渗透测试学习笔记之综合渗透案例

0x00 前言

《渗透测试学习笔记》系列文章之前已经发了好几篇了，但是都是属于单点突破系列，意在撕开一张口子为下一阶段的持续渗透做准备。今天这篇文章略有不同，笔者将试图呈现一个完整的内网渗透过程。文章略长，如果感兴趣的话，请耐心阅读！

0x01 案例分析

实验环境：

目标环境：10.0.0.0/24, 10.0.1.0/24

攻击主机：10.0.0.5 (Kali), 10.0.0.7 (Windows)

渗透过程：

基本的主机探测：

任意选取其中的一个online的IP（如：10.0.0.9）进一步探测：

从以上探测结果可以发现该主机是Windows 2008 R2且开放了SMB和RDP，继续探测：

此时，我们发现该主机存在一个可读写的share folder\\10.0.0.9\share:

为了进一步了解，登录我们用于渗透的另一台Windows主机（10.0.0.7）。

发现，这个共享文件夹里包含了一个定期监控运行进程的python脚本。

由于该文件夹可读写，我们可以生成并放置一个meterpreter的payload，然后修改该python脚本来执行它，这样我们就可以得到一个meterpreter session了。

修改python脚本如下：

几分钟后，我们顺利地获得了一个meterpreter session了。

利用auxiliary/scanner/portscan/tcp去扫描10.0.1.0/24段，如下：

我们任意选取其中的一台机器(如：10.0.1.11)，我们发现其开放了80和22端口。接下来，我们可以在session 2里设置端口转发，将攻击机(10.0.0.5)上的8080端口转发到目标机(10.0.1.7)上的80端口，方便我们后续的测试。

这时，我们再次登录我们的Windows渗透机器(10.0.0.7)来查看一下这是个什么网站。

经过测试发现，这个登录功能存在SQL Injection，可以通过以下的用户名和密码登录：

经过观察发现，这个网站应该直接本地文件包含了web服务器的access_log，因此我们可以想到利用文件包含漏洞来生成一个webshell，具体步骤如下：

发送一个包含webshell代码的HTTP请求使其被写入到access_log里, 如一个仅包含上传功能的php小马

2.访问http://10.0.0.5:8080/admin.php来文件包含access_log使其中的php代码被执行，从获取一个具备上传功能的php小马

3.访问http://10.0.0.5:8080/upload.php并上传一个功能齐全的PHP webshell

4.访问http://10.0.0.5:8080/shell.php并输入密码qwer，则成功地获取了一个webshell

利用webshell提供的功能我们发现这只是一个用于运行web service的低权限的用户(daemon)，那么接下来我们需要解决的问题就是本地提权到root权限。

如上图，我们找到了一个777权限的root用户所拥有的cronjob文件/etc/cron.hourly/clean_up_access_log。看起来这个脚本似乎是用于定期清理access_log的。因此，我们似乎可以利用它来获得一个root权限的meterpreter shell。

首先，生成一个Linux的meterpreter payload并通过webshell上传到目标主机上并添加执行权限；

接着，修改/etc/cron.hourly/clean_up_access_log使其可以执行我们上传的payload并等待cronjob的下次执行；

最后，我们成功地在目标机器(10.0.1.11)上获得了一个root权限的meterpreter session，如下：

利用上面获得的root权限的meterpreter session，我意外的发现了一个有趣的文件/root/readme.txt，其中包含了一个远程FTP(10.0.1.26)的口令和密码。

既然拿到了这个信息，我们不妨再次探测一下我们的下一个目标(10.0.1.26)。

果不其然，目标机（10.0.1.26）确实存在一个FTP站点。进入上面获得的session 2,在目标机10.0.0.9(10.0.1.9)上添加一个管理员账号:

接着RDP到目标主机10.0.0.9(10.0.1.9)上，并尝试使用已经获取的口令登录。

结果显示，我们成功地登录了该FTP站点，且具备读写权限。另外，我们还发现该FTP为目标机10.0.1.26上的一个web站点的根目录。因此，我们可以通过该FTP轻松地上传一个webshell.php文件，如下：

有了webshell我们便可以上传一个meterpreter payload来获取一个功能强大的meterpreter session了。

同时，我们发现目标机(10.0.1.26)是一个加入了GBOX域的机器，且DNS服务器的IP是10.0.1.7:

那么接下来，我们的下一个目标就是IP为10.0.1.7的域控服务器了。

经过一系列测试，发现目标机似乎只接受来自IP10.0.1.26(Session 5)的流量，因此我们需要先添加一个专门的路由使我们的攻击机(10.0.0.5)流量可以抵达目标主机(10.0.1.7)。

首先，搜集利用hashdump命令收集一下主机10.0.1.26的所有密码Hash：

接着，我们可以尝试使用Pass The Hash来测试一下我们的目标机(10.0.1.7)，并成功地拿下了该域控服务器。

至此，我们已经成功地拿下了所有实验环境下的主机控制权限。

0x02 小结

本文重点介绍了一个相对完整的内网渗透过程(即：外网主机-内网主机-内网域内主机-内网域控服务器)。当然，这只是个简单的实验环境，实际实战中遇到的情况会比这复杂很多(比如：各种反病毒程序的bypass，内网反入侵系统的检测的绕过等等)，但是基本思路和方法都是类似和相通的。另外，因笔者水平有限，文中表达不当或者不正确的地方，也敬请谅解和指正。

另，本文中所使用的实验环境是由笔者专门开发的弹性内网渗透系统随机生成的，支持随机组网和动态生成模拟内网环境。

如果有任何疑问，欢迎添加qq群测试入门到大神 755431660 共同学习~