记一次对某外国服务器的内网渗透练手

杀软进程为迈克菲，暂时关不掉先留后门再说

查找目标服务器的weblogic真实网站的根目录，目标服务器路径如下：

C:/Oracle/Middleware/Wls_Home/wlserver/server/lib/consoleapp/webapp/images

对应网页端地址：http://xxxx/console/images/

成功穿透之后，配合Proxifier实现流量转发

之后直接使用远程桌面登录并留下粘贴键后门

登录进入桌面

桌面记事本中记录了Weblogic的账号密码

查看服务器本地的rdp远程桌面记录，内网18段的138为同密码登录，这是个专门扫描病毒的机器，安装了迈克菲

手动关闭defender执行下载后门上线

同理，同网段的170也能进行登陆

170存在any desk可以跳转到其他机器上，属于是内网沦陷了

Any desk连接验证下，截图如下

之后尝试对内网其他服务器使用cobaltstrike的powershell进行上线，发现powershell组策略被关闭，无法执行任何powershell命令

开始抓取本机hash

权限维持一下

reg add "HKLMSoftwareMicrosoftWindows NTCurrentVersionImage File Execution OptionsUtilman.exe" /v Debugger /t REG_SZ /d "C:OracleMiddlewareWls_Homeuser_projectsdomainsadf_domaincodewall.exe " /f

然后把本地的后门文件隐藏一下

attrib +r +s +h C:OracleMiddlewareWls_Homeuser_projectsdomainsadf_domaincodewall.exe

之后用CS插件插入注册表自启动执行

简单隐藏后门之后完成内网的初步渗透

原文始发于微信公众号（C4安全团队）：记一次对某外国服务器的内网渗透练手