官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
pony686- 关注
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
主机发现
端口扫描
通过nmap进行端口端侧，发现存在18个开放端口。
发现存在（Kerberos + LDAP + DNS + SMB）这种端口组合。说明可能dc01.timelapse.htb是域控制器。
并且系统为windows系统。
漏洞利用
爆破SMB
使用crackmapexec对其进行爆破。
发现没有找到可利用信息。
接着使用smbclient来进行连接。（-L列出共享和-N空身份验证）
其中$是所有 Windows 系统上的默认共享，其余几个可能是新建出来的。
接着使用crackmapexec来进行获取信息，-u输入任意账户。-p'' 里面必须为空。如果其中是一些字符的话，可能会报错。
发现存在shares共享目录，然后使用smbclient进行读取文件。
发现在其目录下存在一个压缩包。
使用get将其下载到本地，进行分析。
分析文件
在HelpDesk有几个文件，都是关于 LAPS 的：
本地管理员密码解决方案 (LAPS) 是一种通过域管理本地管理员帐户密码的方法。如果没有圈数，支持团队很难管理为每个系统保留唯一的本地管理员密码。这会导致共享凭据，这意味着当攻击者在系统上获得提升的权限时，他们可以转储共享凭据并使用它来访问其他系统。
LAPS 还轮换管理员密码，定期更改它们，这样如果它们被攻击者捕获，它们会在一段时间后失效。
爆破压缩包密码
使用unzip -l进行查看压缩包里面的内容。
使用unzip进行解压，发现其存在密码验证。
用zip2john用来生成一个可以被暴力破解的hash。
接着使用john对压缩包生成的hash进行爆破。
接着找到了密码，对压缩包进行解压。
提取密钥
获取到了里面的.pfx文件，访问这个文件需要密钥验证。
我们需要从openssl中提取私钥和证书（公钥）。
1.使用pfx2john.py生成一个文件的hash。
继续使用john进行爆破hash。
使用密码，可以提取密钥和证书。提取密钥时，它会要求输入密码（输入“thuglegacy”），然后是输出.pem文件的密码。
我都是使用它的原来密码来进行操作，主要是为了好记。哈哈哈！
接着来转存证书。
现在密钥和证书都有了，我们就可以连接主机了。
第一次远程连接
evil-winrm是从 Linux 主机连接到 WinRM 的工具。-h会提示它的用法。
本次连接主要-用到了-S、-c、-k、-i等参数。
- -S- 启用 SSL，因为我连接到 5986；
- -c legacyy_dev_auth.crt- 提供公钥证书
- -k legacyy_dev_auth.key- 提供私钥
- -i timelapse.htb- 要连接的主机
成功连接，连接之后就找Desktop下的文件。发现有user.txt，第一个flag已经找到了。
获取user.txt
使用net use 查看用户权限。
使用whmai /priv 查看用户所属的组。
权限提升
检查PowerShell历史文件
查看PowerShell 历史文件。
这个在应急响应中，检查windows主机，可以查看一下这个目录。
C:\Users\legacyy\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine
目录下存在一些历史记录，包含了一些用户的远程连接记录。
发现存在用户名和密码。
第二次远程连接
接着继续新开一个winrm，使用新的用户名和密码进行连接。
使用whoami /priv查看用户分组。
使用net user 查看用户权限。
LAPS_Readers这个分组似乎在说明 svc_deploy 有权从 LAPS进行 读取。
使用 LAPS，DC 管理域中计算机的本地管理员密码。通常创建一组用户并授予他们读取这些密码的权限，从而允许受信任的管理员访问所有本地管理员密码。
读取密码
要读取 LAPS 密码，我只需要使用Get-ADComputer并专门请求该ms-mcs-admpwd属性
使用Get-ADComputerDC01-property'ms-mcs-admpwd'，进行读取密码。
成功读到了密码：-c.I3I#+7Z},b;h01c$8D05r。
接着使用administrator和新获取到的密码。进行登录。
第三次远程连接
寻找root.txt
接着和往常一样，进入Desktop目录下找root.txt文件，发现在Desktop下文件是空的。
接下来去翻user目录，发现存在一个TRX目录。
获取root.txt
然后进行TRX目录，找到了root.txt文件。
总结：
靶机主要nmap端口扫描开始，然后发现域控制器ip。对其端口开放的服务进行分析，使用**crackmapexec**进行爆破，**smbclient**获取到smb服务下的目录。然后使用smbclient进行读取目录下的文件。使用get命令下载到本地。然后对其目录下的文件进行分析，接着使用**zip2john**工具生成文件hash，使用john进行hash碰撞。使用**pfx2john.py**脚本提取openssl处的私钥和证书。然后爆破密码并进行提取密钥和证书。使用**evil-winrm**进行远程连接，检查**powershell**历史文件，发现密钥，读laps密码。最后再次进行连接。找到root.txt
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
红队攻防演练
- 64 文章数
- 427 关注者