👩🏻‍🎨 🤴 🤮 HackTheBox। वॉकथ्रू रेसोल्यूट। पासवर्ड का छिड़काव। DnsAdmin से सिस्टम तक ❌ 🔸 ⬛️

मैं HackTheBox साइट से आगे की प्रक्रिया के लिए भेजे गए समाधान प्रकाशित करना जारी रखता हूं ।

इस लेख में, हम मशीन के बारे में जानकारी एकत्र करते हैं, उपयोगकर्ता को प्राप्त करने के लिए पासवर्ड छिड़काव करते हैं, और दुर्भावनापूर्ण DLL का उपयोग करके DnsAdmin से हमारे अधिकारों को भी बढ़ाते हैं।

प्रयोगशाला का कनेक्शन वीपीएन के माध्यम से है। यह सलाह दी जाती है कि एक कार्य कंप्यूटर या एक होस्ट से कनेक्ट न करें जहां आपके लिए महत्वपूर्ण डेटा उपलब्ध है, क्योंकि आप एक निजी नेटवर्क पर उन लोगों के साथ हैं जो सूचना सुरक्षा के क्षेत्र में कुछ जानते हैं :)

संगठनात्मक जानकारी

, , Telegram . , , .

. , - , .

टोह

इस मशीन का आईपी एड्रेस 10.10.10.169 है, जिसे मैं / etc / मेजबानों में जोड़ता हूँ।

10.10.10.169    resolute.htb

सबसे पहले, हम खुले बंदरगाहों को स्कैन करते हैं। चूंकि नैम्प के साथ सभी बंदरगाहों को स्कैन करने में लंबा समय लगता है, इसलिए मैं इसे पहले मैसकैन के साथ करूंगा। हम प्रति सेकंड 500 पैकेट की गति से tun0 इंटरफ़ेस से सभी टीसीपी और यूडीपी पोर्ट को स्कैन करते हैं।

masscan -e tun0 -p1-65535,U:1-65535 10.10.10.169  --rate=500

मेजबान के कई बंदरगाह खुले हैं। अब उन्हें फ़िल्टर करने के लिए नैप के साथ स्कैन करें और उन लोगों का चयन करें जिनकी आपको ज़रूरत है।

nmap resolute.htb -p53,88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49667,49671,49676,49677,49688,49915

अब, बंदरगाहों पर काम करने वाली सेवाओं के बारे में अधिक विस्तृत जानकारी के लिए, हम -ए विकल्प के साथ एक स्कैन चलाएंगे।

nmap -A resolute.htb -p53,88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49667,49671,49676,49677,49688,49915

नैंप आउटपुट से हमें डोमेन नाम मेगाबैंक.लोक मिलता है, जिसे हम / etc / मेजबानों में जोड़ते हैं। विंडोज के लिए खुफिया में पहली चीज एक बुनियादी लिस्टिंग है। व्यक्तिगत रूप से, जब एक लिनक्स मशीन से परीक्षण किया जाता है, तो मैं enum4linux का उपयोग करता हूं।

enum4linux -a megabank.local

और डोमेन, उपयोगकर्ताओं, समूह और पासवर्ड नीति के बारे में जानकारी के बीच, हम उपयोगकर्ता खाते के निशान पर एक दिलचस्प टिप्पणी पाते हैं। टिप्पणी में उसका पासवर्ड है। लेकिन इन क्रेडेंशियल्स के साथ लॉग इन करने के बाद, हम सभी सेवाओं पर विफल हो जाते हैं।

उपयोगकर्ता

चूंकि हमारे पास पहले से ही एक पासवर्ड और सिस्टम में हाइलाइट किए गए उपयोगकर्ताओं की एक सूची है, इसलिए हम लेटरल मूवमेंट तकनीकों में से एक का उपयोग कर सकते हैं - पासवर्ड छिड़काव। मैंने इस सब के बारे में यहाँ विस्तार से लिखा है । लब्बोलुआब यह है कि हम सभी ज्ञात उपयोगकर्ताओं के लिए ज्ञात पासवर्ड आज़माते हैं।

सबसे पहले, हम SMB के माध्यम से सॉर्ट करने की कोशिश करते हैं। आप इसके लिए Metasploit फ्रेमवर्क के लिए smb_login मॉड्यूल का उपयोग कर सकते हैं।

हम आवश्यक मापदंडों को इंगित करते हैं।

और हम सफलतापूर्वक उस उपयोगकर्ता को ढूंढते हैं जिसे यह पासवर्ड उपयुक्त है।

और क्रेडेंशियल्स की जांच करें। मैं smbmap को पसंद करता हूं, जो उपयोगकर्ता, पासवर्ड, डोमेन और होस्ट को निर्दिष्ट करता है।

और हमें उपलब्ध संसाधनों की एक सूची मिलती है। यदि आप बंदरगाहों की सूची पर लौटते हैं, तो 5985 पर एक रनिंग WinRM सेवा है। लिनक्स के तहत इस सेवा के साथ सुविधाजनक काम के लिए, आप Evil-WinRM का उपयोग कर सकते हैं ।

USER2

ईविल-विनआरएम ठीक काम करता है, लेकिन मेट्रोप्टर अभी भी अधिक सुविधाजनक है। सौभाग्य से, यह प्रोग्राम आपको कनेक्ट करते समय PowerShell या C # फ़ाइलों के साथ एक निर्देशिका निर्दिष्ट करने की अनुमति देता है, जिसे स्वचालित रूप से सत्र में लोड किया जाएगा। हम एक PowerShell फ़ाइल जनरेट करेंगे जिसमें Metpreter लोड होगा।

और कनेक्शन के लिए सुनने के लिए एक श्रोता बनाएं।

अब हम ईविल-विनआरएम से जुड़े हैं और हम एक स्क्रिप्ट के साथ एक निर्देशिका निर्दिष्ट करते हैं।

लेकिन फ़ाइल को लोड के साथ शुरू करने के बाद, हम देखते हैं कि स्क्रिप्ट ने त्रुटियों के बिना काम किया, लेकिन कोई संबंध नहीं है।

सबसे अधिक संभावना है कि स्क्रिप्ट अवरुद्ध थी। चूंकि यह PowerShell है, इसलिए यह AMSI का उपयोग करने की सबसे अधिक संभावना है। लेकिन एविल-विनआरएम के अपने उपयोगी मॉड्यूल हैं।

जैसा कि आप अनुमान लगा सकते हैं, हमें पहले वाले की जरूरत है। हम इस मॉड्यूल को लागू करेंगे और लोड के साथ फिर से हमारी फ़ाइल चलाएंगे।

और हम एक सफल कनेक्शन का निरीक्षण करते हैं।

Recon के लिए स्क्रिप्ट चलाने के बाद, मशीन को दरकिनार करते हुए, हम एक दिलचस्प निर्देशिका में आते हैं।

यह वह निर्देशिका है, जो "स्टार्ट-ट्रांसक्रिप्ट" कमांड के बाद, रिकॉर्ड किए गए पावरस्ले सत्रों से पाठ फ़ाइल को संग्रहीत करती है। हम एक फ़ाइल की तलाश कर रहे हैं।

चलो सामग्री देखते हैं।

तो, यह रयान का एक उपयोगकर्ता सत्र है। और थोड़ा आगे हम उस कमांड को ढूंढते हैं जिसके साथ पासवर्ड प्रेषित किया गया था।

हम WinRM सेवा के लिए क्रेडेंशियल्स का प्रयास करते हैं।

और अंत में, रयान के रूप में लॉग इन करें।

जड़

और सबसे पहले, वर्तमान उपयोगकर्ता के बारे में जानकारी की जांच करना, हम एक दिलचस्प विशेषता पाते हैं। वह DnsAdmins समूह का सदस्य है।

यह हमें अपने विशेषाधिकारों को सिस्टम में अपग्रेड करने का अवसर देता है। अगली बार सेवा शुरू होने पर हम आपको DLL लोड करने के लिए कह सकते हैं। डीएलएल को मीटरपर लोड के साथ उत्पन्न करते हैं।

और सुनने वाले को चलाओ।

अब smb सर्वर को सक्रिय करें। हम SMB संस्करण 2 के लिए निर्देशिका, नाम और समर्थन का संकेत देते हैं।

अब dnscmd का उपयोग करके हम इंगित करेंगे कि किस DLL को लोड करना है।

कमांड सफलतापूर्वक पूरा हुआ, अब DNS सेवा को पुनः आरंभ करें।

और रिबूट के बाद, हम एसएमबी के माध्यम से एक कनेक्शन देखते हैं।

साथ ही एक खुला सत्र।

और हमें सिस्टम अधिकार मिलते हैं।

आप हमसे टेलीग्राम पर जुड़ सकते हैं। वहां आप दिलचस्प सामग्री, मर्ज किए गए पाठ्यक्रम, साथ ही सॉफ़्टवेयर पा सकते हैं। आइए एक समुदाय को एक साथ रखें जिसमें ऐसे लोग होंगे जो आईटी के कई क्षेत्रों में पारंगत हैं, फिर हम किसी भी आईटी और सूचना सुरक्षा मुद्दों पर हमेशा एक-दूसरे की मदद कर सकते हैं।

HackTheBox। वॉकथ्रू रेसोल्यूट। पासवर्ड का छिड़काव। DnsAdmin से सिस्टम तक

टोह

उपयोगकर्ता

USER2

जड़

More articles: