内网渗透测试——端口转发与内网代理渗透测试实验报告( 二 ) _内网渗透

文章插图
图10

文章插图
图11

文章插图
图12

文章插图
图13
内网代理与渗透→内网代理
通过最简单的arp –a地址解析协议就可以查到内网还存在的一台主机IP地址（如图14），当然真正的内网扫描会有很多的主机，所以必须得利用其它的扫描工具，比如nmap，在这里就不演示了。内网的web服务器外网是无法访问的，只能内网访问，所以我们可以利用内网代理来实现外网主机访问内网主机。

文章插图
图14
还是由菜刀来把我们事先准备好的reGeorg的对应脚本tunnel.nosocket.php文件上传到web服务器的web目录下（如图15），再通过网页运行一下该文件（如图16）没问题，正常运行，接着打开攻击者reGeorg的对应目录下CMD运行reGeorgSocksProxy.py -p 8888 -u
http://192.168.1.109/include/tunnel.nosocket.php命令（如图17），之后直接打开我们的代理软件Proxifier设置代理，成功利用内网代理访问内网的主机（如图18）。

文章插图
图15

文章插图
图16

文章插图
图17

文章插图
图18
内网渗透
既然我们能通过内网代理直接访问内网主机就可以开始对该内网服务器进行渗透，首先我们可以看到站点直接就是在登录页面的，而且登录不需要验证码，可以尝试密码爆破，这个时间会比较长，所以我们在这期间可以找找有没有别的漏洞，相对于这个PHPOA的CMS漏洞，网上可以找到的是属于文件上传漏洞，那么我们可以尝试下该CMS漏洞还存不存在。
要想把一个php木马挂到网站上首先要在本地构造上传地址。下图就是我构建的上传地址（如图19）。此路径也是由代码审计得出的。

文章插图
图19
利用我们构造好的本地上传html把PHP木马上传到内网的服务器主机上，第一个上传的是随便一个TXT文件，第二个选择我们的PHP一句话木马文件（如图20）。上传成功后给出了一个文件的上传路径（如图21），然后尝试菜刀连接（如图22），没问题，内网的webshell也已经拿到了。

文章插图
图20

文章插图
图21

文章插图
图22
实验总结总结
通过本次渗透测试实验可以看出海洋CMS与PHPOA的安全防护结果不是很理想，外网内置参数与函数过滤不够严格，权限策略设置不当，从而导致一步就能拿到webshell以及最高权限。而内网存在文件上传漏洞，权限中存在漏洞或者权限策略做的不够得当。本次渗透的突破口主要是分为内网和外网，外网设备存在注入和弱口令破解。内网由于arp防火墙策略做的不是很严密。导致内网沦陷。
安全加固建议
对本次渗透给予安全加固建议：
1. 对用户可控的变量进行严格的检查和过滤；
2. 文件上传使用随机数改写文件名和文件路径，上传目录无执行权限；
3. 还有一些加固建议暂时没明白，待续。

【内网渗透测试——端口转发与内网代理渗透测试实验报告】