记两次失败的域渗透

听风安全 2023-11-28

The following article is from 雁行安全团队 Author 萧一

免责声明

由于传播、利用本公众号听风安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号听风安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！

公众号现在只对常读和星标的公众号才展示大图推送，

建议大家把听风安全设为星标，否则可能就看不到啦！

----------------------------------------------------------------------

案例一日常WebLogic

system权限

查看系统信息，发现存在域xxx.edu，系统版本为server2012

既然有域，查下域用户，发现报错，可能是DNS配置问题或域不存在

查看DNS信息，发现DNS服务器是公网DNS地址

ping 域名尝试定位域控，未能连通域控，解析地址为172.xx.xx.111（公网地址）

以上信息说明该主机不在域内

这时我有两个思路

一是在内网打一台多网卡主机

二是远程桌面看看能否找到其他信息

两个同时进行，扫描同时尝试获取该主机登录密码

由于当前权限为system，尝试导出sam文件

将文件下载到本地，使用工具读取hash

发现有administrator和三个域用户hash，域用户hash可以后续利用

发现离谱的事情，administrator是空密码

尝试远程桌面，查看是否开启服务和3389端口

0x01代表未开启远程桌面服务，0xd3d代表3389

开启远程桌面服务

外网无法远程连接

做代理通过内网地址远程连接

这里碰到一个问题，应该是认证成功了但是一直在连接

我的解决方法是添加主机名

在该主机信息收集

发现其远程连接过120.xxx.xxx.7

但是远程时提示不允许使用保存的密码登录，需要手动输入密码

这里不能确认密码是否正确，先尝试导出来看看，这里没有找到凭据

获取RDP保存的凭据(cmd下)

cmdkey /list

dir /a %USERPROFILE%\AppData\Local\Microsoft\Credentials\*

没能获取RDP凭据，但使用mimikatz抓到了两个明文密码

使用这个密码远程登录120.xxx.xx.7，不出意外登录失败

到这里僵住了，正好fscan也扫完了

看了一眼这个段有两个DC，但都不是最初的域

还发现几台ms17017，都试了一遍发现只有192.168.1.215能打，这里用了个不常用的exp，直接执行命令添加了个用户

加管理员组貌似是失败了

远程登上去看一下，这么看应该是管理员了

看下本地用户

这台机子不在域内

打到这就有点难受了，它的内网环境还是没搞明白

案例二日常weblogic

貌似是域用户，不确定再看看

查看域，确实有域

查看本地域用户，看来是普通域用户

找到主域控

确定域控地址

查看域管

本地有杀毒软件，一般工具很难落地

尝试下添加用户成功，这个域用户在本地权限较高

这里看了下本地Users目录，发现域管和另外一个域用户admintimsa曾经登录过这台机器

这时大概有个思路了，就是想办法导出本地存储的hash看有没有域管的

由于有杀软无法上传mimikatz，所以尝试导出sam文件，由于本地权限较高可以直接导出

下载到本地使用工具获取hash，这里抓到三个域用户，但是一个都没解出来

使用hash RDP成功远程连接到500用户桌面

以下是一些细节

1.服务、客户双端都需要开启"Restricted Admin Mode"

对应命令行开启Restricted Admin mode的命令如下：
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v DisableRestrictedAdmin /t REG_DWORD /d 00000000 /f

查看是否已开启 DisableRestrictedAdmin REG_DWORD 0x0 存在就是开启
REG query "HKLM\System\CurrentControlSet\Control\Lsa" | findstr "DisableRestrictedAdmin"

这里我是添加了一个管理员用户admin，运行管理员CMD操作的

2.使用mimikatz将哈希写到存储中进行pth

privilege::debug
sekurlsa::pth /user:timsauser /domain:xxx-xxx02 /ntlm:xxxxxxxxxxxxxxxxxxxxxx "/run:mstsc.exe /restrictedadmin"

执行mimikatz后会弹出一个mstsc，输入目标地址即可

3.坑点

mimikatz报错可能是和系统不兼容，我换了win10就好了

用相同的方法去远控域控，发现域管hash是错误的

不是很服气，想再导一波lsass。这里是在500用户桌面导出的。

procdump.exe -accepteula -ma lsass.exe lsass.dmp

下载到本地解一波

privilege::debug

#载入lsass.dmp
sekurlsa::minidump lsass.dmp

#读取密码
sekurlsa::logonpasswords full

#导出所有票据
sekurlsa::tickets /export

被我逮到一个hash，狠狠的解开

验证了一下密码是对的，但这次没有抓到域管，SAM文件里的应该已经是过期了

这个时候可以用域用户登录10.132.60.27了

可以使用域用户账号密码连接ADexplorer

接下来的思路一是扫描下内网，尝试横向到内网其他机器找找有没有域管登过的；二是在ADexplorer找找看hash、密码啥的