电脑疯子技术论坛|电脑极客社区

微信扫一扫 分享朋友圈

已有 1215 人浏览分享

实战打靶之Timelapse

[复制链接]
1215 0
主机发现

端口扫描

通过nmap进行端口端侧,发现存在18个开放端口。

QQ截图20221216111346.png

发现存在(Kerberos + LDAP + DNS + SMB)这种端口组合。说明可能dc01.timelapse.htb是域控制器。

9999.png

并且系统为windows系统。

9998.png

漏洞利用

爆破SMB

使用crackmapexec对其进行爆破。

9996.png

发现没有找到可利用信息。

9993.png

接着使用smbclient来进行连接。(-L列出共享和-N空身份验证)

其中$是所有 Windows 系统上的默认共享,其余几个可能是新建出来的。

8999.png

接着使用crackmapexec来进行获取信息,-u输入任意账户。-p'' 里面必须为空。如果其中是一些字符的话,可能会报错。

8998.png

发现存在shares共享目录,然后使用smbclient进行读取文件。

8996.png

发现在其目录下存在一个压缩包。

8995.png

使用get将其下载到本地,进行分析。

8994.png

分析文件

在HelpDesk有几个文件,都是关于 LAPS 的:

本地管理员密码解决方案 (LAPS) 是一种通过域管理本地管理员帐户密码的方法。如果没有圈数 支持团队很难
管理为每个系统保留唯一的本地管理员密码。这会导致共享凭据,这意味着当攻击者在系统上获得提升的权限
时他们可以转储共享凭据并使用它来访问其他系统。

LAPS 还轮换管理员密码,定期更改它们,这样如果它们被攻击者捕获,它们会在一段时间后失效。

8993.png

爆破压缩包密码

使用unzip -l进行查看压缩包里面的内容。

8992.png

使用unzip进行解压,发现其存在密码验证。

8991.png

用zip2john用来生成一个可以被暴力破解的hash。

8990.png

接着使用john对压缩包生成的hash进行爆破。

8889.png

接着找到了密码,对压缩包进行解压。

8888.png

提取密钥

获取到了里面的.pfx文件,访问这个文件需要密钥验证。

我们需要从openssl中提取私钥和证书(公钥)。

1.使用pfx2john.py生成一个文件的hash。

8886.png

继续使用john进行爆破hash。

8885.png

使用密码,可以提取密钥和证书。提取密钥时,它会要求输入密码(输入“thuglegacy”)然后
是输出.pem文件的密码。

8884.png

我都是使用它的原来密码来进行操作,主要是为了好记。哈哈哈!

接着来转存证书。

8883.png

现在密钥和证书都有了,我们就可以连接主机了。

第一次远程连接

evil-winrm是从 Linux 主机连接到 WinRM 的工具。-h会提示它的用法。

8882.png

本次连接主要-用到了-S、-c、-k、-i等参数。

-S- 启用 SSL,因为我连接到 5986;
-c legacyy_dev_auth.crt- 提供公钥证书
-k legacyy_dev_auth.key- 提供私钥
-i timelapse.htb- 要连接的主机

8881.png

成功连接,连接之后就找Desktop下的文件。发现有user.txt,第一个flag已经找到了。

获取user.txt

8880.png

使用net use 查看用户权限。

6669.png

使用whmai /priv 查看用户所属的组。

6668.png

权限提升

检查PowerShell历史文件

查看PowerShell 历史文件。

这个在应急响应中,检查windows主机,可以查看一下这个目录。

C:\Users\legacyy\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine

6667.png

目录下存在一些历史记录,包含了一些用户的远程连接记录。

发现存在用户名和密码。

6666.png

第二次远程连接

接着继续新开一个winrm,使用新的用户名和密码进行连接。

使用whoami /priv查看用户分组。

6665.png

使用net user 查看用户权限。

LAPS_Readers这个分组似乎在说明 svc_deploy 有权从 LAPS进行 读取。

100.png

使用 LAPS,DC 管理域中计算机的本地管理员密码。通常创建一组用户并授予他们读取这些密码
的权限从而允许受信任的管理员访问所有本地管理员密码。

读取密码

要读取 LAPS 密码,我只需要使用Get-ADComputer并专门请求该ms-mcs-admpwd属性

使用Get-ADComputerDC01-property'ms-mcs-admpwd',进行读取密码。

89.png

成功读到了密码:-c.I3I#+7Z},b;h01c$8D05r。

接着使用administrator和新获取到的密码。进行登录。

第三次远程连接

88.png

寻找root.txt

接着和往常一样,进入Desktop目录下找root.txt文件,发现在Desktop下文件是空的。

86.png

接下来去翻user目录,发现存在一个TRX目录。

85.png

获取root.txt

然后进行TRX目录,找到了root.txt文件。

19.png

总结:

靶机主要nmap端口扫描开始,然后发现域控制器ip。对其端口开放的服务进行分析,使用**crackmapexec**进行爆
破**smbclient**获取到smb服务下的目录。然后使用smbclient进行读取目录下的文件。使用get命令下载到本地然
后对其目录下的文件进行分析,接着使用**zip2john**工具生成文件hash,使用john进行hash碰撞。使用**pfx2jo
hn.py**脚本提取openssl处的私钥和证书。然后爆破密码并进行提取密钥和证书。使用**evil-winrm**进行
远程连接 检查**powershell**历史文件,发现密钥,读laps密码。最后再次进行连接。找到root.txt

您需要登录后才可以回帖 登录 | 注册

本版积分规则

1

关注

0

粉丝

9021

主题
精彩推荐
热门资讯
网友晒图
图文推荐

Powered by Pcgho! X3.4

© 2008-2022 Pcgho Inc.