无弹窗渗透测试实验

0x01 前渗透

内网拓扑说明：

1. 1. 10.101.101.0/24 网段模拟的是外网的地址

1. 1. 192.168.101.0/24 网段模拟的是一个小型企业的内网中的应用服务器网络

1. 1. 192.168.111.0/24 网段模拟的是一个小型企业的内网中的办公网络

1. 1. 企业内网可以无限制的访问到外网，但是外网无法访问到企业内网

1. 1. 办公网可以无限制的访问到应用服务器网络，但是应用服务器网络无法访问到办公网络

1. 1. 部分服务器打了全部的补丁，并且保持正常更新

内网拓扑图：

扫描 10.101.101.13 后发现此服务器开放 80、82 端口， Win2008 系统，80 端口处发现 SQL 注入，获取数据库和数据库所在服务器版本：

数据库是 2008r2 的，所在的操作系统是 Win2008 或 Win7，随后看数据库：

这个语句测试数据库的权限，发现有延时，证明是有数据库的权限是dba的权限，打开 xp_cmdshell 的限制，创建临时表执行命令并将结果写入新创建的临时表中：

读取结果：

看上去这个网站是站库分离的网站，用这种方法执行 ping 10.101.101.16 ，发现数据库服务器可以通外网，获取这些信息之后，我 drop table temp 删除创建的临时表。在获取到这么多信息了之后，在自己机子上开一个 Web 站点下载 nishang 的 powershell 的反弹脚本到自己的 Web 服务器上

nv -lvvp 8888 监听等待反弹，然后执行：

但是数据库权限病不高，现在我将用 Powershell 远程加载并执行exe的脚本执行 ms15-051 ，Ps 脚本地址：

执行：

可以看到提权没有成功，并且换一个 Exploit 也没成功：

继续使用 msf 探测，开启 msf 监听功能：

执行，从数据库主机上反弹一个 meterpreter 连接：

随后用 use auxiliary/scanner/smb/smb_version扫描 smb 获取内网信息，发现 mail 服务器，然后用 use auxiliary/scanner/portscan扫描端口，发现开放 80 25 110 端口：

使用 use auxiliary/server/socks4a 代理进内网后在 82 断口处发现了惊喜：

通过弱口令轻松进入到后台，发现一个可以生成静态站的地方：

把自定义静态页面存储主路径改成 1.asp ，然后编辑一篇文章把木马代码放进去，重新生成静态页面 GetShell ：

这个服务器的 82 不能执行cmd，不支持aspx，不能跨目录到umail，但是在一个奇怪的地方发现一个一份企业通讯录，下载下来看到管理员邮箱：

于是想到用伪造邮件的方法来钓管理员，参考两篇文章：

第一种方法：首先用 CVE-2017-8570 Explot 做一个钓鱼用的 ppsx ，由于原来的 exp 要用 Poershell 下载 shell.exe 再执行，这样容易被杀软发现，并且原来的 exp 执行反弹回来的 shell 权限不够，所以要考虑绕过 UAC ，让管理员点击恶意的 ppsx 后静默反弹一个高权限的shell ，如果用 nishang 给的 Invoke-PsUACme.ps1 ，执行之后会有一个一闪而过的黑框框，很让人感到怀疑，去掉这个一闪而过的黑框框很简单，因为我用 oobe 的方法在 Win7 上绕过 UAC ，所以我在这里只介绍在这种条件下去掉黑框框的方法，首先去掉 Invoke-PsUACme.ps1 第206行的 & $execpath 代码，之后在调用 Invoke-PsUACme 的时候 -payload 参数写上你要执行的命令，最后用 rundll32.exe 静默启动 C:/Windows/System32/oobe/setupsqm.exe

换掉原来 exp 里面的 Powershell 调用语句，其中 uacchm.ps1 的内容是：

而其中enc后面的数据是经过下面的代码编码而成：

编码的内容：

改好的

用法是：先生成一个恶意的ppsx

在 82 端口开启服务：

Ps: 好多时候这个漏洞复现不成功，可以将查看 文件 -> 选项，点击 信任中心设置，去掉设置中的所有勾取选项即可：

第二种方法比较简单，用 easy chm 做一个恶意的 chm ：

其中我做的 test.html 我放在了

Ps: 由于PARAM的value的长度似乎有某种限制，所以我把

base64 编码之后放入 PARAM 的 value 中 ：

两个恶意的文件都制作好后用 swaks 伪造邮件把这两个文档发送出去：

现在静静等待管理员点击我们的恶意文件，启动msf的 exploit/multi/handler 模块时候用 exploit -j 就可以让 msf 在后台等待管理员上钩了。

0x02 后渗透

当我们发现一个管理员中了我们的木马：

由于 bypass 了 uac ，所以返回的是管理员的 shell ，我们可以用 mimikatz 来把密码脱出来看看：

由于管理员的机子不属于任何域，也不是域账号登陆，所以我需要获取他的在远程登陆其他机子的时候的用户名和密码，根据这篇文件的介绍，我希望替换远程桌面的快捷方式来监视管理员的行为，思路是：

使用方法：

看着已经生成好了，看一下效果：
 

看着比较正常，用起来也很正常，没有卡顿，没有一闪而过的黑框，如果管理员用到远程登陆快捷方式去远程登陆服务器的话，在 c:\windows\temp 目录下会生成 log.dll ，这个里面记录的是键盘记录，cap.zip记录的是关键步骤截屏：

等管理员启动的恶意的远程登陆快捷方式之前，可以用管理员的密码在应用服务器网段内用 use auxiliary/scanner/smb/smb_login 碰碰运气（看起来运气并不怎么样。。。）：

等了几天后，我们发现在这个目录下终于有东西了，下载之后看到键盘记录：

屏幕截图记录：

我们现在获得了一个普通域账

号的账户名和密码，下面试试 MS14-068 能不能成功，用 proxychain 执行：

NICE!!!

Ps: 攻击的时候如果dns在内网要记得hosts的地址绑定。

用得到的 shell 反弹一个 PoweShell 出来到本地8888端口，如果你用下面的语句反弹的话将得到是一个32位的 PowerShell ：

这个时候如果你运行：

系统会报错，原因是你不能在32位的 Shell 中运行64位的程程序，这里涉及到一个64位系统文件重定向的问题,所以正确的做法是使用下面的代码来反弹一个64位的 PowerShell ：

再次运行：

成功得到域控管理员的密码，下面我们要在域控上面安装一个隐蔽的后门

这里利用三好学生的方法制作一个 wmi 的后门：

enc编码前的内容依然是：

执行之后，每分钟会反弹一个meterpreter的shell，而且重启后依然会反弹：

Ps: 这个wmi的后门我在Win10上实验的时候不能执行 Payload ，如果触发到后门的触发条件的话， Win10 会弹出 openwith.exe 这个进程，界面上看就是这个：

查了两天资料也没有找到一个正经的解决方法，但是后来把 openwith.exe 换成 cmd.exe 就可以执行 Payload 了，因为 win7 和 win2008 没有 openwith ，所以没有遇到什么阻力就直接执行Payload，但是 Win10 和 Win8 在正常情况下就会打开 openwith

最后，我还想放置一个后们，在域控管理员改密码的时候记录他的新密码[参考]，注意他的脚本里面有一个选项可以从你的 Web 服务器加载一个dll到对方主机内存里面，这样你把你的dll生成好之后就可以放在你的 Web 服务器下面，在这个ps1最下面加入

然后你把这个脚本的调用加入到chm.ps1里面，下面是改动之后chm.ps1里面的内容：

这样一方面我们可以反弹一个 meterpreter ，另一方面还可以在域管理员改密码的时候记录他的新密码：