经验啦

  1. 首页 > 科技 > >

|网络安全之红蓝对抗实战( 二 )


测试的时候 ， 发现\"白名单可以绕过\" ， win环境+文件上传后未重命名 。 其中<>?/^*\uD83D\uDE10\"等符号不允许在文件名中出现 。 所以有了：

1.php:.png能够落地1.php ， 但是文件内容为0kb ， 绕不过去 。， 等一个师傅能落地webshell 。


【一>所有资源关注我 ， 私信回复“资料”获取<一】

1、很多已经买不到的绝版电子书

2、安全大厂内部的培训资料

3、全套工具包

4、100份src源码技术文档

5、网络安全基础入门、Linux、web安全、攻防方面的视频

6、应急响应笔记 7、 网络安全学习路线

8、ctf夺旗赛解析

9、WEB安全入门笔记
PHPStudy后门常规RCE漏洞+win环境+杀软的考察 ， 留了php探针页面 。 一些常用的下载执行的命令无法使用会被拦截 ， 绕过可自行测试LOLBAS 。 其实这个漏洞本质还是php代码执行 ， 可以直接用file_put_contents()写入一句话：

很多人还是用的system(‘echo/powershell/certutil’)写入 ， 杀软不给力PHP_CGI.exe调powershll/certutil写文件或是解码 ， 进程链未拦截 ， 初衷还是希望大家能代码执行的时候不调用命令执行 。
Fastjson漏洞

本来想部署的靶场是shiro JRMP链+win+杀软的 ， 奈何不懂java ， 鼓捣半天没弄出来

原意是想让大家修改yso实现代码执行打shiro JRMP实现内存马/下载执行【java实现】/静态资源写webshell ， 但卒 。 考察JNDI注入+win环境+杀软上线问题 ， 比较通用的方法就是内存马/下载执行【java实现】/静态资源写webshell ， 需要自己动手写恶意类实现上述功能 ， 以静态资源为例 ， 如何拿到web路径：
其中一只攻击队同学是echo写入再certutil解码：



如果使用JAVA代码实现恶意EXE的下载执行上线 ， 建议先判断System.getProperty(\"os.name\")和System.getProperty(\"os.arch\") 。
git有很多优秀的JNDI利用工具可以使用 ， 但是初衷还是希望自己动手实现上述场景定制的恶意类 ， 一个包就打成功 ， 攻击流量不要太多 。
办公网
办公网大概有7台主机通过DMZ区redis打过来 ， 其中SMB泄露的账号密码直接用impacket包横向移动的脚本利用 。 同事帮忙搭了log4j漏洞的环境和完善了办公网的路径分 ， log4j的利用和fastjson那台利用手法相似 。
办公网跨域还是沿用了上次的保存的RDP连接记录 。
需要提及的就是从域外如何发现域 ， 除了网络侧netbios扫描或是88&389等常用端口的扫描【需要知道网段 ， 很可能触发大量流量】 ， 若工作组主机DNS服务器是域控时 ， 可nslookup 域名根据返回DNS服务器名称判断是否有域 ， 主机侧还可以收集的信息就是cmdkey /list |findstr Domain和mimikatz收集的凭据 。


shell dir /a %userprofile%\\AppData\\Local\\Microsoft\\Credentials\\*

域环境
域环境有8台主机 ， 靶标在corp1.com域内 ， 需要拿下corp1域管权限才能登录 。
域内部分主机不出网 ， 以下方便复现给VPSIP开了出网白名单 ， 实际解决可利用**beacon_bind_pipe/beacon_bind_tcp/pivot listener**
利用RDP破解的dev\\user02登录C06 ， 有applocker ， 限制了执行的程序 ， 于是dll上线 ， 白+黑参考LOLBAS 。

dev01.dev.corp1.com-10.5.12.248 ， 起socks4A代理域外sAMAccountName spoofing直接打 ， 利用成功会生成一张域管访问dev01的ST ， PTT利用secretsdump.py获取krbtgt：


生成黄金票据：


域内横向移动常见方法：SC AT/SCHTASKS PSEXEC WMI WINRM DCOM.

相关经验推荐


上一篇：空调|旗舰手机直降1500元！骁龙8仅不到3000元，2022最适合入手的手机

下一篇：AirPods|AirPods Pro 第二代将推出，第一款支持无损音频的无线耳机