No.80-HackTheBox-windows-Sizzle-Walkthrough渗透学习

最新推荐文章于 2024-11-09 21:51:27 发布
最新推荐文章于 2024-11-09 21:51:27 发布
阅读量458 收藏
点赞数
分类专栏： Hack The box 文章标签： python java linux 数据库 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_34801745/article/details/105192722
版权

**

HackTheBox-windows-Sizzle-Walkthrough

**

靶机地址：https://www.hackthebox.eu/home/machines/profile/169
靶机难度：中级（5.0/10）
靶机发布日期：2019年5月8日
靶机描述：
Sizzle is an “Insane” difficulty WIndows box with an Active Directory environment. A writable directory in an SMB share allows to steal NTLM hashes which can be cracked to access the Certificate Services Portal. A self signed certificate can be created using the CA and used for PSRemoting. A SPN associated with a user allows a kerberoast attack on the box. The user is found to have Replication rights which can be abused to get Administrator hashes via DCSync.

作者：大余
时间：2020-03-30
请注意：对于所有这些计算机，我是通过平台授权允许情况进行渗透的。我将使用Kali Linux作为解决该HTB的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。

一、信息收集

在这里插入图片描述
可以看到靶机的IP是10.10.10.103…
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
Nmap发现该域为HTB.LOCAL，3389ldap的sslcert还存在sizzle.htb.local域名，允许匿名ftp登录，http和https都在运行IIS，445端口，5985的WinRm端口…等等端口服务…
在这里插入图片描述
访问80，真香的烤肉图片…
在这里插入图片描述
http这边目前没发现什么…FTP看看
在这里插入图片描述
FTP是空目录…
在这里插入图片描述
这有两个部门存在，Department和Operations…CertEnroll 是默认的ADCS share（这里存在证书服务共享，发现了http://10.10.10.103/certsrv）…另外两个本地share
在这里插入图片描述
可以看到需要密匙，先放放
在这里插入图片描述
Department Shares是guest用户可读的，进去看看…
在这里插入图片描述
空口令进来了，存在很多目录，users感兴趣
在这里插入图片描述
存在Public目录…通常应该users/Public是可以上传文件的…试试
在这里插入图片描述
测试是可写入的…可以进行scf文件攻击…
可以参考，开始进行scf攻击
在这里插入图片描述
创建好了@dayu.scf…@符号会将dayu.scf放置在共享驱动器的顶部
在这里插入图片描述
在这里插入图片描述
开启responder 对TUN0接口…
在这里插入图片描述
用户会几分钟左右浏览该目录，浏览后都会自动尝试通过出发@dayu.scf然后连接到我的smb，利用responder抓流量哈希即可…
等待几分钟…抓到了…
在这里插入图片描述
通过john爆破哈希，获得了账号密码…
在这里插入图片描述
在此站点中，有不同的选项来管理证书，要做的就是单击“ 请求证书”，请求一个新的证书，然后提交高级证书请求即可.
在这里插入图片描述
命令：openssl req -new -newkey rsa:2048 -nodes -keyout caca.key -out dayussl.csr
这里用openssl生成一个证书…
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
这里选择Usercert作为模板…
在这里插入图片描述
将证书下载即可…
前面nmap就知道WinRm端口是开放的…
Windows远程管理（WinRM）是WS-Management Protocol的Microsoft实现，WS-Management Protocol是基于标准的简单对象访问协议（SOAP）的，防火墙友好的协议，允许来自不同供应商的硬件和操作系统进行互操作。
而WinRM正在运行Windows远程管理，该服务允许通过接口连接远程计算机，SOAP并且可以通过证书进行身份验证…
在这里插入图片描述
这里准备使用WinRm进行登录…
可以看到5985端口在使用http，5986使用https…
这里需要简单编写下EXP即可登陆…参考WinRm
在这里插入图片描述
下面还有很多方式方法，自行查看…
记得下载git clone https://github.com/WinRb/WinRM.git gem install -r winrm
在这里插入图片描述
成功登陆…
在这里插入图片描述
检查了下，没什么特别信息…这里的思路是上传shell提权即可…
在这里插入图片描述
在这里插入图片描述
上传报错了…目前处于受限语言模式下，模式禁用了许多Powershell功能…
smb共享开启也报错…
继续一个一个试…

方法1：

在这里插入图片描述
wget成功上传了…
在这里插入图片描述
需要执行激活…报错了…
在这里插入图片描述
利用powershell V2来绕过了报错限制…成功执行了nishang的shell…
在这里插入图片描述
可以看到，通过尝试收集信息…在system32下存在file.txt文件…保存了NTLM哈希值…
在这里插入图片描述
这里破解了mrlky:1603:aad3b435b51404eeaad3b435b51404ee:bceef4f6fe9c026d1d8dec8dce48adef:::
mrlky用户密码…
administrator哈希值破解不了，估计是错误的…
这里利用/impacket/examples/secretsdump.py对mrlky继续获取administrator的NTLM哈希…
在这里插入图片描述
又获取了一个哈希值…
这里我尝试破解还是不对…
在这里插入图片描述
我利用了smb的hash访问administrator…成功进了…
在这里插入图片描述
成功获得了user和root信息…
这里应该是取巧获得了user和root信息…如果没用NTML哈希，继续思考还能怎么提权…

方法2：

https://www.blackhillsinfosec.com/a-toast-to-kerberoast/
利用Kerberoast进行攻击，需要利用msf
在这里插入图片描述
在shellcode部分中，将用MSFvenom替换要生成的代码，将其编码为100，以避免被防病毒软件检测到…
配合https://raw.githubusercontent.com/3gstudent/msbuild-inline-task/master/executes%20shellcode.xml
生成EXP即可…
在这里插入图片描述
可以看到，上传了xml文件，但是转换成了.bin文件，这不要紧…
在这里插入图片描述
命令：mv .\c53d75a50e089ebe3e39214838d75b04e56324a0.bin dayushell2.csproj
命令：C:\Windows\Microsoft.NET\Framework\v4.0.30319\Msbuild.exe dayushell2.csproj
通过将bin文件修改回csproj即可…然后利用Msbuild执行csproj的shellcode…成功获得了反向外壳…
https://www.blackhillsinfosec.com/a-toast-to-kerberoast/
这里将利用kerberoasting进行提权…
有了一个meterpreter会话后，可以添加路由并设置代理，然后使用代理GetUserSPNs.py并查看是否有任何用户可以使用kerberoastable…
在这里插入图片描述
配置proxychains为使用端口8080，route add 10.10.10.0 255.255.255.0 1这将添加整个内部子网的路由，其中1为会话号…
命令：proxychains GetUserSPNs.py -request -dc-ip 10.10.10.103 HTB.LOCAL/amanda:Ashare1972
然后获得了mrlky的哈希值…john破解后，继续和方法1一样，获得user和root…
或者使用wmiexec.py进行hashes哈希值登陆也能获得信息…
还可以利用Invoke-Mimikatz.ps1直接获取管理员权限…等等
这里方法非常多…只要肯深挖…加油！！

很好的一台靶机！

由于我们已经成功得到root权限查看user.txt和root.txt，因此完成这台中等的靶机，希望你们喜欢这台机器，请继续关注大余后期会有更多具有挑战性的机器，一起练习学习。

如果你有其他的方法，欢迎留言。要是有写错了的地方，请你一定要告诉我。要是你觉得这篇博客写的还不错，欢迎分享给身边的人。

在这里插入图片描述

大余xiyou
关注
专栏目录
HTB靶机渗透
萍水间人的小天地
02-18 1113
信息收集 这里可以先设置一下hosts文件 10.10.10.168 obscure.htb 扫描端口发现开放了 8080 的web端口 页面提示有一个源码泄露 Message to server devs: the current source code for the web server is in 'SuperSecureServer.py' in the secret ...
HTB打靶(Active Directory 101 Sizzle)
qq_18811919的博客
02-01 885
HTB打靶(Active Directory 101 Sizzle)
jquery-1.9.1.min.js
qq_43590989的博客
07-15 4212
/*! jQuery v1.9.1 | (c) 2005, 2012 jQuery Foundation, Inc. | jquery.org/license //@ sourceMappingURL=jquery.min.map */(function(e,t){var n,r,i=typeof t,o=e.document,a=e.location,s=e.jQuery,u=e.$,l={},...
jQuery源码研究分析学习笔记-jQuery.fn.init()（五）
前端岚枫
08-02 4393
$()=jQuery(),二者即是返回的构造函数jQuery.fn.init()实例对象 jQuery = function( selector, context ) { return new jQuery.fn.init( selector, context, rootjQuery ); } jQuery.fn = jQuery.prototype = { constru
jQuery源码学习（5）-Sizzle选择器（1）
qq_20901397的博客
05-16 852
1、常见的选择器：#test表示id为test的DOM节点.aaron 表示class为aaron的DOM节点nav>li 表示在nav内部子li的样式，而不是所有的后代元素，只是往下一层li的样式。nav+p 表示nav类相邻的p元素的属性，其他的p元素不受影响。nav[title] 表示nav的title属性的样式。nav[rel='active'] 表示nav类的属性rel为activ...
FE.SRC-逐行分析jQuery2.0.3源码-完整笔记
weixin_34179968的博客
07-30 125
概览 (function (){ (21 , 94) 定义了一些变量和函数 jQuery=function(); (96 , 293) 给jQuery对象添加一些方法和属性; (285 , 347) extend:jQuery扩展方法; (349 , 817) jQuery.extend : ...
项目实践系列-点击生成自定义设置的二维码
热门推荐
王定勇15993092872
11-23 4万+
目前为止，生活中的我们到处可见一些二维码，使用微信扫一扫即可进入到另一个网络空间，这种方式方便了我们的生活，更让我们可以适应这种方式。 那么今天呢，我就个人项目经历，把点击生成自定义设置的二维码的一个项目实践功能分享给大家，希望大家可以在看完有所收获，同时呢，我也加深一下项目印象，记录一下这次的项目实践。 话不多说，上代码！ index.html: <!DOCTYPE html> <html> <head> ...
MVVM框架学习第12篇--avalon介绍
桂云帆的博客
07-26 1054
MVVM划分三层，M，VM，V，M是原始数据，用于转换为VM，VM管理状态与绑定回调，V通过绑定得到VM的状态与回调，渲染页面，绑定事件，切换类名，什么脏活都揽了——但用户只需要声明。比如if(aaa){}语句中的aaa，就是表示true与false，switch(bbb){}语句，它表示有多个值的状态，就像有人幼年，童年，少年，青年，中年，老年这几个阶段，它们都指向同一个东西。许多人都知道MVVM是MVC的一个变体，但那些MVC是在后端的，包括微软的WPF，这意味着这个V与我们前端接触到的V差别很大。
Failed to execute ‘setAttribute‘ on ‘Element‘: ‘,；.m-item‘ is not a valid attribute name.
m0_57364615的博客
11-26 1401
Vue项目突然白屏页面不出来,代码里面也没有报错,控制台console这样报错 莫慌,其实应该是不小心在某个标签输入了非法字符,仔细看报错 去代码查找 去掉之后,刷新页面,解决
Sizzle-devtest.7z
11-20
Sizzle 开发环境 一个 /g/ 用户将 OpenNT NTOSBE 构建环境移植到 Win2003 源，作为源中包含的 razzle 构建环境的替代品。 目前它可以很好地构建源代码，但用户注意到了...上次指南更新的最新版本： Sizzle-devtest.7z
Python库 | sphinx_sizzle_theme-0.0.8-py2.py3-none-any.whl
02-19
《Python库解析：sphinx_sizzle_theme-0.0.8-py2.py3-none-any.whl》 在Python的世界里，丰富的库是其强大功能的重要支撑。今天我们要讨论的是一个名为`sphinx_sizzle_theme`的库，它以`.whl`格式提供，版本为0.0.8...
Windows-Internet-of-Things-development-starts-to-sizzle-Learn-the-Universal-Windows-Platform-Code:“ Windows物联网开发的热潮–学习通用Windows平台”演示文稿的源代码-windows source code
03-25
Windows物联网开发开始风靡一时–了解通用Windows平台 “ Windows物联网开发的热潮–学习通用Windows平台”演示文稿的源代码 随时向我发的评论，反馈或问题。
PyPI 官网下载 | sphinx_sizzle_theme-0.0.8-py2.py3-none-any.whl
01-07
资源来自pypi官网。 资源全名：sphinx_sizzle_theme-0.0.8-py2.py3-none-any.whl
前端项目-sizzle.zip
09-02
在压缩包"**sizzle-master**"中，我们可以期待找到以下内容： 1. **源码文件**：通常包括JavaScript文件，如`sizzle.js`，这是Sizzle的核心实现。 2. **测试用例**：为了确保Sizzle的正确性和性能，压缩包可能包含...
【python GUI编码入门-21】如何用Tkinter创建一个记事本应用
木头大左的博客
11-08 37
在现代编程环境中，图形用户界面（GUI）应用程序的开发变得越来越重要。Python的Tkinter库是一个功能强大且易于使用的GUI工具包，非常适合初学者和有经验的开发者使用。本文将详细介绍如何使用Tkinter创建一个简易的记事本应用，涵盖从安装到实现各项功能的全过程。Tkinter是Python的标准GUI库，它提供了丰富的接口来创建窗口、对话框、按钮等常见的GUI组件。Tkinter具有良好的跨平台性，可以在Windows、Mac OS和Linux上运行。
【anaconda】使用记录
zhuyan108的博客
11-05 340
window11 下安装anaconda。
智能化运维的未来：AI和机器学习在运维中的应用
Echo_Wish的博客
11-05 542
AI和机器学习在运维中的应用，不仅提高了运维效率和质量，还为企业的数字化转型提供了强有力的技术支持。通过预测性维护、自动化运维、异常检测和智能告警等应用，企业可以更好地管理和优化其IT基础设施，确保系统的高效、稳定运行。希望本文能为读者提供有价值的参考，帮助你在运维实践中更好地应用AI和机器学习技术。如果有任何问题或需要进一步讨论，欢迎交流探讨。让我们共同推动智能运维的发展，实现更高效、更智能的运维管理。
一次薅国家超算平台的记录
weixin_55179972的博客
11-07 407
参与 谁是下一个“AI”跃人 -AI体验推介活动，赢取千元算力券！（https://www.scnet.cn/home/subject/modular/index270.html）2. Clone开源的Llama3 Chinese （https://github.com/LlamaFamily/Llama-Chinese）活动名称主题：国家超算互联网「AI跃升季」：谁是下一个“AI”跃人 - AI算力体验活动。其中位置1，2替换为商品基模型和训练出来的微调模型。模型改为商城下载的模型。2、运行的过程记录。
推荐一款管道数据检索工具：Pipedata-Pro
最新发布
11-09 234
是一款专为设计石油、天然气、水和蒸汽管道及管道系统的工程师开发的应用程序。该应用程序提供了设计管道系统所需的工程数据，拥有一个全面的管道类型、配件和材料。
https://greasyfork.org/zh-cn
06-28
GreasyFork平台最早由一个名为Sizzle的开发团队创建，其目的是让个人开发出自己的脚本，以简化网页浏览时的体验。GreasyFork为开发人员提供了一个方便的平台，在这里他们可以轻松地编写自己的脚本并与其他人分享。 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值