Blaster
在整个房间中,我们将研究不使用Metasploit的替代开发模式,或者除了nmap和dirbuster之外的真正开发工具。为了总结这个房间,我们将回到这些工具,以实现持久性和我们可以采取的其他步骤。事不宜迟,让我们部署目标计算机!
循例,nmap扫一下,靶机应该禁ping了
nmap -sS 10.10.40.172 -p- -Pn
我醒目了,以后只要题目问开了多少个端口二话不说直接全扫
80/tcp open http
3389/tcp open ms-wbt-server
我们应该到web上找线索
web是iis默认页面,我们可以使用gobuster扫一扫目录
gobuster dir --url http://10.10.40.172/ -w /usr/share/dirbuster/wordlists/directory-list-2.3-small.txt
结果:
/retro (Status: 301) [Size: 149] [--> http://10.10.40.172/retro/]
进去一看,这界面,非常的眼熟,当然我说的不是它的风格,而是这道题,在进攻性渗透测试中有一道这样的复古题。
根据经验,我们直接找到帖子:Ready Player One
帖子下有一条关于密码的评论
Leaving myself a note here just in case I forget how to spell it: parzival
结合3389端口:
wade
parzival
尝试登录rdp
xfreerdp /u:wade /p:parzival /cert:ignore /v:10.10.40.172 /workarea +clipboard
CVE-2019-1388
该漏洞位于Windows的UAC(User Account Control,用户帐户控制)机制中。默认情况下,Windows会在一个单独的桌面上显示所有的UAC提示——Secure Desktop。这些提示是由名为consent.exe的可执行文件产生的,该可执行文件以NT AUTHORITY\SYSTEM权限运行,完整性级别为System。因为用户可以与该UI交互,因此对UI来说紧限制是必须的。否则,低权限的用户可能可以通过UI操作的循环路由以SYSTEM权限执行操作。即使隔离状态的看似无害的UI特征都可能会成为引发任意控制的动作链的第一步。事实上,UAC会话中含有尽可能少的点击操作选项。
利用该漏洞很容易就可以提升权限到SYSTEM。
不以为然,又是相同的软件放在桌面上,我们直接双击它,然后点击:
Show more details
点击 -> Show information about the publisher's certificate
点击 -> Issue by的蓝色链接
然后就可以关闭,回到桌面了,此时你会发现桌面打开了ie浏览器,这个浏览器是以system权限打开的。
我们按下:
Ctrl + S
调出文件管理器,在路径输入的地方输入:cmd.exe
即可获得system权限的cmd
msf建立持久性
由于目标系统上开启的AV,一旦我们上传恶意程序将会被查杀,所以我们可以借助msf:
exploit/multi/script/web_delivery
该模块能够帮助我们在目标机器上 在内存中加载shellcode,这样就躲避了AV对磁盘的查杀
我们可以使用:
meterpreter > run persistence -h
快速为我们建立持久性