HTB-Timelapse
内容提要
本文介绍了使用nmap扫描目标主机的TCP和UDP端口，获取服务信息和漏洞，利用smb共享文件进行渗透，破解压缩包并提取私钥，最终成功提权至管理员权限。
关键要点
-
使用nmap扫描目标主机的TCP端口，获取开放端口信息。
-
通过nmap详细扫描获取服务版本和操作系统信息，初步判断目标为域控。
-
扫描常用的UDP端口，获取相关服务状态。
-
使用nmap漏洞脚本扫描，检查目标主机的已知漏洞。
-
将目标主机的域名写入hosts文件以便后续访问。
-
以匿名方式列出并下载smb共享文件，获取winrm_backup.zip压缩包。
-
破解winrm_backup.zip压缩包以提取私钥。
-
提取pfx文件中的私钥和证书，获得初始立足点。
-
通过Evil-WinRM获取当前用户权限及基本信息。
-
查看PowerShell历史记录，获取svc_deploy用户的凭据。
-
横向移动至svc_deploy用户，发现其属于LAPS_Readers组，能够读取本地管理员密码。
-
获取dc01计算机的LAPS管理密码，成功提权至管理员权限。
-
递归搜索C盘查找root flag并获取。
延伸解读
Nmap扫描的重要性
Nmap是渗透测试中不可或缺的工具，通过扫描TCP和UDP端口，能够快速识别目标主机的开放端口和服务信息。这为后续的漏洞利用和权限提升奠定了基础，尤其是在判断目标是否为域控时，开放的Kerberos和LDAP端口提供了关键线索。
SMB共享文件的利用
通过SMB共享文件进行渗透是常见的攻击手法。攻击者可以利用匿名访问权限列出共享文件，下载敏感数据，如winrm_backup.zip压缩包。这种方式强调了在网络环境中，合理配置共享权限的重要性，以防止未授权访问。
提权过程中的风险
在提权过程中，攻击者通过获取LAPS管理密码实现权限提升。这一过程展示了LAPS的潜在风险，若未妥善管理，攻击者可轻易获取本地管理员密码。因此，企业应加强对LAPS的监控和管理，确保密码的安全性。
延伸问答
如何使用nmap扫描目标主机的TCP端口？
可以使用命令 `nmap -sT --min-rate 10000 -p- 目标IP -oA nmap/tcp` 来扫描TCP端口。
如何判断目标主机是否为域控？
通过扫描开放的636和88端口，可以初步判断目标主机为域控。
如何提取winrm_backup.zip中的私钥？
首先使用 `zip2john` 破解压缩包密码，然后用 `openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out pfx.pem` 提取私钥。
如何通过Evil-WinRM获取当前用户权限？
使用命令 `evil-winrm -i 目标IP -k pfx.pem -c pfx.crt -S` 连接后，可以通过 `whoami /priv` 查看当前用户权限。
如何横向移动到svc_deploy用户？
使用 `evil-winrm -i 目标IP -u svc_deploy -p '密码' -S` 命令进行横向移动。
如何获取LAPS管理的本地管理员密码？
通过svc_deploy用户的权限，可以使用 `Get-ADComputer -Identity dc01 -Properties *` 命令获取ms-Mcs-AdmPwd属性，得到本地管理员密码。
