如何通过VOIP内网评估获取域管理员权限？

通过VOIP内部评估，我们对5060和5061端口进行了扫描，从而找到了已经开机的IP话机。 然后我们选取了一个范围，连接到其中的每个电话并开启其80端口的web页面。

校验VOIP电话的状态消息，我们发现电话的文件没有更新，比如：

SEPDC*****90.cnf.xml.sgn

提示：所有的VOIP电话都是从呼叫管理中心的TFTP服务器上下载的最新配置。

现在我们找到呼叫管理的TFTP服务器，其实很容易就能从电话设置菜单中找到。

然后我们将TFTP连接到呼叫管理下载SEPDC*****90.cnf.xml.sgn文件

在下载的文件里面我们找到了更多存放在TFTP服务器上的文件，例如：SPDefault.cnf.xml

在从TFTP下载SPDefault.cnf.xml文件的过程中，我们发现了连接到‘***mmunicatio*’LDAP服务端凭证。

使用我们该凭证成功的连接到了域名，然后控制并枚举了所有域名上的用户。这些用户只能请求和提供信息，没有RDP以及添加用户的权限。

从所有枚举出来的用户中我们又找到了所有通用的账号比如mcafee*****n, sql-****n等等。在sql-****n下使用默认的凭证成功进入了。

接着使用netscan，我们发现所有的超级管理员都登录了。使用sql-****n用户连接RDP到盒子上。幸运的是有一个盒子 成功连接上了。

然后按以下步骤：sql-****n凭证->关闭杀毒软件->下载Mimikatz->活动文件中的所有密码->在文件中找到所有超级管理员凭证->PWNED

最后我们使用 超级管理员凭证-> 添加 ***-voip用户RDP到域名控制并将用户添加到域名管理员组。 游戏结束。

*参考来源：c0d3xpl0it.blogspot.tw，FB小编老王隔壁的白帽子翻译，转载请注明来自FreeBuf黑客与极客（FreeBuf.COM）