搜索

[20389] 2020-11-27_一步步成为你的全网管理员（上）

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-11-27_一步步成为你的全网管理员（上） 一 步 步 成 为 你 的 全 网 管 理 员 （ 上 ） K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 1 - 2 7 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 先 锋 情 报 站 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   1 1 3   篇 文 章 。 全 文 共 计 3 6 0 9 个 字 ， 预 计 阅 读 时 长 1 1 分 钟 。 打 开 入 口 打 开 入 口 首 先 对 目 标 进 行 资 产 收 集 ， 发 现 目 标 对 外 只 开 放 了 一 个 W E B 服 务 ， 经 过 查 看 ， 发 现 运 行 的 是 禅 道 。 既 然 没 有 其 他 的 选 择 ， 那 就 从 这 里 入 手 ， 首 先 查 看 当 前 版 本 ， 发 现 是 1 1 . 6 。 h t t p : / / x x x x x / z e n t a o / i n d e x . p h p ? m o d e = g e t c o n f i g 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
经 过 搜 索 发 现 此 版 本 存 在 多 个 漏 洞 ， 但 是 受 限 于 需 要 先 进 行 登 录 ， 于 是 使 用 常 用 用 户 名 对 登 录 接 口 进 行 弱 口 令 爆 破 ， 成 功 发 现 一 个 可 登 录 账 号 ： l i h u a / q w e ! @ # 4 5 6 。 使 用 爆 破 出 的 账 号 登 录 进 入 系 统 。 检 查 漏 洞 是 否 被 修 复 ， 发 现 R C E 漏 洞 未 修 复 。
接 下 来 自 然 就 是 愉 快 的 写 马 G e t s h e l l ， 由 于 路 径 问 题 ， 需 要 覆 盖 w w w 目 录 下 的 原 有 p h p 文 件 才 可 以 被 解 析 ， 这 里 选 择 覆 盖 x . p h p 文 件 。 成 功 写 入 一 句 话 木 马 ， 并 用 蚁 剑 成 功 连 接 ， 获 取 到 目 标 服 务 器 权 限 。 打 开 终 端 查 看 权 限 发 现 是 s y s t e m 权 限 ， 那 就 可 以 省 了 提 权 。
内 网 渗 透 内 网 渗 透 俗 话 说 ， 细 节 决 定 成 败 ， 接 下 来 就 开 始 进 行 信 息 收 集 了 。 收 集 信 息 的 全 面 情 况 可 以 决 定 你 能 在 内 网 里 多 自 由 。 探 测 主 机 信 息 （ 只 列 举 部 分 命 令 ） ： 信 息 收 集 时 可 以 重 点 关 注 下 访 问 日 志 ， 网 络 连 接 、 路 由 表 等 信 息 ， 可 以 通 过 这 些 信 息 发 现 未 知 的 内 部 网 络 。 查 看 网 络 情 况 ： 获 取 主 机 中 的 账 号 密 码 （ 列 举 部 分 工 具 ） ： 通 过 对 主 机 信 息 进 行 收 集 发 现 此 主 机 不 可 出 网 ， 并 且 处 于 域 环 境 （ d g p u b l i c ） 中 ， 且 主 机 同 段 存 在 其 它 域 主 机 。 #   查 看 I P i p c o n f i g   / a l l #   查 看 a r p 表 a r p   - a #   查 看 主 机 路 由 情 况 r o u t e   p r i n t #   查 看 网 络 连 接 情 况 n e t s t a t   - a n o #   通 过 路 由 跟 踪 发 现 未 知 网 段 t r a c e r t   x x x x x x x x #   获 得 所 有 域 用 户 组 列 表 n e t   g r o u p   / d o m a i n   #   获 得 域 管 理 员 列 表 n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n   #   获 得 域 控 制 器 列 表 n e t   g r o u p   " d o m a i n   c o n t r o l l e r s "   / d o m a i n   #   获 得 所 有 域 成 员 计 算 机 列 表 n e t   g r o u p   " d o m a i n   c o m p u t e r s "   / d o m a i n   #   获 得 所 有 域 用 户 列 表 n e t   u s e r   / d o m a i n   #   获 得 指 定 账 户 s o m e u s e r 的 详 细 信 息 n e t   u s e r   s o m e u s e r   / d o m a i n . . .   . . . w c e - u n i v e r s a l 、 m i m i k a t z 、 l a z a g n e 、 S h a r p H o u n d
发 现 的 部 分 主 机 ： 根 据 主 机 名 和 域 账 户 名 对 比 发 现 部 分 对 照 关 系 ， 比 如   j o h n   员 工 的 主 机 名 为   I T - S U P P O R T - J O H N ， 根 据 主 机 名 和 j o h n 在 域 管 组 中 的 信 息 ， 猜 测   j o h n   为 目 标 内 部 网 络 管 理 员 ， 通 过 查 看   j o h n   账 户 状 态 发 现 其 账 号 处 于 活 跃 状 态 ， 此 账 户 的 情 况 可 以 在 后 续 横 向 移 动 中 重 点 关 注 。 P u b l i c N e t w o r k - D C $         1 0 . 1 0 . 1 0 0 . 8 0 ( 域 控 ) I T - S U P P O R T - J O H N $         ( 为 解 析 到 i p ， 可 能 不 在 线 ) M Y S Q L $                       1 0 . 1 0 . 1 0 0 . 1 2 1 W W W $                       1 0 . 1 0 . 1 0 0 . 1 1 1 （ w e b s h e l l 位 置 ） 未 知                       1 0 . 1 0 . 1 0 0 . 1 3 1 （ 可 能 是 边 界 设 备 ） 未 知                       1 0 . 1 0 . 1 0 0 . 1 5 7
在 禅 道 系 统 主 机 上 获 取 到 域 账 号 p u b l i c - w w w / P @ s s w 0 r d ! @ # $ ， 但 由 于 权 限 较 低 ， 无 法 登 录 其 他 主 机 ， 仅 可 在 当 前 主 机 进 行 登 录 。
接 下 来 把 自 己 流 量 代 理 进 去 ， 上 传 r e G e o r g 流 量 代 理 工 具 ， 成 功 把 流 量 代 理 进 去 。 通 过   p r o x y c h a i n s   将 m s f 代 理 进 去 ， 先 使 用 a u x i l i a r y / s c a n n e r / s m b / s m b _ v e r s i o n 模 块 对 已 发 现 网 段 进 行 信 息 探 测 。 防 止 扫 描 流 量 过 大 被 发 现 ， 线 程 建 议 开 最 低 。
在 扫 描 结 果 中 发 现   I T - S U P P O R T - J O H N   主 机 ， 其 I P 就 是 1 0 . 1 0 . 1 0 0 . 1 5 7 ， 并 且 其 所 属 域 已 经 更 改 ， 已 经 不 在 当 前 域 中 （ d g p u b l i c ） ， 但 域 中 主 机 信 息 未 删 除 ， 所 以 前 面 进 行 解 析 时 没 有 接 触 出 其 I P 地 址 ， 现 在 位 于 d g o f f i c e 域 ， 根 据 所 在 域 的 名 字 判 断 其 为 目 标 办 公 域 。 经 过 对 内 部 网 络 进 行 探 测 ， 发 现 之 前 疑 似 边 界 设 备 上 开 放 着 8 4 4 3 的 端 口 ， 通 过 访 问 查 看 分 析 确 定 其 为   C I S C O   V P N   登 陆 地 址 。 但 在 外 部 进 行 端 口 扫 描 却 未 发 现 开 放 此 端 口 。 猜 测 此 V P N 是 对 内 部 使 用 的 ， 在 横 向 移 动 过 程 中 ， 并 没 有 在 其 中 发 现 能 直 接 出 网 的 机 器 ， 所 以 结 合 已 有 信 息 分 析 ， 判 断 内 部 网 络 不 允 许 直 接 出 网 ， 内 部 员 工 有 上 网 需 要 时 ， 通 过 连 接 此   V P N   访 问 外 部 网 络 。 随 后 使 用 获 取 到 的 密 码 制 作 字 典 ， 并 用 m s f 的 a u x i l i a r y / s c a n n e r / s m b / s m b _ l o g i n 对 d g p u b l i c 域 的 域 账 号 进 行 爆 破 。 成 功 爆 破 出 p u b l i c - m y s q l 的 密 码 。 使 用 p u b l i c - m y s q l 账 号 成 功 获 取 M Y S Q L $ 主 机 s h e l l ， 在 此 主 机 上 发 现   j o h n   用 户 远 程 登 陆 此 设 备 ， 于 是 赶 紧 提 取 其 账 号 密 码 。 成 功 获 取 到   j o h n   的 账 号 密 码 ， 由 于 用 户   j o h n   在 域 管 理 员 组 中 ， 于 是 直 接 使 用   j o h n   账 户 远 程 域 控 （ P u b l i c N e t w o r k - D C ） ， 拿 下 d g p u b l i c 域 的 域 控 。
域 控 主 机 是 w i n d o w s   2 0 1 2 的 系 统 ， 无 法 直 接 获 取 域 管 A d m i n i s t r a t o r 的 密 码 ， 所 以 先 修 改 其 注 册 表 ， 使 系 统 在 内 存 缓 存 账 号 明 文 ， 这 样 当 管 理 员 重 新 登 陆 后 就 可 以 提 取 明 文 密 码 了 。 经 过 等 待 ， 成 功 等 到 了 A d m i n i s t r a t o r 重 新 登 陆 的 机 会 ， 这 哪 能 放 过 ， 成 功 提 取 A d m i n i s t r a t o r 账 户 明 文 密 码 。 到 此 关 于 d g p u b l i c 域 的 渗 透 基 本 完 成 。 跨 域 跨 域 开 始 尝 试 向 目 标 办 公 域 移 动 ， 在 内 部 主 机 的 探 测 结 果 中 只 发 现 了   I T - S U P P O R T - J O H N   主 机 位 于   D G O F F I C E   域 中 ， 猜 测 所 在 的 域 和   D G O F F I C E   域 进 行 了 隔 离 。 所 以 想 进 入 D G O F F I C E 域 就 要 从   I T - S U P P O R T - J O H N   主 机 入 手 ， 尝 试 使 用 获 取 到 的   j o h n   账 户 密 码 登 录   I T - S U P P O R T - J O H N   ， 发 现 无 法 登 录 ， 判 断 更 换 域 后 密 码 可 能 进 行 了 更 换 。 于 是 这 里 有 了 一 个 想 法 ， 既 然 依 然 在 使 用 d g p u b l i c 域 中 的   j o h n   账 号 ， 那 么 当   j o h n   需 要 修 改 密 码 时 ， 他 是 否 有 可 能 设 置 为 和 另 一 个 域 相 同 的 登 录 密 码 。 由 于 无 法 确 定 其 下 次 在 那 台 主 机 上 登 录 ， 所 以 需 要 开 启   j o h n   域 账 户 的   使 用 可 逆 加 密 存 储 密 码 选 项 。 r e g   a d d   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l   / t   R E G _ D W O R D   / d   1   / f
如 图 中 的 形 式 设 置 可 以 让 他 下 次 登 陆 时 必 须 设 置 一 个 新 密 码 ， 并 且 在 域 控 中 使 用 可 逆 加 密 存 储 新 密 码 ， 这 样 当 他 修 改 密 码 后 ， 就 可 以 通 过 在 域 控 上 提 取 域 快 照 直 接 获 取 其 修 改 后 的 明 文 密 码 。 为 了 防 止 其 修 改 密 码 后 我 们 无 法 再 使 用 j o h n 账 户 登 录 ， 所 以 在 域 控 上 先 留 下 后 门 备 用 。 设 置 完 成 后 ， 只 需 要 进 行 等 待 ， 等 待 其 下 一 次 登 录 。 关 于 “ 使 用 可 逆 加 密 存 储 密 码 ” 这 里 进 行 下 介 绍 ： 官 方 介 绍 ：   h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / s e c u r i t y / t h r e a t - p r o t e c t i o n / s e c u r i t y - p o l i c y - s e t t i n g s / s t o r e - p a s s w o r d s - u s i n g - r e v e r s i b l e - e n c r y p t i o n 获 取 到 明 文 并 不 意 味 着 域 账 户 密 码 是 在 域 控 上 以 明 文 形 式 存 储 的 ， 它 们 在 系 统 中 使 用 可 逆 算 法 加 密 ， 所 以 是 以 加 密 形 式 在 域 控 上 存 储 的 。 而 用 于 加 密 和 解 密 的 密 钥 是 S Y S K E Y ， 它 一 般 存 储 在 注 册 表 中 ， 可 以 由 域 管 理 员 提 取 。 这 意 味 着 密 文 可 以 简 单 地 逆 向 为 明 文 值 ， 因 此 称 为 “ 可 逆 加 密 ” 。 也 可 以 通 过 本 地 安 全 策 略 - > 安 全 设 置 - > 账 户 策 略 - > 密 码 策 略
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理