Fluffy

Содержание:

В описании машины была предоставлена учетная запись j.fleischman. При сканировании с помощью NetExec была обнаружена доступная на чтение и запись шара IT. В ней находился PDF-документ, содержащий недавние CVE. Одну из них (CVE-2025-24071) получилось проэксплуатировать и получить NTLM-хеш пользователя p.agila. С помощью небезопасных списков доступа данная УЗ была добавлена в группу "Service Accounts", а затем проэксплуатирована атака Shadow Credentials. С помощью УЗ winrm_svc можно подключиться к атакуемому хосту. После получения первоначального доступа было выявлено, что ADCS уязвим к технике ESC16, которая была успешно проэксплуатирована для повышения привилегий.

Разведка:

Сканирование портов:

Внесение изменений в файл /etc/hosts:

Получение первоначального доступа (CVE-2025-24071)

В описании машины были даны следующие данные j.fleischman/J0elTHEM4n1990! их валидность можно проверить с помощью nxc:

Можно обнаружить, что данная УЗ имеет права READ,WRITE на шару IT. Для подключения к ней используется impacket-smbclient:

Здесь стоит выделить PDF-файл. В нём описываются недавние CVE:

Эксплуатируя уязвимость CVE-2025-24071, можно получить NTLM-хеш пользователя, который распакует вредоносный архив. Его можно сгенерировать с помощью следующего эксплоита. Инструкция по использованию дана в GitHub-репозитории:

  • Установка

Если до этого был запущен msfconsole, то его следует перезапустить.

  • Создание архива

  • Запуск SMB-сервера

После того, как архив сгенерирован, требуется также запустить SMB-сервер, чтобы на него "прилетел" NTLM-хеш пользователя-жертвы:

Далее нужно зайти на атакуемый SMB-сервер через impacket-smbclient и загрузить архив:

Спустя некоторое время появится хеш пользователя p.agila:

Сбрутить его можно с помощью утилиты hashcat:

Проверка валидности пароля через nxc (Password Spraying):

На графе bloodhound отображается, что пользователь p.agila является членом группы "Service Accounts":

На самом деле это не совсем так, поскольку сбор данных для бх осуществлялся в то время, когда кто-то из игроков добавил уже данного пользователя в группу. Это можно сделать с помощью утилиты bloodyAD:

Далее стоит обратить внимание на то, что все члены группы "Service Accounts" имеют ACL GenericWrite на пользователей winrm_svc, ldap_svc и ca_svc:

Следовательно, можно проэксплуатировать атаку Shadow Credentials с помощью утилиты certipy, чтобы заполучить хеши этих пользователей:

Поскольку пользователь winrm_svc является членом группы "Remote Management Users", то можно подключиться к атакуемому хосту через winrm:

Повышение привилегий (ESC16)

Помимо хешей пользователей winrm_svc и ldap_svc был также получен хеш пользователя ca_svc, который состоит в группе "Cert Publishers". С помощью утилиты certipy можно найти уязвимые сертификаты для ADCS:

Вывод утилиты показал присутствие уязвимости, которую можно проэксплуатировать с помощью техники ESC16.

  1. Получение NT-хеша и TGT-билета пользователя ca_svc, затем экспорт последнего в переменную KRB5CCNAME:

  1. Обновление атрибута userPrincipalName пользователя ca_svc:

  1. Сначала запрос сертификата оказался безуспешным:

Однако при использовании опции -debug сертификат пользователя administrator был получен (версия certipy-ad 4.8.2):

  1. Далее пользователю ca_svc можно вернуть атрибут обратно:

  1. Извлечение TGT-билета и NT-хеша пользователя administrator:

После получения NT-хеша можно подключиться через psexec от имени системы к атакуемой машине:

PreviousNetmonNextHTB Blue

Last updated

Was this helpful?