m0_65096687的博客

添加超级用户的方式有很多种，这里直接拿到root权限后创建一个用户，在/etc/passwd/中修改用户id值为0。Linux提权操作中有个suid提权。在对方主机中查看是否又以下文件·第一个星号是分钟，这里没有加就是过一会就执行。得到对方主机权限后，在目录中写入命令执行脚本。然后就可以利用suid提权来权限维持。拿到对方的root权限后，关闭防火墙。把这些文件加上SUID。然后攻击机开启nc监听。然后在计划任务中配置。

当我们获取了对方权限后，方便长期对对方主机进行长期的控制，就需要使用到权限维持。Windows权限维持方式。

这里要说一下，让我们做蜜罐时候，一定要做的像内网的真实主机，不能让对方一眼识别。比如说网卡啊，虚拟机可以用别人测试的游戏虚拟机，相关文件，敏感文件，各种服务。进行取证，取证的主要是对方的office文件，各种第三方社交软件，比如说微信有个缓存文件db后缀结尾的，里面有聊天记录，拿去破解一下。比如说我在日志里找到了对应的攻击者IP，那么我们就要对ip进行识别他的网络资产，比如站长之家识别一下，查看一下有无域名，对域名进行反查一下，看是否可以搜索到攻击者相关信息。溯源的关键在于取证，获取到攻击机的相关信息。

其实Windows和Linux加固的方法都差不多。

Linux系统加固要从三个方面来考虑。

然后我们抓包进行测试,使用shiro框架的主要特征是在返回包中，登录失败或者登录成功没有勾选remeber 按钮，返回数据包有一个remeber delete 字段，如果正确密码登录且勾选了remember me 字段。那么返回数据包就会出现 remember的字段会出现一长串的值。（这是看大佬的文章总结的）加密的用户信息序列化后储存在名为remenber -me的cooike中。Apach shiro 是一款开源安全框架，提供身份验证，授权，会话管理等。这是密码正确勾选了 remember me。

环境自己百度装好。我的一台kali，一台DC都是52网段1.nmap 扫一扫52网段确定是143，然后针对143进行扫描80开放，进去。老熟人了 Drupal，直接msf开打试了几个，use2直接getshell了看看权限尝试SUID提权进入shell看到find了吧直接提whoami 看看root了。。。。然后我看别人的文章，发现要找flag.......我是新手。。。然后找flag吧给他一个python的交互式找找flag，反正都是root了，flag不是乱翻。

入侵思路排查1.账号安全2.历史命令3.异常端口4.异常进程5.开机启动项6.检查定时任务7.检查服务8.检查异常文件9.检查日志。

win系统常见的安全事件1.病毒，木马，蠕虫事件2.web服务器入侵事件或第三方服务入侵事件3.系统入侵事件，用win漏洞入侵系统，利用弱口令等。4.网络攻击事件，如DDos，ARP欺骗等。win系统安全事件发现的来源1.服务器pc异常现象 cpu，内存飙升，蓝屏2.网络安全设备警告 天眼3.安全态势感知平台警告 EDR（终端安全）

对应急响应预案进行复盘，总结经验，吸取教训。提出整改建议。攥写应急响应报告。

wim是通过135端口进行利用的，支持明文和hash的方式进行认证，并且不会在目标系统日志下留下痕迹。

win2012以上版本，关闭了wdigest 或者安装了 KB287199补丁。无法获取明文密码总的来说就是win2012后无法获取明文密码解决办法就是：1.可以利用哈希hash传递（pth，ptk等进行移动）2.利用其他服务协议（SMB，WMI）进行哈希hash移动3.注册表开启wdigest Auth 进行获取明文密码4.利用第三方工具（hashcat）进行破解获取。

横向移动就是拿下对方一台主机后，以拿下的那台主机作为跳板，对内网的其他主机再进行后渗透，拿到其他内网主机的权限的过程。叫做横向移动。横向移动的主要目的就是扩大战果。传递攻击主要建立在明文和hash值获取基础上进行攻击。at和schtasks主要作用就是在已知目标系统用户的明文密码基础上，直接可以在远程主机上执行命令。at 命令 < win2012 小于win2012才有at命令schtasks 命令>= win2012 大于或等于win2012 是 schtasks 命令。

1.使用工具JNDIExploit-1.2-SNAPSHOT.jar在kali上设置监听 （JNDIExploit-1.2-SNAPSHOT.jar自己下载移动到攻击机。这里是用的docker下载的vulhub的CVE-2023-21839。这里需要go语言进行编译 go版本大于1.19。靶机和攻击机都是192.168.85.131。让你访问ip:7001/console。2.nc开监听反弹shell。nc上反弹了一个shell。docker 启动环境。

效果是一样的，可以理解未win安装python时候需要添加环境变量，然后cmd可以直接运行python。环境变量提权就是linux在执行系统命令的时候，会调用一些环境变量的文件。这是c文件的内容，然后传到目标主机编译成第三方软件。写一个c文件放到对方服务器上去编译成第三方软件。比如说，执行id和执行/bin/id。然后我们对环境变量的文件进行替换。然后给yx文件SUID权限。

Linux内核 >= 2.6.22（2007年发行，到2016年10月18日才修复）这里要使用python开启一个交互式的伪终端，不然会提权失败。靶场环境是vluhub上的。upload 传 对方tmp目录下。msf上线找这个Drupal漏洞。不会传的看之前提权前信息搜集。下载后文件是一个.cpp文件。最后flag在root目录下。这里写复现过程，不写原理。传脚本上去检测内核漏洞。运行不了就给 +x权限。编译dcow.cpp。

设置了SUID后，文件启动的时候就会以root的权限去运行。就是一个普通用户运行的时候，因为有SUID，所以用root权限去运行它。SUID Files 还有一个 Possible interserting SUID files。全部的SUID文件和一个可能可以利用的SUID文件。连接上来后把漏洞检测的脚本上传至tmp目录运行。这是利用find手动查找有SUID文件的命令。这里不知道啥原因，反弹的shell还是yx。然后我们就要观察文件中是否存在以下文件。我们就利用find进行SUID提权。

linux前期提权也是要信息搜集linux信息搜集可以使用软件进行，这里写四个脚本(我们拿到webshell或者普通用户时，上传第三方软件的目录应该是Linux的tmp目录，tmp目录是临时目录，每次linux重启后该目录内容就会清除，而且tmp目录下的文件可读可执行)一般上传文件后，文件执行不了就给文件可以执行权限。

简单的来说，就是win在启动时候，需要加载一些服务。我们要使用命令去查找那些不带引号的服务路径。这种环境我搭建不出来。如果有，就可以进行利用。然后就msf监听上线。

2.进程调试，我们分析改软件运行时候调用了哪些dll。我们需要把第三方软件下载到本地进行找到他运行的dll文件（非系统文件）（火绒剑）4.然后把他的原本的dll文件删除，将我们的dll文件更改与他相同名的dll文件，使他启动时候调取的是我们的后门dll文件。dll 动态链接库。1.信息搜集，查看对方有哪些第三方软件（有webshell翻他目录找第三方软件 ）但是win7的管理员账户直接可以msf的令牌窃取，还要烂土豆干毛，果然是烂土豆。需要特定条件，需要服务器上有特定软件，且管理员也在经常使用。