 直 接用WebLogic_Wls-Wsat_RCE_Exp.jar exp獲取到shell，和上上篇文章一樣。 信息收集 攻擊 像開(kāi)始說(shuō)的，我是沒(méi)有注意到WRSA.exe這款殺軟，但是習(xí)慣性的用了Veil生成msf的exp，恰好又能過(guò)（virustotal.com） 利用bitsadmin命令將exp上傳到目標(biāo)機(jī)   msf監(jiān)聽(tīng)并反彈meterpreter的shell  這里和 Weblogic引發(fā)的血案-2有點(diǎn)像，哈哈哈，入口點(diǎn)都一樣。 域信息收集 先收集一下域信息，找找域管，找找域控。 該機(jī)子的管理員組可能存在有域管賬號(hào)，如果能抓出哈希豈不是美滋滋？但是當(dāng)前權(quán)限不是NT AUTHORITY\SYSTEM所以msf加載的mimikatz是抓不出哈希的 提權(quán)啊 迷惑點(diǎn) 綜合上述，這里有個(gè)問(wèn)題就是判斷域管的時(shí)候留下的，就是執(zhí)行net localgroup administrators顯示有kx\kxadmin管理員用戶，然后執(zhí)行net group 'domain admins' /domain查看域管當(dāng)中也有kxadmin用戶，這是kx\kxadmin迷惑了我（kx是域控），注意這個(gè)賬號(hào)的格式是域控\賬號(hào)，這里和遠(yuǎn)程登入域機(jī)器的時(shí)候輸入域管賬號(hào)一樣，格式也是域控\賬號(hào)。所以這里的kx\kxadmin賬號(hào)是域管的概率很大，因?yàn)樗鼧?biāo)識(shí)了。總的來(lái)說(shuō)，驗(yàn)證的方法也很簡(jiǎn)單，就是讀取kx\kxadmin的密碼，能登入域控的話就是域管賬號(hào)了。 提權(quán)失敗 好久沒(méi)有提權(quán)了，記得上次用pr.exe提了臺(tái)機(jī)子還是半年前的事。 這里只截取了一小部分的圖，綠色代表可以利用的提權(quán)工具，[參考文章](http://www./sectool/102139.html) ms15-051 運(yùn)行ms15-051.exe結(jié)果懵逼了 當(dāng)時(shí)第一反應(yīng)就是被殺了，再一次看了進(jìn)程才發(fā)現(xiàn)有個(gè)WRSA.exe殺軟，好吧，第一次遇到，沒(méi)注意。 Webroot殺軟 手上也沒(méi)有免殺的提權(quán)工具，這就很難受了。 meterpreter 用msf自帶的試試，search了幾個(gè)15 16的提權(quán)模塊，設(shè)置session之后 run！然而并沒(méi)有用，meterpreter遷移進(jìn)程和getsystem也不管用，提權(quán)難啊提權(quán)難 內(nèi)網(wǎng)游游 還在為提權(quán)想辦法時(shí)，掃內(nèi)網(wǎng)發(fā)現(xiàn)了192.168.2.245域控存在ms17-010！這次你還不死。 添加用戶懟！ 遠(yuǎn)程登入 迫不得已的時(shí)候才用這招，當(dāng)時(shí)登入的時(shí)候還被擠下線了，好采對(duì)方?jīng)]發(fā)覺(jué)什么。 mimiktaz 不是明文的，cmd5可破。 Cobalt Strike 利用該域控上線個(gè)cs然后arp登入一波域內(nèi)機(jī)子就差不多完事了，但是死活上線不了，各種姿勢(shì)都試過(guò)了，就是不給你上線，exp在進(jìn)程里面了就是不給你上線（能通外網(wǎng)），剛開(kāi)始以為是該域控環(huán)境有問(wèn)題，所以就拿著域管登入到其他兩個(gè)域控，還是不給上線，行吧，我在換多幾臺(tái)試試總可以了吧？換了不下十臺(tái)機(jī)子，就是不給你上線，好氣。最后以為是自己的Cobalt Strike有問(wèn)題，本地運(yùn)行下exp結(jié)果秒上線，狗噢。 MSF 都說(shuō)Cobalt Strike是msf的界面版，那我改用msf總行吧。 登入域里的機(jī)器，使用到的模塊 設(shè)置對(duì)應(yīng)的SMBDomain，SMBUer，SMBPass，run登入。結(jié)果三臺(tái)域控沒(méi)上線，只上線了兩臺(tái)，當(dāng)時(shí)忘截圖了，心累。 NTDS.dit文件 獲取NTDS.dit文件，導(dǎo)出域控里全部域用戶哈希。導(dǎo)出方式[參考文章](http://www./90278.html) 將NTDS.dit，system，sam 三個(gè)文件拖回kali里，DUMP NTDS.dit文件[參考文章](http://www./articles/system/151463.html) 說(shuō)明：這里一定要在/root/下創(chuàng)建ntds_cracking目錄然后將ntds.dit放到該目錄，路徑是/root/ntds_cracking/ntds.dit 不然會(huì)報(bào)錯(cuò)。 老規(guī)矩，擦屁股走人~
|
|
|
來(lái)自： 昵稱27086148 > 《IT》
