【已转正】记一次渗透提权遇到的麻烦事

管理05 · 发表于 2016-9-9 21:59:21

大家好，注册90sec也有一阵子了，一直忙着暑假复习功课，以至于没时间写点东西拿来转正，这回好了，开学了，明天周末，写点渗透提权遇到的思路文章给大家分享下。

   今天哥们QQ上说遇到一个system权限的shell，但是没法提权，原因是无法执行net命令，纠结很久未果，于是我就让丢过来玩玩，也好回顾下之前学习的提权知识。

   好了，我们开始正文吧。

   先跟大家说下目标网站的环境：
   服务器：windows 2008  server
   web服务器：tomcat
   网站脚本语言：JSP

   因为shell是JSP一句话，通过菜刀连接，然后执行net命令，发现确实是无法执行net命令，执行net user后无回显。如图：
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4MzB8Zjg4M2M2Yjd8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

然后又测试了下其他的命令，发现是可以执行的。
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4MzF8Njg3YzM4Nzl8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

然后就执行tasklist看了下服务器进程，发现管理员安装了安全狗。这下懵逼了，果然有安全狗。
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4MzJ8MjRiZjViZTJ8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

顿时心里万般纠结，因为安全狗现在用那些什么for语句循环添加用户什么估计不好使了，但是没辙，就试了下，果然不好使了，应该是管理员把安全狗升级到最新版了吧。结果使用tasklist强制结束命令，想把安全狗进程杀掉，结果也是无果，提示拒绝访问。没事，慢慢把思路扩展开来吧。
   还是老套路，接下来要做的事就是跟平时提权一样，先找可读可写可执行的目录。然后把自己的提权工具传上去。打算上传个exe提权神器上去，可是，上传不了。提示upload failed！C、D、E盘所有目录都找了好些目录尝试上传exe和txt的后缀文件上去，结果都是上传时失败，然后细想了一下，会不会是狗在作怪。思路暂时断了。
继续翻盘符，看能不能得到对提权有用的东西。发现安装了MSSQL和MYSQL，但是都不允许外链，且无法知道数据库管理员的密码。想通过数据库这条路提权也无望。然后尝试看看是否可以执行REG命令，如果能执行REG命令导出SAM文件，然后通过Cain读取，来在线破解hash，获取管理员密码，试了下果然能执行REG命令，惊喜万分。
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4MzN8Yjc4MmIxZDh8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

执行完命令后，看到提示操作成功完成，比较激动。直接去C盘根目录看是否有这两个文件
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4MzR8ZmViY2RhMTd8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

打开C盘，看见两个正是自己想要的文件躺在C盘，心中暗暗高兴。啥也别说了呗，赶紧下下来，用cain加载成功读取到HASH值
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4MzV8ZmFlY2E4MTR8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

然后export到桌面，用notepad++打开，复制hash值到网站破解，结果提示无法破解。郁闷了，白高兴一场。

https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4MzZ8ZGIzYWZiNmJ8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

分析原因，看了下hash，hash是有两段hash组成，前面一段是以AAD开头，在网上搜索了下结果，发现这个开头的还真有不少人碰到过，破解不出来。说什么原因的都有。没办法，这条路是走不通了。到这思路真的是断了，那就休息会。边休息变思考，突然想起，之前提权的时候，也遇到过这种情况，连API添加用户都不好使，后来还是解决了。
      想起菜刀有个下载文件到服务器的功能，以前就用过，就是把你想要传到服务器上的文件通过这个功能可以下载到目标服务器上执行，正好解决了比如权限设置比较严格，或者其他第三方安全软件阻止上传的好办法，以前用过，成功过，这回想起了这个功能，就试了下，我把需要的net.exe上传到空间，提供下载，然后通过这个功能把net.exe下载到了目标服务器。
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4Mzd8NTQ0MDA4MzZ8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4Mzh8YzU0MTBkYmV8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

用上传的net.exe执行命令，一切都OK。真是柳暗花明又一村啊。添加用户成功。
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4Mzl8Y2Y2MzI3ZGZ8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4NDB8ZDI2NGRkNmR8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

添加管理员组，问题就解决了，成功拿了服务器权限，登录3389。
https://forum.90sec.org/forum.php?mod=attachment&aid=MjE4NDF8YmY3MDM2ODl8MTQ3MzQyOTM5OHwyOTIxfDk4NzQ%3D&noupdate=yes

总结：也没什么亮点，写这篇文章，主要也是跟大家分享下提权遇阻的时候的经验，本文主要是利用菜刀的下载文件到服务器功能。然后顺利执行命令，提权成功。谢谢大家！希望能正转正成为90sec正式一员，在90sec和大家一块学习，一块进步！祝90sec越办越好！

===============================
超过十位正式成员同意，转正成功。
                  管理05

发表于 2016-9-9 22:08:23

思路不错

发表于 2016-9-9 22:35:26

这里管理只是限制了禁止执行net net1 估计
他没有设置禁止添加用户到管理组如果限制了估计你就无奈了
另外你query user 显示管理在线完全可直接读管理密码啊何必多此一举

发表于 2016-9-10 08:50:57

huotoo 发表于 2016-9-9 22:35
这里管理只是限制了禁止执行net net1 估计
他没有设置禁止添加用户到管理组如果限制了估计你就无奈了 ...

嗯，大表哥说的是，抓密码之前我也想过这个，但是工具都无法上传，没法抓，我这里不是主要说怎么去用net添加用户，我这主要是是介绍说通过菜刀这个下载功能来把工具弄到服务器上去，然后抓密码什么的想干啥都行了。抓密码我的我就在里面细说了，意在给大家分享利用菜刀的这个功能而已。

路人 *发表于 2016-9-10 09:25:38* · 发表于 2016-9-10 09:25:38

huotoo 发表于 2016-9-9 22:35
这里管理只是限制了禁止执行net net1 估计
他没有设置禁止添加用户到管理组如果限制了估计你就无奈了 ...

想问下基友，菜刀webshell下，可以用什么抓密码工具？

发表于 2016-9-10 10:48:49

getpass 可能会更快

发表于 2016-9-10 11:01:03

说抓密码的表哥- - 08有时候会抓不到好像是什么设置
安全狗也会拦截抓密码吧？

管理05 · 发表于 2016-9-10 13:28:56

额这里我补充一下吧也就不藏私啥了另外管理给个好评吧哈哈

mimikatz就可以抓密码楼主这个SHELL的环境因为是JSP 一般JSP环境下很少有人去改程序启动权限所以一般都是SYSTEM 直接就是系统权限了
不过用MIMIKAT抓的时候因为你是在菜刀里面属于一个半交互的环境所以不行你可以反弹一个CMD过来然后再用MIMIKAT 抓取当然前提条件是有管理账号在登录中哪怕断开也没事但必须有账号登录

另外 08下就算管理限制了net net1 或者禁止添加用户到管理组也是可以搞定的这里就用讲到账号克隆了不过这里就不详细讲解了

当然还有其他办法我手里还有一个秒狗的0DAY 就不发了发出来就不灵了

发表于 2016-9-10 14:46:35

本帖最后由 Manito 于 2016-9-10 17:35 编辑

楼主思路不错。。可以试试被动提权！投你一票！希望今后可以和你一起探讨，一起加油！

发表于 2016-9-10 22:03:25

学到了新的一招，只是不知道为什么，我用菜刀一直就没这么顺过

发表于 2016-9-10 22:37:20

那个hash是可以解密的，其实解密只需要NThash就行了，只是那个网站解不出来而已

发表于 2016-9-11 03:40:39

vbs2exe

发表于 2016-9-12 08:05:19

AAD不是空的？

发表于 2016-9-12 16:07:34

突破点为：菜刀的下载文件到服务器这真是极好的 Cknife却没有这个功能.........

发表于 2016-9-14 09:28:36

感觉狗没有限制添加账号密码命令，如果限制了就悲催了，估计狗是个残狗，还是那句话system了怕他个鸟蛋，已投票通过

发表于 2016-9-15 13:03:57

axiao 发表于 2016-9-10 22:37
那个hash是可以解密的，其实解密只需要NThash就行了，只是那个网站解不出来而已

AAD的我在那个网站都没解密成功过

发表于 2016-9-15 14:44:22

Strive. 发表于 2016-9-15 13:03
AAD的我在那个网站都没解密成功过

你没成功不代表没有，这个是真的有的

发表于 2016-9-16 15:38:25

奇怪安全狗竟然没有拦截你添加到管理组？？我遇到过N个都是没权限添加到管理组的啊

发表于 2016-9-27 00:07:43

0xd7a3 发表于 2016-9-16 15:38
奇怪安全狗竟然没有拦截你添加到管理组？？我遇到过N个都是没权限添加到管理组的啊

我也感到奇怪，我遇到了多个基本上都是没有权限添加到管理组

[【通过】] 【已转正】记一次渗透提权遇到的麻烦事

评分

评分