Организационная информация

SPL
Recon
Данная машина имеет IP адрес 10.10.10.175, который я добавляю в /etc/hosts.

Первым делом сканируем открытые порты. Так как сканировать все порты nmap’ом долго, то я сначала сделаю это с помощью masscan. Мы сканируем все TCP и UDP порты с интерфейса tun0 со скоростью 500 пакетов в секунду.


На хосте открыто много портов. Теперь просканируем их с помощью nmap, чтобы отфильтровать и выбрать нужные.


Теперь для получения более подробной информации о сервисах, которые работают на портах, запустим сканирование с опцией -А.


На хосте много служб и первым делом следует посмотреть все, что могут дать WEB, LDAP, SMB и DNS. Для работы с LDAP я предпочитаю ldap браузер JXplorer. Выполним подключение к хосту.

После успешного анонимного подключения нам доступны следующие записи. Среди них находим, предположительно, имя пользователя.

Далее заходим на WEB и находим персонал компании.

У нас есть список возможных пользователей, но не известно, у кого из них имеется учетная запись, и как она называется. Но из LDAP мы узнали пользователя, у которого точно есть учетная запись. Тогда составим список возможных имен этой записи.

Для того, чтобы определить, имеется ли данная учетная запись, можно попытаться выполнить AS-REP Roasting, тогда нам сообщат, если данной учетной записи нет в системе. В противном случае, нам либо удастся выполнить атаку, либо нет — все зависит от флага DONT_REQ_PREAUTH (означает, что для данной учетной записи не требуется предварительная проверка подлинности Kerberos) выставленном в UAC данной записи. Выполнить атаку можно с помощью скрипта GetNPUsers из пакта impacket.

Таким образом, у пользователя Hugo Smith имеется учетная запись hsmith.
USER
На основании того, что админы стараются следовать общему приципу о соглашении об именах пользователей, составим список возможных учетных записей для других пользователей.

И повторим атаку для данных пользователей.

Из всех пользователей, учетную запись имеет лишь одни, и атака проходит, мы получаем хеш пароля пользователя. Брутим его.

И пароль успешно найден. Из множества способов использования учетных данных, выбираем службу удаленного управления (WinRM). Для подключения используем Evil-Winrm.

И берем пользователя.
USER2
Для сбора информации на хосте можно использовать скрипты базового перечисления, наиболее полный — winPEAS. Загрузим его на целевой хост и выполним.

Среди информации, которую он выводит, находим данные автологина.

Но при попытке подключиться — терпим неудачу.

Вернемся и посмотрим, какие учетные записи зарегистрированы в системе. Находим имя учетной записи для данного пользователя.

ROOT
После подключения и выполнения нескольких перечислений, загружаем на хост SharpHound.

И выполним.

В текущей директории появится архив, скачиваем его.

И закидываем в BloodHound.

Таким образом мы имеем связь GetChangesAll (можно получить по ней информацию)

В приведенном сообщении говорится о привилегии DS-Replication-Get-Changes-All. Это означает, что мы можем запросить репликацию критически важных данных с контроллера домена. Сделать это можно с помощью того же пакета impacket.

И мы имеем хеш админа. Evil-Winrm позволяет подключаться с использованием хеша.

И получаем Администратора.
Вы можете присоединиться к нам в Telegram. Там можно будет найти интересные материалы, слитые курсы, а также ПО. Давайте соберем сообщество, в котором будут люди, разбирающиеся во многих сферах ИТ, тогда мы всегда сможем помочь друг другу по любым вопросам ИТ и ИБ.
===========
Источник:
habr.com
===========
Похожие новости:

• [Open source, Python, Информационная безопасность, Сетевые технологии] Реализация ARP-спуфинга на Python
  
• [Информационная безопасность] Кто стоит за случившимся в среду эпичным взломом Твиттера? (перевод)
  
• [Информационная безопасность, Разработка веб-сайтов] Понимаем и ищем уязвимости типа Open Redirect (перевод)
  
• [IT-компании, Информационная безопасность, Управление разработкой] Вебинар «Secure SDLC: безопасность как фундаментальный аспект разработки»
  
• [Информационная безопасность] Как представители разных профессий вас пробивают
  
• [IT-компании, Информационная безопасность, Социальные сети и сообщества] Twitter после атаки заблокировал все аккаунты, пароли к которым пытались изменить последние 30 дней
  
• [Node.JS, PHP, Perl, Python, Информационная безопасность] Трюки с переменными среды (перевод)
  
• [PHP, Алгоритмы, Информационная безопасность, Криптография] Разработка собственного алгоритма симметричного шифрования на Php
  
• [IT-инфраструктура, IT-стандарты, Информационная безопасность] Защита документов от копирования
  
• [Информационная безопасность] Фишинг учетных данных Windows

Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_ctf, #_pentest, #_pentesting, #_ralf_rt, #_informatsionnaja_bezopasnost (информационная безопасность), #_ctf, #_htb, #_red_team, #_red_teaming, #_informatsionnaja_bezopasnost (
Информационная безопасность
), #_ctf