本文首发于先知社区：https://xz.aliyun.com/t/5327
整体流程：
第一步，万能密码进入后台
第二步，传免杀马连菜刀
第三步，端口转发
第四步，读取hash值
0x01 进入后台
找到后台登陆界面/admin/，尝试万能密码登录，成功进入后台
0x02 传马连菜刀
上传1.php文件失败，提示只允许上传jpg文件。于是传图马抓包改后缀
上传成功，并直接显示了上传路径，复制访问，连接菜刀，失败！！！
应该是被杀了，那就传个免杀大马吧（同样的方法）
进入大马后尝试执行命令，但是只能执行whoami，其他命令执行不了，不知道为什么···
还是传个免杀小马连菜刀吧，传了好几个终于解析成功了
0x03 端口转发
终端执行命令，发现内网的3389是开着的
进行端口转发，把来自外部的 tcp 的6666端口流量全部转发到内网的2008r2机器的3389端口上，执行以下两条命令
netsh advfirewall firewall add rule name="winmgmt" dir=in action=allow protocol=TCP localport=6666 netsh interface portproxy add v4tov4 listenport=6666 connectaddress=192.168.2.57 connectport=3389
添加用户$PaperPen并添加到管理员组，mstsc远程连接ip:6666
0x04 读取hash值
获取注册表信息
使用mimikatz读取到hash值
总结：
读到的hash未能破解，所以就只能到这步了
师傅们有不懂的地方或者有更好的思路欢迎下方留言
欢迎前来交流~~