靶机信息（信益安信NoCVE Range B靶机）
1、信息收集
sudo nmap 192.168.10.128 -p- -sV -Pn --min-rate=5000 -oN nmap_B.txt
2、验证凭据
2.1 验证RDP3389端口，rdp验证失败。
nxc rdp 192.168.10.128 -u alice -p 'P@ssw0rd'
2.2 smb验证凭据成功
2.3 winrm验证凭据成功
2.4 登录
3、利用xfreerdp工具进行登录
xfreerdp /v:192.168.10.128 /u:XYA\\alice /p:P@ssw0rd
发现有两个网段。内网：172.16.10.128、外网：192.168.10.128
4、域内信息收集
net user /domain
收集的信息
（1）目标主机已经加入xya.com 这个 AD 域，域控制器是 DC.xya.com
（2）域控主机ip未为172.16.10.130
5、利用sharphound收集AD域信息
5.1利用winrm上传sharphound至目标靶机
5.2利用SharpHound.exe工具进行AD域信息采集
SharpHound.exe -c all
#参数解释
(1)SharpHound.exe：AD 域权限枚举工具（C# 编写，红队 / 渗透测试核心工具）
(2)-c / --collectionmethods：指定采集方法的参数
(3)all：代表启用所有默认采集模块，对域内所有对象做完整数据采集
5.3把收集到的信息20260410020650_BloodHound.zip下载到我们的kali中
6、利用boolhound进行域信息分析
6.1导入后进行分析，在搜索框中输入alice
6.2点击Outbound Object Control（出站控制对象）
ALICE@XYA.COM → ForceChangePassword → WAKE@XYA.COM
含义：alice 用户拥有强制修改 wake 用户密码的权限
7、利用bloodyAD修改wake密码
bloodyAD -u alice -p 'P@ssw0rd' -d xya.com --host 172.16.10.130 set password wake 'P@ssw0rd123'
7.1利用winrm工具登录，成功拿到第一个flag
evil-winrm -i 192.168.10.128 -u wake -p 'P@ssw0rd1234'
8、设置代理环境（ligolo）
8.1 Ligolo-ng 代理隧道的前置环境配置
8.2 把ligoolo的windows客户端agent.exe上传至目标靶机
8.3 kali启动ligolo代理
8.4 启动Ligolo-ng 代理客户端（Agent）
kali终端收到响应,启动start
8.5 尝试去ping域控172.16.10.130
9、内网信息收集（二层网络扫描验证）
9.1 二层网络扫描
9.2 利用初始凭据alice去跑一下smb
9.3 利用初始凭据去跑一下winrm。发现只有128机器可用
10、查找是否有价值的smb的端口
10.1 列出目标主机129的所有 SMB 共享目录
10.2 列出目标主机130（域控）的所有 SMB 共享目录
10.3 枚举用户
10.4 枚举共享，发现一个可疑得共享文件目录（xya）
11、利用smbclient工具进入xya共享目录
11.1 进入xya共享目录
11.2 把共享目录中的Memo.txt文件下载到本地。看样子像是一个密码本
12、密码喷洒
12.1 创建一个用户名字典
12.2 进行爆破
12.3 利用vllay用户和和密码进行winrm碰撞
13、利用vllay用户拿下129主机
13.1 登录129主机
13.2 查看权限发现自己为129的本地管理员身份
13.3 在administrator目录下拿到第二个flag
14、Windows系统权限提升漏洞扫（winPEASx64）
14.1 将winPEASx64.exe上传至129主机
14.2 执行winPEAS，将执行结果保存为permission001.txt（测试跑了接近20分钟左右），download下载至本地
我这里换了几个版本的winPEAS都没有跑出来powershell的历史命令,不知道为什么
15、查看powershell历史命令
15.1 该历史命令路径地址
15.2 查看该历史命令文件
15.3 下载到本地
15.4 分析
发现了一个calue用户的凭据：calue/LongliveChina1!
16、验证calue凭据
登录
注：由于calue权限无法查看domainadministrator目录，需要提权
17、bloodhound查看calue权限
17.1 属于administrators组，可以DCSync
18、dump哈希，以administrator权限登录域控
18.1 导出域控制器（DC）所有域用户的 NTLM 密码哈希
18.2 使用impacket-wmiexec工具，administrator用户去登录域控
18.3 拿到第三个flag
18.4 evil-winrm登录
