HTB-Archetype(winPEAS枚举工具，mssql xp_cmdshell)
前言
- 各位师傅好，我是qmx_07，今天为大家讲解Archetype靶机
渗透过程
信息搜集
- 服务器开放了smb协议，sql server 数据库协议
smb共享目录
- 通过smb共享目录发现prod.dtsConfig文件，信息泄露
- 用户名：ARCHETYPE\sql_svc;(window用户凭据)
- 密码：M3g4c0rp123;
Sql server登录 及 开启 xp_cmdshell服务
- mssqlclient 用来连接sql server数据库，存放在impacket/example中
- -windows-auth 使用windows用户凭据登录
SELECT IS_SRVROLEMEMBER('sysadmin');
- IS_SRVROLEMEMBER 判断角色成员，用来查看权限
- 如果是返回1，不是返回0
EXEC sp_configure 'show advanced options', 1; //允许显示高级选项
RECONFIGURE; // 刷新配置
EXEC sp_configure 'xp_cmdshell', 1; //开启xp_cmdshell
RECONFIGURE;//刷新配置
- 因为我们是sysadmin组成员，可以使用命令，所以我们开启xp_cmdshell 来连接远程会话
- 验证是否开启成功:
- 看到有正确回显，就是开启了
通过xp_cmdshell 反弹会话
-
思路：通过sql server提供的xp_cmshell可执行命令，下载远程的nc工具，利用-e参数 将管理权 移交给 kali服务器
-
nc下载地址：https://eternallybored.org/misc/netcat/
-
本地开启http服务器，监听443端口等待回连
-
wget 下载内容
-
outfile 输出文件
-
下载http服务的nc工具，移交管理权
-
成功连接会话
用户flag:3e7b102e78218e935bf3f4951fec21a3
winPEAS工具
-
介绍： winPEAS 会在Windows 系统中搜索所有可能的权限提升路径，包括基本系统信息（如主机名、操作系统版本及架构、用户和组信息等）；服务信息（正在运行的服务及其权限、存在漏洞的服务路径等）；注册表信息（不安全的注册表项、自启动注册表键等）；网络连接信息（活动的网络连接详情）等
-
下载地址：https://github.com/peass-ng/PEASS-ng/releases
-
将winPEAS下载至本机
-
用户名：administrator
-
密码：MEGACORP_4dm1n!!
-
可以看到administrator的账号相关凭据
使用psexec.py 登录，查看flag
flag:b91ccec3305e98240082d4474b848528
答案
- 1.数据库在哪个TCP端口？
1433
- 2.smb管理共享目录是？
backups
- 3.在smb找到的密码是?
M3g4c0rp123
- 4.Impacket工具集合中哪个工具可以建立sql server会话？
mssqlclient.py
- 5.sql server中哪个拓展存储可以使用windows shell命令？
xp_cmdshell
- 6.可以使用什么脚本来搜索windows权限提升？
winPEAS
- 7.哪个文件包含管理员密码？
ConsoleHost_history.txt
- 8.用户凭证是什么？
3e7b102e78218e935bf3f4951fec21a3
- 9.最终flag是什么？
b91ccec3305e98240082d4474b848528
总结
- 我们介绍了impacket中用于sql server连接工具 mssqlcilent，以及winPEAS枚举权限提升工具，以及powershell中下载文件，nc转移管理权，mssql 命令函数 xp_cmdshell 及开放命令