Оффлайн
- Регистрация
- 9 Май 2015
- Сообщения
- 1,483
- Баллы
- 155
Сегодня я покажу разные варианты техники повышения привилегий ADCS ESC14: сначала для получения сессии на хосте, а затем для получения повышенных прав в домене Windows.
Наша цель — получение прав суперпользователя на машине Scepter с учебной площадки . Уровень задания — сложный.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.65 scepter.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел 13 открытых портов:
Первым делом обновим содержимое файла /etc/hosts.
10.10.11.65 scepter.htb dc01 dc01.scepter.htb
Точка входа
На хосте работает служба NFS, проверим, есть ли для нас доступные бэкапы.
showmount -e 10.10.11.65
Доступные тома NFS
Нам доступен для чтения ресурс helpdesk. Монтируем его к нашей системе и просматриваем содержимое каталога.
mkdir /tmp/nfs
sudo mount -t nfs 10.10.11.65:/helpdesk /tmp/nfs
sudo ls -la /tmp/nfs/
Содержимое ресурса helpdesk
В каталоге содержатся сертификаты и ключи. PFX-сертификаты защищены паролем. Мы можем использовать , чтобы для сертификатов сформировать хеши паролей в формате утилиты john.
pfx2john.py clark.pfx >> hashes.txt
pfx2john.py lewis.pfx >> hashes.txt
pfx2john.py scott.pfx >> hashes.txt
Затем отправляем полученные хеши на перебор. Получаем один пароль для всех сертификатов.
john --wordlist=rockyou.txt hashes.txt
Результат подбора паролей
Наша цель — получение прав суперпользователя на машине Scepter с учебной площадки . Уровень задания — сложный.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /etc/hosts:
10.10.11.65 scepter.htb
И запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bash
ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '
' ',' | sed s/,$//)
nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A).
Результат работы скрипта
Сканер нашел 13 открытых портов:
- 88 — Kerberos;
- 111, 2049 — NFS;
- 135 — Microsoft RPC;
- 139 — NetBIOS, NetLogon;
- 389 — LDAP;
- 445 — SMB;
- 464 — служба смены пароля Kerberos;
- 593 (HTTP-RPC-EPMAP) — используется в службах DCOM и MS Exchange;
- 636 — LDAP с шифрованием SSL или TLS;
- 3268 (LDAP) — для доступа к Global Catalog от клиента к контроллеру;
- 3269 (LDAPS) — для доступа к Global Catalog от клиента к контроллеру через защищенное соединение;
- 5985 — служба удаленного управления WinRM.
Первым делом обновим содержимое файла /etc/hosts.
10.10.11.65 scepter.htb dc01 dc01.scepter.htb
Точка входа
На хосте работает служба NFS, проверим, есть ли для нас доступные бэкапы.
showmount -e 10.10.11.65
Доступные тома NFS
Нам доступен для чтения ресурс helpdesk. Монтируем его к нашей системе и просматриваем содержимое каталога.
mkdir /tmp/nfs
sudo mount -t nfs 10.10.11.65:/helpdesk /tmp/nfs
sudo ls -la /tmp/nfs/
Содержимое ресурса helpdesk
В каталоге содержатся сертификаты и ключи. PFX-сертификаты защищены паролем. Мы можем использовать , чтобы для сертификатов сформировать хеши паролей в формате утилиты john.
pfx2john.py clark.pfx >> hashes.txt
pfx2john.py lewis.pfx >> hashes.txt
pfx2john.py scott.pfx >> hashes.txt
Затем отправляем полученные хеши на перебор. Получаем один пароль для всех сертификатов.
john --wordlist=rockyou.txt hashes.txt
Результат подбора паролей