域渗透

   shell怎么拿就不说了。拿到shell以后,查看了一下是内网:

   

   然后进行内网的信息收集:

   

    net user /domain域用户

    Ipconfig /all 查看dns的指向的域控主机。

    收集完信息,人家在内网,然后我想收集一下内网机器的信息。首先我想代理进行,用reGeorgSocksProxy+proxychains代理进去,但可能是有行为监控吧,我代理了几秒那个tunnel脚本就被杀了。然后用hd想扫扫内网的机子,但又被杀了。然后想到发现有jsp的内网代理脚本可以进行内网扫描和内网代理,功能虽然有bug,但够用了。端口扫描的情况。(虽然这里后来用处不大,但我认为进行内网信息的收集还是很重要的)

    

    上面一直做的是信息收集的工作。

    在dump出hash之前我想用msf能反弹shell回来,为什么反弹msf,因为菜刀执行powershell会出错。我当时是想用powershell导出用户hash,但不成功,这是后话了。

exe是会被检测到的,所以用了powershell,然后用tcp反弹不行,就用了http的反弹:可以反弹成功,但是用powershell执行Mimikatz不成功。

    

  

       为什么想抓hash值,因为可能有域控管理员登陆进去,这时候我们可以把他的hash抓出来。

       Dump出hasn的方法有很多中,我自己也总结了一些:http://blog.csdn.net/ZZZJX7/article/details/52542326

       但是不免杀的方法是不行的,试了几种方法都不行,最后利用了Procdump+mimikatz进行取出hash值。但是有一个缺点就是出来的文件比较大,有40多m,我的mimikatz不免杀,所以我下下来,在下载的过程中出了一点错,只有百分之90数据下了下来,不过也足够,有3个域管用户找了出来。

    有了三个域管用户想进一步把全部用户的hash值dump出来,利用信息收集知道域管理机子有两台

     SAOM000A1$  \\ 10.**.**.154 [win2003]             SAOM000DC1$ \\10.**.**.159 [win2008]

     域控主机的话, 首先的目标是159的那台机子,我那时候想也在域控主机上面弹msf回来。把自己的马传上去,然后是用wmiexec.vbs远程执行,原本想用三好学生的一个工具,smbexec这个可以根据其他共享(c$、ipc$)来获取一个cmd我本地测试成功,但在上面执行不成功。执行命令如下:

     Net use \\ip\c$

     Copy bat.bat\\ip\c$ (其中 bat.bat 是 powershell 的 meterpreter)

     用wmi来远程执行命令。     

     执行了也没有反应,不知道啥情况,马没有杀,但是出不来。 然后把目标转到154那台机子,这个是win2003,默认不支持powershell,然后我就用exe的msf马尝试一下,成功了,维持几秒钟,又不行了,应该有杀软吧。

    现在目前是想导出域内的所有用户hash,需要离线提取文件 ntds.dit。ntds.dit利用的是之前三好学生大牛写的一键导出域控方法。

    最后想下载到本地的时候一直出错。72m可能太大了,一直出错超时。

    

   然后想到了用rar把文件压缩再下载,上传了rar.exe,然后选择最高的压缩率:压缩成10m每个文件。

       

       其实把这个下下来,就可以基本上把所有用户的hash拿到。执行以下命令:

     

    全部域用户hash全部dump出来。一共1120个用户。哈哈,结束了。



更新:

之前一直没有用到cobalt strike这个神器,后来做了一点免杀,通过pass hash的方法把邮服也拿了下来,如果想持久地获取系统权限,可以打一个万能补丁,或者中一个启动项的后门,进行开机启动。



发布了20 篇原创文章 · 获赞 11 · 访问量 13万+
展开阅读全文

没有更多推荐了,返回首页

©️2019 CSDN 皮肤主题: 编程工作室 设计师: CSDN官方博客

分享到微信朋友圈

×

扫一扫,手机浏览