文章目录
概述
HackTheBox 是一个经典的在线靶机平台，提供了大量漏洞演练和CTF演练场景。
本次记录的是HTB Tracks 系列的 Intro to Printer Exploitation，即打印机相关漏洞的场景合集。随着攻防对抗的升级，打印机也成了的攻击目标之一。研究表明，打印机存在较多攻击面，使它们很容易遭受攻击。
声明
本文是对HackTheBox 专业靶场的演练记录，文中使用的工具和方法仅限学习交流使用，请不要将文中使用的工具和方法用于任何非法用途，请务必遵守《网络安全法》。
题目概述
本次靶机为Return，题目地址https://app.hackthebox.com/machines/401，涉及到域控安全、打印机安全等知识点。
信息收集
靶机启动后，实例地址为10.10.11.108
使用masscan进行全端口探测
sudo masscan -p1-65535 10.10.11.108 -e tun0 --rate=1000
Discovered open port 389/tcp on 10.10.11.108
Discovered open port 49665/tcp on 10.10.11.108
Discovered open port 49666/tcp on 10.10.11.108
Discovered open port 49675/tcp on 10.10.11.108
Discovered open port 88/tcp on 10.10.11.108
Discovered open port 49697/tcp on 10.10.11.108
Discovered open port 3269/tcp on 10.10.11.108
Discovered open port 49674/tcp on 10.10.11.108
Discovered open port 80/tcp on 10.10.11.108
Discovered open port 49667/tcp on 10.10.11.108
Discovered open port 139/tcp on 10.10.11.108
Discovered open port 9389/tcp on 10.10.11.108
Discovered open port 593/tcp on 10.10.11.108
Discovered open port 636/tcp on 10.10.11.108
Discovered open port 51750/tcp on 10.10.11.108
Discovered open port 135/tcp on 10.10.11.108
Discovered open port 49679/tcp on 10.10.11.108
Discovered open port 5985/tcp on 10.10.11.108
Discovered open port 464/tcp on 10.10.11.108
Discovered open port 49664/tcp on 10.10.11.108
Discovered open port 3268/tcp on 10.10.11.108
Discovered open port 49682/tcp on 10.10.11.108
Discovered open port 445/tcp on 10.10.11.108
Discovered open port 47001/tcp on 10.10.11.108
Discovered open port 49671/tcp on 10.10.11.108
Discovered open port 53/tcp on 10.10.11.108
发现除了常规的80，135，139，445外，还开放了88，389等与域环境相关的端口，还有winrm服务使用的5985端口。
使用cme通过smb进一步获取信息，得知域名为return.local
sudo crackmapexec smb 10.10.11.108
SMB 10.10.11.108 445 PRINTER [*] Windows 10.0 Build 17763 (name:PRINTER) (domain:return.local) (signing:True) (SMBv1:False)
通过浏览器访问http://10.10.11.108/
查看Settings页面，有密码的信息，但无法通过前端查看
初始立足点
打印机中通常存储域用户凭据来和域进行交互，可以指定目标服务器地址（Server Address）为攻击机Kali的tun0端口地址，这样可以从LDAP中获取凭据。
修改Server Address地址为Kali tun0端口地址，点击Update按钮使配置生效
在Kali上通过nc监听389端口
得到凭证1edFg43012!!，通过winrm服务使用evil-wirm进行连接
得到普通用户的flag文件user.txt
权限提升
查看域信息
查看用户信息
发现其属于Server Operators组，在bing进行搜索
根据https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/dn579255(v=ws.11)
利用已有的会话，上传nc.exe
查询可利用的服务
修改vss服务的指向为nc.exe，使nc.exe回连Kali的tun0端口
启动vss服务使配置生效
在Kali得到会话，查看root用户的flag文件flag.txt