ichunqiu云境 - Delegation Writeup

通过靶机提现域渗透的过程

0x1 Info

Pasted image 20221208163617.png
靶场地址:https://yunjing.ichunqiu.com/ranking/summary?id=BzMFNFpvUDU 从web到内网再到域的靶场环境都全,且出题的思路很好,感兴趣的可以去玩玩

0x2 Recon

  1. Target external IP
    39.98.34.149
  2. Nmap results

Pasted image 20221208164115.png

  1. 关注80端口的http服务,目录爆破(省略)找到 /admin

b481ac2a048677f4f6ad2074a1a3407 1.png

  1. 使用弱口令登录进入后台,去到模板页面,编辑header.html,添加php一句话
    \ ```php
    用户名: admin, 密码:123456
    
    \\
    
    

f71dd2cf6322f6235561582fe3698a6.png

  1. 命令执行

82a94d5ec8b215f3a9f2723e3be15fd.png

0x03 入口点:172.22.4.36

  1. 弹shell

d3574e2db871fd6076c065e4fb03a9e.png
快速过一下:

  • 入口机器没特别的东西
  • 没能提权到root权限(也不需要提权到root权限)
  • stapbpf suid利用失败
    \
    找到diff suid

Pasted image 20221208123303.png

  1. flag01
    diff --line-format=%L /dev/null /home/flag/flag01.txt

Pasted image 20221208165708.png

  1. flag01 里面有提示用户名
    WIN19\Adrian
  2. 挂代理扫 445

Pasted image 20221208165856.png
\
获取到三个机器信息

172.22.4.19 fileserver.xiaorang.lab
172.22.4.7 DC01.xiaorang.lab
172.22.4.45 win19.xiaorang.lab
  1. 用 Flag01提示的用户名 + rockyou.txt 爆破,爆破出有效凭据 (提示密码过期)
    \
    win19\Adrian babygirl1
  2. xfreerdp 远程登录上 win19 然后改密码

Pasted image 20221208171122.png

Pasted image 20221208171214.png

0x04 Pwing WIN19 - 172.22.4.45

前言:当前机器除了机器账户外,完全没域凭据,需要提权到system获取机器账户

  1. 桌面有提示

Pasted image 20221208171414.png

  1. 关注这一栏,当前用户Adrian对该注册表有完全控制权限

Pasted image 20221208171546.png

Pasted image 20221208171610.png

  1. 提权
    msfvenom生成服务马,执行 sam.bat

Pasted image 20221208144611.png
\
sam.bat

Pasted image 20221208143321.png
\
修改注册表并且启用服务,然后桌面就会获取到 sam,security,system

Pasted image 20221208144646.png

  1. 获取 Administrator + 机器账户 凭据

    Administrator:500:aad3b435b51404eeaad3b435b51404ee:ba21c629d9fd56aff10c3e826323e6ab:::
    $MACHINE.ACC: aad3b435b51404eeaad3b435b51404ee:917234367460f3f2817aa4439f97e636
    \

Pasted image 20221208173220.png

  1. flag02

Pasted image 20221208174927.png

  1. 使用机器账户收集域信息

Pasted image 20221208172122.png

0x05 DC takeover - 172.22.4.7

  1. 分析 Bloodhound,发现 WIN19 + DC01都是非约束委派

Pasted image 20221208172337.png

  1. 使用Administrator登录进入 WIN19,部署rubeus

Pasted image 20221208172853.png

  1. 使用DFSCoerce强制触发回连到win19并且获取到DC01的TGT

Pasted image 20221208173259.png

Pasted image 20221208173314.png

  1. Base64的tgt 解码存为 DC01.kirbi

Pasted image 20221208173720.png

  1. DCSync 获取域管凭据

Pasted image 20221208174536.png

  1. psexec - flag04

Pasted image 20221208174813.png

0x06 Fileserver takeover - 172.22.4.19

  1. psexec - flag03

Pasted image 20221208174831.png

0x07 Outro

  • 感谢Alphabug师傅的提示(0x03 - 0x04),大哥已经把入口点都打完了,我只是跟着进来而已
  • 感谢九世师傅的合作
  • Spoofing已经打完了,walkthrough也写完了,等1000奖励到手后新年释出,个人感觉Spoofing更好玩,出题的思路很妙
  • 发表于 2022-12-15 17:07:44
  • 阅读 ( 7789 )
  • 分类:内网渗透

0 条评论

请先 登录 后评论
Gcow安全团队
Gcow安全团队

1 篇文章

站长统计