搜索

[26844] 2019-08-15_【HTB系列】靶机Querier的渗透测试

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2019-08-15_【HTB系列】靶机Querier的渗透测试 【 H T B 系 列 】 靶 机 Q u e r i e r 的 渗 透 测 试 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 8 - 1 5 收 录 于 话 题   # 靶 场 系 列 文 章   , 2 3 个 本 文 作 者 ： 是 大 方 子 （ M s 0 8 0 6 7 实 验 室 核 心 成 员 ） 总 结 与 反 思 ： 总 结 与 反 思 ： 1 . 收 集 信 息 要 全 面 2 . 用 s n m p - c h e c k 检 查 s n m p 目 标 是 否 开 启 服 务 3 . s m b m a p 尝 试 匿 名 用 户 a n o n y m o u s 来 枚 举 目 标 的 共 享 资 源 ， 可 能 会 枚 举 成 功 4 . 使 用 s m b c l i e n t 连 接 到 s m b 进 行 命 令 操 作 5 . 使 用 o l e 来 分 析 宏 6 . 使 用 m s s q l c l i e n t . p y 来 连 接 M S S Q L 7 . m s s q l c l i e n t . p y 开 启 W i n d o w s   A u t h e n t i c a t i o n 参 数 来 ， 保 证 正 常 登 录 8 . 使 用 m s s q l c l i e n t . p y 开 启 c m d _ s h e l l 9 . 利 用 R e s p o n d e r 窃 取 服 务 器 的 凭 证 1 0 . 利 用   |   、 l e s s   、 + 关 键 词       快 速 查 找 内 容 1 1 . 使 用 h a s h c a t 破 解 N e t N T L M v 2 密 码 1 2 . 使 用 j o h n 破 解 N e t N T L M v 2 密 码 1 3 . 利 用 m s s q l 来 执 行 c m d 命 令 1 4 . 使 用 P o w e r S h e l l 攻 击 框 架 里 的 I n v o k e - P o w e r S h e l l T c p . p s 1 脚 本 反 弹 s h e l l 1 5 . 使 用 p o w e r s h e l l 远 程 下 载 反 弹 s h e l l 脚 本 执 行 1 6 . 使 用   r l w r a p   来 解 决 s h e l l 中 输 出 不 正 常 问 题 （ 删 除 ， 方 向 键 是 字 符 问 题 ） 1 7 . 使 用 c m d 远 程 下 载 提 权 信 息 收 集 脚 本 P o w e r U p . p s 1 1 8 . 使 用 s m b m a p （ T h e N E T B I O S   c o n n e c t i o n   w i t h   t h e   r e m o t e   h o s t   t i m e d o u t ） 的 时 候 需 要 通 过 - d 添 加 域 的 名 字 1 9 . 利 用 域 内 获 取 的 账 号 密 码 尝 试 使 用 p s e x e c 进 行 命 令 执 行 【 前 提 s m b 服 务 开 启 ， 并 且 有 权 进 行 读 写 】 2 0 .   利 用 G P P 漏 洞 得 到 管 理 员 密 码 靶 机 信 息 靶 机 信 息
K A L I 地 址 ： 1 0 . 1 0 . 1 2 . 1 1 5 先 用 N m a p 进 行 信 息 收 集 扫 描 结 果 如 下 ：

可 以 看 到 目 标 机 器 存 在 M S S Q L , S M B 服 务 我 们 在 检 查 下 s n m p 服 务 是 否 存 在 发 现 s n m p 服 务 不 存 在 那 么 我 们 现 在 根 据 n m a p 的 结 果 来 进 行 测 试 。 我 们 用 s m b m a p 来 尝 试 枚 举 下 目 标 的 资 源 ， 发 现 访 问 被 禁 止 那 么 我 们 尝 试 下 匿 名 的 用 户 去 访 问 ， 发 现 资 源 被 枚 举 出 来 了 这 里 的 R e p o r t s 不 是 系 统 自 带 的 ， 所 以 我 们 对 R e p o r t s 进 行 信 息 挖 掘 那 么 我 们 用 s m b c l i e n t 来 访 问 R e p o r t s 目 录 ， 并 执 行 命 令 操 作
发 现 目 录 里 面 有 一 个   e x c e l 文 件 ， 我 们 把 他 下 载 回 来 “ x l s 是 2 0 0 3 版 本 下 的 文 件 ， 不 管 有 没 有 宏 程 序 的 话 都 是 x l s 文 件 。 2 0 0 7 做 了 区 分 ， X L S M 文 件 X L S X 文 件 都 是 e x c e l 2 0 0 7 文 件 ， 但 前 者 是 含 有 宏 启 用 ， E x c e l 中 默 认 情 况 下 不 自 动 启 用 宏 。 E x c e l 不 会 执 行 宏 X L S X 文 件 ， 即 使 它 们 包 含 宏 代 码 ， 因 此 含 有 宏 的 文 件 可 以 保 存 为 x l s m 文 件 ” 这 个 “ C u r r e n c y   V o l u m e   R e p o r t . x l s m ” 是 存 在 宏 的 ， 这 里 我 们 用 下 O L E 工 具 套 件 来 分 析 o f f i c e 宏 用 a p t 安 装 o l e 套 件 然 后 我 们 用 o l e v b a 去 分 析 我 们 刚 刚 下 载 来 的 X L S M 文 件

我 们 可 以 发 现 里 面 的 M S S Q L 连 接 字 符 串 然 后 我 们 使 用 m s s q l c l i e n t . p y 进 行 登 录 , 如 果 你 没 这 个 p y 脚 本 可 以 从 下 面 的 项 目 地 址 获 得 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / s d f z y / i m p a c k e t 把 m s s q l c l i e n t . p y 拷 贝 出 来 然 后 进 行 登 录 ， 发 现 登 录 失 败 我 们 需 要 开 启 W i n d o w s   A u t h e n t i c a t i o n ， 才 能 正 常 登 录
然 后 我 们 访 问 下 c m d ， 发 现 被 禁 止 因 为 我 们 的 权 限 不 够 ， 但 是 我 们 可 以 用 R e s p o n d e r 对 服 务 器 上 的 凭 证 进 行 窃 取 关 于 R e s p o n d e r 的 原 理 和 窃 取 可 以 看 这 个 文 章 ： h t t p s : / / b l o g . c s d n . n e t / n z j d s d s / a r t i c l e / d e t a i l s / 9 4 3 1 4 9 9 5 原 理 是 ， 通 过 L L M N R / N B T - N S 欺 骗 攻 击 ， 让 M S S Q L 去 访 问 我 们 伪 造 的 服 务 ， 当 M S S Q L 去 执 行 时 就 会 把 它 自 己 的 凭 证 发 给 我 们 ， 我 们 通 过 破 解 它 的 凭 证 在 返 回 去 登 录 M S S Q L ， 得 到 高 权 限 R e s p o n d e r 地 址 ： h t t p s : / / g i t h u b . c o m / s d f z y / R e s p o n d e r 我 们 开 启 R e s p o n d e r ， - I 填 的 是 我 们 连 接 H T B 的 网 络 接 口 ， 可 以 通 过 i f c o n f i g 查
然 后 我 们 去 M S S Q L 执 行 命 令
之 后 我 们 的 R e s p o n d e r 就 能 窃 取 到 凭 证 我 们 把 h a s h 内 容 另 存 为 Q u e r i e r . N e t N T L M v 2 然 后 我 们 用 h a s h c a t 去 破 解 下 首 先 我 们 查 下 N e t N T L M v 2 的 模 式 代 码 是 多 少 进 入 后           /   +   N e t N T L M                 进 行 搜 索 可 以 看 到 N e t N T L M v 2 模 式 代 码 为 5 6 0 0 然 后 我 们 就 可 以 开 始 破 解
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理