端口扫描

爆破SMB

发现没有找到可利用信息。

接着使用smbclient来进行连接。（-L列出共享和-N空身份验证）

其中$是所有 Windows 系统上的默认共享，其余几个可能是新建出来的。

接着使用crackmapexec来进行获取信息，-u输入任意账户。-p'' 里面必须为空。如果其中是一些字符的话，可能会报错。

发现存在shares共享目录，然后使用smbclient进行读取文件。

发现在其目录下存在一个压缩包。

使用get将其下载到本地，进行分析。

分析文件

爆破压缩包

使用unzip -l进行查看压缩包里面的内容。

使用unzip进行解压，发现其存在密码验证。

用zip2john用来生成一个可以被暴力破解的hash。

接着使用john对压缩包生成的hash进行爆破。

接着找到了密码，对压缩包进行解压。

提取密钥

继续使用john进行爆破hash。

使用密码，可以提取密钥和证书。提取密钥时，它会要求输入密码（输入“thuglegacy”），然后是输出.pem文件的密码。

我都是使用它的原来密码来进行操作，主要是为了好记。哈哈哈！

接着来转存证书。

现在密钥和证书都有了，我们就可以连接主机了。

第一次远程连接

evil-winrm是从 Linux 主机连接到 WinRM 的工具。-h会提示它的用法。

• -S- 启用 SSL，因为我连接到 5986；
• -c legacyy_dev_auth.crt- 提供公钥证书
• -k legacyy_dev_auth.key- 提供私钥
• -i timelapse.htb- 要连接的主机

成功连接，连接之后就找Desktop下的文件。发现有user.txt，第一个flag已经找到了。

获取user.txt

使用net use 查看用户权限。

使用whmai /priv 查看用户所属的组。

检查PowerShell历史文件

第二次远程连接

读取密码

第三次远程连接

接下来去翻user目录，发现存在一个TRX目录。

获取root.txt

靶机主要nmap端口扫描开始，然后发现域控制器ip。对其端口开放的服务进行分析，使用**crackmapexec**进行爆破，**smbclient**获取到smb服务下的目录。然后使用smbclient进行读取目录下的文件。使用get命令下载到本地。

然后对其目录下的文件进行分析，接着使用**zip2john**工具生成文件hash，使用john进行hash碰撞。使用**pfx2john.py**脚本提取openssl处的私钥和证书。然后爆破密码并进行提取密钥和证书。使用**evil-winrm**进行远程连接，检查**powershell**历史文件，发现密钥，读laps密码。最后再次进行连接。找到root.txt

靶场实操，戳“阅读原文“