搜索

[22173] 2021-07-20_内网渗透基石篇--域内横向移动分析及防御

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-07-20_内网渗透基石篇--域内横向移动分析及防御 内 网 渗 透 基 石 篇 - - 域 内 横 向 移 动 分 析 及 防 御 F r e e B u f   L e m o n S e c   2 0 2 1 - 0 7 - 2 0 前 言 前 言 ： 你 的 自 信 是 因 为 你 没 见 过 世 面 ， 因 为 你 没 有 和 真 正 的 高 手 对 决 过 。 一 、 简 介 一 、 简 介 域 内 横 向 移 动 技 术 就 是 在 复 杂 的 内 网 攻 击 中 被 广 泛 使 用 的 一 种 技 术 ， 尤 其 是 在 高 级 持 续 威 胁 中 。 攻 击 者 会 利 用 该 技 术 ， 以 被 攻 陷 的 系 统 为 跳 板 ， 访 问 其 他   域 内 主 机 ， 扩 大 资 产 范 围 （ 包 括 跳 板 机 器 中 的 文 档 和 存 储 的 凭 证 ， 以 及 通 过 跳 板 机 器 连 接 的 数 据 库 、 域 控 制 器 或 其 他 重 要 资 产 ） 。 1   常 用 常 用 w i n d o w s   远 程 连 接 和 相 关 命 令 远 程 连 接 和 相 关 命 令 在 渗 透 测 试 中 ， 拿 到 目 标 计 算 机 的 用 户 明 文 密 码 用 户 明 文 密 码 或 者 N T L M   h a s h 后 ， 可 以 通 过 p t h 的 方 法 ， 将 散 列 值 或 明 文 密 码 传 送 到 目 标 机 器 中 进 行 验 证 。 与 目 标 机 器 建 立 连 接 后 ， 可 以 使 用 相 关 方 法 在 远 程 w i n d o w s   操 作 系 统 中 执 行 命 令 。 在 多 层 代 理 环 境 进   行 渗 透 测 试 时 ， 由 于 网 络 条 件 比 较 差 ， 无 法 使 用 图 形 化 界 面 连 接 主 机 。 此 时 ， 可 以 使 用 命 令 行 的 方 式 连 接 主 机 （ 最 好 使 用 w i n d o w s 自 带 的 方 法 对 远 程 目 标 系 统 进 行 命 令 行 下 的 操 作 ） I P C I P C   共 享 ” 命 名 通 道 ” 的 资 源 ， 是 为 了 实 现 进 程 间 通 信 而 开 发 的 命 名 通 道 。 I P C 可 以 通 过 验 证 用 户 名 和 密 码 获 得 权 限 ， 通 常 在 远 程 管 理 计 算 机 和 查 看 计 算 机 的 共 享 资 源 时 使 用 。 通 过 i p c $ , 可 以 与 目 标 机 器 建 立 连 接 。 利 用 这 个 连 接 ， 不 仅 可 以 访 问 ， 目 录 机 器 中 的 文 件 ， 进 行 上 传 ， 下 载 等 操 作 ， 还 可 以 在 目 标 机 器 上 运 行 其 他 命 令 ， 以 获 取 目 标 机 器 的 目 录 结 构 、 用 户 列 表 等 信 息 。 首 先 ， 需 要 建 立 一 个 i p c $ . n e t   u s e     1 9 2 . 1 6 8 . 1 0 0 . 1 9 0 i p c $   “ A a 1 2 3 4 5 6 @ ”   / u s e r : a d m i n i s t r a t o r 1 . i p c $ 的 利 用 条 件 开 启 了 1 3 9 、 4 4 5 端 口 管 理 员 开 启 了 默 认 共 享 2 . i p c $ 连 接 失 败 的 原 因 用 户 名 或 密 码 错 误 目 标 没 用 有 打 开 i p c $ 默 认 共 享 不 能 成 功 连 接 目 标 的 1 3 9 、 4 4 5 端 口
命 令 输 入 错 误 3 . 常 见 错 误 号 错 误 号 5 ： 拒 绝 访 问 错 误 号 5 1 ： w i n d o w s   无 法 找 到 网 络 路 径 ， 即 网 络 中 存 在 的 问 题 。 错 误 号 5 3 ： 找 不 到 网 络 路 径 ， 包 括 i p 地 址 错 误 、 目 标 未 开 机 、 目 标 的 l a n m a n s e r v e r 服 务 未 启 动 、 目 标 有 防 火 墙 。 错 误 号 6 7 : 找 不 到 网 络 名 ， 包 括 l a n m a n w o r k s t a t i o n 服 务 未 启 动 、 I P c $ 已 被 删 除 。 错 误 号 1 2 1 9 ： 提 供 的 凭 据 与 已 存 在 的 凭 据 集 冲 突 。 错 误 号 1 3 2 6 ： 未 知 的 用 户 名 或 错 误 的 密 码 错 误 号 1 7 9 2 ： 试 图 登 录 ， 但 是 网 络 登 录 服 务 没 用 启 动 ， 包 括 目 标 N E t L o g o n 服 务 未 启 动 错 误 号 2 2 4 2 :   此 用 户 的 密 码 已 经 过 期 。 2   使 用 使 用 w i n d o w s 自 带 的 工 具 获 取 目 标 主 机 信 息 自 带 的 工 具 获 取 目 标 主 机 信 息 1 . d i r 命 令 命 令 d i r   1 9 2 . 1 6 8 . 1 6 0 . 1 3 5 C $
查 看 远 程 主 机 的 C 盘 文 件 2 . t a s k l i s t 命 令 命 令 查 看 远 程 主 机 上 运 行 的 进 程 3   计 划 任 务 计 划 任 务 1 . a t 命 令 命 令 a t 是 w i n d o w s 自 带 的 用 于 创 建 计 划 任 务 的 命 令 ， 使 用 a t 命 令 可 以 在 远 程 目 标 上 创 建 计 划 任 务 ， 建 立 定 时 任 务 四 部 曲 如 下 ： 使 用 n e t   t i m e   命 令 确 定 远 程 机 器 当 前 的 系 统 时 间 使 用 c o p y 命 令 将 p a y l o a d 文 件 复 制 到 远 程 目 标 机 器 中 使 用 a t 命 令 定 时 启 动 该 p a y l o a d 文 件 删 除 使 用 a t 命 令 创 建 计 划 任 务 的 记 录 （ 1 ） 查 看 目 标 系 统 时 间 t a s k l i s t   / S   1 9 2 . 1 6 8 . 1 6 0 . 1 3 5   / U   H A C K B I J I A d m i n i s t r a t o r   / P   W 2 n g l u o a n q u a n
（ 2 ） 将 文 件 复 制 到 目 标 系 统 中 （ 3 ）   使 用 a t 创 建 计 划 任 务 （ 4 ） 清 除 a t 记 录 2 . s c h t a s k s 命 令 命 令 s c h t a s k s 命 令 比 a t 命 令 更 加 强 大 、 灵 活 。 创 建 计 划 任 务 ， 该 计 划 任 务 在 开 机 时 启 动 ， 运 行 c 盘 下 的 批 处 理 任 务 ， 运 行 权 限 是 s y s t e m 。 c a l c . b a t

二 、 二 、   w i n d o w s 系 统 散 列 值 获 取 分 析 与 防 范 系 统 散 列 值 获 取 分 析 与 防 范 w i n d o w s 操 作 系 统 通 常 会 对 用 户 的 明 文 进 行 加 密 处 理 ， 在 域 环 境 下 ， 用 户 信 息 存 储 在 n t d s . d i t 中 ， 加 密 后 为 散 列 值 。 一 般 看 到 的 都 是 这 样 的 结 构 ： 其 中 l m - h a s h 已 经 废 弃 了 ， 那 么 黑 客 要 破 解 的 也 就 是 n t - h a s h ， 要 在 w i n d o w s 系 统 中 抓 取 n t - h a s h 或 者 明 文 ， 必 须 要 s y s t e m 权 限 。 本 地 用 户 名 、 散 列 值 和 其 他 安 全 验 证 信 息 都 保 存 在 S A M 文 件 中 ， 本 文 讲 的 是 通 过 几 款 不 同 的 工 具 ， 分 别 从 内 存 中 （ l s a s s . e x e 进 程 ） 读 取 n t - h a s h 或 者 密 码 明 文 ， 最 后 给 出 了 及 时 更 新 微 软 官 方 推 送 的 补 丁 等 防 范 措 施 。 1   L M   H A S h   和 和 N T L M   H A S H 2   单 机 密 码 抓 取 与 防 范 单 机 密 码 抓 取 与 防 范 1 . G E T P A s s 下 载 下 来 ， 运 行 x 6 4 位 的 程 序 ， 直 接 获 得 系 统 所 有 用 户 的 密 码 ， 简 直 不 要 太 牛 。 不 过 ， 为 啥 运 行 后 ， 字 体 都 变 成 绿 色 的 ， 这 是 说 学 黑 客 会 变 绿 吗 ？ u s e r n a m e : r i d : l m - h a s h : n t - h a s h
2 . P W n D U M P 7 也 是 直 接 运 行 ， 稍 微 逊 色 一 点 点 ， 只 能 拿 到 H a s h ， 还 需 要 通 过 彩 虹 表 破 解 ， 或 者 留 着 以 后 通 过 哈 希 传 递 进 行 横 向 渗 透 。 3 . 通 过 通 过 S A M 和 和 S y s t e m 文 件 抓 取 密 码 文 件 抓 取 密 码 1 . 导 出 S A M 和 S y s t e m 文 件 2 . 通 关 读 取 S A M 和 S y s t e m   文 件 获 得 N T L M H a s h 1 . 使 用 m i m i k a t z 读 取 S A M 和 S y t s t e m 文 件
2 . 使 用 C A i n 读 取 S A M 文 件 4 . 使 用 使 用 m i m i k a t z 在 线 读 取 在 线 读 取 S A M 文 件 文 件 m i m i k a t 是 法 国 技 术 大 神 B e n j a m i n   D e l p y 使 用 C 语 言 写 的 一 款 轻 量 级 系 统 调 试 工 具 ， 爱 了 爱 了 。 该 工 具 可 以 从 内 存 中 提 取 明 文 密 码 、 散 列 值 、 P I N 和 K 8 S 票 据 ， 还 可 以 执 行 哈 希 传 递 、 票 据 传 递 、 构 建 黄 金 黄 金 票 据 。 输 入 下 面 命 令 ， 直 接 拿 到 本 地 所 有 用 户 的 明 文 密 码 ， 强 大 。 m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " l o g "   " s e k u r l s a : : l o g o n p a s s w o r d s "
5 . 使 用 使 用 m i m i k a t z 离 线 读 取 离 线 读 取 l s a s s . d m p 文 件 文 件 I . 导 出 l s a s s . d m p 文 件 1 . 使 用 任 务 管 理 器 导 出 l a s s . d m p 文 件 2 . 使 用 P r o c d u m p 和 l a s s . d m p 文 件 I I . 使 用 m i m i k a t z 导 出 l s a s s . d m p 文 件 中 的 密 码 散 列 值 6 . 使 用 使 用 p o w e r s h e l l 对 散 列 值 进 行 对 散 列 值 进 行 D U m p 操 作 操 作 7 . 使 用 P o w e r s h e l l 远 程 加 载 m i m i k a t z 抓 取 散 列 值 和 明 文 密 码 3 . 单 机 密 码 抓 取 的 防 范 方 法 单 机 密 码 抓 取 的 防 范 方 法 安 装 微 软 发 布 的 K B 2 8 7 1 9 9 7 补 丁 关 闭 W d i g e s t 功 能 （ W i n d o w s   S e r v e r   2 0 1 2 版 本 以 上 默 认 关 闭 ） 1 . 使 用 r e g   a d d 命 令 2 . 使 用 p o w e r s h e l l 三 、 三 、   使 用 使 用 h a s h c a t 获 取 密 码 获 取 密 码 k a l i   r o l l i n g 自 带 的 密 码 破 解 工 具 ， 支 持 破 解 w i n d o w s 密 码 、 l i n u x 密 码 、 o f f i c e 密 码 、 W i - F i 密 码 、 m y s q l 密 码 、 s q l   s e r v e r 密 码 、 以 及 m d 5 、 s h a 1 、 s h a 2 5 6 等 哈 希 散 列 ～ 原 理 原 理 通 常 访 问 一 个 U N C 路 径 时 ， 如 果 没 有 指 定 ， W i n d o w s 会 自 动 用 当 前 用 户 的 凭 证 进 行 N T L M 认 证 ， 例 如 ， 由 于 W i n d o w 会 在 l s a s s 中 缓 存 h a s h 值 ， 并 使 用 它 们 进 行 认 证 ， 所 以 理 论 上 在 l s a s s 中 添 加 包 含 目 标 账 户 的 h a s h 的 合 法 数 据 结 构 ， 就 可 以 在 使 用 类 似 于 d i r 这 些 命 令 时 用 目 标 账 户 进 行 认 证 攻 击 方 式 攻 击 方 式 1 . 获 取 一 台 域 主 机 高 权 限 2 . 利 用 m i m i k a t z 等 工 具 导 出 密 码 h a s h 3 . 用 导 出 的 h a s h 尝 试 登 陆 其 他 域 主 机 1 . 安 装 安 装 H a s h c a t d i r   T a r g e t a a a
（ 1 ） 下 载 源 码 编 译 和 安 装 （ 2 ） 使 用 编 译 好 的 二 进 制 文 件 安 装 2 . h a s h c a t   的 使 用 方 法 的 使 用 方 法 （ 1 ） 指 定 散 列 值 的 类 型 （ 2 ） 指 定 破 解 模 式 （ 3 ） 常 用 命 令 - a   3   暴 力 破 解 （ 后 面 的 ? d ? d ? d ? d ? d ? d 表 示 6 位 数 字 ， 属 于 暴 力 破 解 ） - m   0   说 明 需 要 破 解 的 是 M D 5 2 . 批 量 爆 破 把 密 码 放 到 文 件 中 ， 这 种 破 解 叫 做 字 典 攻 击 ， 相 当 于 撞 库 ， 只 需 要 6 秒 ， 是 不 是 快 了 一 点 点 。 把 等 待 破 解 的 密 文 放 到 文 件 中 ， 可 以 实 现 批 量 破 解 。 我 的 密 码 很 简 单 ： a   0   字 典 模 式 （ 后 面 的 p a s s . t x t 表 示 明 文 密 码 文 件 ， 也 就 是 需 要 撞 的 密 码 库 ） - m   0   说 明 需 要 破 解 的 是 M D 5 1 . 用 h a s h 值 做 字 典 h a s h c a t   - a   3   - m   0   - - f o r c e   e 1 0 a d c 3 9 4 9 b a 5 9 a b b e 5 6 e 0 5 7 f 2 0 f 8 8 3 e   ? d ? d ? d ? d ? d ? d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理