ATT&CK实战系列（二）琢磨篇

最新推荐文章于 2023-02-22 10:05:06 发布
最新推荐文章于 2023-02-22 10:05:06 发布
阅读量1k 收藏 2
点赞数
CC 4.0 BY-SA版权
分类专栏： 内网渗透 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Zlirving_/article/details/112724273
本文详细记录了一次针对红日安全团队域渗透靶机的实战过程，包括环境配置、Weblogic漏洞(CVE-2019-2725)利用、权限提升、域内信息收集、横向移动及CS上线等步骤。通过mimikatz获取账号密码，最终利用wmic实现域控权限的获取。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

本文较长，思路比较混乱，主要是提高实践体验，扩展思路，师傅们轻喷

目录


该靶机是红日安全团队出的域渗透靶机。
靶场下载地址： http://vulnstack.qiyuanxuetang.net/vuln/detail/2/
在这里插入图片描述

环境说明

内网网段：192.168.248.1/24
DMZ网段：192.168.163.1/24
测试机地址：192.168.163.129（Windows），192.168.163.132（Kali）
防火墙策略（策略设置过后，测试机只能访问192.168.163.0/24段地址，模拟公网访问）：
deny all tcp ports：192.168.248.1
allow all tcp ports：192.168.248.0/24

配置信息

DC
IP：192.168.248.130 OS：Windows 2012(64)
应用：AD域
WEB
IP1：192.168.248.131 IP2：192.168.163.134 OS：Windows 2008(64)
应用：Weblogic 10.3.6 MSSQL 2008
PC
IP1：192.168.248.129 IP2：192.168.163.133 OS：Windows 7(32)
攻击机
IP：192.168.163.129 OS：Windows 7(64)
IP：192.168.163.132 OS：Kali

环境配置

在这里插入图片描述
DMZ区我们利用虚拟机的NAT网络，而内网网段利用仅主机模式
在这里插入图片描述
测试机与DMZ区机器能通。内网各机器能通。测试机与内网机器不能通。
在这里插入图片描述
WEB机和PC机和DC机：计算机右键->管理->配置->服务->Server、Workstation、Computer Browser 全部启动（Computer Browser 一直自动关闭导致 net view 显示 6118 error 没能解决，在域信息收集时暂时关闭一下防火墙）
检测一下，查看域内主机信息
在这里插入图片描述
先从WEB机开始，注意需要手动开启服务，在 C:\Oracle\Middleware\user_projects\domains\base_domain\bin 下有一个 startWeblogic 的批处理，管理员身份运行它即可，管理员账号密码：Administrator/1qaz@WSX

实验开始

先通过nmap扫描web机，可以看到1433，3389对外开放，并且存在7001weblogic服务
在这里插入图片描述
访问7001确认存在该weblogic服务
在这里插入图片描述
看一下是否存在wls9-async组件导致的反序列化漏洞(CVE-2019-2725 )
http://xxxx:7001/_async/AsyncResponseService，确定界面存在
在这里插入图片描述
利用一下积灰已久的java反序列化终极利用工具。利用成功
在这里插入图片描述
可以看到webshell权限是administrator，因为这里的weblogic是以管理员权限运行的
在这里插入图片描述
习惯将工具上自带的🐎换成冰蝎3的🐎
（这里有关于weblogic程序的文件上传路径选择https://www.cnblogs.com/sstfy/p/10350915.html）
在这里插入图片描述
连上冰蝎
在这里插入图片描述
systeminfo查看一下主机信息、补丁等…
在这里插入图片描述
由于cs较为方便，想上线至cs继续攻击。先新建一个监听器，再生成一个exe后门文件，将exe文件上传至指定可写可执行目录下
在这里插入图片描述
通过冰蝎上传exe上去，以administrator权限执行并返回到服务器上
在这里插入图片描述
exe执行没有反应，怀疑有杀软在作怪。换了进程迁移、hta、powershell等方式，但是都会拉跨。
在这里插入图片描述
360…那就先不做cs的exe后门了，我先利用冰蝎将shell反弹到我们的msf上，然后尝试通过注入再派生一个会话到cs上
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
莫名失败，大概是杀软的问题？那我就先看一下域内信息，思索着捣鼓一下，发现administrator用户是具有域权限的
在这里插入图片描述
下一个目标先拿下管理员账号密码吧，利用procdump离线加载导出lssas.exe文件失败。。
在这里插入图片描述
也许是因为我的权限还不够
在这里插入图片描述
那我就先创建一个用户并拉入administrator组中吧，远程登录看看吧
在这里插入图片描述
那我就以这个新用户进行rdp的远程登录操作吧，直接上传mimikatz，以管理员权限运行cmd，然后在线加载账号密码NTLM等信息，拿下administrator、de1ay等账号信息
在这里插入图片描述
想迁移进程但是好像不行？不知道是不是因为是冰蝎传过来的🐎，在web机没留下该进程吧
在这里插入图片描述

重见光明

现在重新利用msf的weblogic漏洞打一次
在这里插入图片描述
这里的target类型要设置好为windwos的，不然攻击失败
在这里插入图片描述
ok很快拿下shell，尝试提权一下。这。。。。这
在这里插入图片描述
这时候通过进程注入，将msf会话派生给cs就没有问题了
在这里插入图片描述
将目前进程迁移到保险的进程下，可以使用手动迁移migrate [PID]，也可以使用自动迁移进程命令（run post/windows/manage/migrate）
然后先留个开机自启动的后门，下次打开(明天)就不用再打一次了
在这里插入图片描述

尝试横向

本来想利用cs横向的，因为cs操作起来方便挺多，结果有点痴呆，感觉自己会莫名的断开
在这里插入图片描述
先放弃cs操作了。在msf中横向好了，先在msf中添加路由
在这里插入图片描述
用kali自带的proxychains配合msf中的socks5代理一下
在这里插入图片描述
以proxychains的方式nmap扫一下域控端口，这样扫比msf自带的portscan快多了
在这里插入图片描述
发现域控开放了139，445等端口
在这里插入图片描述
可利用administrtor用户通过ipc$（共享命名管道资源）进行横向的访问
在这里插入图片描述
可正常访问域控目录
在这里插入图片描述
看看psexec能不能使，好像不行
（通过ipc$管道在远程目标机器上创建一个psexec服务，并在本地磁盘生成一个名为psexevc的二进制文件，然后通过psexec执行命令，运行结束后删除服务）
在这里插入图片描述
利用rdp输入命令试试，这。。账号密码过期？还是访问超时？
在这里插入图片描述
翻了一下资料，加个-d参数就好了
（-d:不必等待进程终止，非交互式；-i:运行该程序，使其与远程系统上指定会话的桌面交互）
在这里插入图片描述
去域控检测一下，可见这样执行命令是可以正常弹出计算器
在这里插入图片描述
可以横向访问、执行。那就好办了，先生成一个正向🐎
在这里插入图片描述
将这个🐎通过copy上传上去，访问目录确定🐎存在
在这里插入图片描述
psexec执行不了那个🐎，那我就尝试通过wmic去执行这个🐎，运行的比较久
在这里插入图片描述
确定路由无误，攻击机做好正向连接的准备
在这里插入图片描述
拿到域控权限，这里之后就没有提权了，也没有去拿下pc了
在这里插入图片描述

总的来说

通过weblogic拿下权限，通过mimikatz方式dump出了账号密码，最后在ipc$基础下运用wmic执行了🐎
整体做完感觉绕了很多弯，没参考网上任何攻击思路，两天慢慢边翻阅资料边利用知识储备琢磨出来的，好的坏的过程我也都一一记录下来。师傅大佬们勿喷哦~
 
GOT IT！

 
******************************************************
具体利用方式需根据具体实践场景~

ATT&CK实战系列——红队实战(五)
lza20001103的博客
10-17 3034
ATT&CK实战系列——红队实战(五) 文章目录ATT&CK实战系列——红队实战(五)前言靶场搭建网络配置外网渗透内网渗透内网信息收集msf反弹shell设置路由探测内网存活主机cs上线横向移动fscan扫描内网主机端口拿下域控后记 前言 前面我们接触了vulnhub靶场和CTF综合靶场系列的练习，但是只是涉及外网到提权的渗透，没有对内网的进一步的渗透，近日刚学完内网，想巩固一下内网方面的知识，刚好看到红日有一个不错的靶场，所以来想来练练手，接下来，给大家好好演示一下噢。 靶场搭建 靶场下载
ATT&CK实战系列——红队实战(—)
lza20001103的博客
07-17 1549
ATT&CK实战系列——红队实战(—)
ATT&CK实战系列(二)
m0_63206880的博客
12-22 1555
vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：漏洞详情 拓扑结构大体如下： 环境搭建 Kali ip:192.168.111.135 Web Ip1:192.168.111.80 Ip2:10.10.10.80 os:windows 2008 应用:weblogic 10.3.6 mssql 2008 Pc Ip1:192.168.111.201 Ip2:10.10.10.201 Os:windows7 DC ip:10.10.10.10 .
ATT&CK实战系列二（CS域渗透）
weixin_44155363的博客
08-01 2544
环境配置： DC IP：10.10.10.10 OS：Windows 2012 应用：AD域 WEB（恢复快照后在登录） IP1：10.10.10.80 IP2：192.168.167.133 OS：Windows 2008 应用：Weblogic 10.3.6 MSSQL 2008 PC IP1：10.10.10.201 IP2：192.168.167.129 OS：Windows 7 攻击机 IP：192.168.167.128 OS：Windows 10 IP：192.168.167.131 OS：K
ATT&CK实战系列——红队实战（二）
Tajang的大千世界
02-22 887
红日二
ATT&CK靶场系列（二）
qq_1873822的博客
04-12 1926
vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：http://vulnstack.qiyuanxuetang.net/vuln/detail/3/ 拓扑结构大体如下： 靶机下载地址： https://pan.baidu.com/s/13nU-0vsGBnGejGCKzwphfQ&shfl=sharepset 提取码：41y6 开机密码：1qaz@WSX 因为要搭建一个内网环境，因此需要将虚拟机与外网隔绝，在VMware中可以通过虚拟机设置中的网络适配器来设置。 DC配置 ：D
vulnstack-ATT&CK实战系列 红队实战(一)
qq_41755084的博客
02-21 597
红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。另外本次实战完全模拟 ATT&CK攻击链路进行搭建，开成完整闭环。后续也会搭建真实 APT 实战环境，从实战中成长。虚拟机所有统一密码：hongrisec@2019漏洞详情 (qiyuanxuetang.net)
[红日靶场]ATT&CK实战系列——红队实战(—)
Huamang的博客
10-17 1106
环境搭建 靶场地址 该靶场给了三台虚拟机 下载好分别开启，密码都是hongrisec@2019，登录后需要修改密码，我这里修改的hongri@2019 靶场环境是这样的 web服务器由win7来搞，网络可以按照官方给的配置 但由于我习惯了用自己的windows打，所以我把win7设置成nat，另一个网络设成vm1 另外两个虚拟机的网络适配器都设置成vm1 NAT的子网是192.168.159.0/24 在win7里面的phpstudy打开服务 成功访问 以上就已经搭建好了环境了 WEB服务渗透 n
ATT&CK手册(修改版)
09-16
**ATT&CK手册(修改版)** ATT&CK（Adversarial Tactics, Techniques & Common Knowledge）是由美国非营利组织MITRE Corporation开发的一种框架，用于描述和分类网络攻击者的行为战术、技术和过程（TTPs）。这个框架...
ATT&CK 实战（二）
GoDunTong's Blog
07-01 547
一、环境搭建 1.环境搭建测试 红日靶场地址 1.1 网络所示 开启Weblogic服务 2.信息收集 2.1 信息收集 ## 端口扫描 root@kali:~# nmap -A -sV 192.168.111.80 二、漏洞探测与提权 1、漏洞利用 1.1 弱口令 Weblogic登录界面：http://192.168.111.80:7001/console/login/LoginForm.jsp 常用弱口令: system/password system/security weblogic/w
ATT&CK实战系列—红队实战-1
Beret-81的博客
04-26 1638
ATT&CK实战系列—红队实战-10、靶场介绍1、信息收集2、漏洞分析2.1 漏洞挖掘2.2 漏洞扫描2.3 漏洞验证3、漏洞利用​3.1 Yxcms 后台 Getshell3.2 phpmyadmin 日志 getshell3.2 主机信息收集4、权限提升4.1 使用 msf 提权4.2 dump hash4.3 远程登录5、权限维持5.1 guest 后门6、横向渗透6.1 代理转发6.2 信息收集6.3 横向渗透--域成员6.4 横向渗透--域控7、痕迹清理 0、靶场介绍 ATT&CK
ATT&CK实战系列——红队实战（一）
Tajang的大千世界
02-16 606
【红日靶场】ATT&CK实战系列——红队实战（一）：https://www.bilibili.com/video/BV1vM411w7YG/?share_source=copy_web&vd_source=0039563e566c16ad0fd35623afcb1c25
ATT&CK实战系列——红队实战（三）
Demonering的博客
04-14 3747
一、环境配置 打开虚拟机镜像为挂起状态，第一时间进行快照，部分服务未做自启，重启后无法自动运行。 挂起状态，账号已默认登陆，centos为出网机，第一次运行，需重新获取桥接模式网卡ip。 除重新获取ip，不建议进行任何虚拟机操作。 参考虚拟机网络配置，添加新的网络，该网络作为内部网络。 注：名称及网段必须符合上述图片，进行了固定ip配置。 攻击机： Kail：192.168.1.130 Windows10：192.168.1.1 服务机： Centos 外网卡IP：192.168.1.129
ATT&CK实战系列—红队实战-2
Beret-81的博客
04-27 1733
ATT&CK实战系列—红队实战-20、靶场简介1、信息收集2、漏洞分析2.1 漏洞扫描2.2 漏洞验证3、漏洞利用3.1 CVE-2019-2725 Getshell3.2 主机信息收集4、权限提升4.1 使用 msf 提权4.2 CVE-2019-1388：Windows UAC 本地提权4.3 获取hash&账号密码5、权限维持--注册表运行键5.1 Metasploit 内置模块5.2 命令行--手工创建6、横向渗透6.1 代理转发6.2 域内信息收集6.3 内网横向--域控1、使用
ATT&CK实战系列——红队实战（一）红日靶场1
qq_62989306的博客
10-17 3873
靶场搭建、外网打点getshell、上线MSF和CS、内网信息搜集、内网攻击。 靶机下载地址：http://vulnstack.qiyuanxuetang.net/vuln/detail/2/ 靶机下载完成后解压，使用vmware打开虚拟机，有三台虚拟机：Win7、Win2003、Win2008默认密码hongrisec@2019
ATT&CK实战系列——红队实战(二)
Demonering的博客
02-23 5292
环境配置 首先在VMware->编辑->虚拟网络编辑器里 更改子网ip为192.168.111.0 环境说明 DC IP：10.10.10.10 OS：Windows 2012 WEB（初始的状态默认密码无法登录，切换用户 de1ay/1qaz@WSX 登录进去） IP1：10.10.10.80 IP2：192.168.111.80 OS：Windows 2008 PC IP1：10.10.10.201 IP2：192.168.111.201 OS：Windows 7
ATT&CK实战系列-红队实战(一)vulnstack 红日靶场一
weixin_68652890的博客
05-20 1979
文章目录信息搜集主机发现端口扫描目录扫描getshell用sql向日志文件写后门getshell网站后台getshell内网信息搜集域信息搜集探测内网存活主机和端口提升权限msf会话移交cscs提权横向移动密码收集psexec横向 信息搜集 主机发现 nmap 192.168.5.0/24 端口扫描 nmap 192.168.5.174 开放3306、80端口 目录扫描 python3 dirmap.py -i http:// 192.168.5.174 -lcf 其它方法 dirsearch -u h
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值