HTB打靶日记：Intelligence

文（备考oscp版～）

已于 2022-12-28 01:04:15 修改

阅读量768

点赞数 2

文章标签：安全网络安全网络攻击模型 windows 系统安全

于 2022-12-28 00:55:16 首次发布

本文链接：https://blog.csdn.net/m0_73998094/article/details/128460269

版权

信息收集：

nmap -p- -sT --min-rate=10000 -Pn 10.129.95.154

nmap -p- -sU --min-rate=10000 -Pn 10.129.95.154

nmap -p53,80,88,135,139,389,445,593,636,3268,3269,5985,9389,49666,49691,49692 -sT -sV -sC -O -Pn 10.129.95.154

nmap -p53,80,88,135,139,389,445,593,636,3268,3269,5985,9389,49666,49691,49692 --script=vuln -sT 10.129.95.154

通过nmap探测到存在 intelligence.htb,dc.intelligence.htb两个域名，加入hosts文件中，

发现53端口开放，且获得域名，尝试区域传输后没有什么信息

dig @10.129.95.154 axfr  intelligence.htb

ldapsearch探测出了两个域名DomainDnsZones.intelligence.htb与ForestDnsZones.intelligence.htb，加入hosts文件中

smb协议与rpc协议也无法匿名登陆，只好查看80端口，尝试从web端获取信息

在网站里发现了两个pdf

下载pdf后，发现了两个用户名，记录下来

利用kerbrute尝试一下，确实是域用户

检查是否设置了不需要预身份验证，失败（AS-REP-roasting）

到这里后，感觉思路中断了，看了一下0xdf的思路HTB: Intelligence | 0xdf hacks stuff

这里需要枚举更多的pdf获取其他用户名，枚举脚本：

#!/usr/bin/env python3

import datetime
import io
import PyPDF2
import requests


t = datetime.datetime(2020, 1, 1)
end = datetime.datetime(2021, 7, 4)
keywords = ['user', 'password', 'account', 'intelligence', 'htb', 'login', 'service', 'new']
users = set()

while True:
    url = t.strftime("http://intelligence.htb/documents/%Y-%m-%d-upload.pdf")
    resp = requests.get(url)
    if resp.status_code == 200:
        with io.BytesIO(resp.content) as data:
            pdf = PyPDF2.PdfFileReader(data)
            users.add(pdf.getDocumentInfo()['/Creator'])
            for page in range(pdf.getNumPages()):
                text = pdf.getPage(page).extractText()
                if any([k in text.lower() for k in keywords]):
                    print(f'==={url}===\n{text}')
    t = t + datetime.timedelta(days=1)
    if t >= end:
        break

with open('users', 'w') as f:
    f.write('\n'.join(users))

运行脚本后会得到30个用户与一个密码