TryHackMe-Ra 2（Windows渗透测试）

news2024/11/18 15:30:56

Ra 2

WindCorp最近发生了安全漏洞。从那以后，他们加强了基础设施，从错误中吸取教训。但也许还不够？您已经设法进入了他们的本地网络…

端口扫描

循例 nmap

在这里插入图片描述

域名跟Ra前部基本一样, 多了个selfservice

SMB枚举

smbmap

在这里插入图片描述

enum4linux也没什么信息

在这里插入图片描述

DNS枚举

dig枚举，txt记录发现flag1，并且flag是一句话

在这里插入图片描述

允许不安全的动态更新是一个重大的安全漏洞，因为可以从不受信任的来源接受更新

Web枚举

根据Ra，尝试故技重施，重置lilyle的密码，发现失败

在这里插入图片描述

来到fire子域，跟主域一致，除了有个按钮，它指向了一个新的子域

在这里插入图片描述

发现需要登录，查看包发现还是ntlm，这让我不禁想起pth2web，然而目前也没有可用凭据

在这里插入图片描述

使用gobuster对着fire扫描有个powershell, 但目前并没有可用凭据

在这里插入图片描述

查看源代码发现了9090端口

在这里插入图片描述

进去是一个openfire 4.5.1，但没没有找到什么特别有用的公开漏洞，扫目录也没扫到啥东西

在这里插入图片描述

剩下一个selfservice子域没扫，gobuster扫一下

在这里插入图片描述

由于没登录的缘故，也扫不到东西

回到端口扫描结果，遗漏了一个dev

在这里插入图片描述

在这里插入图片描述

gobuster扫到个backup

在这里插入图片描述

里面只有一个证书，这是从未见过的未知打法

在这里插入图片描述

DNS缓存投毒

其实回到开头获得的第一个flag给出的信息，其实很明显，这指引我们要对dns做点手脚

我参考了wp，其实我的想法也差不多，但没想到会有机器人发送登录请求这个茬

根据flag1的信息，这表明我们可以动态的更新dns服务器的缓存表项，selfservice的https需要ntlm身份验证登录，而根据wp的提示，会有机器人自动发登录请求

这意味着如果我们能通过dns缓存投毒，使selfservice子域的dns的a记录改成攻击机的的ip地址，那么机器人将会带着ntlm hash过来，我们也将能获得该hash并且进一步利用

这种攻击方式以前只学过理论，但付之于实战这也是第一次

首先需要把https搭起来，我也学着wp使用responder搭

至于证书，刚刚我们已经从selfservice.dev子域获取了，但它是pkcs格式，我们需要从中获得ssl cer和key

在这里插入图片描述

它需要密码，pfx2john + john直接爆

在这里插入图片描述

获得cert.pem和key.pem

在这里插入图片描述

配置responder

在这里插入图片描述

开responder，确保https没问题

在这里插入图片描述

手动连接到本地443，查看一下证书，没问题

在这里插入图片描述

使用nsupdate向靶机即dns服务器进行投毒

在这里插入图片描述

dig看一下，确定修改成功

在这里插入图片描述

不一会，机器人就带着凭据过来了

在这里插入图片描述

hashcat直接爆

在这里插入图片描述

在这里插入图片描述

立足

回到刚刚的fire子域下的/powershell，拿着凭据直接登录

成功进来，并同时获得flag2

在这里插入图片描述

权限提升

查看whoami /all，有许多让眼前一亮的信息，其中最值得注意的依然是老朋友SeImpersonatePrivilege

在这里插入图片描述

传个PrintSpoofer

在这里插入图片描述

添加账户并加入admins组

在这里插入图片描述

xfreerdp直接登

在这里插入图片描述

flag3

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/419324.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

CLIP：语言-图像表示之间的桥梁

CLIP：语言-图像表示之间的桥梁

最近GPT4的火爆覆盖了一个新闻：midjourney v5发布，DALLE2，midjourney都可以从文本中生成图像，这种模型要求人工智能同时理解语言和图像数据。 传统的基于人工智能的模型很难同时理解语言和图像。因为自然语言处理和计算机视觉一直…
阅读更多...
每日一练——Day 13

每日一练——Day 13

前言： 小亭子正在努力的学习编程，接下来将开启编程题的练习~~ 分享的文章都是学习的笔记和感悟，如有不妥之处希望大佬们批评指正~~ 同时如果本文对你有帮助的话，烦请点赞关注支持一波, 感激不尽~~ 第一题 题目描述： 刷…
阅读更多...
一篇文章搞懂Docker、DockerCompose

一篇文章搞懂Docker、DockerCompose

文章目录1、初识Docker1.1、项目部署的问题1.2、Docker如何解决依赖的兼容问题的？1.3.Docker解决操作系统环境差异1.4、Docker如何解决不同系统环境的问题？1.5、小总结2、Docker 和虚拟机的区别3、Docker架构3.1、镜像和容器3.2、DockerHub3.3、Docker架…
阅读更多...
2023年最强手机远程控制横测：ToDesk、向日葵、Airdroid三款APP免Root版本

2023年最强手机远程控制横测：ToDesk、向日葵、Airdroid三款APP免Root版本

前言 随着远程办公和远程协作的日益普及，跨设备、系统互通的远程控制软件已经成为职场人士不可或缺的工具之一。在国内，向日葵和ToDesk是最著名的远程控制软件；而在国外，则有微软远程桌面、AirDroid、TeamViewer、AnyDesk、Parse…
阅读更多...
【移动端】fiddler配置及使用

【移动端】fiddler配置及使用

文章目录安装配置桌面端配置移动端配置Android 手机上的配置苹果手机上的配置使用视图功能区域栏图标说明相关问题来源Fiddler是以代理web服务器的形式工作的，它使用代理地址:127.0.0.1，端口:8888。当Fiddler退出的时候它会自动注销，这样就不…
阅读更多...
linux 消息队列 msgget/msgsnd/msgrecv

linux 消息队列 msgget/msgsnd/msgrecv

专栏内容：linux下并发编程个人主页：我的主页座右铭：天行健，君子以自强不息；地势坤，君子以厚德载物．目录 前言 概述 原理 消息队列的大小 查看资源 接口 代码演示 结尾 前言 本专栏主要…
阅读更多...
Git记录

Git记录

Git日常命令 版本管理 git tag 删除本地tag git tag --delete v4.2.1推送本地标签 git push origin v4.2.1创建本地标签 git tag v4.2.1 分支管理 远程仓库地址管理 远程地址添加 意外着我可以将一个项目添加多个远程的仓库地址，只不过需要注意的一点就是git …
阅读更多...
mysql数据表操作

mysql数据表操作

1、alter 修改表名 : alter table 旧表名 rename as 新表名添加字段 : alter table 表名 add字段名 列属性[属性]修改字段 : alter table 表名 modify 字段名 列类型[属性]alter table 表名 change 旧字段名 新字段名 列属性[属性]删除字段 : alter table 表名 drop 字段名2、…
阅读更多...
多目标柔性生产作业车间——反世代距离（IGD）

多目标柔性生产作业车间——反世代距离（IGD）

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录反世代距离IGD概念收敛性能以及分布性能举例计算反世代距离IGD概念 反世代距离是一个综合性能的评价指标，主要是应用至求解多目标问题中，评价…
阅读更多...
Java企业级开发学习笔记（2.3）利用MyBatis实现关联查询

Java企业级开发学习笔记（2.3）利用MyBatis实现关联查询

该文章主要为完成实训任务，详细实现过程及结果见【http://t.csdn.cn/ZVEZd】 文章目录一、创建数据库表1.1 创建教师表1.2 创建班级表1.3 创建学生表二、创建于数据库表对应的实体类2.1 创建教师实体类2.2 创建学生实体类2.3 创建班级实体类三、创建班级映射器配置文…
阅读更多...
Leetcode394 字符串解码 递归和非递归

Leetcode394 字符串解码 递归和非递归

字符串解码 https://leetcode.cn/problems/decode-string/ 给定一个经过编码的字符串，返回它解码后的字符串。 编码规则为: k[encoded_string]，表示其中方括号内部的 encoded_string 正好重复 k 次。注意 k 保证为正整数。 你可以认为输入字符串总是有效…
阅读更多...
你搞清楚了吗？| GET请求方式的长度限制到底是多少？

你搞清楚了吗？| GET请求方式的长度限制到底是多少？

目录 📍 浏览器限制 📍 服务器限制 在大多数人的一贯认识中，一直认为get请求方式有2048B的长度限制，其实这种说法是有失偏颇的，甚至可以说是错误的。 这个问题一直以来似乎是被N多人误解，其实Http Get方…
阅读更多...
2.3-3单链表的查找

2.3-3单链表的查找

按位查找： so easy (1)边界情况 i0 没有循环，直接返回头节点 （2）如果i8 当不合法，返回NULL. (3)普通情况i3;(平均时间复杂度为O（n）) 进行封装：避免重复，更加简洁更…
阅读更多...
CRYSTALS-Dilithium

CRYSTALS-Dilithium

文章目录简介1和2版本区别2和3的区别1.介绍1.1基本方法概述密钥生成算法签名过程验证1.2Dilithium实现注意事项安全性。基础操作环操作模约简。元素的大小NTT域表示2.3 HashingsignatureGenζ ← {0,1}256\{{0, 1\}}^{256}{0,1}256(ρ, ρ, K) ∈ {0,1}256\{{0, 1\}}^{256}{0,1…
阅读更多...
【springBoot篇2】springBoot日志篇

【springBoot篇2】springBoot日志篇

目录 一、日志有什么作用 作用1：快速定位问题的所在之处(最主要) 作用2：记录用户的登录日志 作用3：记录系统的操作日志 作用4：记录方法的执行时间 二、日志怎样使用 ①先得到日志对象(slf4j的Logger对象) ​​​编辑 ②根…
阅读更多...
Python 无监督学习实用指南：1~5

Python 无监督学习实用指南：1~5

原文：Hands-on unsupervised learning with Python 协议：CC BY-NC-SA 4.0 译者：飞龙 本文来自【ApacheCN 深度学习 译文集】，采用译后编辑（MTPE）流程来尽可能提升效率。 不要担心自己的形象，只关…
阅读更多...
docker运行服务端性能监控系统Prometheus和数据分析系统Grafana

docker运行服务端性能监控系统Prometheus和数据分析系统Grafana

文章目录一、Prometheus的安装和运行1、使用docker拉取镜像2、创建prometheus.yml文件3、启动容器4、查看启动是否成功5、记录安装过程中出现的错误二、Grafana的安装和运行1、使用docker拉取镜像2、创建grafana3、运行grafana4、查看grafana运行日志5、登录grafana一、Prometh…
阅读更多...
学会了selenium 模拟鼠标操作，你就可以偷懒点点点了

学会了selenium 模拟鼠标操作，你就可以偷懒点点点了

目录：导读 前言 01.ActionChains 类常用方法 02.ActionChains 类所有方法 03.ActionChains 使用步骤 04.实战 05.总结 前言 我们在做 Web 自动化的时候，有时候页面的元素不需要我们点击，值需要把鼠标移动上去就能展示各种信息。 这个…
阅读更多...
云服务器开启声音的办法

云服务器开启声音的办法

云服务器开启声音的办法 淘小云 云计算从业者，架构师 ​关注 云服务器没有声音是一件很烦恼的事情，那么今天小编给大家分享一下服务器开启声音的方法！ 首先您需要先拥有一台windows系统的云服务器，小编这里以腾讯云服务器为例…
阅读更多...
( “树” 之 DFS) 687. 最长同值路径 ——【Leetcode每日一题】

( “树” 之 DFS) 687. 最长同值路径 ——【Leetcode每日一题】

687. 最长同值路径 给定一个二叉树的 root ，返回 最长的路径的长度 ，这个路径中的 每个节点具有相同值 。 这条路径可以经过也可以不经过根节点。 两个节点之间的路径长度 由它们之间的边数表示。 示例 1: 输入：root [5,4,5,1,1,5] 输出&…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023