在这里我选择的是 Windows Server 来做域控，一是觉得版本高的域控更能体现真实环境！二是认为 Windows Server 2016 作为域控很不错，稳定性强！
IP : 10.10.10.10
子网掩码：255.255.255.0
默认网光：10.10.10.1
DNS：10.10.10.10（这个需要和IP一摸一样）
IP : 10.10.10.10
子网掩码：255.255.255.0
默认网光：10.10.10.1
DNS：10.10.10.10（这个需要和IP一摸一样）
因为AD域服务属于服务器功能，所以要求windows server 机器的服务中开启 “Server”服务。
检查 “控制面板”-“系统与安全”-“管理工具”-“服务”（或者直接在“运行”中输入“services.msc”），在其中选择 “Server” ，双击进入其属性页面，将启动类型改为 “自动”，然后“应用”，“启动”服务:
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
检查 “控制面板”-“系统与安全”-“管理工具”-“服务”（或者直接在“运行”中输入“services.msc”），在其中选择 “Server” ，双击进入其属性页面，将启动类型改为 “自动”，然后“应用”，“启动”服务:
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
等待域控制器安装完毕后它会重启一遍机器：（这个时候重启可能会需要一些时间，耐心等待就好）
重启完成后机器的 DNS 会被自动修改成 127.0.0.1 ，我们需要手动再次修改一次：
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
重启完成后机器的 DNS 会被自动修改成 127.0.0.1 ，我们需要手动再次修改一次：
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
接下来我们需要同步配置一下域控制器的 DNS 区域传输：
现在主域控制器和 DNS 集成，为了让后期搭建完辅域控制器的 DNS 同步主域控制器 DNS ，需要把主域控制器的 DNS 服务器_msdcs.redteam.com和 redteam.com 的起始授权机构(SOA)区域传送设置成允许:
现在主域控制器和 DNS 集成，为了让后期搭建完辅域控制器的 DNS 同步主域控制器 DNS ，需要把主域控制器的 DNS 服务器_msdcs.redteam.com和 redteam.com 的起始授权机构(SOA)区域传送设置成允许:
web-2012（Windows 2012 R2）加入域
这个时候我们搭建好了父域控制器，但是域用户很少，就只有一个“whoami”用户：
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
这个时候我们搭建好了父域控制器，但是域用户很少，就只有一个“whoami”用户：
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
这个时候我把计算机（web-2012）添加到⽗域控制器中进⾏管理，这⾥的计算机是 Windows Server 2012 R2。
1、右键点击“计算机”-“属性”-“更改设置”：
2、然后修改计算机名加入父域：redteam.com
在确定前，我们需要设置一下当前机器的 IP地址、DNS，不然加入不了域：
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
1、右键点击“计算机”-“属性”-“更改设置”：
2、然后修改计算机名加入父域：redteam.com
在确定前，我们需要设置一下当前机器的 IP地址、DNS，不然加入不了域：
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
❤1👍1
该平台的默认账号密码为学号和身份证号后六位（也是大部分高校的惯性行为）。因此接下来就是收集学生的学号以及身份证号，学号比较好收集（谷歌语法一般都会找到很多），但是身份证号并不常见。但是我在另一个子域名的平台发现了两处不起眼的越权。
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
❤1
尝试了一下没有可利用漏洞。但是在抓包测试上传的时候仔细看了一下cookie，发现了有意思的东西。
在查看服务平台的相关管理人员回复的时候发现了账号为admin的回复。因此直接将参数值改为admin，直接成功越权到admin用户。
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
在查看服务平台的相关管理人员回复的时候发现了账号为admin的回复。因此直接将参数值改为admin，直接成功越权到admin用户。
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM
❤1
HTTP/1.1 200 OK
Date: Wed, 01 Jun 2011 11:00:20 GMT
Server: Apache/2.2.15 (Win32) PHP/5.2.13
X-Powered-By: PHP/5.2.13
Content-Length: 558
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/html<style type=”text/css”>
input {font-family: “Verdana”;font-size: “11px”;BACKGROUND-COLOR: “#FFFFFF”;height: “18px”;border: “1px solid #666666″;}
</style>
<table width=”416″ border=”0″ align=”center” cellpadding=”0″ cellspacing=”0″>
<form method=”POST” action=”">
<tr>
<td height=”75″ align=”center”>
<span style=”font-size: 11px; font-family: Verdana”>密码: </span><input name=”adminpass” type=”password” size=”20″>
<input type=”hidden” name=”do” value=”login”>
<input type=”submit” value=”登陆”>
</td>
</tr>
</form>
</table>
复制代码
这里我们用input里的内容当错误关键字
name=”adminpass” type=”password
Date: Wed, 01 Jun 2011 11:00:20 GMT
Server: Apache/2.2.15 (Win32) PHP/5.2.13
X-Powered-By: PHP/5.2.13
Content-Length: 558
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/html<style type=”text/css”>
input {font-family: “Verdana”;font-size: “11px”;BACKGROUND-COLOR: “#FFFFFF”;height: “18px”;border: “1px solid #666666″;}
</style>
<table width=”416″ border=”0″ align=”center” cellpadding=”0″ cellspacing=”0″>
<form method=”POST” action=”">
<tr>
<td height=”75″ align=”center”>
<span style=”font-size: 11px; font-family: Verdana”>密码: </span><input name=”adminpass” type=”password” size=”20″>
<input type=”hidden” name=”do” value=”login”>
<input type=”submit” value=”登陆”>
</td>
</tr>
</form>
</table>
复制代码
这里我们用input里的内容当错误关键字
name=”adminpass” type=”password
👍1