搜索

[22142] 2021-07-07_WinRM的横向移动详解

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-07-07_WinRM的横向移动详解 W i n R M 的 横 向 移 动 详 解 黑 白 天 安 全 实 验 室   L e m o n S e c   2 0 2 1 - 0 7 - 0 7 横 向 的 手 法 从 简 单 的 远 程 桌 面 协 议 （ r d p ） 到 漏 洞 利 用 ， 手 法 不 断 在 改 变 ， 要 对 抗 的 设 备 产 品 也 不 断 地 变 化 ， 有 个 技 术 主 管 问 我 ， 红 蓝 的 快 乐 在 于 什 么 ？ 为 什 么 我 钟 情 在 红 蓝 。 我 想 中 快 乐 就 是 来 自 于 对 抗 吧 。 W i n R M 的 简 要 概 述 的 简 要 概 述 W i n d o w s   R e m o t e   M a n a g e m e n t   ( W i n R M )   i s   t h e   M i c r o s o f t   i m p l e m e n t a t i o n   o f   W S - M a n a g e m e n t   P r o t o c o l ,   a s t a n d a r d   S i m p l e   O b j e c t   A c c e s s   P r o t o c o l   ( S O A P ) - b a s e d ,   f i r e w a l l - f r i e n d l y   p r o t o c o l   t h a t   a l l o w s   h a r d w a r e   a n d o p e r a t i n g   s y s t e m s ,   f r o m   d i f f e r e n t   v e n d o r s ,   t o   i n t e r o p e r a t e . 简 单 来 说 ， w i n R m （ 微 软 远 程 管 理 ） 是 W S - M a n a g e m e n t 协 议 的 实 现 组 件 。 W i n R M 是 w i n d o w s 操 作 系 统 的 一 部 分 。 是 一 项 允 许 管 理 员 在 系 统 上 远 程 执 行 管 理 任 务 的 服 务 。 通 信 通 过 H T T P （ 5 9 8 5 ） 或 H T T P S   S O A P （ 5 9 8 6 ） 执 行 ， 默 认 情 况 下 支 持 K e r b e r o s 和 N T L M 身 份 验 证 以 及 基 本 身 份 验 证 。 使 用 此 服 务 需 要 管 理 员 级 别 的 凭 据 。 而 W S - M a n a g e m e n t 协 议 是 基 于 标 准 的 简 单 对 象 访 问 协 议 （ S O A P ） 的 ， 防 火 墙 友 好 的 协 议 ， 允 许 来 自 不 同 供 应 商 的 硬 件 和 操 作 系 统 进 行 互 操 作 。 W S - M a n a g e m e n t 协 议 规 范 为 系 统 提 供 了 一 种 跨 I T 基 础 结 构 访 问 和 交 换 管 理 信 息 的 通 用 方 法 。 W i n R M 和 智 能 平 台 管 理 接 口 （ I P M I ） 以 及 事 件 收 集 器 是 W i n d o w s 硬 件 管 理 功 能 的 组 件 。 W S - M a n a g e m e n t   P r o t o c o l T h e   W S - M a n a g e m e n t   p r o t o c o l   w a s   d e v e l o p e d   b y   a   g r o u p   o f   h a r d w a r e   a n d s o f t w a r e   m a n u f a c t u r e r s   a s   a   p u b l i c   s t a n d a r d   f o r   r e m o t e l y   e x c h a n g i n g m a n a g e m e n t   d a t a   w i t h   a n y   c o m p u t e r   d e v i c e   t h a t   i m p l e m e n t s   t h e   p r o t o c o l . W i n R M 的 调 用 手 法 的 调 用 手 法 Y o u   c a n   u s e   W i n R M   s c r i p t i n g   o b j e c t s ,   t h e   W i n R M   c o m m a n d - l i n e   t o o l ,   o r t h e   W i n d o w s   R e m o t e   S h e l l   c o m m a n d   l i n e   t o o l   W i n R S   t o   o b t a i n   m a n a g e m e n t d a t a   f r o m   l o c a l   a n d   r e m o t e   c o m p u t e r s   t h a t   m a y   h a v e   b a s e b o a r d m a n a g e m e n t   c o n t r o l l e r s   ( B M C s ) .   I f   t h e   c o m p u t e r   r u n s   a   W i n d o w s - b a s e d o p e r a t i n g   s y s t e m   v e r s i o n   t h a t   i n c l u d e s   W i n R M ,   t h e   m a n a g e m e n t   d a t a   i s s u p p l i e d   b y   W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n   ( W M I ) . 微 软 文 档 中 我 们 可 以 知 道 调 用 w i n R m 脚 本 对 象 w i n R m 的 命 令 行 工 具 w i n d o w s   R e m o t e   s h e l l   ( w i n R s ) 命 令 行 工 具 来 获 取 本 地 或 远 程 主 机 的 基 板 管 理 控 制 器 （ b m c ） 这 个 我 们 可 以 不 用 理 会 ， 我 们 可 以 看 到 如 果 计 算 机 运 行 的 是 基 于 W i n d o w s 操 作 系 统 的 话 ， 我 们 还 能 通 过 W S - M a n a g e m e n t 协 议 获 得 远 程 计 算 机 的 硬 件 和 系 统 数 据 等 等 功 能 ， W i n R M 的 通 信 过 程 的 通 信 过 程 w i n d o w s   R m （ 微 软 远 程 管 理 ） 采 用 的 是 W S - M a n a g e m e n t 协 议 来 进 行 通 信 。 1 . 初 始 认 证 初 始 认 证
身 份 验 证 向 服 务 器 （ 也 可 以 是 主 机 ） 确 认 客 户 端 的 身 份 。 当 客 户 端 使 用 其 计 算 机 名 连 接 到 域 服 务 器 时 ， 默 认 身 份 验 证 协 议 是 K e r b e r o s 。 K e r b e r o s 保 证 用 户 身 份 和 服 务 器 身 份 ， 而 无 需 发 送 任 何 类 型 的 二 次 凭 据 。 如 果 没 有 办 法 进 行 K e r b e r o s 认 证 的 话 ， 例 如 ： 当 客 户 端 使 用 其 I P 地 址 连 接 到 域 服 务 器 或 连 接 到 工 作 组 服 务 器 时 ， 则 无 法 进 行 K e r b e r o s 身 份 验 证 。 这 时 候 会 采 用 N T L M 身 份 验 证 协 议 ， 但 是 默 认 情 况 下 ， 基 于 N T L M 的 身 份 验 证 是 禁 用 的 。 N T L M 身 份 验 证 协 议 可 确 保 用 户 身 份 ， 而 无 需 发 送 任 何 可 委 托 的 凭 据 。 为 了 证 明 用 户 身 份 ， N T L M 协 议 要 求 客 户 端 和 服 务 器 均 从 用 户 密 码 计 算 会 话 密 钥 ， 而 无 需 交 换 密 码 本 身 。 服 务 器 通 常 不 知 道 用 户 的 密 码 ， 因 此 它 与 域 控 制 器 通 信 ， 后 者 确 实 知 道 用 户 的 密 码 并 计 算 服 务 器 的 会 话 密 钥 。 这 里 插 一 句 为 什 么 默 认 禁 用 T L M 的 身 份 验 证 ？ N T L M 协 议 不 能 保 证 服 务 器 的 身 份 。 与 使 用 N T L M 进 行 身 份 验 证 的 所 有 协 议 一 样 ， 有 权 访 问 加 入 域 的 计 算 机 的 计 算 机 帐 户 的 攻 击 者 可 以 调 用 域 控 制 器 来 计 算 N T L M 会 话 密 钥 ， 从 而 模 拟 服 务 器 。 例 如 著 名 的 烂 土 豆 ， 所 以 当 我 们 看 到 w i n r m 使 用 N t L M 认 证 的 话 ， 可 以 试 一 下 攻 击 。 其 它 认 证 在 这 里 不 多 说 。 基 于 证 书 、 协 商 身 份 验 证 、 C r e d S S P 、 可 信 主 机 等 等 。 2 . 通 信 过 程 通 信 过 程 初 始 身 份 验 证 完 成 后 ， W i n R M 将 对 正 在 进 行 的 通 信 进 行 加 密 。 这 里 加 密 有 ： 通 过 H T T P S 连 接 时 ， T L S 协 议 用 于 协 商 用 于 传 输 数 据 的 加 密 。 通 过 H T T P 连 接 时 ， 消 息 级 别 的 加 密 取 决 于 所 使 用 的 初 始 身 份 验 证 协 议 。 基 本 身 份 验 证 不 提 供 加 密 。 N T L M 身 份 验 证 使 用 带 有 1 2 8 位 密 钥 的 R C （ 4 ） 密 码 。 K e r b e r o s 身 份 验 证 加 密 由 e t y p e T G S 票 证 中 的 确 定 。 这 是 现 代 系 统 上 的 A E S - 2 5 6 。 C r e d S S P 加 密 使 用 的 是 握 手 中 协 商 的 T L S 密 码 套 件 。 在 域 中 的 话 一 般 是 K e r b e r o s 身 份 验 证 ， 所 以 我 们 可 以 简 单 理 解 为 w i n R m 通 信 的 过 程 是 采 用 A E S - 2 5 6 加 密 的 ， 那 么 在 利 用 这 个 手 法 进 行 横 向 的 时 ， 我 们 的 流 量 是 加 密 的 ， 会 隐 蔽 安 全 一 些 。 3 . 无 法 访 问 的 情 况 无 法 访 问 的 情 况 W i n R M 服 务 将 在 W i n d o w s   S e r v e r   2 0 0 8 和 更 高 版 本 上 自 动 启 动 （ 在 W i n d o w s   V i s t a 中 ， 需 要 手 动 启 动 该 服 务 ） 。 默 认 情 况 下 ， 未 配 置 W i n R M 侦 听 器 。 即 使 W i n R M 服 务 正 在 运 行 ， 也 无 法 接 收 或 发 送 请 求 数 据 的 W S - M a n a g e m e n t 协 议 消 息 。 I n t e r n e t 连 接 防 火 墙 （ I C F ） 阻 止 访 问 端 口 。 实 战 利 用 手 法 实 战 利 用 手 法 检 测 检 测 我 们 都 知 道 w i n r m 通 过 H T T P （ 5 9 8 5 ） 或 H T T P S   S O A P （ 5 9 8 6 ） 端 口 来 进 行 通 信 ， 那 么 我 们 可 以 检 索 内 网 中 打 开 端 口 5 9 8 5 和 5 9 8 6 的 主 机 。 这 里 为 了 方 便 我 们 使 用 n m a p 来 进 行 演 示 这 里 的 环 境 是 ： 攻 击 机 器 ： 1 9 2 . 1 6 8 . 5 0 . 1 4 6
w e b 边 界 服 务 器 ： 1 0 . 1 0 . 1 0 . 8 / 1 9 2 . 1 6 8 . 5 0 . 1 0 1 内 网 目 标 主 机 ： 1 0 . 1 0 . 1 0 . 1 0 我 们 来 探 测 一 下 w i n r m 的 h t t p   5 9 8 5 端 口 是 否 开 放 吧 ， 这 里 使 用 n m a p 要 注 意 速 率 问 题 ， 还 有 就 是 n m a p 的 特 征 更 改 一 下 ， 扫 描 模 式 使 用 隐 蔽 扫 描 吧 可 以 看 到 是 开 放 的 。 但 是 5 9 8 5 端 口 走 的 是 没 加 密 的 h t t p 服 务 ， 如 果 在 实 战 中 的 话 因 为 流 量 没 有 加 密 可 能 会 不 够 隐 蔽 ， 注 意 手 法 吧 ， 万 一 让 检 测 到 就 g g 了 当 然 在 c s 中 也 可 以 探 测 端 口 是 否 开 放 ; 这 里 要 注 意 速 率 要 低 调 一 点 ， 预 防 还 没 进 行 横 向 就 在 端 口 探 测 阶 段 就 让 蓝 队 捕 捉 到 了 我 们 的 流 量 。 可 以 看 到 返 回 了 扫 描 信 息 。 使 用 使 用 w i n r s . e x e 来 执 行 远 程 命 令 利 用 来 执 行 远 程 命 令 利 用 W i n r s . e x e   是 一 个 内 置 的 命 令 行 工 具 , 它 允 许 远 程 命 令 的 执 行 在 W i n R m 的 适 当 的 有 资 格 的 用 户 。 命 令 支 持 各 种 开 关 以 及 使 用 备 用 凭 据 进 行 身 份 验 证 的 能 力 。
C : U s e r s （ 1 2 3 2 2 3 L i ） > w i n r s . e x e   / ? 用 法 = = = = = ( 全 部 大 写 的 字 符   =   必 须 由 用 户 提 供 的 值 。 ) w i n r s   [ - / S W I T C H [ : V A L U E ] ]   C O M M A N D C O M M A N D   -   可 以 作 为   c m d . e x e   外 壳 程 序 中 的 命 令 来 执 行 的 任 何 字 符 串 。 开 关 = = = = = = = = ( 所 有 开 关 都 接 受 短 形 式 或 长 形 式 。 例 如   - r   和 - r e m o t e   都 有 效 。 ) - r [ e m o t e ] : E N D P O I N T             -   使 用   N e t B I O S   名 称 或 标 准 连 接   U R L :   [ T R A N S P O R T : / / ] T A R G E T [ : P O R T ]   的 目 标 终 结 点 。 如 果 未 指 定 该 点 ， 则 使 用   - r : l o c a l h o s t 。 - u n [ e n c r y p t e d ]                     -   指 定 不 加 密 到 远 程 外 壳 程 序 的 消 息 。 这 在 以 下 情 况 下 有 用 :   疑 难 解 答 、 已 使 用   I P S e c   加 密 网 络 通 讯 ， 或 者   强 制 使 用 物 理 安 全 性 。 默 认 情 况 下 ， 使 用   K e r b e r o s   或   N T L M   密 钥 加 密 消 息 。 选 择   H T T P S   传 输 时 忽 略 该 开 关 。 - u [ s e r n a m e ] : U S E R N A M E         -   在 命 令 行 上 指 定 用 户 名 。 如 果 未 指 定 该 用 户 名 ， 则 工 具 将 使 用 协 商 身 份 验 证 或 提 示 指 定 名 称 。 如 果 指 定   - u s e r n a m e ， 则 还 必 须 指 定   - p a s s w o r d 。 - p [ a s s w o r d ] : P A S S W O R D         -   在 命 令 行 上 指 定 密 码 。 如 果 未 指 定   - p a s s w o r d   而 指 定   - u s e r n a m e ， 则 工 具 将 提 示 指 定 密 码 。 如 果 指 定   - p a s s w o r d ， 则 还 必 须 指 定   - u s e r 。 - t [ i m e o u t ] : S E C O N D S             -   不 推 荐 使 用 该 选 项 。 - d [ i r e c t o r y ] : P A T H               -   指 定 远 程 外 壳 程 序 的 启 动 目 录 。 如 果 未 指 定 ， 则 远 程 外 壳 程 序 将 在 用 户 的 主 目 录 下 启 动 ， 该 主 目 录 由 环 境 变 量   % U S E R P R O F I L E %   定 义 。 - e n v [ i r o n m e n t ] : S T R I N G = V A L U E       -   指 定 外 壳 程 序 启 动 时 要 设 置 的 单 个 环 境 变 量 ， 这 允 许 更 改 外 壳 程 序 的 默 认 环 境 。 必 须 多 次 使 用 该 开 关 来 指 定 多 个 环 境 变 量 。 - n o e [ c h o ]                               -   指 定 应 禁 用 该 回 显 。 可 能 需 要 此 操 作 来 确 保 不 在 本 地 显 示 用 户 对 远 程 提 示 的 响 应 。 默 认 情 况 下 ， 回 显 为   " o n " 。 - n o p [ r o f i l e ]                         -   指 定 不 应 加 载 用 户 的 配 置 文 件 。 默 认 情 况 下 ， 服 务 器 将 试 图 加 载 用 户 配 置 文 件 。 如 果 远 程 用 户 不 是 目 标 系 统 上 的 本 地 管 理 员 ， 则 需 要 使 用 该 选 项   ( 默 认 设 置 将 导 致 错 误 ) 。 - a [ l l o w ] d [ e l e g a t e ]             -   指 定 可 以 将 用 户 凭 据 用 于 访 问 远 程 共 享 ， 例 如 ， 不 是 目 标 终 结 点 所 在 的 计 算 机 上 创 建 的 远 程 共 享 。 - c o m p [ r e s s i o n ]                     -   启 用 压 缩 。 远 程 计 算 机 上 的 旧 安 装 可 能 不 支 持 压 缩 ， 因 此 默 认 情 况 下 处 于 禁 用 状 态 。 - [ u s e ] s s l                               -   在 使 用 远 程 终 结 点 时 使 用   S S L   连 接 。 指 定 该 传 输   " h t t p s : "   以 外 的 设 置 时 ， 将 使 用 默 认 的   W i n R M   默 认 端 口 。 - ? -   帮 助
那 么 我 们 可 以 直 接 利 用 这 个 工 具 的 优 点 是 它 是 w i n r m 的 工 具 ， 我 们 不 用 往 主 机 上 扔 工 具 。 不 好 的 地 方 就 是 ： 使 用 这 个 工 具 需 要 明 文 密 码 。 o k ， 我 们 来 分 析 一 下 这 个 工 具 的 流 量 情 况 等 等 。 首 先 它 的 流 量 是 加 密 的 （ A E S ） 这 个 还 是 很 安 全 的 ， 然 后 我 们 看 看 w i n d o w s 主 机 中 日 志 情 况 这 里 是 这 个 w i n r s 的 攻 击 利 用 链 ： 若 要 终 止 远 程 命 令 ， 用 户 可 以 键 入   C t r l - C   或   C t r l - B r e a k ， 该 键 入 将 被 发 送 到 远 程 外 壳 程 序 。 第 二 次   C t r l - C   将 强 制 终 止   w i n r s . e x e 。 若 要 管 理 活 动 的 远 程 外 壳 程 序 或   W i n R S   配 置 ， 请 使 用   W i n R M   工 具 。 管 理 活 动 的 外 壳 程 序 的   U R I   别 名 为   s h e l l / c m d 。 W i n R S   配 置 的   U R I   别 名 为   w i n r m / c o n f i g / w i n r s 。 键 入   " W i n R M   - ? "   可 以 在   W i n R M   工 具 中 找 到 示 例 用 法 。 示 例 : w i n r s   - r : h t t p s : / / m y s e r v e r . c o m   c o m m a n d w i n r s   - r : m y s e r v e r . c o m   - u s e s s l   c o m m a n d w i n r s   - r : m y s e r v e r   c o m m a n d w i n r s   - r : h t t p : / / 1 2 7 . 0 . 0 . 1   c o m m a n d w i n r s   - r : h t t p : / / 1 6 9 . 5 1 . 2 . 1 0 1 : 8 0   - u n e n c r y p t e d   c o m m a n d w i n r s   - r : h t t p s : / / [ : : F F F F : 1 2 9 . 1 4 4 . 5 2 . 3 8 ]   c o m m a n d w i n r s   - r : h t t p : / / [ 1 0 8 0 : 0 : 0 : 0 : 8 : 8 0 0 : 2 0 0 C : 4 1 7 A ] : 8 0   c o m m a n d w i n r s   - r : h t t p s : / / m y s e r v e r . c o m   - t : 6 0 0   - u : a d m i n i s t r a t o r   - p : $ % f g h 7   i p c o n f i g w i n r s   - r : m y s e r v e r   - e n v : P A T H = ^ % P A T H ^ % ; c : t o o l s   - e n v : T E M P = d : t e m p   c o n f i g . c m d w i n r s   - r : m y s e r v e r   n e t d o m   j o i n   m y s e r v e r   / d o m a i n : t e s t d o m a i n   / u s e r d : j o h n s   / p a s s w o r d d : $ % f g h 7 8 9 w i n r s   - r : m y s e r v e r   - a d   - u : a d m i n i s t r a t o r   - p : $ % f g h 7   d i r   a n o t h e r s e r v e r s h a r e s v c h o s t . e x e   ( D c o m L a u n c h ) - >   w i n r s h o s t . e x e   - >   c m d . e x e   [ / c   r e m o t e   c o m m a n d ]   - >   [ r e m o t e   c o m m a n d / b i n a r y ]
W i n r s 事 件 以 M i c r o s o f t - W i n d o w s - W i n R M   /   O p e r a t i o n a l （ 事 件 I D   9 1 ） 记 录 在 远 程 主 机 上 ， 横 向 成 功 记 得 屁 屁 ， W i n r m . v b s （ 通 过 （ 通 过 W i n r m . c m d 调 用 ） 调 用 ） W i n r m . v b s 是 一 个 V i s u a l   B a s i c 脚 本 ， 允 许 管 理 员 “ 配 置 W i n R M 并 获 取 数 据 或 管 理 资 源 ” 是 基 于 W i n R M 脚 本 A P I ， 而 这 个 a p i 使 我 们 使 能 够 从 远 程 计 算 机 执 行 W S - M a n a g e m e n t 协 议 操 作 和 获 得 数 据 。 T h i s   c o m m a n d – l i n e   t o o l   f o r   s y s t e m   m a n a g e m e n t   i s   i m p l e m e n t e d   i n   a V i s u a l   B a s i c   S c r i p t i n g   E d i t i o n   f i l e   ( W i n r m . v b s )   w r i t t e n   u s i n g   t h e W i n R M   s c r i p t i n g   A P I .   T h i s   t o o l   e n a b l e s   a n   a d m i n i s t r a t o r   t o   c o n f i g u r e W i n R M   a n d   t o   g e t   d a t a   o r   m a n a g e   r e s o u r c e s .   F o r   m o r e   i n f o r m a t i o n ,   s e e t h e   o n l i n e   h e l p   p r o v i d e d   b y   t h e   c o m m a n d   l i n e 那 么 我 们 往 下 看 可 以 看 到 一 个 有 意 思 的 东 西 W M I   s e r v i c e T h e   W M I   s e r v i c e   c o n t i n u e s   t o   r u n   s i d e - b y - s i d e   w i t h   W i n R M   a n d   p r o v i d e s r e q u e s t e d   d a t a   o r   c o n t r o l   t h r o u g h   t h e   W M I   p l u g - i n .   Y o u   c a n   c o n t i n u e   t o o b t a i n   d a t a   f r o m   s t a n d a r d   W M I   c l a s s e s ,   s u c h   a s   W i n 3 2 _ P r o c e s s ,   a s   w e l l a s   I P M I - s u p p l i e d   d a t a .   F o r   m o r e   i n f o r m a t i o n   a b o u t   c o n f i g u r a t i o n   a n d i n s t a l l a t i o n   r e q u i r e d   f o r   W i n R M , W i n R M （ . v b s ） 允 许 通 过 W i n R M 传 输 进 行 W M I 对 象 的 远 程 交 互 ？ ？ w m i 之 前 我 们 分 析 过 它 横 向 利 用 手 法 。 那 么 w i n r m （ . v b s ） 可 以 调 用 w m i 不 就 是 ： 通 过 已 控 机 器 与 目 标 进 行 w i n r m 通 信 ， 然 后 调 用 目 标 主 机 的 w m i 执 行 命 令 。 而 目 标 与 已 控 机 器 之 间 的 通 信 时 加 密 的 ， 蓝 队 在 进 行 目 标 机 器 检 测 朔 源 的 情 况 下 ， 是 先 检 测 到 w m i 在 执 行 恶 意 命 令 ， 但 是 没 有 发 现 w m i 的 横 向 情 况 ， 会 不 会 想 到 是 我 们 是 通 过 w i n r m 去 远 程 调 用 w m i ？ 哈 哈 哈 然 后 我 们 可 以 看 看 w i n r m . v b s 的 一 个 使 用 吧 微 软 文 档 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / w i n r m / a b o u t - w i n d o w s - r e m o t e - m a n a g e m e n t w i n r m   - ?
这 里 我 们 要 注 意 一 个 是 调 用 的 方 式 一 个 是 认 证 方 面 的 东 西 ， 就 是 我 指 出 来 的 那 些 。 然 后 在 域 环 境 下 的 话 ， 我 们 还 是 使 用 k e r b e r o s 吧 我 们 可 以 利 用 一 个 非 常 著 名 的 W M I 类 ， W i n 3 2 _ P r o c e s s ， 可 通 过 利 用 来 生 成 （ 远 程 ） 进 程 执 行 命 令 。 利 用 w i n r m . v b s 远 程 控 制 主 机 调 用 w m i c i m v 2 / W i n 3 2 _ P r o c e s s   w m i 类 来 打 开 一 个 n o t e p a d . e x e （ 相 当 于 执 行 命 令 ） w i n r m   i n v o k e   C r e a t e   w m i c i m v 2 / W i n 3 2 _ P r o c e s s   @ { C o m m a n d L i n e = " n o t e p a d " }   - r : c o r p - d c
流 程 标 识 符   （ P I D ） 和   返 回 值   在 事 件 X M L 元 数 据 中 返 回 ， 以 确 认 成 功 执 行 远 程 操 作 o k   我 们 来 看 看 一 个 目 标 上 面 的 一 个 情 况 第 第 3 方 工 具 方 工 具 c o b a l t   s t r i k e 在 c s 中 有 2 中 w i n r m 的 横 向 方 法 ， 利 用 成 功 会 自 动 返 回 一 个 会 话 ， 当 然 如 果 不 出 网 的 话 我 们 就 需 要 借 助 c s 中 的 一 个 中 转 手 法 。 这 里 演 示 的 手 法 是 不 出 网 络 的 情 况 这 里 看 到 是 分 别 有 w i n r m 和 w i n r m 6 4 c o b a l t   s t r i k e   官 方 文 档 中 我 们 知 道 在 c o b a l t   s t r i k e 中 使 用 w i m R M 的 过 程 是 ： 使 用 p o w e r s h e l l 调 用 w i n R M 所 以 我 们 可 以 看 看 下 图 s v c h o s t . e x e   ( D c o m L a u n c h )   - >   w m i p r v s e . e x e   - >   [ r e m o t e   c o m m a n d / b i n a r y ] w i n r m         x 8 6         R u n   a   P o w e r S h e l l   s c r i p t   v i a   W i n R M w i n r m 6 4         x 6 4         R u n   a   P o w e r S h e l l   s c r i p t   v i a   W i n R M
虽 然 打 开 P o w e r S h e l l 并 不 奇 怪 ， 但 是 使 用 p o w e r s h e l l 去 调 用 w i n r m 的 话 还 是 比 较 敏 感 。 o k   在 c o b a l t   s t r i k e 利 用 w i n r m 在 域 中 横 向 移 动 需 要 获 取 到 目 标 主 机 的 账 号 密 码 或 h a s h 值 ， 这 里 的 流 量 也 是 a e s 加 密 的 因 为 也 是 基 于 k e r b e r o s 的 一 个 认 证 。 注 意 ， 如 果 目 标 不 出 网 的 话 ， 我 们 需 要 设 置 一 个 c s 的 中 转 监 听 器 ， 让 流 量 通 过 我 们 已 控 的 主 机 回 连 到 C o b a l t   S t r i k e 中
开 始 横 向 移 动 横 向 成 功 会 返 回 一 个 会 话 因 为 目 标 走 已 控 主 机 回 连 c o b a l t   s t r i k e 中   那 么 在 目 标 主 机 中 的 网 络 连 接 情 况 ： 然 后 看 到 一 个 5 9 8 5 的 端 口 ， 也 就 是 w i n r m 的 通 信 端 口 ， 则 意 味 着 W i n R M 服 务 被 配 置 为 仅 接 受 通 过 H T T P 的 连 接 ， 并 且 未 启 用 加 密 。 ， 貌 似 w i n r m 和 w i n r m 6 4 都 是 使 用 5 9 8 5 端 口 的 。 M e t a s p l o i t M e t a s p l o i t 框 架 具 有 多 个 模 块 ， 可 用 于 发 现 启 用 了 W i n R M 服 务 的 主 机 ， 发 现 用 于 服 务 认 证 的 凭 证 以 及 执 行 任 意 命 令 和 代 码 。 以 下 模 块 可 以 发 现 启 用 了 W i n R M 服 务 的 系 统 及 其 支 持 的 身 份 验 证 协 议 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理