声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，鹏组安全及文章作者不为此承担任何责任。

在进行渗透测试时，首先需要进行的是信息收集，这是一项非常重要的任务。就像孙子兵法所说的：“知己知彼，百战不殆”。因此，我们需要选择目标站点并搜集尽可能多的信息。以下是我们搜集到的信息：

URL: http://***.**.cn/

IP：58.**.**.**

端口：80， 443

注册信息（whois）：
Domain Name: ***.***.***
Registrant: 上海********公司
Registrant Contact Email: cs@******.com.cn
Sponsoring Registrar: 北京*********有限公司
Name Server: f1g***.dnspod.net
Name Server: f1g***.dnspod.net
Registration Time: 2001-07-26 00:00:00
Expiration Time: 2022-07-26 00:00:00

子域名信息:
116.236.199.** mail2.***.**.cn
180.166.3.** import.***.**.cn
58.246.81.** query.***.**.cn
58.246.81.** mail.***.**.cn

邮箱：
liunian@***.**.cn

通过以上收集到的信息，我们简要分析了接下来的渗透思路：

1. 首先，我们需要寻找主站的漏洞并利用它们，进一步渗透系统。
2. 接着，我们可以尝试利用子站的漏洞来渗透系统，并收集更多的有用信息。

在进行渗透测试时，我们首先尝试寻找目标站点的漏洞。我们可以使用一些扫描工具，例如AWVS，对目标站点进行初步扫描，以确定是否存在可以利用的漏洞。不过，最简单直接的方法是手动浏览目标站点，仔细查看每个可能有价值的页面。如下：

我们发现目标站点是基于Joomla CMS的，这对我们接下来的渗透测试具有重要意义。最近，Joomla爆出了许多RCE和SQL注入漏洞，因此我们可以利用这些漏洞来渗透测试目标站点。于是，我们可以使用已经公开的exp(http://avfisher.win/archives/287)对其进行测试， 如下所示：

[+] vuls found! url: http://***.***.cn/, System: Windows NT EESTSWEB01 6.1 build 
7601 (Windows Server 2008 R2 Enterprise Edition Service Pack 1) i586 , 
document_root: C:/xampp/htdocs/*** , script_filename: 
C:/xampp/htdocs/***/index.php , shell_file: http://***.***.cn/***/***/***.php

我们发现目标站点存在漏洞，并且已经成功利用漏洞获取了webshell，但这并不意味着渗透测试已经结束。实际上，真正的渗透刚刚开始。我们发现该站点运行在Windows 2008 R2服务器上。因此，我们需要思考如何提升权限，以获得管理员权限。在菜刀中，我们可以执行命令“whoami”来查看当前的webshell权限是什么。如下：

net user <user> <password> /add
net localgroup administrators <user> /add

接下来，我们需要进一步查看和收集系统的一些常见信息，以帮助我们进行更深入的内网渗透。通常，我们需要收集以下信息：

1. 系统信息 – systeminfo
2. IP信息 – ipconfig /all
3. 开放的端口信息 – netstat -an
4. 运行的进程信息 – tasklist
5. 局域网中公开的文件共享 – net view
6. 局域网中的域的信息 – net view /domain

分析并提取有用信息：

主机名：***TSWEB01  
内网IP：192.168.0.10 
内网网关：192.168.0.230
操作系统：Windows 2008 R2
所在域：WORKGROUP
杀毒软件：未发现
WEB服务器组件：XAMPP
端口：80(HTTP), 3306(MySQL), 3389(RDP)
局域网所有的域：***, WORKGROUP

根据我们之前的分析，发现目标服务器已开放RDP端口（3389），但是该服务器处于内网中，我们无法直接连接。为了解决这个问题，我们可以考虑使用端口转发工具，将服务器的RDP端口转发到我们自己的外网服务器上，然后我们再连接到外网服务器上进行访问。第一步是上传端口转发工具。（可以参考http://avfisher.win/archives/318）

第二步，外网服务器开启端口监听端口5001和5002

第三步，内网服务器开启端口转发，将本地端口3389转发到外网服务器监听的端口5002上

第四步，发起RDP外连外网服务器的端口5001

现在，我们成功地使用端口转发工具连接到了内网服务器，可以访问该服务器上的一些服务。通过打开XAMPP，我们可以很轻松地查看网站的数据库数据：

为了进一步渗透内网，我们需要对内网进行扫描，看看内网开启了哪些服务，这里我推荐一款快速扫描内网的工具（MyLanViewer），结果如下：


内网的一些共享目录：（各种内部资料和信息）



一些内网的系统：私有云云存储管理系统：（可以为共享目录设置权限）

无线路由器：（内网流量嗅探和截取）

打印机：（获取到了部分企业联系人的通讯录）