内网安全 - 局域网探针
基础知识
DMZ区域
英文全名“Demilitarized Zone”,中文含义是“隔离区”。在安全领域的具体含义是“内外网防火墙之间的区域”。DMZ作用是把Web、Mail、FTP等一些不含机密信息的允许外部访问的服务器单独接在该区端口,使整个需要保护的内部网络接在信任区端口后,不允许任何访问,实现内外网分离,达到用户需求。这样来自外网的访问者可以访问DMZ区中的服务,而攻击者即使初步入侵成功,还要面临DMZ设置的新的障碍,因此也不会对内网中的机密信息造成影响。
工作组和域的区别
域和工作组适用的环境不同,域一般是用在比较大的网络里,工作组则较小,在一个域中需要一台类似服务器的计算机,叫域控服务器,其他电脑如果想互相访问首先都是经过它的,但是工作组则不同,在一个工作组里的所有计算机都是对等的,也就是没有服务器和客户机之分的,但是和域一样,如果一台计算机想访问其他计算机的话首先也要找到这个组中的一台类似组控服务器,组控服务器不是固定的,以选举的方式实现,它存储着这个组的相关信息,找到这台计算机后得到组的信息然后访问。
工作组是一群计算机的集合,它仅仅是一个逻辑的集合,各自计算机还是各自管理的,你要访问其中的计算机,还是要到被访问计算机上来实现用户验证的。而域不同,域是一个有安全边界的计算机集合,在同一个域中的计算机彼此之间已经建立了信任关系,在域内访问其他机器,不再需要被访问机器的许可了。
工作组:地位平等,管理分散,没有集中管理。
域环境:地位不平等,管理集中,实现集中管理。
域环境也可以简单的理解为工作组的升级版,更好管理。
域控DC
在域环境和工作组环境下他们的攻击手段是不同的,工作组中的攻击手法如DNS劫持、ARP欺骗在域环境下是没有作用的。有一些攻击手段需要一些条件,这些条件在域环境下没有,相应的攻击手段就会失效。
域控DC是这个域中的管理者,域里面的最高权限,判断是否拿下整个域,就是看你是否拿下这台域控制器。
AD(活动目录)
是微软所提供的目录服务(查询,身份验证),活动目录的核心包含了活动目录数据库。在活动目录数据库中包含了域中所有的对象(用户,计算机,组…),活动目录(Active Directory)是面向Windows Standard Server、Windows Enterprise Server 以及Windows Datacenter Server的目录服务。
—Active Directory储存了有关网络对象的信息,并且让管理员和用户能够轻松的查找和使用这些信息。
内网渗透流程
权限提升 —> 信息收集 —> 后续探针 —> 横向渗透-权限维持
局域网探针
上图属于单域环境,Windows2008R2作为域控DC,有五个域成员主机,fileserver文件服务器、SqlServer数据库服务器、webserver网站服务器和两台个人PC。他们都是在192.168.3.0这个网段,webserver网站服务器有两个网卡,一个192.168.3.31一个在192.168.230.131,这个192.168.230.131就好比是它的一个对外出口(外网接口),kali攻击机,它通过192.168.230.131这个接口进入网站服务器计算机,由于这台计算机(192.168.3.31)是连接到内网的,所有它享有192.168.3.0/24这个网段的访问权限。拿下网站服务器后的首要攻击目标就是DC!只要拿下DC,也就相当于同时拿下了所有域成员主机权限。
基本信息收集及演示
旨在了解当前服务器的计算机基本信息,为后续判断服务器⻆⾊,⽹络环境等做准备 。
systeminfo 详细信息(操作系统版本、补丁编号等信息)
net start 启动服务(查看当前主机开启了哪些服务,从服务中就可以判断它是什么角色)
tasklist 进程列表(查看当前主机开启了哪些进程)
schtasks 计划任务(若报错无法加载列资源,说明你的权限不够,因此要提权才能使用该命令)