No.65-HackTheBox-windows-Tally-Walkthrough渗透学习

**

HackTheBox-windows-Tally-Walkthrough

**

靶机地址：https://www.hackthebox.eu/home/machines/profile/113
靶机难度：中级（5.0/10）
靶机发布日期：2018年5月4日
靶机描述：
Tally can be a very challenging machine for some. It focuses on many different aspects of real Windows environments and requires users to modify and compile an exploit for escalation. Not covered in this document is the use of Rotten Potato, which is an unintended alternate method for privilege escalation.
作者：大余
时间：2020-02-28
请注意：对于所有这些计算机，我是通过平台授权允许情况进行渗透的。我将使用Kali Linux作为解决该HTB的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。

一、信息收集

可以看到靶机的IP是10.10.10.59…

Nmap揭示了目标上运行的大量服务…最值得注意的是，有一台托管Sharepoint的IIS服务器…

访问80发现HOME需要登录密码才可以进去…

利用gobuster扫描发现了viewlsts.aspx…

可以看到这是一个主页…

列出了目录中网站的文档和页面…

可以看到下载了文档，查看了内容…这是FTP的密码…目前还不知道账号…

在SitePage里发现了例外一个信息…发现了ftp的用户名：ftp_user

成功登录，在Files目录下发现两个文件，下载到本地分析看看…

知道kdbx是哈希密码，利用keepass2john编译，然后john来爆破即可知道哈希值…

可以看到已经破解了账号密码…
然后继续进行数据库登录了…

成功登录数据库后，在zz_Archived文件夹中找到一些SQL连接信息…

将下载到本地查看…

又发现了密码…

在\zz_Migration\Binaries目录下也发现了tester.exe文件…
利用shrings查看了内容，发现了信息：UID=sa;PWD=GWE3V65#6KFH93@4GWTG2G

二、提权

利用metploit暴力提权吧…GO，MSF生成反向 shell…

成功通过FTP上传了反向shell…

直接利用auxiliary/admin/mssql/mssql_exec进行mssql的命令注入，然后成功提权…

这里学习使用隐身模式和RottenPotato…GO

通过getprivs命令，我们可以验证对当前进程启用的所有特权

先活得user.txt凭证…

下载rottenpotato.exe进行提权…

上传rottenpotato到靶机桌面目录下…

执行use incognito命令，将模块加载到Meterpreter会话中…

这里看到有一个有效的管理员令牌，模拟该令牌以获取特权即可…

可以看到获得了system权限…

成功获得root信息…
这里还有很多漏洞，可以利用EXP…最近时间没那么多些出来，我都自己记录在自己的文档里了…

感兴趣的可以继续深挖学习！！加油！！

提示：这里还可以利用CVE-2017-0213、CVE:-2016-1960等进行提权…

由于我们已经成功得到root权限查看user.txt和root.txt，因此完成了简单靶机，希望你们喜欢这台机器，请继续关注大余后期会有更多具有挑战性的机器，一起练习学习。

如果你有其他的方法，欢迎留言。要是有写错了的地方，请你一定要告诉我。要是你觉得这篇博客写的还不错，欢迎分享给身边的人。