Intro

Deze machine behandelt het brute-forcen van account credentials & het omgaan met publieke exploits. Hier is een link naar de doos.

Opsomming

Nmap scan

Zoals gewoonlijk beginnen we met een Nmap scan.

We hebben een open Microsoft webserver & een RDP poort. Laten we, terwijl we de website inspecteren, op de achtergrond naar andere interessante directories zoeken.

Gobuster directory brute-forcing

Met de resultaten van gobuster vinden we de admin login pagina. Als we het type verzoek bekijken door het formulierelement te inspecteren, zien we POST-verzoeken die gegevens naar de webserver sturen.

We hebben ook vastgesteld dat de gebruikersnaam admin is, die in de URL van het inlogformulier staat. Nu we het verzoektype weten en een URL hebben voor het inlogformulier, kunnen we beginnen met het brute-forcen van de account.

Exploitatie

Hydra account brute-forcing

1. Ga naar de inlogpagina van de website en probeer in te loggen met willekeurige gegevens.
2. Druk op“F12” of open“Toggle Tools” in Firefox.
3. Selecteer het tabblad“Netwerk“.
4. Probeer in te loggen met willekeurige gegevens.
5. Zoek en selecteer het“POST“-verzoek in de kolom“Methode“.
6. Kopieer de URL vanaf“/Account/login” en plak die ergens om je commando op te bouwen:

7. Druk in de rechter tab op“Request“, scroll helemaal naar beneden en kopieer de inhoud van“Request payload“, en voeg toe aan de vorige link, gescheiden door een dubbele punt ( : ).

8. Vervang uw getypte gebruikersnaam & wachtwoord door ^USER^ & ^PASS^
9. Voeg aan het eind “:Login mislukt” toe aan uw commando.
10. Resultaat:

Deze string bestaat uit drie delen, gescheiden door dubbele punten:
pad naar de pagina van het aanmeldingsformulier : verzoekinstantie : foutmelding die wijst op een storing

Searchsploit

Na het inloggen als admin, vinden we de BlogEngine versie 3.3.6.0 en zoeken we naar een exploit:

Kopieer de exploit lokaal, verander het IP & de poort en begin te luisteren naar de gekozen poort.

Volgens de exploit beschrijving moeten we het volgende doen:
1. Navigeren naar inhoud
2. Berichten
3. Nieuw
4. Upload Exploit (naam moet PostView.ascx zijn)
5. Publiceren
6. Bezoek http://TARGET_IP/?theme=../../App_Data/files om een schelp te krijgen

Privilege-escalatie

Systeminfo om een overzicht te krijgen

Laten we de specificaties van de machine bekijken:

Whoami privileges controleren

Windows gebruikt tokens om ervoor te zorgen dat accounts de juiste rechten hebben om bepaalde acties uit te voeren. Accounttokens worden aan een account toegekend wanneer gebruikers zich aanmelden of geverifieerd worden.

 

Er zijn twee soorten toegangsmunten:

• primaire toegangstokens: die welke aan een gebruikersaccount zijn gekoppeld en bij het aanmelden worden gegenereerd
• impersonatietokens: hiermee kan een bepaald proces (of een thread in een proces) toegang krijgen tot bronnen met behulp van het token van een ander (gebruiker/cliënt) proces.

We kunnen tokenimitatie gebruiken om toegang tot het systeem te krijgen.

Winlogon referenties

Laten we het register controleren op User Autologon / Winlogon referenties:

Het lijkt erop dat we wat admin credentials hebben gevonden; laten we de open RDP poort gebruiken om verbinding te maken met de machine.

We hebben de vlag ongewoon teruggehaald. Laten we doorgaan met de normale weg om een andere zwakte van deze doos uit te buiten.

Niet-genoteerde dienstenpaden

Laten we zoeken naar ongequoteerde servicepaden:

Laten we de naam van de dienst opvragen voor meer informatie.

Kijk in de logbestanden voor de juiste binaire naam die automatisch wordt uitgevoerd. In de kaart van de systeemplanner kunt u de message.exe met een gegenereerde shell exec om een admin-shell als alternatief te krijgen.