搜索

[22013] 2021-05-26_记一次渗透内网获取域控的过程

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2021-05-26_记一次渗透内网获取域控的过程 记 一 次 渗 透 内 网 获 取 域 控 的 过 程 带 头 大 哥   L e m o n S e c   2 0 2 1 - 0 5 - 2 6 渗 透 目 标 ： 获 取 域 控 内 某 台 渗 透 目 标 ： 获 取 域 控 内 某 台 f t p 服 务 器 中 的 文 件 服 务 器 中 的 文 件 0 x 0 1 入 口 入 口 钓 鱼 附 件 的 形 式 获 得 了 一 个 m e t e r p r e t e r 收 集 信 息 发 现 ： 当 前 用 户 为 u s e r ， u s e r 在 管 理 组 里 面 ， 这 种 可 以 通 过 b y p a s s u a c 提 权 到 管 理 员 权 限 0 x 0 2 尝 试 提 权 尝 试 提 权 尝 试 使 用 g e t s y s t e m 提 权 ， 不 出 意 外 的 失 败 了 看 来 虽 然 u s e r 用 户 是 在 管 理 员 组 里 ， 但 是 当 前 s e s s i o n 是 普 通 用 户 权 限 ， 因 为 管 理 权 限 的 s e s s i o n 使 用 g e t s y s t e m 是 可 以 直 接 提 权 到 s y s t e m 的
尝 试 b y p a s s u a c 提 权 到 管 理 员 ， 然 后 g e t s y s t e m 提 权 到 s y s t e m , 失 败 了 好 几 次 ， 应 该 是 因 为 存 在 某 些 杀 软 的 关 系 所 以 无 法 提 权 到 系 统 权 限 。 但 是 管 理 员 权 限 够 用 了 。 可 以 将 管 理 员 权 限 提 升 为 系 统 权 限 ： h t t p s : / / g i t h u b . c o m / u k n o w s e c / g e t S y s t e m 0 x 0 3 扫 描 内 网 主 机 扫 描 内 网 主 机
先 使 用 a r p 发 现 内 网 主 机 ， 发 现 了 一 批 主 机 使 用 n m a p 挂 代 理 扫 描 ， 扫 描 完 成 没 有 收 获 0 x 0 4 键 盘 捕 获 键 盘 捕 获 由 于 扫 描 没 有 收 获 ， 想 到 使 用 键 盘 捕 获 看 下 能 不 能 抓 到 一 些 敏 感 信 息 。 使 用 k e y s c a n _ s t a r t 就 开 始 了 键 盘 捕 获 ， 经 过 一 个 晚 上 ， 成 功 捕 获 到 一 些 信 息 信 息 整 理 ： 三 个 i p 和 一 些 用 户 名 或 者 密 码 的 信 息
0 x 0 5 内 网 内 网 w e b 系 统 测 试 系 统 测 试 首 先 先 设 置 代 理 使 用 p r o x i f i e r 工 具 ， 配 置 好 服 务 器 ， 服 务 器 地 址 是 刚 才 k a l i 的 i p ， 端 口 1 0 8 0 配 置 代 理 规 则 ， 加 入 F i r e f o x 和 b u r p ， 这 样 F i r e f o x 和 b u r p 的 流 量 就 默 认 走 代 理 服 务 器 了 。 访 问 1 9 2 . 1 6 8 . 2 . 4 发 现 能 访 问 到 ， 抓 取 登 录 包 ， 用 户 名 和 密 码 是 明 文 而 且 存 在 用 户 名 枚 举 漏 洞 ， 使 用 b u r p 的 爆 破 模 块 尝 试 爆 破 用 户 名 ， 无 果 。 突 然 想 起 来 之 前 键 盘 捕 获 到 几 个 关 键 字 ， 尝 试 x x x e i ： x x x x x g e 登 录 成 功 。 经 过 大 量 测 试 之 后 发 现 系 统 设 置 - 用 户 管 理 - 编 辑 ， 发 现 可 以 上 传 图 片 然 后 可 以 改 后 缀 名 。 先 上 传 一 个 P H P i n f o 试 试 ， 发 现 成 功 执 行 ， 可 以 确 定 存 在 文 件 上 传 漏 洞 。 然 后 上 传 一 句 话 ， 蚁 剑 设 置 代 理 然 后 连 接 。
成 功 连 接 发 现 存 在 域 环 境 l x x x . c o m
通 过 g e t S y s t e m 成 功 获 取 管 理 员 权 限 0 x 0 6 域 渗 透 域 渗 透 查 询 到 D N S 是 1 9 2 . 1 6 8 . 3 . 4 ， 所 以 域 控 应 该 是 1 9 2 . 1 6 8 . 3 . 4 ， 域 是 L x x X ， 域 成 员 有 三 个 . 由 于 W e b s h e l l 用 起 来 不 太 方 便 ， 使 用 m e t e r p r e t e r 获 取 s h e l l 使 用 k i w i 模 块 获 取 哈 希 c r e d s _ a l l ： 该 命 令 可 以 列 举 系 统 中 的 明 文 密 码 k i w i _ c m d ： 模 块 可 以 让 我 们 使 用   m i m i k a t z   的 全 部 功 能 ， 该 命 令 后 面 接   m i m i k a t z . e x e   的 命 令 。 如 ： D u m p 哈 希 命 令 为   k i w i _ c m d   s e k u r l s a : : l o g o n p a s s w o r d s 先 列 举 明 文 凭 据 ， 未 获 取 到 获 取 哈 希 ， 报 错 了 ， 需 要 3 2 位 进 程 才 能 执 行 ， 我 们 的 m e t e r p r e t e r 是 3 2 位 的 ， 所 以 先 迁 移 一 下 进 程
迁 移 进 程 之 后 就 可 以 获 取 到 哈 希 和 密 码 了 ， 然 后 发 现 域 控 的 账 号 和 密 码 。 域 控 账 户 曾 经 登 陆 过 这 台 机 器 ， l u c k y ~ 整 理 一 下 目 前 的 信 息 整 理 一 下 目 前 的 信 息 使 用 m e t e r p r e t e r s h e l l 不 能 直 接 弹 回 s h e l l ， 所 以 想 到 先 远 程 登 录 到 w e b 主 机 ， 然 后 使 用 p s e x e c 弹 回 s h e l l 先 关 闭 主 机 的 防 火 墙 ， 然 后 开 启 3 3 8 9 n e t s h   a d v f i r e w a l l   s e t   a l l p r o f i l e s   s t a t e   o f f 开 启 r d p ： R E G   A D D   “ H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r ”   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0   / f 1 9 2 . 1 6 8 . 1 . 2 是 办 公 机 ， 普 通 权 限 ， s o c k e t 4 代 理 1 9 2 . 1 6 8 . 2 . 4 是 w e b 主 机 ， 系 统 权 限 ， 有 账 户 和 密 码 ， s o c k e t 4 代 理 。 1 9 2 . 1 6 8 . 3 . 4 是 域 控 ， 有 账 户 和 密 码
成 功 连 接 登 录 1 9 2 . 1 6 8 . 2 . 4 的 服 务 器 成 功 弹 回 域 控 的 系 统 权 限 s h e l l
0 x 0 7 获 取 获 取 f t p 权 限 权 限
发 现 一 台 新 机 器 ， 名 字 是 y w ， 猜 测 是 运 维 机 ， i p 为 1 9 2 . 1 6 8 . 3 . 2 解 密 x s h e l l   s e s s i o n 的 密 码 先 查 询 一 下 用 户 的 s i d ， 解 密 需 要 用 到 这 里 附 解 密 工 具 h t t p s : / / g i t h u b . c o m / u k n o w s e c / S h a r p D e c r y p t P w d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理