53  open  domain?    88  open  kerberos-sec    135  open  msrpc  主要信息来源  389  open  ldap    445  open  microsoft-ds?  主要信息来源  593  open ncacn_http     3268  open  ldap   通过smbclient 检查，有共享 这个域里一共有314个用户，实际上这台服务器的用户远没有那么多。 通过制作一个用户名列表 当前获取到了support 用户的hash 解密后，密码就是白色区域那部分 然后用rpcclient链接以这个用户，枚举系统用户名。 这里有个漏洞，试过了所有的系统用户，只有这个可以重置这个用户的密码。 audit2020 然后这个时候有了 forensic文件夹的访问权限了，1个多G。 然后基本全分析一边，用 windbg 和 volatility 花了很多时间。转折点在这里。 当我搜索了一堆关键字，我看到这个美女的头像。注意到了  mimikatz 这个工具。 开始我还以为是专门搜索DMP文件的密码的。后来实在搞不定，看了下别人的做法。 瞬间注意到了lsass这个进程。是我输入的进程文件不对！！！！！！ 然后一路顺风，获取到第三个用户。svc_bakcup。 顺利用evil登录 提权：      由于在前期寻找立足点中，花了5天时间，论坛上看了大量别人的提示，所以，提权部分基本没怎么耗时间。 【文件可以在这里下载： 点击我 】 import-module ./SeBackupPrivilegeCmdLets.dll import-module ./SeBackupPrivilegeUtils.dll script2.txt set context persistent nowriters add volume c: alias someAlias create ...

Nmap扫描：  21  open  ftp  22  open  ssh  5000  open  nginx service  8000  open  http-alt 为了防止丢失信息，又用udp 协议扫描了一边，结果一样。 通过匿名登录ftp获取  kali@kali:~/Desktop/oouch$ cat project.txt Flask -> Consumer Django -> Authorization Server 通过这个文件在 hosts 追加以下的解析 10.10.10.177 consumer.oouch.htb 10.10.10.177 authorization.oouch.htb 简单描述： 端口5000 注册一个用户 test111 ，用这个用户和管理员用户通过【欺骗点击链接】达到关联用户的目的。然后通过应用授权获取 access_token ，授权后，通过access_token 调用 api接口，达到获取 ssh 私钥的目的。 端口8000： 授权服务器，application的注册都是在这里进行完成的。5000 的端口通过拿到 8000 端口分发的token 来达到其关联用户的目的。 注册完用户登录后，这里显示没有账户链接。consumer.oouch.htb 在这个oauth认证中心这里，点击注册用户。authorization.oouch.htb 用户名随便起。 注册完后，登录。 接下来我们来通过oauth2.0 来关联admin用户 这个页面是通过 ffuf 扫描出来的。 点击【Authorize】之前通过burpsuite 来拦截链接。 第一次的链接，直接放走。上图是第二次来自服务的应答，这里已经获取到了 【code】，点击Drop，不要关联。 组装成这样的格式：【http://consumer.oouch.htb:5000/oauth/connect/token?code=ySdhhj57X9KEGAzWPxuUgVFleViGy1】 点击【send】这是个漏洞，会自己点击访问这个URL。 然后就是高潮部分了，在 url 里输入 consumer.oouch.htb:...