内网渗透之域环境渗透测试过程

声明：该公众号大部分文章来自作者日常学习笔记，也有少部分文章是经过原作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。 请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

原文地址：

https://blog.csdn.net/weixin_44991517/article/details/93896401

声明：此次渗透环境为实验环境，仅供渗透实验参考

实验目的

拿到域环境下其他主机的网站源码

渗透思路

通过拿到网站shell渗透到内网，由内网存活主机拿到域控权限，再由域控渗透到其他域里面得主机获取资源。

‍

实验过程

访问目标网站IP发现是一个静态网站，发现网站前台无法利用，尝试爆破一下网站后台

利用御剑扫描后台没有发现后台登录界面，但发现了robots.txt文件，查看robots.txt发现里面有网站后台目录

访问网站后台页面

尝试使用burp暴力破解，发现成功爆破出网站后台管理员账号密码为admin/passw0rd

利用爆破出来的管理员账号密码成功登录到网站后台（PS：登录的时候选择全功能登录）

发现在界面风格>模板选择处可以修改模板文件夹名，我们将模板文件夹名修改成1.asp，尝试利用IIS解析漏洞

然后在界面风格>编辑模板/css文件>添加模板处将aspx一句话木马添加成html文件

利用菜刀成功连接到我们写入的一句话木马

利用一句话木马上传一个aspx的大马上去，方便操作

查看发现该主机是双网卡，得到两个内网IP段

查看该主机缓存信息发现几个内网IP

查看发现192.168.152.173开启了1433端口，我们推测其可能是一台数据服务器

查看网站配置文件发现数据库账号密码

利用aspx大马成功登录到数据库，并且发现是system权限

查看域里所有用户名

查询域组名称

查看当前域中的计算机列表

查询域管理员

利用数据库shell添加一个账号，并将其加入到管理员组

还发现192.168.152.173开启了3389端口

利用reGeorg+Proxifier设置代理尝试远程登录

利用前面我们添加的管理员账号密码成功登录远程桌面，在登录的时候配置选项，将本地工具文件夹挂载到目标机

成功登录到远程桌面

利用文件共享上传一个QuarksPwDump.exe，然后使用QuarksPwDump.exe抓取一下系统管理员密码hash并导出到一个txt文件里

利用MD5发现解不开

我们知道域里面的主机都是有一定的命名规则的，查看获得shell的网站发现他的网站根目录的命名为game.fbi.gov.us，通过手动测试发现一个域名为oa.fbi.gov.us的网站

访问我们oa.fbi.gov.us域名发现是一个源码库日志管理系统

尝试利用asp万能密码绕过登陆，账号：liufeng’ or ‘1’='1密码任意，成功登录到后台

在添加日志处发现存在存储型xss

点进我们添加的日志查看一下属性，发现添加的日志的URL

测试一下得到的URL是否存在注入，发现报500错误

我们利用啊D注入工具登录到网站后台

然后尝试注入该URL发现成功注出管理员密码，username不知道什么原因没跑出来，不过问题不大，上面我们已经得到了几个用户名，也不多，可以一个一个尝试

利用我们前面的到的用户名和密码尝试登录域里面得其他主机

成功登录到其他主机，然后我们就可以查看下载域里面其他PC端的文件了

---

关注公众号回复“9527”可免费获取一套HTB靶场文档和视频，“1120”安全参考等安全杂志PDF电子版，“1208”个人常用高效爆破字典，“0221”2020年酒仙桥文章打包，还在等什么？赶紧点击下方名片关注学习吧！

---

推 荐 阅 读

---

欢 迎 私 下 骚 扰

本文始发于微信公众号（潇湘信安）：内网渗透之域环境渗透测试过程