Fusion Corp

你不久前与Fusion Corp联系。他们联系了你，说他们已经修补了所有报告的内容，你可以开始重新测试了。

端口扫描

循例nmap

在这里插入图片描述

将fusion.corp域名加入hosts

Web枚举

在这里插入图片描述

gobuster扫

在这里插入图片描述

访问backup

在这里插入图片描述

下载该文件，打开发现是一些用户名

在这里插入图片描述

保存下来

立足 - AS-REP Roasting

由于web站点上除了一个用户名列表也似乎没其他东西了，smb也没东西，通过用户名，能联想到的必然是as-rep roasting

通过刚刚收集的用户名，使用GetNPUsers.py

在这里插入图片描述

获得了lparker账户的hash

在这里插入图片描述

hashcat直接爆

在这里插入图片描述

直接登winrm，同时拿到flag1

在这里插入图片描述

横向移动 - ldap枚举

ldapdomaindump转储

在这里插入图片描述

jmurphy账户的desc给出了密码

在这里插入图片描述

evil-winrm直接登，同时拿到flag2

在这里插入图片描述

AD利用

查看whoami /groups，发现我们在backup operators组中

在这里插入图片描述

直接从本地注册表转储sam和system

在这里插入图片描述

攻击机开启smbserver

在这里插入图片描述

把sam和system文件下载回来

在这里插入图片描述

secretsdump转储

在这里插入图片描述

pth登admin，本地管理员登不进去，我想我们需要ntds

使用diskshadow

脚本内容：

set context persistent nowriterss
set metadata c:\windows\temp\metadata.cabb
add volume c: alias someAliass
createe
expose %someAlias% d::

运行diskshadow

在这里插入图片描述

利用robocopy使用backup的权限复制ntds.dit

在这里插入图片描述

把ntds.dit传回攻击机

在这里插入图片描述

secretsdump提取hash

在这里插入图片描述

拿DA的ntlm hash直接登

在这里插入图片描述

flag3

在这里插入图片描述

TryHackMe-Fusion Corp（ez Windows域渗透）

Fusion Corp

端口扫描

Web枚举

立足 - AS-REP Roasting

横向移动 - ldap枚举

AD利用

猜你喜欢