Challenge 3 - SkyLark(10)

Challenge 3 - SkyLark(10)

- 11月 26, 2023

Challenge 3 - SkyLark(10)

下一台選定從 .224 進入的另一個 172.16.xxx.0/24 內網的 .30

因為已經拿到了類似 .30 的 RDP 帳號密碼，但 .30 看來不是 Windows

透過 .32 使用 nc 對 .30 進行 Port Scan，指令 : ./nc -v -z -n -w 1 172.16.212.30 1-65535

看來 .30 僅有開 2 個 Port，22 & 3390

順便先掃一下 31，有開 22、25、79、2323

使用 chisel 建立通道，然後 RDP 試試看

└─$ proxychains4 -q xfreerdp /v:172.16.212.30 /port:3390 /u:desktop /p:'Deskt0pTermin4L' /d:SKYLARK.com /drive:aries,/home/kali/lab3/30

看來畫面是全黑的甚麼都看不到

直接 mapping 172.16.212.30 的 3390 Port 到 kali 的 3390 Port 再試一次看看

└─$ xfreerdp /v:127.0.0.1 /port:3390 /u:desktop /p:'Deskt0pTermin4L' /d:SKYLARK.com /drive:aries,/home/kali/lab3/30

發現畫面一樣黑的

nmap 掃一下 3390 看看是啥服務

3390/tcp open ms-wbt-server xrdp

Web 開了也沒有反應

hydra RDP 測試看看，看來是個 RDP 沒有錯，帳號密碼也可以用

後來將 22 Port mapping 到 kali 的 2222 然後 htdra 測試一下發現 SSH 可以直接登入

SSH 登入時既然失敗與跳錯誤，看來有檢查來源登入的機器

繞了一圈，最後從 .32 直接 SSH 進去 .30 了，順便拿到了 local.txt

再建立一個 4446 session 回來再開始 PE

cat /etc/passwd

帳號 : legacy、logger、desktop

cat /etc/crontab

sudo -l

pspy64 看到會去執行 /bin/sh /root/.scripts/logger.sh

ls -la 該檔案後沒有權限，看來這個應該是送 syslog 到 .32 的 job

SUID check

檢查 GTFO 有看到 cpsh 有 SUID 利用

跟著操作，成功 root，也拿到 proof.txt

更新攻擊列表

使用者 legacy .bash_history 感覺有個像是密碼的字串 I_Miss_Windows3.1

測試一下看看，又獲得一組憑證 legacy:I_Miss_Windows3.1

更新帳號密碼表

留言