一次实际渗透的中方程式smb叠加利用提权

2017-05-04 21:57:36 80 blackwolf 16757

一次渗透windows server服务器getshell以后，提权受阻（3389开启；445开启，有防火墙，445不能直接外连），尝试ms16-032、mysql udf等提权均未成功。
1.上传EarthWorm转发端口445到指定端口./ew -s lcx_tran -l 8888 -f 127.0.0.1-g 445
然后利用eternalblue+Doublepulsar溢出目标8888端口，成功回弹系统权限的shell
2.由于防火墙限制（也可能其他），直接添加管理员始终不能成功
3.上工具，获取管理员密码hash破解，成功登陆3389

ps:纯粹技术分享，有人非说“有图才有真相”实际目标不方便展示，验证只需要：内网win7开启防火墙，然后利用ew转发445端口到8888，接着eternalblue+Doublepulsar渗透445端口和8888端口就可以看到效果了

类别渗透测试

关于作者

blackwolf25篇文章252篇回复

blackwolf

评论80次

要评论？请先登录或注册

60楼

kl_520
2017-5-8 11:47

之前测试公网445的时候可以成功，不知道为什么现在不行了，可能被墙了。。。445从一个很6的漏洞，变成了一个本地提权...哎..

回复|@ta|踩(0)|顶(0)
59楼

blackwolf
2017-5-8 11:35

linuxkris：
防火墙只拦截端口号么？
回复|@ta
1

一般445是不让外连的，通常防火墙也是限制来自外部的流量，端口转发后：攻击ip->目标ip:8888->127.0.0.1:445，对于目标机器445端口攻击流量来自127.0.0.1.所以防火墙没拦截

回复|@ta|踩(0)|顶(0)
58楼

linuxkris
2017-5-8 11:27

防火墙只拦截端口号么？

回复|@ta|踩(0)|顶(0)
57楼

success
2017-5-8 10:32

success：
445端口在内网属于防范对象(具体如组策略等限制），然而加上ew工具的转发看来内网渗透成功机率很大呀
回复|@ta
1
blackwolf：
毕竟转发后相当于直接搞127.0.0.1:445，大部分拦截都绕过了
回复|@ta
2

这个方法测试了下可行，

回复|@ta|踩(0)|顶(0)
56楼

xzblueidea
2017-5-8 09:44

姿态有点骚，不孬，有空实践一下

回复|@ta|踩(0)|顶(0)
55楼

xshaoye
2017-5-8 09:21

regeorg来方程式吧

回复|@ta|踩(0)|顶(0)
54楼

dgo6ktrr
2017-5-8 08:42

思路惊奇，学xi了

回复|@ta|踩(0)|顶(0)
53楼

新仙剑之鸣
2017-5-7 22:58

我遇到个，各种提权都不行也寻思方程式转发提权～还没实践呢

回复|@ta|踩(0)|顶(0)
52楼

blackwolf
2017-5-7 21:43

success：
445端口在内网属于防范对象(具体如组策略等限制），然而加上ew工具的转发看来内网渗透成功机率很大呀
回复|@ta
1

毕竟转发后相当于直接搞127.0.0.1:445，大部分拦截都绕过了

回复|@ta|踩(0)|顶(0)
51楼

success
2017-5-7 15:14

445端口在内网属于防范对象(具体如组策略等限制），然而加上ew工具的转发看来内网渗透成功机率很大呀

回复|@ta|踩(0)|顶(0)
50楼

LykanAtk
2017-5-6 23:17

内网转发玩成这样也是炉火纯清啊。。。。6

回复|@ta|踩(0)|顶(0)
49楼

blackwolf
2017-5-6 16:08

逗号：
为毛我用这个 445的就没成功过- -! 好郁闷..
回复|@ta
1

防火墙开着的话，直接搞445是不行的

回复|@ta|踩(0)|顶(0)
48楼

逗号
2017-5-6 15:30

为毛我用这个 445的就没成功过- -! 好郁闷..

回复|@ta|踩(0)|顶(0)
47楼

blackwolf
2017-5-6 13:27

xshaoye：
还要破解,Mimikatz直接抓密码,或者procdump
回复|@ta
1

实际的目标环境利用条件很苛刻，mimikatz这些都试过没成功，最后是抓注册表hash破解得到明文

回复|@ta|踩(0)|顶(0)
46楼

xshaoye
2017-5-6 13:08

还要破解,Mimikatz直接抓密码,或者procdump

回复|@ta|踩(0)|顶(0)
45楼

上善若水
2017-5-6 12:44

抓了管理员密码。我想应该权限应该是很高了吧？那为啥不直接加账号密码？并且关闭防火墙？

回复|@ta|踩(0)|顶(0)
44楼

root_iceH
2017-5-6 12:33

root_iceH：
那个blue的加载失败为何还是能够利用成功，楼主是将fb搬到服务器上去了吗
回复|@ta
1
blackwolf：
目标防火墙限制直接445端口利用失败，利用端口转发到8888成功
回复|@ta
2
展开隐藏楼层
root_iceH：
这个转发445是指目标机的吧，就像lcx在目标机上转发445端口到8888，然后本地监听8888，如果我现在只有一台内网服务器.....没有目标机的shell，是不是就没办法了呢...
回复|@ta
3
blackwolf：
此处利用前提是已经getshell，其他提权没成功，所以转发445到其他端口绕过防火墙限制，从而提权成功。没有shell也没法使目标端口转发
回复|@ta
4

也是我一个内网中，利用成功没办法弹回shell

回复|@ta|踩(0)|顶(0)
43楼

blackwolf
2017-5-6 10:17

root_iceH：
那个blue的加载失败为何还是能够利用成功，楼主是将fb搬到服务器上去了吗
回复|@ta
1
blackwolf：
目标防火墙限制直接445端口利用失败，利用端口转发到8888成功
回复|@ta
2
root_iceH：
这个转发445是指目标机的吧，就像lcx在目标机上转发445端口到8888，然后本地监听8888，如果我现在只有一台内网服务器.....没有目标机的shell，是不是就没办法了呢...
回复|@ta
3

此处利用前提是已经getshell，其他提权没成功，所以转发445到其他端口绕过防火墙限制，从而提权成功。没有shell也没法使目标端口转发

回复|@ta|踩(0)|顶(0)
42楼

root_iceH
2017-5-6 09:07

root_iceH：
那个blue的加载失败为何还是能够利用成功，楼主是将fb搬到服务器上去了吗
回复|@ta
1
blackwolf：
目标防火墙限制直接445端口利用失败，利用端口转发到8888成功
回复|@ta
2

这个转发445是指目标机的吧，就像lcx在目标机上转发445端口到8888，然后本地监听8888，如果我现在只有一台内网服务器.....没有目标机的shell，是不是就没办法了呢...

回复|@ta|踩(0)|顶(0)
41楼

ki11y0u
2017-5-6 09:07

思路不错，有空也试下。

回复|@ta|踩(0)|顶(0)