下载地址：漏洞详情

网络搭建

只有两台机子，一个外网一个内网

win7

sun\leo 123.com
sun\Administrator dc123.com


2008

sun\admin 2020.com

环境搭建

win7启动phpstudy

外网

端口扫描

TP tp5_construct_code_exec_1

访问一下，一眼thinkphp

制造报错看下版本

工具直接梭哈，命令无回显，挂个webshell

信息搜集

不是还有mysql吗，翻翻配置文件

搭建socks隧道

chisel失败，ew可以

内网

内网 ip 为 192.168.138.136，内网网段为 192.168.138.0/24

域内信息收集

systeminfo

C:\phpStudy\PHPTutorial\WWW\public> systeminfo
主机名:           WIN7
OS 名称:          Microsoft Windows 7 专业版 
OS 版本:          6.1.7601 Service Pack 1 Build 7601
OS 制造商:        Microsoft Corporation
OS 配置:          成员工作站
OS 构件类型:      Multiprocessor Free
注册的所有人:     Windows 用户
注册的组织:       
产品 ID:          00371-177-0000061-85581
初始安装日期:     2020/3/5, 0:44:56
系统启动时间:     2024/11/21, 15:14:49
系统制造商:       VMware, Inc.
系统型号:         VMware Virtual Platform
系统类型:         x64-based PC
处理器:           安装了 1 个处理器。
                  [01]: Intel64 Family 6 Model 183 Stepping 1 GenuineIntel ~2419 Mhz
BIOS 版本:        Phoenix Technologies LTD 6.00, 2020/11/12
Windows 目录:     C:\Windows
系统目录:         C:\Windows\system32
启动设备:         \Device\HarddiskVolume1
系统区域设置:     zh-cn;中文(中国)
输入法区域设置:   zh-cn;中文(中国)
时区:             (UTC+08:00)北京，重庆，香港特别行政区，乌鲁木齐
物理内存总量:     2,047 MB
可用的物理内存:   1,310 MB
虚拟内存: 最大值: 4,095 MB
虚拟内存: 可用:   3,168 MB
虚拟内存: 使用中: 927 MB
页面文件位置:     C:\pagefile.sys
域:               sun.com
登录服务器:       暂缺
修补程序:         安装了 3 个修补程序。
                  [01]: KB2534111
                  [02]: KB2999226
                  [03]: KB976902
网卡:             安装了 3 个 NIC。
                  [01]: Intel(R) PRO/1000 MT Network Connection
                      连接名:      wk1 waiwang
                      启用 DHCP:   是
                      DHCP 服务器: 192.168.74.254
                      IP 地址
                        [01]: 192.168.74.160
                        [02]: fe80::42a:7d55:e4d9:8eff
                  [02]: Bluetooth 设备(个人区域网)
                      连接名:      Bluetooth 网络连接
                      状态:        媒体连接已中断
                  [03]: Intel(R) PRO/1000 MT Network Connection
                      连接名:      本地连接
                      启用 DHCP:   否
                      IP 地址
                        [01]: 192.168.138.136
                        [02]: fe80::38d3:8142:9a7e:bb5f

域名 sun.com

administrator 不在域中

提权至SYSTEM

CS：
token窃取可以直接提权，getsystem直接梭

密码抓取

sun\administrator:dc123.com
sun\leo:123.com

顺带进程注入到sun\leo

fscan大保健

用了一个魔改版的成功了

关闭防火墙

netsh advfirewall set allprofiles state off

msf exe没上线成功，用exe-small正连

拿下DC

有了域管的账号实际已经是可以为所欲为了，后面省略