目录
一、安装CS
1.首先查看kali与windows安装的java版本：
2.下载安装包cobalt strike，然后解压，把服务器文件上传到xshell上面
3. 给文件赋权：
4.进入root账户之后，输入指令./teamserver Server-ip password，以此设置启动此服务端的密码，可以看到端口和哈希值。此时安装已完成
二、总结用户组和用户、windows信息搜集命令
（1）关于用户组和用户的命令
用户账户管理
- net user
用于列出、添加、删除或修改本地计算机上的用户账户。例如，net user 列出所有用户，net user username /add 添加新用户。
2.net user username /active:yes|no
启用或禁用指定的用户账户。
3.net user username password
更改指定用户账户的密码（在某些情况下可能需要管理员权限）。
用户组管理
- net localgroup
用于管理本地计算机上的用户组。例如，net localgroup administrators 列出本地管理员组的成员，net localgroup groupname username /add 将用户添加到组。
2.net localgroup groupname /delete
删除指定的本地用户组（需小心使用，因为某些组是系统必需的）。
（2）权限与身份验证
1.whoami
显示当前用户的登录会话信息，包括用户名、用户组等。
2.net session
显示当前计算机上的所有活动会话，通常用于查看哪些用户通过SMB（Server Message Block）协议连接到计算机。
（3）windows信息收集命令
网络配置类
1.ipconfig /all： 显示计算机的详细网络配置信息，包括IP地址、子网掩码、默认网关、DNS服务器等。
2.route print： 显示计算机的路由表信息，包括网络地址、子网掩码、网关等。
3.netstat -ano： 显示网络连接、路由表、接口统计等信息，以及每个连接的进程ID（PID）。
4.arp -a：显示计算机的ARP表，即IP地址到MAC地址的映射关系。
进程和服务类
1.tasklist：显示当前运行的进程信息，结合/svc参数可以查看每个进程关联的服务。
2.services.msc（非命令行，但常用）：打开服务管理器，查看和管理Windows服务。
3.sc query：通过命令行查询Windows服务状态。
系统信息类
1.systeminfo： 显示计算机的详细系统信息，包括操作系统名称、版本、补丁安装情况、系统制造商等。
2.wmic os get： 使用Windows Management Instrumentation Command-line (WMIC) 获取操作系统信息。
3.ver：显示Windows操作系统的版本信息。
远程连接和共享类
1.net use：显示当前计算机的网络连接情况，包括IPC连接和映射的网络驱动器。
2.net view：显示当前域或工作组中的计算机列表。
3.cmdkey /l：列出当前保存的登录凭证，如远程桌面连接的凭证。
三、总结手工提权思路，拿土豆提权举例
1.信息收集：
系统信息：使用命令如systeminfo获取操作系统的版本、补丁安装情况等信息。
当前权限：通过whoami /priv查看当前用户账户的权限，特别是是否具有“模仿安全令牌权限”（SeImpersonatePrivilege）或“分配主令牌权限”（SeAssignPrimaryTokenPrivilege）。
网络配置：使用ipconfig /all、netstat -ano等命令了解网络配置和连接情况。
服务和进程：通过tasklist、services.msc等查看当前运行的进程和服务，识别可能存在的异常或可利用的服务。
2.漏洞分析：
根据收集到的系统信息，使用漏洞扫描工具（如Windows Exploit Suggester、Vulmap等）或手动比对已知漏洞列表，筛选出未打补丁的漏洞。
对于土豆提权，特别关注与COM/DCOM相关的漏洞，如MS16-075（JuicyPotato利用的漏洞）。
3.漏洞利用：
下载并编译对应的漏洞利用工具（如JuicyPotato的源代码）。
根据漏洞的利用条件和当前系统的配置，调整利用工具的参数。
执行利用工具，尝试提升权限。在土豆提权中，这通常涉及到触发NTLM认证、捕获认证数据包并修改其内容，以获取系统权限的令牌。
4.权限维持与后门：
成功提权后，建立持久化后门以便后续访问。
修改系统配置或添加新的管理员账户，以便在需要时重新获得高权限。
土豆提权（以JuicyPotato为例）
原理：
利用Windows COM/DCOM机制中的漏洞，通过诱导用户进行NTLM认证并捕获认证数据包，然后修改数据包内容使其认证成功，从而获得系统权限的令牌。
步骤：
信息收集：收集系统信息，确认当前用户权限和系统配置。
工具准备：下载JuicyPotato的源代码并编译成可执行文件。
参数配置：
根据当前用户权限，选择相应的-t参数
指定要执行的程序（如-p c:\windows\system32\cmd.exe）和监听端口（如-l 1155）。
选择合适的CLSID（组件类ID），这取决于操作系统的版本和配置。
执行提权：运行配置好的JuicyPotato工具，尝试提升权限。
四.用CS插件提权，提虚拟机或本地都行
1.在客户机上打开Cobalt_Strike_CN.bat,配置好设置
2.点击connect之后进入主程序
3.创建监听器
4.然后点击有效荷载，生成可执行文件并保存到本机
5.在本机上点击exe文件，cs中出现相应记录
6.最后输入shell whoami验证是否成功。在此过程中，尝试用右键点击了凭证提取，进行了尝试，所以有红色的提示命令。
扫一扫
385
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
