Pentestit V11内网渗透教学

前言
最近发现了一个很好玩的域渗透练习平台：这个平台发给我们一个vpn然后让我们进去他们内网进行渗透测试。这个域中包括各种各样的主机和服务，可以说是非常棒了，今天在这里给大家分享一下一些有意思的地方。好吧我承认，这篇文章是内网渗透之边缘ob，因为网络原因很多东西都受限制，今天在这起一个抛转引玉的作用，有什么不足之处还请大佬们多多关照。

Start!
配置好vpn后，进入其内外，网络拓扑图如下：

这里有两个办公区，入口分别为192.168.101.10和192.168.101.11，我们先进入主办公区进行渗透。
常规思路：
Nmap进行端口扫描
nmap -sV -p 1-65535 192.168.101.10

扫描其目录及信息泄露这里每个web服务都得扫，然后每个目录下都有可能存在信息泄露，这里我扫的有点快，然后不知咋了，可能是ban了我10分钟ip
逛80端口网站的时候，在Brup中看到HTTP History的时候发现：

看到wp-content这个文件夹后基本就能确定是WordPress，然后上github看了一下WP的目录结构

证明猜想正确，果不其然，顺手google一发：

仿佛flag就在眼前了，

但是，这里按照给的exp跑的时候，并不能跑出来，仔细一看：

漏洞页面被删了，然后继续测试后面那个EXP，也被开发者删了。
Nmap扫到3个web应用，我们继续看88端口的web服务，发现了指纹：Powered by vtiger CRM 6.3.0
Google: vtiger CRM 6.3.0 cve发现一个RCE的洞：https://www.exploit-db.com/exploits/38345/，但是这个需要登录而且没有注册按钮！ 不过这里没有验证码，所以可以爆一个账户登进去了。
但是这里还是有一个技术难点的，我们抓包的时候可以发现，如下图所示，这里为了防止CSRF，带了一个反csrf的令牌

正常的发包过程是，先进入登录界面，里面有个隐藏字段__vtrftk

然后登录的时候，就带着这个表单中隐藏的字段来发送，和服务端的这个参数进行比较。
所以我们爆破的时候，就得先发包到index抓取到__vtrftk字段，然后带着vtrftk字段再发一个包提交表单。
ps: 有一种比较容易的情形就是，csrf的token在登录请求的返回包中，我们可以直接用Brup的intruder模块中用正则抓取到token，然后作为下一次提交表单的参数。在乌云上有一篇文章说的不错：http://wooyun.jozxing.cc/static/drops/tips-2504.html
但是这里情形比较特殊，搜索了很久之后还是放弃了，自己写脚本来处理吧…
# coding:utf-8
from urllib.request import urlopen
from bs4 import BeautifulSoup
import requests
get_token_url = ''
login_url = ''
def get_token():
html = urlopen(get_token_url)
bs = BeautifulSoup(html,"html.parser")
return bs.find("input", {"type": "hidden"}).attrs["value"]
def get_dict(filename):
try:
f = open(filename, 'r')
result = list()
for line in f.readlines():
line = line.strip()
result.append(line)
print(result)
f.close()
return result
except:
print("Read_error")
exit()
def login():
proxies = {
'http': 'http://127.0.0.1:8080'
}