【Hack The Box】windows练习-- legacy

HTB 学习笔记

【Hack The Box】windows练习-- legacy

---

🔥系列专栏：Hack The Box
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
📆首发时间：🌴2022年9月7日🌴
🍭作者水平很有限，如果发现错误，还望告知，感谢！

信息收集

信息收集的手法与linux一致
namo即可

PORT    STATE SERVICE      VERSION
135/tcp open  msrpc        Microsoft Windows RPC
139/tcp open  netbios-ssn  Microsoft Windows netbios-ssn
445/tcp open  microsoft-ds Windows XP microsoft-ds
Device type: general purpose|specialized
Running (JUST GUESSING): Microsoft Windows XP|2003|2000|2008 (92%), General Dynamics embedded (85%)
OS CPE: cpe:/o:microsoft:windows_xp::sp3 cpe:/o:microsoft:windows_server_2003::sp1 cpe:/o:microsoft:windows_server_2003::sp2 cpe:/o:microsoft:windows_2000::sp4 cpe:/o:microsoft:windows_server_2008::sp2
Aggressive OS guesses: Microsoft Windows XP SP3 (92%), Microsoft Windows XP SP2 (91%), Microsoft Windows Server 2003 SP1 or SP2 (90%), Microsoft Windows Server 2003 SP2 (90%), Microsoft Windows 2003 SP2 (90%), Microsoft Windows XP SP2 or Windows Server 2003 (89%), Microsoft Windows XP Professional SP3 (88%), Microsoft Windows XP SP2 or SP3 (88%), Microsoft Windows Server 2003 (88%), Microsoft Windows 2000 SP4 or Windows XP Professional SP1 (88%)
No exact OS matches for host (test conditions non-ideal).
Network Distance: 2 hops
Service Info: OSs: Windows, Windows XP; CPE: cpe:/o:microsoft:windows, cpe:/o:microsoft:windows_xp

Host script results:
| smb-security-mode: 
|   account_used: guest
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: disabled (dangerous, but default)
|_nbstat: NetBIOS name: nil, NetBIOS user: <unknown>, NetBIOS MAC: 00505696a83e (VMware)
|_clock-skew: mean: 5d00h57m40s, deviation: 1h24m49s, median: 4d23h57m41s
|_smb2-time: Protocol negotiation failed (SMB2)
| smb-os-discovery: 
|   OS: Windows XP (Windows 2000 LAN Manager)
|   OS CPE: cpe:/o:microsoft:windows_xp::-
|   Computer name: legacy
|   NetBIOS computer name: LEGACY\x00
|   Workgroup: HTB\x00
|_  System time: 2022-11-02T13:03:13+02:00

发现存在的服务是445，并且nmap跑出来的是winxp 或者2003，这个版本的机器可能存在永恒之蓝的漏洞
但这都是猜测，有很多种扫描的方法，可以使用nmap的自动扫描，也可以使用脚本

枚举smb服务

smbmap -H [IP]

smbmap啥也没有枚举出来

扫描

这一个环节是我第一次学到，因为以都是针对于web，对于服务的枚举将是我本次学习到的最佳技巧

nmap -p 445 --script vuln 10.129.6.213
当然我认为如果你是第一次使用这个脚本去运行，你最好执行下面的命令，否则这可能会让你扫描不出任何的漏洞
nmap --script-updatedb

└─# nmap --script=vuln -p 445 10.129.6.213
Starting Nmap 7.93 ( https://nmap.org ) at 2022-10-28 05:49 EDT
Nmap scan report for 10.129.6.213
Host is up (0.31s latency).

PORT    STATE SERVICE
445/tcp open  microsoft-ds

Host script results:
|_smb-vuln-ms10-061: Could not negotiate a connection:SMB: Failed to receive bytes: EOF
|_samba-vuln-cve-2012-1182: NT_STATUS_ACCESS_DENIED
|_smb-vuln-ms10-054: false
| smb-vuln-ms08-067: 
|   VULNERABLE:
|   Microsoft Windows system vulnerable to remote code execution (MS08-067)
|     State: VULNERABLE
|     IDs:  CVE:CVE-2008-4250
|           The Server service in Microsoft Windows 2000 SP4, XP SP2 and SP3, Server 2003 SP1 and SP2,
|           Vista Gold and SP1, Server 2008, and 7 Pre-Beta allows remote attackers to execute arbitrary
|           code via a crafted RPC request that triggers the overflow during path canonicalization.
|           
|     Disclosure date: 2008-10-23
|     References:
|       https://technet.microsoft.com/en-us/library/security/ms08-067.aspx
|_      https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4250

Nmap done: 1 IP address (1 host up) scanned in 29.11 seconds
                                                               

很好，结论如下

存在ms08-067
ms17-010

这个靶场就仅仅利用一个漏洞即可，因为我认为这两个差不多

使用msf（建议不要使用）

如果你想获得oscp认证，你最好使用手工的方法
你也可以玩玩msf

msf6 > search ms08-067
很简单，就不继续了，直接拿到system了
借着搜索一下需要的文本
这里是我学到的第二个东西
我可以利用它全局搜索，效果极佳

dir "\user.txt" /s
dir "\root.txt" /s

不使用msf（推荐）

事实上无论你准不准备备考oscp,你都应该掌握手工的方法，或者你只想当个脚本小子？

哦对了，如果你刚才运行了msf获取了shell，你必须要关闭靶场并且重新启动，因为msf会占用他的smb服务，你讲一无所获

https://raw.githubusercontent.com/jivoi/pentest/master/exploit_win/ms08-067.py
在这里，你将会发现你将如何利用这个exp
或者，这样搜索

而在url给出的exp中，我们可以发现完整的帮助
这告诉我们我们需要选择一个去利用，如果你实在判断不出来
全部实一遍，你就会有收获
并且在这里选择一个你喜欢的命令生成一个payload，覆盖下面的shellcode

然后根据你选择的msf脚本生成命令
开启对应的端口监听
而后按照要求运行脚本
你将获取shell

执行不了whoami，这是因为Winxp里面没有这个服务

你只需要进入这个目录，而后type打印出来即可