通过VOIP内部评估，我们对5060和5061端口进行了扫描找到已经开机的IP话机。 然后我们找到了一个范围然后开始连接到每个电话开启了80端口的web页面。
校验VOIP电话的状态消息，我们发现电话的文件没有更新，例如：
SEPDC*****90.cnf.xml.sgn
提示：所有的VOIP电话都从呼叫管理中心的TFTP服务器上下载最新的配置。
现在我们找到呼叫管理的TFTP服务器，这很容易就能从电话设置菜单中找到。
然后我们TFTP连接到呼叫管理下载SEPDC*****90.cnf.xml.sgn文件
在下载的文件里面我找到了更多存放在TFTP服务器上的文件，例如：SPDefault.cnf.xml
从TFTP下载SPDefault.cnf.xml文件。我们发现连接到‘***mmunicatio*’LDAP服务端凭证。
使用我们找到的凭证成功连接到域名控制并枚举了所有域名上的用户。这些用户只能请求和提供信息，没有RDP，添加用户的权限。
从所有枚举出来的用户中我们尝试找到所有通用的账号比如mcafee*****n, sql-****n等等。在sql-****n尝试默认的凭证成功进入了。
接着使用netscan我们发现所有的超级管理员都登录了。使用sql-****n用户我们RDP到盒子上。幸运的是有一个盒子我们使用sql-****n 成功连接上了。
然后按以下步骤RDP到盒子上，sql-****n凭证->关闭杀毒软件->下载Mimikatz->活动文件中的所有密码->在文件中找到所有超级管理员凭证->PWNED
然后我们使用 超级管理员凭证-> 添加 ***-voip用户RDP到域名控制将用户添加到域名管理员组。 游戏结束。
本文转自d1net（转载）
