从外网到域控（vulnstack靶机实战3）-安全客

前言

大家好，我是鸿鹄实验室的lengyi，团队小伙伴发来的一个靶机，说是根据红日靶机改得，让我打一下，于是便有了该文。整个流程为黑盒测试，只有一个目标Ip：192.168.0.108，

外网渗透

下面开搞：

访问目标Ip发现却发现是空页面：

估计是作者改了端口，尝试常见的8080、8000、8888、8090等，在8080找到了目标站点,一个信呼oa：

因为是靶机系统，估计也不会很难，果然admin、123456弱口令进入后台。

且系统版本较低：

因为之前做的项目中，曾经遇到过这个oa知道它存在注入漏洞（https://www.seebug.org/appdir/rockoa) 且后台上传较难突破，于是便考虑使用注入进行下一步攻击，若是root则直接getshell，使用sqlmap进行如下操作：

sqlmap -u 'http://192.168.0.108:8080/index.php?a=movefile&m=word|system/word&ajaxbool=true' --data="fid=1" 
--cookie "PHPSESSID=369fdatmhlacnkfkudg8bd7106; deviceid=1580038026865; xinhu_mo_adminid=1; xinhu_ca_adminuser=admin; xinhu_ca_rempass=0" 
--level 5 --risk 3 --technique=T --current-db --current-user -p 'fid'

即可成功注入，但是发现并不是root权限，这条路暂时就死掉了。俗话说，遇事不绝扫目录，拿上dirsearch进行简单的目录遍历，发现了一些敏感目录：

访问upload发现了jquery上传组件：

关于这个组建网上有比较流行的三个漏洞，具体介绍可以看（https://blog.csdn.net/niexinming/article/details/86268694）右键查看到版本之后，发现应该存在CVE-2018-9206，使用poc进行测试：

蚁剑连接成功，成功getshell.

简单查看了一下，发现并无杀软，msf生成木马，蚁剑传马，执行上线：

内网初探

发现为域环境，添加路由，进行主机发现

得到三台加入test域的windows主机

192.168.93.20 windows server 2008
192.168.93.30 windows 7
192.168.93.10 windows server 2012

我们先来抓一下08的密码，万一可以使用相同的密码渗透win7呢，我个人喜欢msf交互式运行mimikatz进行密码抓取,具体操作参考（https://lengjibo.github.io/rt/）

获得密码为123qwe!然后使用socks将目标代理出来，nmap扫描发现没有开启3389。

使用抓到的08的密码登录smb也失败了，尝试使用msf进行爆破登录，竟然成功了…

尝试psexec反弹正向shell

发现执行失败，猜测可能有像applocker类的防护，使用wmiexec执行命令，发现可以成功执行：

先来试以绕过applocker的方法能不能成功，关于applocker后续我会出一个系列文章讲解，我这里使用CMSTP的方法，使用msf生成dll，inf包含的方法进行绕过

大体的inf写法如下：

[version]
Signature=$chicago$
AdvancedINF=2.5
[DefaultInstall_SingleUser]
RegisterOCXs=RegisterOCXSection
[RegisterOCXSection]
C:Userstest.PENTESTLABpentestlab.dll
[Strings]
AppAct = "SOFTWAREMicrosoftConnection Manager"
ServiceName="Pentestlab"
ShortSvcName="Pentestlab"

将生成的文件传到08上面，再使用wmiexec使用certutil进行下载，