搜索

[26848] 2019-09-30_从WebShell到域控实战详解

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2019-09-30_从WebShell到域控实战详解 从 W e b S h e l l 到 域 控 实 战 详 解 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 9 - 3 0   渗 透 环 境 渗 透 环 境 首 先 介 绍 此 次 渗 透 的 环 境 ： 假 设 我 们 现 在 已 经 渗 透 了 一 台 服 务 器 P A V M S E F 2 1 ， 该 服 务 器 内 网 I P 为 1 0 . 5 1 . 0 . 2 1 。 扫 描 后 发 现 内 网 网 络 结 构 大 概 如 图 所 示 ， 其 中 P A V M S E F 2 1 是 连 接 外 网 和 内 网 的 关 键 节 点 ， 内 网 其 他 服 务 器 均 不 能 直 接 连 接 。 我 们 的 渗 透 目 标 是 通 过 一 个 普 通 的 W e b S h e l l 权 限 一 步 步 地 获 得 域 管 权 限 ， 从 而 掌 控 整 个 内 网 。 一 一 .   提 升 权 限 提 升 权 限 上 传 免 杀 的 P a y l o a d 到 机 器 名 为 P A V M S E F 2 1 、 I P 为 1 0 . 5 1 . 0 . 2 1 的 服 务 器 上 ， 然 后 在 “ 中 国 菜 刀 ” 或 者 W e b S h e l l 下 运 行 ， 如 图 所 示 。 获 得 M e t e r p r e t e r   S h e l l 后 要 做 的 第 一 件 事 情 就 是 提 权 。 通 常 ， 在 渗 透 过 程 中 很 有 可 能 只 获 得 了 一 个 系 统 的 G u e s t 或 U s e r 权 限 。 低 的 权 限 级 别 将 使 我 们 受 到 很 多 的 限 制 ， 所 以 必 须 将 访 问 权 限 从 G u s e t 提 升 到 U s e r ， 再 到 A d m i n i s t r a t o r ， 最 后 到 S Y S T E M 级 别 。 我 们 先 尝 试 利 用 本 地 溢 出 漏 洞 提 权 ， 即 使 用 本 地 漏 洞 的 利 用 程 序 （ L o c a l   E x p l o i t ） 提 升 权 限 。 也 就 是 说 ， 通 过 运 行 一 些 现 成 的 、 能 造 成 溢 出 漏 洞 的 E x p l o i t ， 把 用 户 从 U s e r 组 或 其 他 系 统 用 户 组 提 升 到 A d m i n i s t r a t o r 组 （ 或 r o o t ） 。 此 时 ， 我 们 获 取 的 权 限 是 一 个 普 通 域 用 户 权 限 ， 如 图 所 示 。
首 先 利 用 本 地 溢 出 漏 洞 提 权 ， 发 现 服 务 器 补 丁 打 得 很 全 ， 尝 试 利 用 M S 1 5 0 5 、 M S 1 5 0 7 8 等 ， 都 以 失 败 告 终 ， 如 图 所 示 。 再 尝 试 绕 过 W i n d o w s 账 户 控 制 （ U A C ） ， 我 们 现 在 具 有 一 个 普 通 域 用 户 的 权 限 。 利 用 B y p a s s   U A C 模 块 提 权 ， 又 以 失 败 告 终 ， 如 果 成 功 会 返 回 一 个 新 的 M e t e r p r e t e r   S h e l l ， 如 图 所 示 。   使 用 B y p a s s   U A C 模 块 进 行 提 权 时 ， 系 统 当 前 用 户 必 须 在 管 理 员 组 ， 而 且 用 户 账 户 控 制 程 序 U A C 设 置 为 默 认 ， 即 “ 仅 在 程 序 试 图 更 改 我 的 计 算 机 时 通 知 我 ” ， 而 且 B y p a s s   U A C 模 块 运 行 时 会 因 为 在 目 标 机 上 创 建 多 个 文 件 而 被 杀 毒 软 件 识 别 。 我 们 没 能 绕 过 U A C ， 可 能 是 这 两 个 原 因 。 其 实 提 权 没 有 成 功 也 不 要 紧 ， 我 们 还 是 可 以 以 此 服 务 器 为 跳 板 ， 攻 击 其 他 服 务 器 的 。 二 二 .   信 息 收 集 信 息 收 集 我 们 此 时 虽 然 提 权 不 成 功 ， 但 还 是 可 以 进 行 域 渗 透 测 试 的 。 有 了 内 网 的 第 一 台 机 器 的 权 限 后 ， 收 集 信 息 是 很 关 键 的 一 步 ， 也 是 内 网 渗 透 中 不 可 或 缺 的 一 部 分 。 首 先 要 查 看 当 前 机 器 的 网 络 环 境 ， 收 集 域 里 的 相 关 信 息 ， 包 括 所 有 的 用 户 、 所 有 的 计 算 机 ， 以 及 相 关 关 键 组 的 信 息 ， 下 面 列 出 了 常 用 的 命 令 及 其 作 用 ， 如 图 所 示 。 n e t   u s e r   / d o m a i n ： 查 看 域 用 户 。 n e t   v i e w   / d o m a i n ： 查 看 有 几 个 域 。 n e t   v i e w   / d o m a i n : X X X ： 查 看 域 内 的 主 机 。 n e t   g r o u p   / d o m a i n ： 查 看 域 里 面 的 组 。 n e t   g r o u p   “ d o m a i n   c o m p u t e r s ”   / d o m a i n ： 查 看 域 内 所 有 的 主 机 名 。 n e t   g r o u p   “ d o m a i n   a d m i n s ”   / d o m a i n ： 查 看 域 管 理 员 。 n e t   g r o u p   “ d o m a i n   c o n t r o l l e r s ”   / d o m a i n ： 查 看 域 控 制 器 。 n e t   g r o u p   “ e n t e r p r i s e   a d m i n s ”   / d o m a i n ： 查 看 企 业 管 理 组 。 n e t t i m e / d o m a i n ： 查 看 时 间 服 务 器 。
 
  通 过 收 集 以 上 信 息 ， 我 们 可 以 分 析 出 很 多 重 要 的 线 索 ， 例 如 内 网 是 怎 么 划 分 的 ， 各 机 器 名 的 命 名 规 则 ， 根 据 机 器 名 尝 试 找 出 重 要 人 物 的 计 算 机 ， 以 及 目 标 机 是 否 为 多 层 域 结 构 ， 关 键 是 要 探 测 出 域 管 理 员 的 名 字 和 域 服 务 器 的 名 字 等 信 息 。 三 三 .   获 取 一 台 服 务 器 的 权 限 获 取 一 台 服 务 器 的 权 限 我 们 的 目 标 是 域 服 务 器 ， 此 时 有 两 种 情 况 ： 当 前 服 务 器 可 以 直 接 攻 击 域 服 务 器 和 不 可 以 直 接 攻 击 域 服 务 器 。 不 可 以 直 接 攻 击 又 分 为 两 种 情 况 ： 如 果 是 权 限 不 够 就 需 要 提 升 权 限 ； 如 果 是 不 能 连 接 到 域 服 务 器 ， 则 需 要 攻 击 内 网 中 某 个 可 以 连 接 到 域 服 务 器 的 服 务 器 ， 然 后 以 此 为 跳 板 再 攻 击 域 服 务 器 。 现 在 因 为 权 限 问 题 不 可 以 直 接 攻 击 域 服 务 器 ， 整 理 下 思 路 ， 可 以 采 取 以 下 方 法 继 续 渗 透 。 —   使 用 M e t e r p r e t e r 目 前 拥 有 的 权 限 添 加 内 网 路 由 ， 进 行 弱 口 令 扫 描 。 —   使 用 P o w e r S h e l l 对 内 网 进 行 扫 描 （ 要 求 目 标 机 是 W i n d o w s   7 以 上 的 服 务 器 ） 。 —   架 设 S o c k s 4 a ， 然 后 S o c k s 会 自 动 进 行 内 网 扫 描 。 —   利 用 当 前 权 限 进 行 内 网 I P C $ 渗 透 。 —   其 他 方 法 。 通 过 上 面 的 分 析 ， 我 们 先 选 择 最 简 单 的 方 法 ， 在 n e t   v i e w 的 机 器 名 里 选 择 一 个 和 我 们 机 器 名 相 似 的 服 务 器 来 试 试 ， 不 出 意 外 的 话 ， 成 功 率 很 高 ， 如 图 所 示 。 下 面 再 给 读 者 温 习 下 经 典 的 I P C $ 入 侵 。 I P C $ 入 侵 ， 即 通 过 使 用 W i n d o w s 系 统 中 默 认 启 动 的 I P C $ 共 享 获 得 计 算 机 控 制 权 的 入 侵 ， 在 内 网 中 极 其 常 见 。 假 设 现 在 有 一 台 I P C $ 主 机 ： 1 2 7 . 0 . 0 . 2 5 ， 输 入 以 下 命 令 。 D : > n e t   u s e   1 2 7 . 0 . 0 . 2 5 i p c $             # 连 接 1 2 7 . 0 . 0 . 2 5 的 I P C $ 共 享 D : > c o p y   s r v . e x e   1 2 7 . 0 . 0 . 2 5 i p c $             # 复 制 s r v . e x e 上 去 D : > n e t   t i m e   1 2 7 . 0 . 0 . 2 5                   # 查 时 间 D : > a t 1 2 7 . 0 . 0 . 2 5   1 0 : 5 0   s r v . e x e     # 用 a t 命 令 在 1 0 点 5 0 分 启 动 s r v . e x e （ 注 意 这 里 设 置 的 时 间 要 比 主 机 时 间 快 ） 上 述 命 令 中 的 a t 就 是 让 计 算 机 在 指 定 的 时 间 做 指 定 事 情 的 命 令 （ 例 如 运 行 程 序 ） 。 这 里 把 免 杀 的 P a y l o a d 上 传 到 P A V M S E P 1 3 1 服 务 器 ， 然 后 利 用 a t 命 令 启 动 P a y l o a d ， 反 弹 回 M e t e r p r e t e r   S h e l l ， 具 体 操 作 如 图 所 示 。   将 木 马 复 制 到 目 标 服 务 器
查 看 系 统 时 间 使 用 a t 命 令 启 动 木 马 接 着 返 回 h a n d l e r 监 听 ， 可 以 看 到 反 弹 成 功 了 ， 我 们 获 得 了 P A V M S E P 1 3 1 服 务 器 的 M e t e r p r e t e r   S h e l l ， 如 图 所 示 。 我 们 先 看 看 P A V M S E P 1 3 1 服 务 器 的 信 息 和 现 在 的 权 限 ， 如 图 所 示 。 可 以 看 到 没 有 S Y S T E M 权 限 ， 说 明 既 可 以 用 M i m i k a t z 等 工 具 ， 也 可 以 用 r u n   p o s t / w i n d o w s / g a t h e r / h a s h d u m p 来 抓 H a s h 。 我 们 在 用 M i m i k a t z 抓 H a s h 之 前 要 注 意 一 点 ： 如 果 服 务 器 安 装 的 是 6 4 位 操 作 系 统 ， 要 把 M i m i k a t z 进 程 迁 移 到 一 个 6 4 位 的 程 序 进 程 中 ， 才 能 查 看 6 4 位 系 统 的 密 码 明 文 ， 3 2 位 系 统 没 有 这 个 限 制 。 这 里 使 用 M i m i k a t z 抓 H a s h ， 具 体 操 作 如 图 所 示 。
接 着 查 看 抓 到 的 域 用 户 的 权 限 ， 如 图 所 示 。   四 四 .   P o w e r S h e l l 寻 找 域 管 在 线 服 务 器 寻 找 域 管 在 线 服 务 器 W i n d o w s   P o w e r S h e l l 是 一 种 命 令 行 外 壳 程 序 和 脚 本 环 境 ， 使 命 令 行 用 户 和 脚 本 编 写 者 可 以 利 用 . N E T   F r a m e w o r k 的 强 大 功 能 。 P o w e r S h e l l 还 允 许 将 几 个 命 令 组 合 起 来 放 到 文 件 里 执 行 ， 实 现 文 件 级 的 重 用 ， 也 就 是 说 有 脚 本 的 性 质 。 将 H u n t e r 模 块 上 传 到 主 机 名 为 P A V M S E P 1 3 1 ， I P 为 1 0 . 5 1 . 0 . 1 3 1 的 服 务 器 中 ， 然 后 输 入 I n v o k e - U s e r H u n t e r ， 如 图 所 示 。 具 体 命 令 如 下 所 示 。 p o w e r s h e l l . e x e   - e x e c   b y p a s s   - C o m m a n d   " & { I m p o r t - M o d u l e   . p o w e r v i e w . p s 1 ; I n v o k e - U s e r H u n t e r } " `
可 以 看 到 域 管 理 员 当 前 在 线 登 录 的 机 器 主 机 名 为 P A V M S X D 3 0 ， I P 为 1 0 . 5 1 . 0 . 3 0 ， 此 时 需 要 入 侵 此 服 务 器 ， 然 后 将 其 迁 移 到 域 管 理 登 录 所 在 的 进 程 ， 这 样 便 拥 有 了 域 管 理 的 权 限 。 五 五 .   获 取 域 管 权 限 获 取 域 管 权 限 利 用 获 取 到 的 H A S H ， 我 们 成 功 地 获 取 到 主 机 名 P A V M S X D 3 0 ， I P 为 1 0 . 5 1 . 0 . 3 0 的 服 务 器 权 限 ， 接 下 来 就 可 以 渗 透 域 控 了 。 首 先 利 用 g e t s y s t e m 命 令 提 升 权 限 ， 如 图 所 示 。   可 以 看 到 我 们 现 在 的 U I D 是 s o n i c w a l l ， 从 前 面 获 取 的 域 管 理 员 账 号 信 息 中 已 知 s o n i c w a l l 是 域 管 理 员 。 然 后 利 用 p s 命 令 找 到 域 管 理 所 在 的 进 程 ， 把 M e t e r p r e t e r   S h e l l 进 程 迁 移 到 此 进 程 中 ， 成 功 后 就 获 得 了 域 管 理 权 限 ， 如 图 所 示 。 这 里 除 了 迁 移 进 程 外 ， 也 可 以 使 用 M e t a s p l o i t 中 的 窃 取 令 牌 功 能 ， 同 样 能 获 得 获 得 域 管 理 权 限 。 接 着 查 看 主 域 控 I P ， 这 里 使 用 n e t   t i m e 命 令 ， 一 般 来 说 时 间 服 务 器 都 是 域 服 务 器 ， 如 图 所 示 。 可 以 看 到 域 服 务 器 的 主 机 名 为 P A V M S A D 6 4 ， I P 地 址 为 1 0 . 5 1 . 0 . 6 3 。 现 在 我 们 可 以 使 用 经 典 的 I P C $ 入 侵 来 反 弹 一 个 M e t e r p r e t e r   S h e l l ， 具 体 操 作 如 图 所 示 。
  提 示 a t 命 令 已 经 被 弃 用 ， 现 在 使 用 s c h t a s k s 添 加 计 划 任 务 ， 因 为 目 标 机 的 系 统 是 W i n d o w s   2 0 1 2 。 因 为 现 在 已 经 在 域 管 理 员 权 限 下 面 了 ， 所 以 要 给 域 控 添 加 一 个 管 理 员 账 户 ， 如 图 所 示 。 利 用 如 下 命 令 确 认 账 户 是 否 添 加 成 功 ， 如 图 所 示 。   可 以 看 到 我 们 已 经 成 功 添 加 了 管 理 员 账 户 。 六 六 .   登 录 域 控 制 器 登 录 域 控 制 器 现 在 域 控 的 权 限 也 终 于 到 手 了 。 接 下 来 就 要 登 陆 域 控 ， 然 后 抓 域 控 的 H a s h 。 整 理 下 思 路 ， 常 见 的 登 录 域 控 的 方 式 有 以 下 几 种 。 1 . 利 用 I P C 上 传 A T & S c h t a s k s 远 程 执 行 命 令 。 2 . 利 用 端 口 转 发 或 者 S o c k s 登 录 域 控 远 程 桌 面 。 3 . 登 录 对 方 内 网 的 一 台 电 脑 使 用 p s t o o l s 工 具 包 中 的 P s E x e c 来 反 弹 S h e l l 。 4 . 使 用 M e t a s p l o i t 下 的 p s e x e c ，   p s e x e c _ p s h ； I m p a c k e t   p s e x e c ； p t h - w i n e x e ； E m p i r e   I n v o k e - P s e x e c 等 P s E x e c 类 工 具 反 弹 s h e l l 。 5 . 使 用 M e t a s p l o i t 下 的 s m b _ l o g i n 来 反 弹 M e t e r p r e t e r 。 6 . 使 用 W M I （ W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n ） 来 进 行 攻 击 。 7 . 使 用 P s R e m o t i n g   p o s e r s h e l 远 程 执 行 命 令 。 其 他 一 些 方 法 。 这 里 采 用 最 常 见 也 是 效 果 最 好 的 ， M e t a s p l o i t 下 的 P s E x e c 来 反 弹 M e t e r p r e t e r ， 使 用 时 注 意 以 下 这 两 点 ， 如 图 所 示 。 —   M S F 中 的 P s E x e c 模 块 。 —   c u e s t o m 模 块 ， 建 议 使 用 类 似 V e i l 之 类 的 工 具 来 生 成 免 杀 的 P a y l o a d 。 这 里 采 用 最 常 见 也 是 效 果 最 好 的 方 式 — — M e t a s p l o i t 下 的 P s E x e c 来 反 弹 M e t e r p r e t e r ， 使 用 时 注 意 以 下 两 点 ， 如 图 所 示 。
—   M S F 中 的 P s E x e c 模 块 。 —   c u e s t o m 模 块 ， 建 议 使 用 类 似 V e i l 之 类 的 工 具 生 成 免 杀 的 P a y l o a d 。 可 以 看 到 已 经 反 弹 成 功 了 ， 然 后 先 迁 移 进 程 ， 查 看 域 控 的 系 统 信 息 和 s e s s i o n s 控 制 图 ， 如 图 所 示 。   思 路 思 路 ： ： 可 以 看 到 现 阶 段 控 制 的 s e s s i o n 共 有 5 个 。 s e s s i o n 1 为 W e b S h e l l 反 弹 ， s e s s i o n 2 利 用 i p c $ 入 侵 ， 渗 透 s e s s i o n 4 是 为 了 获 取 域 管 在 线 服 务 器 ， s e s s i o n 5 为 域 。 整 个 渗 透 过 程 一 环 套 一 环 ， 环 环 相 扣 。 有 了 域 控 的 权 限 ， 接 着 来 抓 H a s h ， 常 用 方 法 有 以 下 几 种 。 —   使 用 M e t a s p l o i t 自 带 的 d u m p h a s h 或 者 s m a r t _ h a s h d u m p 模 块 导 出 用 户 的 H a s h 。 —   利 用 P o w e r S h e l l 的 相 应 模 块 导 出 H a s h 。 —   使 用 W C E 、 M i m i k a t z 等 工 具 。 —   其 他 方 法 。 这 里 使 用 了 M e t a s p l o i t 自 带 的 d u m p h a s h 模 块 。 需 要 注 意 ： 要 想 使 用 此 模 块 导 出 H a s h ， 必 须 要 有 S Y S T E M 的 权 限 才 行 ， 具 体 操 作 如 图 所 示 。
七 七 .   S M B 爆 破 内 网 爆 破 内 网 有 了 域 控 的 密 码 ， 接 下 来 只 要 快 速 在 内 网 扩 大 控 制 权 限 就 好 ， 具 体 操 作 如 下 所 示 。 —   利 用 当 前 获 取 到 的 域 控 账 户 密 码 ， 对 整 个 域 控 I P 段 进 行 扫 描 。 —   使 用 S M B 下 的 s m b _ l o g i n 模 块 。 —   端 口 转 发 或 者 S o c k s 代 理 进 内 网 。 我 们 先 在 M e t a s p l o i t 添 加 路 由 ， 然 后 使 用 s m b _ l o g i n 模 块 或 者 p s e x e c _ s c a n n e r 模 块 进 行 爆 破 ， 具 体 操 作 如 图 所 示 。    
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理