搜索

[20716] 2017-04-22_域渗透前置知识

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-04-22_域渗透前置知识 域 渗 透 前 置 知 识 L e m o n S e c   2 0 1 7 - 0 4 - 2 2   在 介 绍 具 体 的 域 渗 透 之 前 ， 有 些 基 础 知 识 是 必 须 要 先 说 的 。 首 先 W i n d o w s 自 带 的 c m d 命 令 先 过 一 遍 ， 可 以 找 个 n t c m d s . c h m 来 学 习 下 ， 这 个 在 w i n d o w s   2 0 0 3 上 面 是 自 带 的 ， 也 可 以 网 上 下 载 。 2 0 0 8 和 2 0 1 2 又 新 增 了 一 些 命 令 ， 具 体 可 以 去 微 软 的 网 站 上 在 线 看 h t t p s : / / t e c h n e t . m i c r o s o f t . c o m / z h - c n / l i b r a r y / c c 7 7 2 3 9 0 ( v = w s . 1 0 ) . a s p x 在 继 续 学 习 域 渗 透 之 前 ， 至 少 应 该 对 以 下 命 令 使 用 熟 练 ： c d ， d i r ， c o p y ， x c o p y ， d e l ， m o v e ， e c h o ， m k d i r ， r m d i r ， t y p e ， p i n g ， i p c o n f i g 。 后 面 再 讲 到 新 的 命 令 时 会 再 做 讲 解 。   0 x 0 1   i p c 链 接 链 接               内 网 渗 透 里 面 不 管 域 还 是 工 作 组 最 先 需 要 介 绍 的 就 是 i p c 连 接 ， 这 个 是 内 网 渗 透 必 修 科 目 ， 后 面 绝 大 多 数 操 作 都 要 基 于 i p c 连 接 。 关 于 i p c 的 详 细 介 绍 ， 可 以 参 考 这 篇 文 章 ： h t t p : / / w w w . x f o c u s . n e t / a r t i c l e s / 2 0 0 3 0 3 / 4 9 3 . h t m l 安 焦 的 这 篇 文 章 是 从 普 通 的 w o r k g r o u p 形 式 来 举 例 的 ， 而 在 域 中 ， i p c 连 接 的 形 式 有 一 些 差 别 。 正 常 i p c 登 录 的 命 令 是 n e t   u s e s e r v e r   i p c $   “ p a s s w o r d ”   / u s e r : u s e r n a m e 在 域 里 面 使 用 n e t   u s e 建 立 连 接 时 ， u s e r 后 面 的 参 数 需 要 添 加 机 器 名 或 者 域 名 ， 分 别 对 应 使 用 本 地 账 户 或 者 域 账 户 登 录 比 如 使 用 域 账 户 登 录 时 n e t   u s e r   s e r v e r   “ p a s s w o r d ” / u s e r : d o m a i n u s e r n a m e 注 意 u s e r 后 面 变 成 了 d o m a i n u s e r n a m e ， 表 示 使 用 d o m a i n 域 的 账 户 登 录 另 外 i p c 连 接 时 ， 可 以 省 去 后 面 的 i p c $ ， 除 非 是 要 映 射 指 定 磁 盘 需 要 指 定 盘 符 加 $ ， 如 E $ 0 x 0 2   访 问 文 件 访 问 文 件                 建 立 i p c 连 接 以 后 ， 就 可 以 访 问 目 标 机 器 的 文 件 （ 上 传 、 下 载 ） ， 也 可 以 在 目 标 机 器 上 运 行 命 令 。 上 传 和 下 载 文 件 直 接 通 过 c o p y 命 令 就 可 以 ， 不 过 路 径 换 成 U N C 路 径 。 何 为 U N C 路 径 ？ 简 单 来 讲 以 开 头 的 路 径 就 是 U N C 路 径 ， 比 如 1 9 2 . 1 6 8 . 1 . 2 c $ b o o t . i n i 。 如 果 要 从 本 地 当 前 目 录 上 传 1 . b a t 到 1 9 2 . 1 6 8 . 1 . 2 机 器 C 盘 根 目 录 下 ， 那 么 命 令 就 是 c o p y   1 . b a t 1 9 2 . 1 6 8 . 1 . 2 C $ , 反 之 就 是 下 载 。 d i r 、 c o p y 、 x c o p y 、 m o v e 、 t y p e 的 参 数 都 可 以 使 用 U N C 路 径 。   0 x 0 3   运 行 命 令 运 行 命 令                 如 果 要 在 目 标 机 器 上 运 行 命 令 ， 最 基 础 的 方 法 有 3 种 ： 1 、 使 用 计 划 任 务 ,   2 、 p s e x e c ， 3 、 w m i 远 程 执 行 计 划 任 务 有 两 种 方 法 启 动 计 划 任 务 ， a t 和 s c h t a s k s a t 是 最 基 本 的 方 法 ， 来 个 例 子 看 下 具 体 流 程  
n e t   u s e   1 9 2 . 1 6 8 . 1 . 5   P a s s w 0 r d !   / u s e r : a d m i n     建 立 i p c 连 接 c o p y   a d d . b a t   1 9 2 . 1 6 8 . 1 . 5 c $ w m p u b   复 制 a d d . b a t 到 目 标 C 盘 w m p u b 目 录 a d d . b a t 里 面 的 内 容 是 n e t   u s e r T w i 1 i g h t   P a s s w 0 r d !   / a d d   添 加 T w i 1 i g h t 用 户 n e t   t i m e   1 9 2 . 1 6 8 . 1 . 5   查 看 目 标 当 前 时 间 ， 得 到 当 前 时 间 是 2 1 : 5 0 : 5 2 a t   1 9 2 . 1 6 8 . 1 . 5   2 1 : 5 2   c : w m p u b a d d . b a t   告 诉 目 标 在 2 1 : 5 2 的 时 候 运 行 c : w m p u b a d d . b a t a t   1 9 2 . 1 6 8 . 1 . 5     查 看 目 标 的 计 划 任 务 列 表 等 到 2 1 : 5 2 时 在 目 标 上 查 看 用 户 ， 已 经 成 功 添 加 账 号 来 回 顾 下 整 个 流 程 ， 我 们 需 要 得 到 目 标 的 当 前 时 间 ， 然 后 再 添 加 一 个 计 划 时 间 比 当 前 时 间 晚 几 分 钟 的 任 务 。 这 就 意 味 着 我 们 需 要 等 待 直 到 时 间 到 了 才 能 执 行 ， 无 法 立 即 就 执 行 。 而 且 万 一 时 间 输 错 了 ， 比 当 前 时 间 要 早 ， 那 就 要 等 到 第 二 天 才 会 去 执 行 了 ， 这 时 候 又 得 重 新 建 立 一 个 任 务 ， 删 掉 错 误 时 间 的 那 个 ， 至 于 怎 么 删 除 留 待 读 者 实 践 吧 。 这 种 处 理 方 式 同 时 也 导 致 不 便 于 写 程 序 来 自 动 处 理 。     另 一 种 方 法 是 s c h t a s k s ， 这 是 升 级 版 的 a t 命 令 默 认 在 w i n 7 中 文 版 上 运 行 s c h t a s k s 会 爆 无 法 加 载 列 资 源 错 误 ， 这 是 编 码 原 因 导 致 ， 默 认 是 9 3 6 编 码 （ G B K ） ， 用 c h c p   4 3 7 命 令 换 成 美 国 编 码 就 可 以 了 。 继 续 用 之 前 的 例 子 ， 假 设 已 经 建 立 好 i p c 链 接 ， 同 时 已 经 复 制 了 a d d . b a t 过 去 。 下 面 是 具 体 流 程   s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 . 2   / u   a d m i n i s t r a t o r / p   P a s s w 0 r d !   / r u   " S Y S T E M "   / t n   a d d u s e r   / s c   D A I L Y   / t r   c : w m p u b a d d . b a t / F s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 1 . 2   / u   a d m i n i s t r a t o r   / p P a s s w 0 r d !   / t n   a d d u s e r   / i
s c h t a s k s   / d e l e t e   / s   1 9 2 . 1 6 8 . 1 . 2   / u   a d m i n i s t r a t o r / p   P a s s w 0 r d !   / t n   a d d u s e r   / f 第 一 条 命 令 是 创 建 计 划 任 务 ， / s 指 定 远 程 机 器 名 或 i p 地 址 ， / r u 指 定 运 行 任 务 的 用 户 权 限 ， 这 里 指 定 为 最 高 的 S Y S T E M ， / t n 是 任 务 名 称 ， / s c 是 任 务 运 行 频 率 ， 这 里 指 定 为 每 天 运 行 ， 并 没 什 么 实 际 意 义 ， / t r 指 定 运 行 的 文 件 ， / F 表 示 如 果 指 定 的 任 务 已 经 存 在 ， 则 强 制 创 建 任 务 并 抑 制 警 告 。 第 二 条 命 令 表 示 运 行 任 务 ， 其 中 / i 表 示 立 即 运 行 ， 这 就 是 s c h t a s k s 比 a t 好 用 的 关 键 点 ， 不 需 要 和 时 间 挂 钩 ， 可 以 立 即 执 行 任 务 。 在 条 件 允 许 的 情 况 下 ， 尽 量 使 用 在 条 件 允 许 的 情 况 下 ， 尽 量 使 用 s c h t a s k s ， 因 为 在 某 些 条 件 下 ， a t 执 行 完 任 务 后 ， 任 务 信 息 没 有 删 除 ， 用 a t 命 令 查 不 到 任 务 信 息 ， 但 是 用 s c h t a s k s 却 能 看 到 任 务 信 息 ， 任 务 名 是 A t 加 一 个 数 字 。 具 体 例 子 ， 本 地 w i n d o w s 1 0 ， 远 程 w i n d o w s 2 0 0 8 这 是 用 a t 在 远 程 2 0 0 8 机 器 上 添 加 一 个 任 务 ， 执 行 i p c o n f i g 命 令 ， 执 行 完 后 在 w i n 1 0 上 用 a t 远 程 查 询 不 到 任 务 信 息 了 。 然 后 在 2 0 0 8 机 器 的 本 地 来 看 a t 和 s c h t a s k s 的 结 果 ： a t 命 令 本 地 也 查 不 到 信 息 ， 但 是 s c h t a s k s 却 能 看 到 任 务 信 息 ， 如 果 用 详 细 模 式 ， 就 能 看 到 更 具 体 的 信 息 。 T i p s : 我 测 试 w i n d o w s 7 和 w i n d o w s 2 0 0 8 无 法 用 s c h t a s k s 远 程 在 w i n d o w s 2 0 0 3 上 面 建 立 任 务 ， 且 w i n d o w s 1 0 无 法 使 用 s c h t a s k s 远 程 在 w i n d o w s 2 0 0 8
上 面 建 立 任 务 。 还 有 使 用 本 地 账 号 的 情 况 下 ， s c h t a s k s 在 建 立 了 i p c 链 接 的 基 础 上 还 是 需 要 指 定 账 号 密 码   p s e x e c p s e x e c 是 p s t o o l s 工 具 包 中 的 一 个 工 具 ， 常 用 来 远 程 执 行 命 令 。 p s e x e c 针 对 远 程 建 立 连 接 的 认 证 方 式 有 两 种 ， 一 种 先 建 立 i p c 连 接 ， 然 后 直 接 用 p s e x e c   1 9 2 . 1 6 8 . 1 . 2   c m d 命 令 开 启 一 个 半 交 互 式 的 c m d s h e l l ， 另 一 种 是 在 p s e x e c 的 参 数 中 指 定 账 号 密 码 。 p s e x e c 的 - s 参 数 表 示 是 否 使 用 s y s t e m 权 限 。 借 用 之 前 的 例 子 ， 假 设 已 经 复 制 好 a d d . b a t 到 1 9 2 . 1 6 8 . 1 . 2 ， 使 用 p s e x e c 运 行 的 命 令 是 ： p s e x e c   1 9 2 . 1 6 8 . 1 . 2 c : w m p u b a d d . b a t p s e x e c 的 基 本 的 原 理 是 通 过 管 道 在 远 程 机 器 上 创 建 一 个 服 务 p s e x e c ， 然 后 通 过 这 个 服 务 运 行 命 令 ， 运 行 完 后 删 除 服 务 。 这 个 在 w i n d o w s 的 日 志 中 有 详 细 的 记 录 ：
另 外 另 外 p s e x e c 在 少 数 情 况 下 会 出 现 服 务 没 删 除 成 功 的 在 少 数 情 况 下 会 出 现 服 务 没 删 除 成 功 的 b u g ， 所 以 一 般 来 讲 不 太 推 荐 在 渗 透 时 使 用 ， 所 以 一 般 来 讲 不 太 推 荐 在 渗 透 时 使 用 p s e x e c 。 。   w m i e x e c 这 个 是 我 之 前 写 过 的 一 个 工 具 ， 专 门 用 来 替 代 p s e x e c 的 ， 这 个 帖 子 有 详 细 的 介 绍 和 使 用 说 明 “ 利 用 W M I 代 替 p s e x e c — — W M I E X E C . v b s ” h t t p s : / / w w w . t 0 0 l s . n e t / t h r e a d - 2 1 1 6 7 - 1 - 1 . h t m l ， 这 里 就 不 再 赘 述 。   0 x 0 3   H a s h 知 识 知 识                 w i n d o w s 的 密 码 是 经 过 h a s h 后 存 储 的 ， 本 地 存 在 s a m ， s y s t e m 注 册 表 中 ， 域 里 面 存 在 n t d s . d i t 中 。 密 码 h a s h 有 两 种 格 式 ， L M h a s h 和 N T   h a s h 。 从 v i s t a 以 后 的 系 统 本 地 和 域 都 不 再 存 储 L M   h a s h ， 取 而 代 之 的 是 一 串 A A D 3 开 头 的 h a s h 串 。 另 外 由 于 L M   h a s h 算 法 的 局 限 性 ， 当 密 码 超 过 1 4 位 时 ， 即 使 在 2 0 0 3 或 X P 上 ， L M   h a s h 也 为 空 ， 此 时 抓 h a s h 抓 到 的 也 是 A A D 3 开 头 的 。 L M h a s h 可 以 用 在 线 网 站 秒 破 h t t p : / / w w w . o b j e c t i f - s e c u r i t e . c h / e n / o p h c r a c k . p h p N T h a s h 就 只 能 用 暴 力 破 解 了 ， 基 本 上 所 有 破 解 工 具 都 支 持 该 算 法 。 破 不 出 来 也 没 太 大 关 系 ， 现 在 也 出 了 很 多 工 具 支 持 直 接 使 用 n t h a s h 连 接 远 程 机 器 执 行 命 令 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理