Cobalt Strike 域内渗透

郑重声明：
本笔记编写目的只用于安全知识提升，并与更多人共享安全知识，切勿使用笔记中的技术进行违法活动，利用笔记中的技术造成的后果与作者本人无关。倡导维护网络安全人人有责，共同维护网络文明和谐。

1 实验环境

1.1 实验拓扑

​

1.2 配置 Win08/Win7

在现实企业管理中，因为普通域用户在做一些高级别操作的时候，需要域管理员的账号和密码。有时候用户为了方便就会把普通的域用户增加到目标主机的本地管理员组，所以这里把 tester01 域用户添加至 Win08 与 Win7 的本地管理员组

2 收集域内信息

2.1 查询当前权限

1. 获取当前用户与域 SID

   whoami /all

   

2. 查询指定用户的详细信息

   # 查询本地用户详细信息
   net user user01
   
   # 查询域用户详细信息
   net user tester01 /domain
   

   

2.2 判断是否存在域

1. 常用判断命令：

   shell ipconfig /all
   shell systeminfo
   

2. net view /domain

   • 正确输出，说明此台机器在域中；

     

   • 若是此命令在显示域处显示 WORKGROUP，则不存在域；

   • 若是报错：发生系统错误 5，则存在域，但该用户不是域用户

   • 执行 net view 回显错误解决方案

     管理员权限打开 cmd 执行两条命令

     net start Browser
     net stop mpssvc

     再次执行 net view 还是提示 6118。退出重新打开cmd，再执行 net view

3. shell net config workstation

   

2.3 查找域控制器

1. net time /domain

   会有以下三种情况：

   • 存在域，当前用户不是域用户

     

   • 存在域，且当前用户是域用户

     

   • 当前网络环境为工作组，不存在域

   

2. 查看域控制器的机器名

   nltest /dclist:test

   

3. 查看域控制的主机名

   nslookup -type=SRV _ldap._tcp

   

4. 查看域控 IP

   ping DC.test.lab
   nslookup dc
   
   # 判断域控制器和DNS 服务器是否在同一服务器上
   nslookup test.lab
   

   

5. 查看域控制的主机名

nslookup -type=SRV _ldap._tcp

6. 查看域控制器组

   net group "domain controllers" /domain

   实际网络中，一个域内一般存在两台或两台以上的域控制器，作为主备。

   netdom query pdc

   

2.4 查询当前域内存活主机

2.4.1 利用 windows 内置命令收集

net group "domain computers" /domain

2.4.2 利用NetBIOS 探测内网

nbtscan - NETBIOS nameserver scanner (unixwiz.net)

NETBIOS 是局域网程序使用的一种应用程序编程接口(API)，为程序提供了请求低级服务的统一的命令集，作用是为了给局域网提供网络以及其他特殊功能，几乎所有的局域网都是在NetBIOS协议的基础上工作的。

nbtscan 是一个命令行工具，用于扫描本地和远程 TCP/IP 网络上的开访的 NetBIOS 名称服务器。linux 版本下同。

nbtscan.exe 192.168.0.0/24

2.4.3 利用 ICMP 探测内网

for /L %I in (1,1,254) do @ping -w 1 -n 1 10.1.1.%I | findstr "TTL="

2.5 CS net 收集

# 查看域控
shell nltest /dclist:[domain]
# 当使用 32 位的 payload 运行在 64 位的系统上，并且 nltest 路径不对的时候，可能会提示没有 nltest 这个命令，这时可以尝试使用下面的命令为其指定路径
shell C:\windows\sysnative\nltest /dclist:[domain]

# Beacon 中的 net 模块
net dclist : 列出当前域的域控制器
net dclist [DOMAIN] : 列出指定域的域控制器
net share \\[name] : 列出目标的共享列表
net view : 列出当前域的主机
net view [DOMAIN] : 列出指定域的主机

2.6 利用 powerview 模块收集

# 导入 PowerShell 脚本
powershell-import
PowerTools-2.0\PowerView\powerview.ps1

# 查询本地域信息
powershell Get-NetDomain

# 查看是否存在网络共享
powershell Invoke-ShareFinder

3 判断本地管理员

3.1 确认当前用户是否为本地管理员

1. 通过 W