这篇分为三个部分,基本认知,信息收集,后续探针,
基本认知
分为,名词,域,认知;
完整架构图
名词
dwz称之为军事区,两个防火墙之间的区域称之为dwz,但安全性比内网较低,在dwz有邮件服务器,web服务器,我一般攻击内网是借助的web服务器。有dwz的存在大大增加了渗透内网的难度,即使拿下了web权限,也是要在渗透内网才可以的。
把一些不得不对外开放的东西,放到dwz;不用对外开放的都放在内网。
局域网:小公司,几台计算机的成为局域网也叫做工作组;
和域环境的区别:
范围小的计算机在一个局域网里面我们叫做工作组,不用去管理这些计算机。域环境需要一台主机去管理这些计算机,在大型环境里面就会用到域环境,方便去管理每一台机器,不用一台一台去管理,工作组的升级版。
工作组和域环境的攻击手法也有所差异。
域控制器dc;就是这个域里面的管理者,
活动目录ad;这是域控制器上面的一个策略,功能主机,比如一些安装软件,策略啊,都是由他来管理,
域
单域;公司里面有一个域环境,把所有东西都放在哪一个域里面,就是单域,
父域和子域;假如公司有了分公司,分公司有一个自己单独的域,但是还是会被主公司统筹管理
域数和域森林;框架结果有很多分支就称之为域森林,
认知
linux域渗透问题;linux域需要一个叫ldap的环境支撑,而且功能环境没有windows那么强大,大部分碰到的域都是windwos; 所以讲这个内网只会讲一点点linux。
局域网技术适用问题;
比如搜索,很明显地给出了适合局域网攻击,
大概内网流程安全问题;
大概就是,前期把基础知识搞清楚,接下来就进行信息收集,信息收集完只会就会涉及权限提升,权限可在前也可在后,我一般喜欢放在前面,自己权限足够高才能更好的操作;接下来就是横向渗透,知识点主要集中在这块;接下来是权限维持,不过重点还是在前面横向渗透,把前面横向渗透搞清楚之后,权限维持也懂
域环境框架
别的所有设备都在一个网段,唯独web服务器有两个网段,不同的网段就是对外开发的网段,黑客攻击的网段也是这个对外开放的,黑客通过对外的网段攻击到计算机,由于内网网段处于内网的链接,又享有192.168.3.31的访问的权限,可以针对内网环境的一些主机进行访问,攻击,首要攻击目标就是域控机dc。
这是单域的情况框架
案例一信息收集
信息收集包括:
信息收集的意义:判断当前服务器的操作系统以及版本,计算机的基本信息,为后续判断服务器脚本和网络环境做准备,
旨在了解当前服务器的计算机基本信息,为后续判断服务器角色,网络环境等做准备
systeminfo 详细信息
net start 启动服务
tasklist 进程列表
schtasks 计划任务
在执行查看计划任务的适合就提示出来权限不够,这就是为什么要做提权操作,
案例二网络信息收集操作演示
旨在了解当前服务器的网络接口信息,为判断当前角色,功能,网络架构做准备
ipconfig /all 判断存在域:根据是否有“主DNS后缀”一栏判断是否存在域
net view /domain 判断存在域:能成功返回说明存在域
net time /domain 判断主域:会返回主域的时间,可以确定主域名,配合“nslookup”“ping”确定IP地址
netstat -ano 当前网络端口开放
nslookup 域名 追踪来源地址
最简单的判断是域的方法 ipconfi /all
看回显这里,dns后缀有显示,就是在域里面
我本机执行就没有,
net view /domain,判断
看到回显有信息版本就是有域
我本机就没有
net time /domain 判断主域
net time是查看时间的意思,而加上/domain就是在域环境里面查看
出现了这个东西,前面输入ipconfig /all有一个dns后缀叫god.org
本机就没有
域森林和父域子域概念,dns后缀是got.org,现在有两个主机名字
这就出现了域森林,多余的型号,说明当前环境存在多域
sqlserver.god.org
这个就是父域
xiaodi.sqlserver.god.org
这个就相当于子域
为什么输入那个查看时间判断主域,因为域的时间一般都以域控制器为准,所以获取域时间,就会从域控上面获取,而前面显示的名字,就是域控的名字
这时候就可以利用nslockup 域控名字 去查看ip
这个ip地址就是域控的ip
也可以直接去ping主机名在获取到ip地址
netstak -ano
查看当前主机开放端口
信息主要是为了判断端口情况,为当前角色,功能,框架做出准备,知道当前服务器是干嘛用的,比如前面看基本上我发现这台主机的名字叫做webserver,webserver就是web服务器,这台计算机服务器就是网站服务提供。
每个服务器的角色,就大概知道干嘛用的。通过知道角色可以判断出来攻击手法,比如是网站服务器主机就用web攻击手段;自己的个人电脑,就不可能使用web攻击手法,他连网站都没有。
案例三用户信息收集操作演示
旨在了解当前计算机或域环境下的用户及用户组信息,便于后期利用凭据进行测试,系统默认常见用户身份(我们主要攻击Domain Admains和Enterprise Admains,大部分成员主机在Domain users域用户里)
Domain Admins:域管理员(默认对域控制器有完全控制权)
Domain Computers:域内机器
Domain Controllers:域控制器
Domain Guest:域访客,权限低
Domain Users:域用户
Enterprise Admins:企业系统管理员用户(默认对域控制器有完全控制权)
一般我们主要攻击目标就是Domain Admins:域管理员和Enterprise Admins:企业系统管理员用户
而用户一般都存放在Domain Users:域用户
net user 本地用户
在本地用户一个普通用户点计算机右键管理的时候,会弹窗要登录adminsteast账户密码次啊可以打开,而如果登录管理用户的就可以直接右键管理查看策略什么的信息
net user /domain 获取域用户信息
net localgroup 本地用户组
net group /domain 查看域里面用户组
wmic useraccount get /all 涉及域用户详细信息
就相当于知道了域里面的用户名以及ip,假如有了域用户的密码就能进行操作了,书记这个信息就是为了后续密码账户攻击做准备,有了域用户名就可以用密码上面的攻击套用上去进行攻击,爆破,
net group "Domain Admins" /domain 查询域管理员账户
net group "Enterprise Admins" /domain 查询管理员用户组
net group "Domain Controllers" /domain 查询域控制器
案例四凭据信息收集操作演示
分为两类,
计算机用户的hash值,和明文的获取,指的就是操作系统上的账户密码信息,
mimikatz(爆破hash值的神器),
imikatz下载:https://github.com/gentilkiwi/mimikatz/releases
这个需要管理员权限运行才可以,所以为什么课程安排是先进性提权,然后运行这个脚本,这个脚本有一个是免反弹式窗口的脚本,运行他就可以自动生成一个txt文件,里面就是运行后的结果,不用担心会出现没有反弹式窗口的情况
以管理员身份运行
之后就直接出来了明文密码和hash值
linux版本的脚本,没有mimiakatz好
mimipenguin下载:https://github.com/huntergregal/mimipenguin/releases/
打开下载链接有他支持的部分版本
下载好解压,直接运行脚本就会返回结果
计算机协议服务口令的获取,
要收集的信息
1.站点源码备份文件、数据库备份文件等
2.各类数据库 Web 管理入口,如PHPMyAdmin
3.浏览器保存密码、浏览器 Cookies
4.其他用户会话、3389 和 ipc$连接记录、回收站内容
5.Windows 保存的 WIFI 密码
6.网络内部的各种帐号和密码,如:Email、VPN、FTP、OA 等
收集这些的作用:内网的攻击大部分都是建立在口令上的攻击,而管理员设置的密码都会有一定规矩,可能跟自己名字有关吧,就比如正常人的微信密码和qq的肯定有相似,甚至一样。内网肯定有办公电脑,有办公电脑就有他个人信息在上面,
两个利用工具;LaZagne(all),XenArmor(win)
LaZagne
这个要注意免杀,听老师说就是改一下md5字符串就行
直接拖入命令行运行
选择参数所有
但是有很多秘密都得不到,这里的解释,就是这个脚本是给垃圾,只是支持面广而已
下载:https://github.com/AlessandroZ/LaZagne (注意不能直接点击运行会闪退,要在命令行里面运行)
XenArmor(win)
国外软件,价格40-50美元,网上可能有破解版,不过是老版
下载地址:https://xenarmor.com/allinone-password-recovery-pro-software/(浏览器、WiFi、FTP的密码都可以发现)
这个收费的就是牛逼
什么密码都翻出来了。连你忘了的密码都有,就是这么牛逼,付费就是不一样
获取这么口令密码的原因:这些口令密码就能是我的字典,开了3389协议,用这个字典去测试能不能登录,如果能登录我就拿到了新的一台内网服务器权限,拿到了之后再继续执行这个事情,然后字典就更加全面,
案例五探针主机域控架构服务操作演示
现在是一家把信息收集,收集好了,
探针域控制器以及地址信息
net time /domain,看到控制器的名字
nslookup 控制器名 查看控制器的详细信息
ping 域控名 获取到ip
探针域内存活(在线)主机及地址信息
存活主机就是指在线的主机,
nbtscan 192.168.3.0/24 第三方工具(类似于nmup,但是会标注域用户名和dc)
---下载:http://unixwiz.net/tools/nbtscan.html
(既不免杀,也老,还要下载)实在不怎么滴
好处就是会标明域控,但是,这个第一步就已经获取了
for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.3.%I | findstr "TTL="(用for循环去ping1-254网段的主机,这是自带内部命令,不会被杀毒软件拦截)
不用担心扫描被杀
其它探针方式如:
nmap(易拦截)、masscan、第三方PowerShell脚本(windows的脚本开发语言)、nishang(推荐)、empire(推荐)等
PowerShell是windows上面的一个语言,和cmd差不多的,可以实现在windows实现功能开发语言,实现一些功能,攻击者就利用这个自己写一个PowerShell的脚本去攻击,
Nishang下载: https://github.com/samratashok/nishang
第一步导入模块,Import-Module .\nishang.psm1
如果导入不了,就设置一个执行策略
Set-ExecutionPolicy RemoteSigned
设置完之后点y就行
Get-Command -Module nishang 获取模块nishang的命令函数(有很多命令函数分别执行不同功能,比如以下命令)
Get-information 获取常规计算机信息
组,用户,密码,域,目录什么的都收集好了
Invoke-Mimikatz 获取计算机用户名密码
调用一下这个mimikatz参数
和执行mimikatz得到的一模一样
Invoke-Portscan -startaddress 192.168.3.0 -Endaddress 192.168.3.100 -ResolveHost -ScanPort 端口扫描(查看目录对应文件有演示语法,其他同理)
真的牛逼,根据名字在判断每个电脑的角色,有些设置了权限会出现访问不了,提权提到系统权限,就能突破这个限制,就不收用户的限制,
其他的功能:删除补丁,反弹shell,凭据获取
- 利用开放端口服务及计算机名判断
- 核心业务机器:
- 1.高级管理人员,系统管理员,财务/人事、业务人员的个人计算机
- 2.产品管理系统服务器
- 3.办公系统服务器
- 4.财务应用系统服务器
- 5.核心产品源码服务器
- 6.数据库服务器
- 7.文件或者网盘服务器
- 8.电子邮件服务器
- 9.网络监控系统服务器
- 10.其他服务器(内部技术文档服务器,其他监控服务器)
当前渗透成功的角色基本上可以确定能不能渗透成功的概率。
fa文章来源:https://www.toymoban.com/news/detail-779035.html
cai文章来源地址https://www.toymoban.com/news/detail-779035.html
到了这里,关于65内网安全-域环境&工作组&局域网探针的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!