云尘 -- 铁三域控
描述：
flag1
直接fscan开扫
发现存活两台机子123和141，其中141这台机子扫出来有ms17-010漏洞
继续信息收集，用nmap扫一波全端口，看看有没有遗漏
141这台机子一开始没扫到，看着提示使用-Pn再扫一遍就行了。因为如果当前用户是管理员权限，nmap默认会通过目标IP的80及443端口以及向目标ip发送icmp请求来判断目标IP是否存活，在这个例子中，目标80及443端口均不可达而且可能没开icmp协议，所以nmap认为172.25.0.141是死的并不再继续执行扫描动作
尝试使用msf利用ms17-010直接拿下141这台机子的shell
结果这台机子是32位的win7，那么我们就进行设置利用MS17-010渗透win7（32位）_利用ms17-010渗透win7(32位)-CSDN博客
https://github.com/1stPeak/Eternalblue-Doublepulsar-Metasploit-master
通过上面进行下载
然后修改解压后的文件夹名字为 Eternalblue-Doublepulsar-Metasploit
然后将内容设置在 /root 目录下
进入文件夹
cp eternalblue_doublepulsar.rb /usr/share/metasploit-framework/modules/exploits/windows/smb
复制到msf的payload中
然后开始设置32位kali
dpkg --add-architecture i386 && apt-get update && apt-get install wine32
wine cmd.exe
这里就设置完毕了
利用失败
于是开始尝试其他思路 我们发现123这台机子开放了80端口，直接访问，是织梦CMS
用gobuster扫一波目录
扫出来很多目录，访问后感觉只有sql目录可以利用
访问这个目录后直接跳转到了一个sql语句执行的页面，盲猜一波sql注入，在路径后面拼接上?id=2，访问
用sqlmap跑一下试试，sqlmap.py -u http://172.25.0.123/sql/?id=2 --dbs 发现可行
sqlmap.py -u http://172.25.0.123/sql/?id=2 -D dedecmsv57utf8sp1 --tables
第一个就是flag表，继续-T指定flag表，--dump爆出所有数据，拿下flag2
sqlmap.py -u http://172.25.0.123/sql/?id=2 -D dedecmsv57utf8sp1 -T flag --dump
flag1
继续探索flag
可以看出这个cms的版本为v57_UTF8_SP1，搜一下这个版本历史漏洞，没有找到可以利用的，但是找到了这个cms的后台管理登录地址/dede/login.php
尝试一波弱口令，无果，直接bp爆破出来
登录进去直接拿到flag1
flag3
继续探索，发现在下面有一个文件式管理器，可以上传文件，直接上马尝试
执行成功，拿下flag
flag4
查看一下，123这台被拿下shell的机子的网段，啥也没有，看来得回去干141那台机子了
尝试多次发现永恒之蓝不行，但是在sql的时候存在一个账号密码
极有可能可以利用的账号密码
sqlmap.py -u http://172.25.0.123/sql/?id=2 -D dedecmsv57utf8sp1 -T topsec_admin --dump
拿着sql注入搞出来的账号密码去尝试一下远程桌面连接了
连上去了，然后在C盘目录下找到了flag4
flag5
根据上面所有收集到的信息，已知存在一个test域，这台win7的机子还有一个网段192.168.60.1/24，看了一下题目给出的网络拓扑，最后应该是只剩下那台域控了，ipconfig看一下发现DNS服务器和网关都是192.168.60.100
ipconfig 看到新的域
确实如此，192.168.60.100就是域控的ip，那我们要如何拿下域控呢？
一般来讲我会先用mimikatz把当前这台机子的密码搞出来，看看能不能直接靠这些信息登录域控
或者搭建个隧道利用fscan扫出来的这个ms17-010漏洞拿下域控
思路明确，想着这个mimikatz要自己上传，结果发现桌面上的win32文件夹里自带了mimikatz
运行一下
log
privilege::debug //用于提升至DebugPrivilege权限
sekurlsa::logonpasswords full //用于导出用户凭据
找到了一个test域的administrator用户和密码
直接远程桌面里套一层远程桌面连接域控
最后在域控C盘里拿到了flag5