探测"，为后续端口扫描、服务识别奠定基础。

当执行 nmap -sn 时，Nmap 默认会组合使用多种技术来避免因单一方法被防火墙过滤而导致的误判：

ICMP Echo 请求 ：发送经典的 ping 包。如果收到回复，则判断主机存活。
TCP SYN 包到 443 端口：尝试向目标的 443 端口发起一个 TCP 连接请求。
TCP ACK 包到 80 端口：尝试向目标的 80 端口发送一个 TCP ACK 包。
ICMP 时间戳请求：发送另一种类型的 ICMP 请求。

只要目标主机对以上任何一种探测方式作出了响应，Nmap 就会将其标记为 "存活"

2、探测端口

对192.168.59.131进行常用端口探测，如下所示出现敏感端口号80、7001、3389等。

复制代码

nmap 192.168.59.131

三、web服务器GetShell

1、发现Weblogic服务

访问192.168.59.131的7001端口，使用web浏览器打开，如下所示发现Web服务为Weblogic。

复制代码

http://192.168.59.131:7001/

复制代码

http://192.168.59.131:7001/console/

过一会后，页面如下所示，如下所示可以发现Weblogic服务。

复制代码

http://192.168.59.131:7001/console/login/LoginForm.jsp

2、使用weblogic利用工具上传木马

（1）注入内存马

URL输入http://192.168.59.131:7001,选择"内存马注入"子菜单，类型为蚁剑，点击执行，步骤如下所示。