ARIES

 SSH Tunneling -  Local Port Forwarding 讓我們回想一下上一篇 Socat 場景中的第一個連接埠轉送範例。我們將 Socat 設定為偵聽 CONFLUENCE01 WAN 介面上的 TCP 連接埠 2345。在該連接埠上收到的封包被轉送到 PGDATABASE01 上的 TCP 連接埠 5432。我們使用它從 Kali 機器透過 CONFLUENCE01 連接到 PGDATABASE01 上的 PostgreSQL 服務。在這種情況下需要注意的關鍵一點是偵聽和轉送都是從同一台主機 (CONFLUENCE01) 完成的。 SSH 本地埠轉送對此新增了一個小改動。使用 SSH 本機連接埠轉發，封包不會由偵聽封包的相同主機轉送。相反，在兩個主機（SSH 用戶端和 SSH 伺服器）之間建立 SSH 連接， SSH 用戶端打開一個偵聽端口，並且在此端口上接收到的所有數據包都通過 SSH 連接通過隧道傳輸到SSH 伺服器。然後封包由 SSH 伺服器轉送到我們指定的套接字。 稍微修改一下先前的場景：Socat 現在在 CONFLUENCE01 上不再可用。我們仍然擁有之前從 Confluence 資料庫破解的所有憑證，並且仍然沒有防火牆阻止我們連接到 CONFLUENCE01 上綁定的連接埠。 使用database_admin憑證，我們將登入PGDATABASE01並發現它連接到另一個內部子網路。我們在該子網路中找到一台開啟了伺服器訊息區塊(SMB) 伺服器（在 TCP 連接埠 445 上）的主機。我們希望能夠連接到該伺服器並將我們找到的內容下載到我們的 Kali 機器上。 在這種類型的場景中，我們將計劃建立一個 SSH 本地連接埠轉發，作為從 CONFLUENCE01 到 PGDATABASE01 的 SSH 連接的一部分。我們將在CONFLUENCE01的WAN介面上綁定一個監聽埠。發送到該連接埠的所有封包都將透過 SSH 隧道轉送。然後，PGDATABASE01 會將這些封包轉送到我們找到的新主機上的 SMB 連接埠。 攻擊機 192.168.45.187 靶機 192.168.198.63、10.4.198.215、172.16.198.217 使用一樣的 Confluence 漏洞拿 Reverse Shell c...

 NTLM PtH 已知靶機 192.168.197.211，帳號 / 密碼 : gunther / password123! 透過 PTH 技術登入到靶機 192.168.197.212 並在 Administrator 桌面上找到 Flag  第一步先用已知的帳號密碼登入 192.168.197.211 登入後輸入 \\192.168.197.212\secrets，會跳出如下的帳號密碼驗證視窗 使用 gunther 與密碼 password123! 無法登入，所以看來第二台沒有該帳號權限 先抓取現有登入機器的 administrator 帳號 HASH 如下 7a38310ea6f0027ee955abed1762964b 從攻擊機直接透過 smbclient 指令，並指定使用者 administrator 然後密碼用 HASH 登入測試 └─$ smbclient \\\\192.168.197.212\\secrets -U Administrator --pw-nt-hash 7a38310ea6f0027ee955abed1762964b 可以看到成功登入了 接下來使用 impacket 庫中的 psexec.py 腳本來拿 remote shell 由於 HASH 的格式為 "LMHash:NTHash" (LM 在現今系統已無使用，但還是要輸入不可空白) 使用如下指令登入，記得 LM Hash 要輸入一樣的長度，直接用 0 代替即可 └─$ impacket-psexec -hashes 00000000000000000000000000000000:7a38310ea6f0027ee955abed1762964b Administrator@192.168.197.212 直接就拿到 remote shell 了，ipconfig 看一下確定是 192.168.197.212 那一台 直接到管理員桌面拿 flag 吧 因為 impacket 當中包含了許多指令與套件，我們可以使用另外一個 wmiexec 也可以成功拿到 remote shell，指令 └─$ impacket-wmiexec -hashes 00000000000000000000000000000000:7a38310ea6f0...

 公開的漏洞(Public Exploits) - 練習 練習 1 (12.4.1.1) 靶機 IP : 192.168.225.10 先 rustscan └─$ rustscan -a 192.168.223.10 --scripts none --ulimit 500 135、139、445、1978、跟一堆 RPC High Port 看來是台 Windows，445 SMB 看來較有機會 用 nmap 帶 script 掃一下 OS 看看 └─$ sudo nmap -v -p 139,445 --script  smb-os-discovery 192.168.225.10 是台 Windows 10 獨立機器無 Domain，主機名稱是 remotemouse 接著看看 445 有沒有 Share 甚麼資料夾 └─$ sudo nmap -sV -sC -p 139,445 192.168.225.10 --script smb-enum-shares.nse script 預設帶的帳號是 guest，發現有一個分享名稱 offsec 擁有讀寫的權限 登入看看有甚麼東西 └─$ smbclient '\\192.168.225.10\offsec' -U guest，詢問密碼時直接 Enter 即可 好多檔案阿，那就逛一逛吧 使用 curl 指令丟個 body.txt 檔案上去試試看 └─$ curl --upload-file /home/kali_r/body.txt  -u 'workgroup\guest' smb://192.168.225.10/offsec/ 不用 curl 在 smb 底下也可以直接使用 put 指令上傳檔案，刪除檔案使用 rm 重新 dir 一下，看到該路徑確實可以寫入檔案 逛了一下整個 offsec 的目錄與相關檔案，僅有 Downloads 路徑下有幾個檔案 主要是三個 *.exe 檔案跟最後一個圖檔(下載回來看過了沒啥鳥用) 第一個檔案 7z2200-x64.exe，是 7-ZIP 22 版安裝程式，依據資安人口理論 Google 搜尋 7z2200-x64.exe exploit 看來沒啥鳥用 第二個檔案 ccsetup601.exe，是 CCLear 6.01.xx 版安裝程式...