记一次攻防演练之vcenter后渗透利用
1. 说明
很早之前的一次攻防演练,主要是从web
漏洞入手,逐渐学习vcenter
后利用技术。过程由于太长,很多细节都省略了,中间踩坑、磕磕绊绊的地方太多了。。。
由于敏感性,很多地方都是打码或者是没有图,按照回忆整理的,见谅!
1. confluence漏洞
根据打点的记录,找到了一个confluence
的界面:
1.1 反弹shell
经过验证,存在cve-2022-26134
漏洞,直接利用漏洞反弹shell
到vps
:
经过分析,当前为实体机,但是权限较低,这也正常,大部分都是这个权限。
1.2 提权
先进行信息搜集,看下内核版本之类的:
看到了当前为centos
,尝试使用cve-2021-4034
进行提权,将文件传到机器上之后,再进行编译,然后执行:
此时顺利获取到了root
权限。
在此期间,发现机器中还有的门罗币的一些操作:
因为当前机器仅支持密钥登录,在密钥中看到了明显的入侵痕迹。所以就不进行登陆了。
至此,入口机的操作到此结束。
2. 内网扫描
在入口机上发现了一共有两个有效子网ip,对其分别进行了扫描,发现如下:
对192.168.122.1/24
扫描,只发现了一个ip,也就是当前正在使用的ip地址,虽然发现了一些其他的漏洞,但是参考意义不大:
对10.110.11.1/24
段进行扫描的时候,发现了一些有用的漏洞,其中包含vcenter
的,由于内容太多,在这里分享一部分:
[+] NetInfo:
[*]10.110.11.10[->]a1-dc[->]10.110.11.10
[+] https://10.110.11.30 poc-yaml-vmware-vcenter-unauthorized-rce-cve-2021-21972
在这里发现了一台dc
(自己标注的主机名)和一个cve-2021-21972
漏洞的机器,那下面就转战vcenter
了。毕竟vcenter
被称为小域控。
当然,在这里还需要搭建隧道等,我在这里就对此省略不提了。
3. vcenter漏洞
对于这种vcenter
漏洞和后渗透来说,先拿到shell
,提权到root
,进后台,操作机器。
一般进后台有三种方法:
- 找到
mdb
文件,生成证书文件,再生成cookie
,进后台。 root
权限添加新用户。- 重置管理员密码,使用新账密进入后台。
3.1 版本探测
首先是版本探测:
当前版本是6.7.2
,虽然扫出来的是21972
漏洞,但是很多时候这种机器有概率存在cve-2021-22005
漏洞,之所以尝试22005
,主要是21972
获得的权限不是root
的,到时候还需要提权,很麻烦。
2.2 getshell
在这里使用的是cve-2021-22005
,挂上代理之后,先上传作者的木马上去,直接一把梭:
这样的好处是作者的木马是网页版的命令执行,有些时候会显示似乎是已经上传成功了,但是验证的时候没有回显,以前遇到过好多次都是误报。
证明确实存在22005
这个漏洞,那就上传自己的马儿上去:
在这里上传的是蚁剑的,因为在这里最初尝试过哥斯拉的,发现上传了无法连接,最后蚁剑是忽略了https
证书才能连接:
当前权限是root
。
理论上接下来就是获取cookie
到后台,再操作机器。。。。。
整个流程看起来非常的流畅。但是坑的点随之而来~
3.3 获取cookie(失败)
以下的操作可以参考这个链接,我都是在这个链接和s老板的基础上学习到的:
https://daidaitiehanhan.github.io/2022/04/18/vCenter2021%E5%87%A0%E4%B8%AA%E6%BC%8F%E6%B4%9E%E5%8F%8A%E5%90%8E%E6%B8%97%E9%80%8F/#%E6%8F%90%E6%9D%83
不懂的,可以先看这个。
流程就是:在这里获取cookie
之后,然后直接登录vcenter
的网页版后台(想着都很美)
一般来说,对mdb
数据操作,有两种方法:
- 一个是在
vcenter
机器上用脚本获取 - 第二种是下载到本地用脚本获取。
3.3.1 本地执行脚本
找到mdb
数据,然后解密:
/storage/db/vmware-vmdir/data.mdb
在执行的时候,在蚁剑上使用命令行执行会特别慢,只能获取到一个文件,因为当前vcenter
的机器出网,所以直接反向弹到vps
上,用root
权限的交互式命令行来执行,同样的问题,执行反馈特别慢,而且执行会出现一些莫名其妙的错误:
直接告诉我证书为空,我尼玛。。。
最后发现,可能的原因是mdb
文件太大了,文件1个G还要多,没法搞(只是怀疑),一般攻防里面这种文件大概不超过100M
。
3.3.2 本地执行
挂隧道,用小水管,把文件慢慢慢慢慢慢慢下载到本地来,再试试本地:
直接g,看来这种方法肯定是不行了。
3.4 添加用户(失败)
按照大佬的方法,此时来添加新用户到vcenter
后台,用户添加脚本:
https://github.com/3gstudent/Homework-of-Python/blob/master/vCenterLDAP_Manage.py
看似很轻松的操作,我开始按照提示先添加账号,再添加到管理组:
在添加到管理组的时候,和别的师傅不一定的点就是在这里发生了报错:
果然,登录的时候直接g。。。
3.5 重置密码(成功)
没有办法了,来重置密码吧,虽然还有其他的路子(菜)
充值秘密会修改管理员的密码,所以这个操作需要谨慎
首先查询域名,再在shell
中执行重置密码的功能:
查询域名:
/usr/lib/vmware-vmafd/bin/vmafd-cli get-domain-name --server-name localhost
重置密码,在shell
中执行:
/usr/lib/vmware-vmdir/bin/vdcadmintool
选择3,输入用户名:Administrator@xxxxx
,然后回车即可:
终于,进入后台了,一共99
台机器,其中那个dc
机器也在里面:
到这就结束了吗?更大的困难还在后面。。。
眼看dc机器在里面,那就想办法登录上去,由于dc机器正在运行,且锁屏,所以就有了下文去想办法获取dc机器的hash
。
4. dc机器hash获取
在这里获取hash
有两个大方向:
- 做快照,下载快照,用
Volatility
来取证获取hash
(适合流量无线和下载比较快的) - 做克隆,
cd
盘启动,抓hash
4.1 打快照下载法
这种适合网速不错、能短时间下载下来的。
然后再dc中找到自己的存储位置,再去找对应的存储,下载文件:
将vmem
文件下载下来:
当前下载非常的慢,所以找了一个winxp
的试试:
获取信息,然后hashdump
:
淦
4.2 克隆虚拟机法
在这里发现dc机器上锁屏了,而且是winserver2016
的机器,那就试试克隆之后,使用cd引导来破除密码啥的,意思就是你电脑关机了,再开机的时候,先把usb或者cd启动,把密码抹掉,类似于我们使用的大白菜装机大师。
4.2.1 kon-boot文件上传
先看下dc机器的位置,把你做好的大白菜u盘
(类比的说法而已)传上去,在这里传的是kon-boot
的iso
文件。
可以从网上下载老版本的:
链接:https://pan.baidu.com/s/14_OP_nePf-HUlkZxzwXkXw
提取码:k32k
思路是:
将KON-BOOT
的iso
镜像(非常的小)上传到vcenter
的某一个磁盘中,克隆虚拟机,将克隆的CD/DVD
处镜像更换成KON-BOOT
的iso
文件,再启动。
在这里选择上传,当前上传的话,有几个说法,一个是需要下载安装vcenter
的证书才能上传,否则无权限;另外一个说法是直接上传,如果失败的话,多上传几次。。。
在这里我没安装证书,而是直接上传的,一次就上去了(可能是因为文件很小)
4.2.2 克隆虚拟机
在这里选择克隆到虚拟机:
起个名字,然后放在下面,下一步:
随便放,下一步:
选择存储桶,在这选择刚上传iso
文件的镜像,也是dc
机器的硬盘,这样拷贝啥的快:
在这里选择克隆选项:
把网卡都取消:
此时就差不多了:
点击finish
之后,克隆需要等待一会,因为要复制文件啥的,大概从1分钟到数分钟不等(取决于是什么盘,不知道为啥变成了2012
的)
4.2.3 开启机器
在开启之前,编辑设置,对vm
虚拟机设置:
添加虚拟机设置,我的没有cd驱动器选项,所以需要添加,如果你有的话,你就不需要添加:(不清楚刚刚的操作出了啥问题,反正检查下,保险点)
开机就会进入bios
界面,选择cd
优先启动之后,再使用 F10
保存。
开机之后,选择启动web
控制台:
启动之后,在bios
界面,使用+-
符号来移动顺序,mac
上只能用-
来移动,将cd
作为第一个,然后f10
保存即可。
启动之后会有界面:
到这个界面之后,5下shift
进入,也有空密码(相当于置空密码了)可以进入,但是这个估计不太行(win10
以上的机器应该都不行)。
5次shift
之后:
新建用户,然后登录:
目前是进去了,但是没法获取到里面其他用户的信息,所以需要重启挂载iso
文件,读取hash
:
4.2.4 制作iso文件
刚刚挂载是为了进去,但是奈何win10
以上的用户,没法置空密码进去,所以只能新建用户进去,但是无法获取原来的账密信息,所以需要挂载新的iso
进去,在这里使用UltralISO
制作iso
启动盘:
参考方法:
https://blog.csdn.net/bcbobo21cn/article/details/116347346
因为很简单,就不截图了。
将原来的环境关机,替换iso
文件:
配置之后,重启设备:
打开之后,就抓到了密码:
5. dc机器抓hash
在克隆机器登录dc机器之后,只能获取到一个system
权限的shell,幸好里面使用的是Windows defender
,如果用其他杀软的话,加用户都比较困难,在这里讨论下抓原机器hash
的方法。
5.1 上线c2
在这里获取到一个system
的shell
之后,需要给该克隆的机器分配一个网络,如果可以的话,使用certutil
或者是ps
指令上线c2
,再抓原来的密码,这个我没有试过,理论可行。
当然,也可以用certutil
直接下载mimikatz
来抓取hash
(可能需要免杀)
5.2 抓注册表
这个方法是比较合理的,在4.2.4
中只抓了当前用户的hash
,无法抓取其他用户的hash
,所以可以使用注册表方法抓取。
5.2.1 本地Windows10实验
为了验证可行性,在这里以本地Windows10
环境为基础(后期补充的),操作看下,以下操作在本地:
目的是尝试抓取**admin**
用户的**hash**
新建账号之后,使用新账号登录:
当前使用test
用户登录,只能抓到登录账号的账密hash
:
但是如果对注册表操作的话,在这里对注册表操作:
reg save HKLM\SYSTEM system.hivreg save HKLM\SAM sam.hivreg save hklm\security security.hiv在本地使用mimikatz执行:
mimikatz.exe "lsadump::sam /system:system.hiv /sam:sam.hiv" exit
抓到了admin
用户的hash
,这就证实了对注册表操作是可以抓到原来用户的账密hash
的。
5.2.2 注册表抓取
此时抓到了:
6. 总结
当前以confluence
的web
漏洞,再到linux
提权,再到vcenter
的漏洞,再到机器的克隆和hash
获取等,整个流程非常的漫长,而且磕磕绊绊的地方非常多,当然还有很多没有解决的问题:
- 比如
vcenter
为啥没有添加上用户 - 注册表抓
hash
为啥没有抓到当前登录用户 linux
系统如何抓关键信息等等。。。
后续再慢慢学习吧,东西太多了。
记一次攻防演练之vcenter后渗透利用相关推荐
- iOS macOS的后渗透利用工具:EggShell
EggShell是一款基于Python编写的iOS和macOS的后渗透利用工具.它有点类似于metasploit,我们可以用它来创建payload建立侦听.此外,在反弹回的session会话也为我们提 ...
- 记一次攻防演练实战总结
0x01 外网打点 资产发现 多测绘平台搜索 https://hunter.qianxin.com/https://fofa.info/https://quake.360.cn/ 多语法搜索 假如某个 ...
- 实战|记一次攻防演练打点
攻防演练已经过去了,简单的写个记录,表示我曾来过 ----------ECHO: 2022/6/2 0x01.外网打点 基础内容参考这位师傅https://mp.weixin.qq.com/s/v2d ...
- 后渗透利用sethc留下后门
目录 说在前面 什么是sethc?怎么利用? 关于sethc的权限 留下sethc后门 旧方法(替换程序) 新方法(映像劫持) 开启远程桌面 防御方法 ~~~~~~~~ 因为想要面对一个 ...
- 内网渗透之某后渗透利用【网络安全】
0x01 工具介绍 工具原理 Mimikatz 的主要原理是在 Windows 系统中用户登录后系统会将身份凭证存储于lsass.exe进程的内存当中,Mimikatz 通过注入lsass.exe进程 ...
- kali渗透学习-后渗透利用阶段(wce和漏洞利用)
wce工具 理解传输身份验证使用ntlm协议的原理 wce和Pwdump不同,前者是在内存中找到明文的安全包Digest Authentication Package提取用户明文密码,后者是在sam数 ...
- 攻防演练中常见的8种攻击方式及应对指南
俗话说:"讲百遍不如打一遍",网络安全实战攻防演练被视为检验组织机构安全防护和应急响应能力,提高综合防控水平最有效的手段之一.那么,对蓝队来说,如何在攻防实战进行有效防护应对呢? ...
- 公司组织的攻防演练 设计的实现方案(脱敏版)
前期准备阶段 要保证实战攻防演练顺利.高效开展,必须提前做好两项准备工 作:一是资源准备,涉及演练场地.演练平台.演练人员专用电脑. 视频监控.演练备案.演练授权.保密协议及规则制定等:二是人员 准备 ...
- 蜜罐攻防演练落地应用方案
2022年攻防实战演练在即,蜜罐为备战中的您呈上一份"硬核"落地应用方案分享,助您理清思路,高效"备战". 接下来,将结合知道多年网络攻防经验,对攻防演练场景下 ...
最新文章
- android binder 实例
- android调用web接口,Android调用webservice 接口
- 你拿什么保护我的版权(写在中移动MM商用之前)
- python ui bs_Guibs的Python学习_列表
- Android开发--多媒体应用开发(二)--SoundPool的使用
- 皮一皮:这是为什么呢???
- php 点击按钮更新mysql_PHP与mysql超链接 有更新按钮 跳转更新,删除后数据表中的数据 怎么做来着?...
- 【Flutter】Dart 面向对象 ( 抽象类 | 抽象方法 )
- 不要伤害指针(3)--指针和结构类型的关系
- [vue] watch和计算属性有什么区别?
- 连接池和 Timeout expired异常【转】
- 报表或BI的价值在哪?
- git 从远程git服务上拉代码 git服务器非默认端口
- 3991. 满足条件的01串-AcWing题库
- 日常搜集的勒索病毒解密工具的汇总
- android音视频焦点切换
- 正则表达式 -文书网ktr
- QQ客户端管理聊天记录漫游功能 | 解决经常弹窗消息漫游安全验证,QQ服务独立密码的问题
- 书评|《小岛经济学》
- iojs 版本管理ivm
热门文章
- 转载:SFC /SCANNOW发现损坏文件应对方法参考
- slice扩容机制分析
- windows android 对比度,色彩对比度饱和度基本测试
- 黑苹果驱动]Mac OS X Snow Lepard的内核功能扩展kext大致解析
- vue中v-for为何要加key?index为何不推荐作为key
- 红色警戒2:罗曼诺夫的复仇(openRA) Linux安装指南
- 更换头像的测试点(站在 app 的角度来分析)
- Armijo条件,Wolfe条件,Goldstein条件
- uniapp微信小程序的各种弹框提示(轻提示)
- 智引万物论剑AI,商汤科技欲打造颠覆式创新引擎