详解内网渗透之环境架设( 四 ) _内网渗透

文章插图
第二层内网的server2008（10.10.10.88）需要访问第三层sqlserver2008数据库（192.168.222.200:1433），而第三层的win10（192.168.222.77）需要访问第二层的server2008上的web服务（10.10.10.88:80），所以需要分别在虚拟路由的lan1与lan2的高级设置中设置“允许其他LAN访问此LAN”：

文章插图
但如果只是打开LAN互访控制，则第二层内网与第三层内网就会无限制相互访问，降低了安全性，所以添加6条ACL规则：

文章插图

文章插图
添加并启用后，可以保证第二层内网内只有ip为10.10.10.88的主机能够访问第三层内网的192.168.222.200的1433端口，在第三层内网中只有192.168.222.77的主机能够访问第二层内网的10.10.10.88的80端口。
第三个虚拟路由安装完毕后，接下来安装第三层内网中的server2008与win10，安装完系统后，分别依照拓扑图设置ip，掩码255.255.255.0，默认网关192.168.222.22 。然后在server2008上安装sqlserver2008，并创建名为“test”数据库，执行test.sql数据库脚本，导入test.data的数据，并配置sqlserver2008可以为外网访问，这里配置稍微繁琐，简答介绍一下：
打开SQLserver配置管理器，如下图设置SQLServer网络配置：

文章插图
然后双击TCP/IP协议，切换到IP地址选项卡，将所有的IP地址下的“活动”、“已启用”均切换为是，也就是让SQLserver在所有IP地址上监听：

文章插图
最后，在这台主机的“高级安全windows防火墙”配置中添加一条规则，设置通过1433端口：

文章插图

文章插图
最后安装ip地址为192.168.222.77的win10，安装完毕后，配置网卡模式为VMnet5，ip地址为192.168.222.77，掩码255.255.255.0，网关192.168.222.22，然后用浏览器访问http://10.10.10.88/index.asp?id=1,出现如下界面，说明第三层内网配置成功。

文章插图
最后在win10上启动一个vbs脚本机器人，让其自动访问http://10.10.10.88上的页面，因为我们那些第二层内网后要对第三层内的win10做钓鱼攻击。
至此这个三层内网的渗透靶场架设完毕，至此本文的篇幅已经够长了，所以这个靶场的writeup就不仔细写了，下面简单介绍一下攻击思路。
0×03 攻击思路 1. 外网突破
扫描111.111.111.0/24段，发现111.111.111.3:80开放，登录发现网站，awvs扫描发现网站存在SQL注入漏洞，于是注入获取用户名及密码，登录成功后获取网站物理路径，在网站后台中试图上传webshell不成功，通过御剑扫描网站，发现phpmyadmin，用弱口令登录phpmyadmin，试图用MySQL写webshell，发现mysql开启了secure-file-priv开关限制了写文件目录，使用mysql开启日志文件，将日志文件的位置设置为刚才在后台中发现的网站物理路径位置，在sql查询语句中写webshell，成功拿到webshell 。
2. 第一层内网渗透
利用webshell上传反向socks5代理软件frpc等，在公网windows上运行frps，使得这台webshell主机的代理客户端与公网windows主机上的代理服务端相连接，这样在本地windows攻击机上安装Proxifier、SocksCap64等软件（kali用proxychains），就可以将攻击流量发送至第一层内网。
通过在本地扫描webshell网段，可以发现172.168.2.200（linux）、172.168.2.120（windows）两台主机，在webshell主机的Apache日志中可以发现172.168.2.120这台主机在不断访问这个页面（robot.vbs的作用），于是用CVE-2018-8174对172.168.2.120进行钓鱼（用法详见压缩包），钓鱼成功后，获取172.168.2.120的msf反弹回话，上传getpass进行密码抓取，然后利用msf的远程桌面开启脚本转出3389到公网kali，远程桌面登录后发现管理员桌面上有ssh软件，联想到该层内网还有一台linux主机，所以猜测这台主机的密码与linux相同，于是尝试用相同密码登录，登录成功，于是拿下linux，第一层内网渗透完毕！
3. 第二层内网渗透
在linux上搜集信息发现双网卡，在10.10.10.0/24网段上进行扫描发现3台主机存活，并且10.10.10.88这台主机上开放了80、8080端口，访问发现phpoa系统，利用任意文件上传POC拿到webshell，然后判断环境为域环境，并且当前登录账户为域管理员账户，于是上传getpass拿到域控密码，利用ipc入侵，拿下域内其他两台主机，第二层内网渗透完毕！