Intro

Cette machine couvrira le forçage brutal des identifiants de compte et la gestion des exploits publics. Voici un lien vers la boîte.

Enumération

Nmap scan

Comme d’habitude, nous commencerons par un scan Nmap.

Nous disposons d’un serveur web Microsoft ouvert et d’un port RDP. Tout en inspectant le site web, nous allons effectuer une force brute pour trouver d’autres répertoires intéressants en arrière-plan.

Forçage brutal des répertoires de Gobuster

Avec les résultats de gobuster, nous trouvons la page de connexion de l’administrateur. La vérification du type de requête en inspectant l’élément de formulaire nous montre des requêtes POST qui envoient des données au serveur web.

Nous avons également constaté que le nom d’utilisateur était admin, comme l’indique l’URL du formulaire de connexion. Maintenant que nous connaissons le type de requête et que nous avons une URL pour le formulaire de connexion, nous pouvons commencer à forcer brutalement le compte.

Exploitation

Forçage brutal des comptes Hydra

1. Allez sur la page de connexion du site web et essayez de vous connecter avec des informations d’identification aléatoires.
2. Appuyez sur« F12 » ou ouvrez«  Outils debasculement  » dans Firefox.
3. Sélectionnez l’onglet« Réseau« .
4. Essayez de vous connecter avec des informations d’identification aléatoires.
5. Recherchez et sélectionnez la requête« POST » dans la colonne« Méthode« .
6. Copiez l’URL commençant par« /Account/login » et collez-la quelque part pour construire votre commande :

7. Dans l’onglet de droite, appuyez sur« Request« , faites défiler vers le bas et copiez le contenu de« Request payload« , et ajoutez-le au lien précédent en le séparant par deux points ( : ).

8. Remplacez votre nom d’utilisateur et votre mot de passe par ^USER^ & ^PASS^
9. Ajoutez « :Login failed » à la fin de votre commande.
10. Résultat :

Cette chaîne comporte trois parties divisées par des deux-points :
chemin d’accès à la page du formulaire de connexion : corps de la requête : message d’erreur indiquant l’échec

Searchsploit

Après s’être connecté en tant qu’administrateur, nous trouvons que la version de BlogEngine est 3.3.6.0 et nous cherchons un exploit :

Copiez l’exploit localement, changez l’IP et le port et commencez à écouter le port choisi.

D’après la description de l’exploit, nous devons faire ce qui suit :
1. Naviguer vers le contenu
2. Postes
3. Nouveau
4. Télécharger l’exploit (le nom doit être PostView.ascx)
5. Publier
6. Visiter http://TARGET_IP/?theme=../../App_Data/files pour obtenir une coquille

L’escalade des privilèges

Systeminfo pour obtenir une vue d’ensemble

Voyons les caractéristiques de la machine :

Vérification des privilèges de Whoami

Windows utilise des jetons pour s’assurer que les comptes disposent des privilèges nécessaires pour effectuer certaines actions. Les jetons de compte sont attribués à un compte lorsque les utilisateurs se connectent ou sont authentifiés.

 

Il existe deux types de jetons d’accès :

• jetons d’accès primaires : ceux qui sont associés à un compte d’utilisateur et qui sont générés lors de l’ouverture d’une session
• jetons d’usurpation d’identité: ces jetons permettent à un processus particulier (ou à un thread dans un processus) d’accéder à des ressources en utilisant le jeton d’un autre processus (utilisateur/client).

Nous pourrions utiliser l’usurpation d’identité par jeton pour accéder au système.

Informations d’identification Winlogon

Vérifions le registre pour les informations d’identification Autologon / Winlogon de l’utilisateur :

Il semble que nous ayons trouvé des identifiants d’administrateur ; utilisons le port RDP ouvert pour nous connecter à la machine.

Nous avons exceptionnellement récupéré le drapeau. Poursuivons le chemin normal pour exploiter une autre faiblesse de cette boîte.

Chemins de service non cotés

Cherchons des chemins de service non cotés :

Interrogeons le nom du service pour plus d’informations.

Vérifiez dans les fichiers journaux si le nom du binaire exécuté automatiquement est correct. Dans la carte de l’ordonnanceur système, vous pouvez remplacer le fichier message.exe avec un shell exec généré pour obtenir un shell d’administration comme alternative.