0x01 前言

最近在参加某演练，前几天外网打点都没啥收获，很是郁闷。好在学长们非常给力，扫C段的时候发现了一个突破口，我们兴高采烈的冲进去大杀特杀，结果打到一半发现日歪了，属实难受。日歪了的站也要含泪打穿内网。不过这是我这个内网半桶水第一次碰到vCenter环境的内网，跟着学长们打了一遍，事后复盘的时候感觉还是非常有意义的，所以写篇文章记录一下。

0x02 easy模式的突破口

这个“突破口“倒是没有很难找，nuclei对着C段一顿乱扫就找出来了，也正是因为没有仔细确认给定的资产范围就开始扫，从而发生了日歪的惨剧。

突破口是一个s2-045，没啥难点，工具直接开打

喜提administrator权限，虽然不是system，不过也美滋滋了

简单看一波杀软，难受啊难受

不管了，先上个免杀的哥斯拉马看看。

简单搜集了一波信息之后，准备开撸！

0x03 内网梭哈

研究了半天，上个CS马来看看会方便非常多

先看看内网环境大概是什么情况

遇到这种的，基本都是vCenter环境了，先上个Fscan探探内网虚实。我这里用的是增强版Fscan，上个github：

 https://github.com/chaosec2021/fscan-POC

芜湖，cve-2021-21972，看来非常有戏。不过这个留到最后再打，先看看这台机器上有没有什么敏感文件，能找密码直接梭哈也很香！

当时翻到这个文件，我们心头一紧，因为这些内容这次演练给的目标的性质完全无关，这时候才意识到我们是打偏了。后面日进了一个数据库，更加证实了这个想法，里边的信息表面确实是日歪了。

日歪了也办法，只能含泪打内网了，说不定能混点分呢。来个frp代理进内网。上POC来打vcenter吧。

这里有个很坑的点，就是部分POC有linux模式和windows模式两种。而他们的逻辑有点问题，先用linux下的payload去打这个windows机器，但是不知道为什么，POC判断攻击成功了，于是就没有启用windows模式的payload。这就导致一开始我们迟迟写不上马。解决方案也很简单，直接删掉linux模式的payload，强制程序用windows模式来打。

（下图就是默认使用linux模式而导致的写shell失败）

总之历经千辛万苦，终于是把冰蝎马子写上去了。接下来的思路就比较清晰了，下载data.mdb文件，使用工具伪造COOKIE，然后登陆vSphere Client即可接管这个内网环境。具体我们是参考零队的vCenter攻击方式总结这篇文章，感兴趣的小伙伴也可以参考着来自己练一练，毕竟这种环境可是越来越常见了。

干货分享 | VMware vCenter漏洞实战利用总结

那么按流程接下来就是下载data.mdb了吧，太简单了

卧槽，1G的文件，你这是在难为我小冰蝎。

不过问题不大，上个哥斯拉马，用哥斯拉强大的大文件下载功能即可解决。不过问题又来了，这个马……写到哪里去了？我乱翻了一通。发现压根找不到，一个坑接着一个坑，直接踩得怀疑人生。最终还是万能的百度解决了这个问题

没错，这个就是我们要找的路径，以后xdm就不用踩坑了，直接往这里面传马即可：

C:\ProgramData\VMware\vCenterServer\data\perfcharts\tc-instance\webapps\statsreport\

接下来就是一气呵成了，大文件下载data.mdb（话说这个哥斯拉的大文件上传和下载功能真的是NB啊，稳定并且下载速度非常快，有空研究一下）

下载出来

然后用这个脚本直接攻击即可：

https://github.com/horizon3ai/vcenter_saml_login/blob/main/vcenter_saml_login.py

想使用这个脚本，必须要可达vSphere Client，也就是说用它之前得先把socks代理搞好，搞好之后就可以愉快的食用这个脚本了

使用方法为：

python vcenter_saml_login.py -t <目标机器内网ip> -p data.mdb

最后成功伪造COOKIE进入后台，发现这个目标应该是某些智慧城建项目的管理终端，里面管控着53台涉及全国各地的各种智慧城建项目，应该说还是非常危险的，就是可惜打歪了不能给我们算分！！！！！！！！

0x04 结语

总的来说算是一次内网的热身，也让我这个内网半桶水第一次接触了vCenter这种内网环境，并且在过程中团队一起踩了很多坑，有些还是比较有参考价值的，于是就水了这篇文章。还有一点血的教训就是拿到目标清单之后一定要好好的把测试范围读明白了，尽量不要越过给定的IP段范围进行测试，虽然有些时候确实能用这种方式撕开突破口，但是日歪了反而浪费时间。