一次实际渗透的中方程式smb叠加利用提权

2017-05-04 21:57:36 80 blackwolf 16080

一次渗透windows server服务器getshell以后，提权受阻（3389开启；445开启，有防火墙，445不能直接外连），尝试ms16-032、mysql udf等提权均未成功。
1.上传EarthWorm转发端口445到指定端口./ew -s lcx_tran -l 8888 -f 127.0.0.1-g 445
然后利用eternalblue+Doublepulsar溢出目标8888端口，成功回弹系统权限的shell
2.由于防火墙限制（也可能其他），直接添加管理员始终不能成功
3.上工具，获取管理员密码hash破解，成功登陆3389

ps:纯粹技术分享，有人非说“有图才有真相”实际目标不方便展示，验证只需要：内网win7开启防火墙，然后利用ew转发445端口到8888，接着eternalblue+Doublepulsar渗透445端口和8888端口就可以看到效果了

类别渗透测试

关于作者

blackwolf25篇文章252篇回复

blackwolf

评论80次

要评论？请先登录或注册

40楼

blackwolf
2017-5-6 09:04

mrwu77：
是在webshell权限下，将目标445转发到本地8888，然后本地用fb撸127.0.0.1:8888?是这样的吗？
回复|@ta
1

看帖子啊！目标防火墙限制445外联，目标445端口转8888端口(目标任何来自8888端口的流量会发送到127.0.0.1:445)，利用的时候是目标:8888

回复|@ta|踩(0)|顶(0)
39楼

Anonymous
2017-5-6 08:47

对渗透方面不是了解太多，想请问楼主是通过哪个漏洞去实现？(看到图中协议是SMB)

回复|@ta|踩(0)|顶(0)
38楼

qhkest
2017-5-6 04:05

不错的点子，。

回复|@ta|踩(0)|顶(0)
37楼

第五轻柔
2017-5-5 23:42

这个思路不错，转发再利用。

回复|@ta|踩(0)|顶(0)
36楼

dacheng
2017-5-5 23:00

不错，学xi了。谢谢楼主

回复|@ta|踩(0)|顶(0)
35楼

mrwu77
2017-5-5 21:09

是在webshell权限下，将目标445转发到本地8888，然后本地用fb撸127.0.0.1:8888?是这样的吗？

回复|@ta|踩(0)|顶(0)
34楼

Mi_White
2017-5-5 21:03

转发445端口...真没网这边想...马上在环境中试下。

回复|@ta|踩(0)|顶(0)
33楼

Xiaoye
2017-5-5 20:50

这姿势很骚，没毛病老铁

回复|@ta|踩(0)|顶(0)
32楼

Nameless
2017-5-5 18:17

不错的思路表哥

回复|@ta|踩(0)|顶(0)
31楼

3443410
2017-5-5 18:07

思路很不错，可以借鉴下。

回复|@ta|踩(0)|顶(0)
30楼

teanayuan
2017-5-5 17:58

学xi了，thanks

回复|@ta|踩(0)|顶(0)
29楼

blackwolf
2017-5-5 17:33

root_iceH：
那个blue的加载失败为何还是能够利用成功，楼主是将fb搬到服务器上去了吗
回复|@ta
1

目标防火墙限制直接445端口利用失败，利用端口转发到8888成功

回复|@ta|踩(0)|顶(0)
28楼

root_iceH
2017-5-5 17:23

那个blue的加载失败为何还是能够利用成功，楼主是将fb搬到服务器上去了吗

回复|@ta|踩(0)|顶(0)
27楼

he110
2017-5-5 15:36

he110：
请问溢出的时候是如何将默认的445端口换成8888端口的呢？
回复|@ta
1
blackwolf：
这里使用场景是已经getshell了目标网站，然而其他方式提权都失败了。所以上传ew把445转其他端口，如8888，绕过防火墙对445外联限制(流量转发后相当于自己连自己的445)，反弹xi统权限shell
回复|@ta
2
展开隐藏楼层
he110：
这个我明白，我看你贴的图，溢出的端口是8888，默认溢出的端口是445吧。在使用fb.py的时候怎么将默认的445端口换成8888的呢？
回复|@ta
3
blackwolf：
这……，利用的时候就有设置端口号啊！
回复|@ta
4

啊啊啊，哈哈，不好意思啊，我没注意

回复|@ta|踩(0)|顶(0)
26楼

blackwolf
2017-5-5 15:33

he110：
请问溢出的时候是如何将默认的445端口换成8888端口的呢？
回复|@ta
1
blackwolf：
这里使用场景是已经getshell了目标网站，然而其他方式提权都失败了。所以上传ew把445转其他端口，如8888，绕过防火墙对445外联限制(流量转发后相当于自己连自己的445)，反弹xi统权限shell
回复|@ta
2
he110：
这个我明白，我看你贴的图，溢出的端口是8888，默认溢出的端口是445吧。在使用fb.py的时候怎么将默认的445端口换成8888的呢？
回复|@ta
3

这……，利用的时候就有设置端口号啊！

回复|@ta|踩(0)|顶(0)
25楼

he110
2017-5-5 14:48

he110：
请问溢出的时候是如何将默认的445端口换成8888端口的呢？
回复|@ta
1
blackwolf：
这里使用场景是已经getshell了目标网站，然而其他方式提权都失败了。所以上传ew把445转其他端口，如8888，绕过防火墙对445外联限制(流量转发后相当于自己连自己的445)，反弹xi统权限shell
回复|@ta
2

这个我明白，我看你贴的图，溢出的端口是8888，默认溢出的端口是445吧。在使用fb.py的时候怎么将默认的445端口换成8888的呢？

回复|@ta|踩(0)|顶(0)
24楼

blackwolf
2017-5-5 14:44

he110：
请问溢出的时候是如何将默认的445端口换成8888端口的呢？
回复|@ta
1

这里使用场景是已经getshell了目标网站，然而其他方式提权都失败了。所以上传ew把445转其他端口，如8888，绕过防火墙对445外联限制(流量转发后相当于自己连自己的445)，反弹xi统权限shell

回复|@ta|踩(0)|顶(0)
23楼

he110
2017-5-5 14:39

请问溢出的时候是如何将默认的445端口换成8888端口的呢？

回复|@ta|踩(0)|顶(0)
22楼

mansha
2017-5-5 14:25

小伙这么6

回复|@ta|踩(0)|顶(0)
21楼

blackwolf
2017-5-5 13:42

lcx：
你本机要./ew -s ssocksd -l 8888做这一步吧？然后方程式溢出的是本机445端口还是8888端口，还是做全局代理溢出本机445？还是不需要做直接溢对方机器的8888端口?
回复|@ta
1
lcx：
刚看到图明白了，好像是肉鸡本地转发本地溢8888
回复|@ta
2

就是这样

回复|@ta|踩(0)|顶(0)