读文读报1——上线提权抓取明文密码

最新推荐文章于 2023-03-27 10:42:26 发布
最新推荐文章于 2023-03-27 10:42:26 发布
阅读量2.2k 收藏 3
点赞数 1
分类专栏： 追随大师
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/soldi_er/article/details/115598245
版权

文章目录

总结

读文读报

“Shodan插件探测到81端口”

  疑问：使用81-83端口的常见服务有哪些？
  据说：81端口通常是路由器管理页面端口，或汉邦登录界面端口。
  实践：Fofa搜索，查看前3页发现摄像头后台、ikuai后台、其他Web应用后台。
  结论：81端口通常是服务后台登录地址，且多为摄像头。

搜索命令访问URL判断
port=“81” 中国xx:81/doc/page/login.asp页面信息Hikvision,海康威视摄像头，admin/12345
region=“Zhejiang” && port=“81”xx:81摄像头关键词jhua，浙江大华公司，admin/admin
xx:81/login#/loginikuai登陆地址爱快路由器，全讯汇聚网络科技，admin/admin


“杀软探测，查看是否存在AV”

  Anti Virus是指反病毒软件，简称AV，杀软会查杀一些命令和软件，使无法进行反弹shell获得权限等，想要进一步渗透测试，杀软是一道小门槛。

  反病毒软件：360、360杀毒、火绒、deferencer，以及全球和全国杀软平台检测。

“目标出网，直接powershell上线”

  疑问：Powershell的基本概念是什么，有哪些基本操作？
  查询资料：Windows Powershell是一种命令行外壳程序和脚本环境，基于.net。简单来说，Powershell是cmd的超集，cmd能做的不能做的，Powershell都能做。在Linux下通常反弹shell，在Windows下通常反弹Powershell。
  据说：使用CS的Attacks-Web Drive by - Script Web delivery生成powershell脚本，上传到目标服务器上，运行后目标主机会在CS服务器上线。

  本地Win10打开cmd命令行窗口，输入powershell.exe -h成功执行。
  希望实践：观看哔哩哔哩视频，【内网渗透】Cobalt_Strike全套教程
视频地址https://www.bilibili.com/video/av45380497/

在这里插入图片描述

“08提权神器”

  通过sqlmap拿到SQLServer的os-shell，CS上线。接下来Systeminfo查看系统信息，准备通过08漏洞进行提权。
  百度搜索08提权神器，找到CVE-2018-8120提权漏洞。

内容说明
漏洞名称Windows操作系统Win32k的内核提权漏洞。
漏洞编号CVE-2018-8120
漏洞描述普通应用程序可利用win32k.sys组件的空指针漏洞以内核权限执行任意代码
影响版本Win7 32/64位 sp1，WinServer 2008 32/64位 sp2，WinSer 2008 R2 SP1

  具体影响版本信息：
  Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems SP1
  Windows Server 2008 for 32-bit Systems SP2
Windows Server 2008 for 32-bit Systems SP2
Windows Server 2008 for Itanium-Based Systems SP2
Windows Server 2008 for x64-based Systems SP2
Windows Server 2008 for x64-based Systems SP2
  Windows Server 2008 R2 for Itanium-Based Systems SP1
Windows Server 2008 R2 for x64-based Systems SP1
Windows Server 2008 R2 for x64-based Systems SP1

  windows本地提权常用命令：

命令用途
systeminfofindstr OS 获取系统版本信息
hostname获取主机名称
net user查看用户名列表
net user user_name查看所属的组和权限
whoami显示登录账号
whoami/user显示登录账号和SID
net user user_name pass_word /add添加用户
net user user_name /del删除用户
net user user_name /active:yes/no激活/禁用账号
net localgroup查询当前所有用户组
net localgroup administrators user_name /add将test用户添加到administrators用户组

  复现环境：
OS版本：操作系统Win7 x64 SP1
系统型号：VMware Virtual Platform
系统类型：x64-based PC

  exp来源：
样本来源：https://github.com/unamer/CVE-2018-8120
优化后的样本：https://github.com/alpha1ab/CVE-2018-8120（亲测可以）

管理员身份复现

  查看默认用户信息net user simi：本地组成员，*Administrators
  查看当前目录下的文件：dir
  从宿主机把exp文件夹拖到虚拟机，cd跳转到目录
执行命令cve-2018-8120.exe “whoami”，程序中断“cve-2018-8120.exe已停止工作”。
  仔细查看发现，应该使用x64/Release/目录下的cve-2018-8120.exe。
通过“cve-2018-8120.exe 命令”可以使用system用户执行命令。

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

普通用户复现

  control打开控制面板，新建普通用户users_test。
  切换用户，发现桌面文件是空的，说明不共享文件。
  打开管理员组账户simi的文件夹，输入管理员密码，找到exp程序，执行命令cve-2018-8120.exe “whoami”，成功以system身份运行命令。

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述


简单查看Win7用户组

  查看虚拟机Win7 Sp1的用户组，主要介绍三个组和一个用户：

  Administrators管理员组，对计算机/域有不受限制的完全访问权；
  Users:普通用户组，是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。用户不能修改系统注册表设置、操作系统文件或程序文件。（运行应用程序都要申请权限）
  Guests:来宾组，按默认值，来宾跟普通Users的成员有同等访问权，但来宾帐户的限制更多。
  “最高权限system”：System组不允许用户加入，也不会在用户组中显示，只有一个system用户。系统超级管理员system可以结束一些系统进程，而用户超级管理员administrator很可能无法结束系统进程。

在这里插入图片描述


“抓取密码，远程登陆”

  前步骤：调用Powershell成功，CS上线。通过08提权可以执行system命令。

  目标：抓取管理员哈希密码并解密，开启3389端口远程登录。

  0X01 procdump+mimikatz读取密码，Win环境首推
  0x02 使用powershell读取密码
  0x03 通过SAM文件+mimikatz读取密码

知识准备

  Sam文件：Windows的用户hash一般是存储在C:\windows\system32\config\SAM文件中（域控存在NTDS.dit文件中），但管理员也无法打开并读取该文件内容。

  lsass.exe进程：lsass.exe是一个系统进程，用于本地安全认证，用户的hash信息就存在lsass.exe程序内存中。我们一般就是以lsass.exe进程为目标，使用工具从该进程中dump出已登录用户的hash相关信息。

  procdump程序转储软件是微软官方的，专门用来监测程序CPU高使用率从而生成进程dump文件的工具。ProcDump可以针对特定进程生成一系列的dump文件，以便调试者对事故原因进行分析。

  mimikatz是法国人Gentil Kiwi编写的一款windows神器，可以直接从 lsass.exe 进程里获取windows处于active状态账号的明文密码。
  还可以提升进程权限，注入进程，读取进程内存等等，mimikatz包含了很多本地模块，更像是一个轻量级的调试器，已被添加到MSF并作为一个可加载的Meterpreter模块。作者主页：http://blog.gentilkiwi.com/

在这里插入图片描述

  下载软件ProcDump：
下载地址https://docs.microsoft.com/zh-cn/sysinternals/downloads/procdump

  下载软件mimikatz，Win10下载会产生安全警告，只有Windows Defense杀软：
下载地址https://github.com/gentilkiwi/mimikatz/releases

抓取Win7明文密码

  把Procdump文件夹拖拽到Win7虚拟机，管理员权限运行命令，从lsass.exe进程内存中dump用户账号/密码，转存为离线版的lsass.dmp，其中dmp文件是进程的内存镜像：

  使用管理员组用户simi执行命令：procdump64.exe -accepteula -ma lsass.exe lsass.dmp，报错504
  使用system身份执行命令：CVE-2018-8120.exe “C:\Users\simi
\Desktop\Procdump\procdump64.exe -accepteula -ma lsass.exe lsass.dmp”，转存成功。

在这里插入图片描述
在这里插入图片描述

  使用Admin运行命令报错，再用system运行命令，对dump出的lsass.dmp进行解密：

  双击mimikatz.exe运行程序，分别输入以下命令，成功解密用户账号/口令，只有当前用户simi：
privilege::debug
sekurlsa::minidump 转存的内存镜像文件lsass.dmp
sekurlsa::logonpasswords

在这里插入图片描述

在这里插入图片描述

Win10顺手测试

  Admin执行命令：procdump64.exe -accepteula -ma lsass.exe lsass.dmp，报错1056
切换system用户，再次执行命令，成功dump内存镜像dmp文件。
  以管理员权限（应该是system）运行mimikatz.exe，分别执行如下命令。
发生报错ERROR kuhl_m_sekurlsa_acquireLSA ; Key import ，可能是Win10的某些安全性改进，导致mimikatz无法读取lsass导致的，找了三篇文章，暂时没有找到解决方案。
  额外的收获：据说键盘记录无法记录windows的登陆密码。
  privilege::debug
  sekurlsa::minidump MyWin10-lsass.dmp
  sekurlsa::logonpasswords

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述


“直接sqlmap在登录处注入尝试”

  FOFA搜索：title=“棋牌后台管理系统”
  测试范围：FOFA搜索第一页10条。
  执行命令sqlmap.py -u “xxx” --forms --batch（此命令能够探测sqllabs的less11)
  报错unable to connect to the target URL，本地可以跑sqlmap，推测有WAF。
Burp抓取数据包执行命令sqlmap.py -r post.txt -p UName，仍报错，说明不是爬虫的锅。
  基本可以断定有WAF存在，文章里的环境常常可遇不可求。

  使用wafw00f对WAF进行探测，报错：Failed to establish a new connection: [WinError 10061] 由于目标计算机积极拒绝，无法连接。

扩展阅读

  北京汉邦高科数字技术有限公司，专注于数字视频监控领域的产品和技术研发。

  《海康威视-网络摄像机操作手册V2.0.0-2011》
网络摄像头出厂默认IP为“192.0.0.64”，端口为“8000”，超级用户“admin/12345”。

参考

  《记一次棋牌站的沦陷 -lengyi》， 2020-09
https://lengjibo.github.io/qipai/#more

  《海康威视网络摄像机用户手册_WORD格式(说明书)可打印.doc》，2018-10
https://max.book118.com/html/2018/1011/8077057051001126.shtm

  《CobaltStrike 使用教程(二)之powershell上线》，2021-03
https://blog.csdn.net/m0_53087192/article/details/114640257?utm_medium=distribute.pc_relevant.none-task-blog-baidujs_title-0&spm=1001.2101.3001.4242

  《CVE-2018-8120漏洞复现 》，2019-08
https://mp.weixin.qq.com/s?__biz=MzUyMTAyODYwNg==&mid=2247485419&idx=1&sn=d05f79ac32b1166fdc9458b8eadcf8ac&chksm=f9e0117ace97986cb14ef1396c197d438da8af7d7fc2491d0bd195c9f22baa070bcad485305b&mpshare=1&scene=23&srcid=&sharer_sharetime=1566620897514&sharer_shareid=d32981e13d51bf06188894426d2a54e5#rd

  《windows系统默认的本地组都有哪些 都有啥作用》
https://zhidao.baidu.com/question/55980601.html

  《渗透测试之地基免杀篇：C#加载msf和CS后门免杀过所有杀软》，2021-02
https://www.freebuf.com/articles/web/262803.html

  《High CPU Dump收集工具 - ProcDump使用方法》
https://www.pianshen.com/article/58581824776/

  《windows抓取用户密码》，2020-07
https://blog.csdn.net/w1590191166/article/details/107350200/

  《使用mimikatz抓取windows管理员密码》，2019-12
https://blog.csdn.net/whoim_i/article/details/103639737

  

区块链市场观察家
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
iKuai 流控路由 SQL注入漏洞（含批量验证poc）
weixin_43567873的博客
04-06 133
iKuai 流控路由 SQL注入漏洞（含批量验证poc）
windows内存密码获取mimikatz_trunk
04-17
第一条：privilege::debug //提升权限 第二条：sekurlsa::logonpasswords https://github.com/gentilkiwi/mimikatz/releases/tag/2.1.1-20180325
海康威视NVR嵌入设备WEB程序
07-04
ASP源代码, 海康威视NVR嵌入设备中是带有WEB程序的，但是却不提供源代码下载，http://192.168.5.107/doc/page/login.asp 这是我从DS-8632N-ST设备中导出的ASP程序， 大家可以参考一下。
谷歌最新搜索语法备份
xxx
08-08 3219
转载自https://www.itread01.com/content/1504534820.html inurl:share.cgi?ssid= ##雲服務器文件和文件夾共享 intitle:“Welcome to QNAP Turbo NAS” ## QNAP登錄頁面 inurl:“img/main.cgi?next_file” ##在線攝像頭 ext:log inurl:"/pgadmin"...
google hack 语法(渗透测试google黑客语法)
键盘的起始页
05-31 4116
intitle:搜索标题 inurl:搜索url intext:搜索网页正文内容 连接 site: 在某网站下搜寻 site: www.any.com + inurl:admin intext: to parent directory + intext : mdb filetype: ppt,asp,php intext:to parent directory intext:转到父目录/转到父路径 强制搜索,即必须包含加号后面的内容; – 把某个字忽略 同意词 . 单一的通配符 通配符，可代.
一篇文章带你了解HTTP
清茶淡粥的博客
12-12 273
文章目录HTTP协议简介HTTP工作原理HTTP协议特点HTTP协议版本HTTP 1.0HTTP 1.1HTTP 2.0URI、URL、URNHTTP消息结构HTTP Request (请求信息)Request Line（请求行）Request Headers（请求头）Request body（请求体）HTTP Response (响应信息)Response LineResponse HeadersResponse body(响应体)HTTP状态码（HTTP Status Code）HTTP状态码分类HT
海康威视视频接口dome
06-16
海康威视 的视频demo视频接口dome
ERROR kuhl_m_sekurlsa_acquireLSA ； Key import
最新发布
墨痕诉清风的博客
03-27 5461
我在实验室环境中在服务器2019上使用了最新的mimikatz 2.2版本(12/25)。我收到以下错误“error kuhl_m_sekurlsa_acquireLSA;关键进口” 我尝试了早期版本2.1.1 #17763，并运行sekurlsa::logonpasswords就可以了。使用mimikatz的2.2.1版本即可避免此告警。原作者第一发现报错git描述。
ubuntu16.04下运行海康威视网络摄像头sdk(qtdemo)
MKraul的博客
04-27 4179
因为工程原因不得不在Ubuntu系统下链接海康威视相机.查阅了很多资料,对于我这种小白来说都不够用,自己摸索吧,然后给海康威视开发者发各种傻x邮件,不要脸地问问题,总在在qt里把相机画面调出来了,希望接下来可以和各位大神一起交流. 1.首先拿到相机,用网线连上电脑,根据操作手册,先把相机激活,http://192.168.1.64/doc/page/login.asp?_1587994274991...
PPL攻击详解
hongduilanjun的博客
11-01 3685
PPL表示“受保护的流程”，但在此之前，只有“受保护的流程”。Windows Vista / Server 2008引入了受保护进程的概念，其目的不是保护您的数据或凭据。其最初目标是保护媒体内容并符合DRM（数字版权管理）要求。Microsoft开发了此机制，以便您的媒体播放器可以读取例如蓝光，同时防止您复制其内容。当时的要求是映像文件（即可执行文件）必须使用特殊的Windows Media证书进行数字签名（如Windows Internals的“受保护的过程”部分所述）。
hteml ajax 方法,对乌云漏洞库payload的整理以及Burp辅助插件
weixin_39681486的博客
08-06 5228
来自于一个小的想法，我们能否从一个httpburp插件然后写了一个burp插件，用来辅助寻找http请求包中域名，路径，参数等获取乌云历史漏洞中类似的数据。Payload排名Top既然已经将wooyun中的一些url抓取出来，不如来统计一些常用的字典来丰富一下字典？出现漏洞的端口Top100端口号出现次数80806710802458811345808192570018858000882808874...
login.asp
02-14
login的源文件
FTP连接与密码明文抓取的实验内容(win2003).pdf
07-10
FTP连接与密码明文抓取的实验内容(win2003).pdf 学习资料 复习资料 教学资源
mimikatz 抓取 Windows 明文密码
06-02
Mimikatz - Windows 密码抓取神器 轻量级调试器神器 - mimikatz - 直接抓取 Windows 明文密码！ 这个神器的功能肯定不仅仅如此 在我看来它更像一个轻量级调试器 可以提升进程权限 注入进程 读取
python爬虫项目——自动批量抓取m3u8网页视频
10-14
自动抓取网页视频，批量下载m3u8视频ts文件，并自动合成一个MP4格式视频文件
mimikatz(windows 明文密码抓取工具)
04-02
windows 明文密码抓取工具，分别有32位和64位版本，在XP和win 7 旗舰版上测试成功
hash密码抓取工具大全
03-25
hash密码抓取提取密码工具大全
codeproject
热门推荐
在路上
03-26 4万+
ApplicationsCrafting a C# forms Editor From scratchhttp://www.codeproject.com/csharp/SharpFormEditorDemo.asp建立一个类似C#的环境, 实现控件拖拉，属性  Packet Capture and Analayzer网络封包截获http://www.codep
学习笔记-Mimikatz
人饭子的博客
11-02 668
Mimikatz 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 项目地址 https://github.com/gentilkiwi/mimikatz 文章 & Reference 九种姿势运行 Mimikatz Mimikatz 使用小技巧 域渗透——Dump Clear-Text Password after ...
使用L0phtCrack获取密码和使用mimikatz直接抓取Windows明文密码区别总结
03-22
L0phtCrack和mimikatz都是用于获取Windows系统密码的工具，但它们的工作原理不同。L0phtCrack是一款密码破解软件，它通过暴力破解、字典攻击等方式获取密码。而mimikatz则是一款密码抓取工具，它可以直接从Windows系统内存中获取明文密码。因此，L0phtCrack获取的密码可能需要一定的时间才能破解成功，而mimikatz则可以直接获取明文密码，速度更快。另外，使用L0phtCrack需要对密码进行破解，可能会被系统检测到并触发安全警报，而使用mimikatz则可以在不留下痕迹的情况下获取密码。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值